Обратный шелл (reverse shell) — удалённая командная оболочка, при которой взломанная машина сама подключается к слушателю атакующего и даёт ему интерактивный контроль в обход правил для входящего трафика.
Как работает обратный шелл
В обычном удалённом сеансе клиент подключается к серверу, который ждёт входящих соединений. Обратный шелл переворачивает эту схему:
- Атакующий запускает слушатель на своей машине, например с помощью netcat или Metasploit.
- Он эксплуатирует уязвимость вроде удалённого выполнения кода или загружает веб-шелл и выполняет на цели короткую команду.
- Цель подключается обратно к слушателю и привязывает к этому соединению оболочку — bash, cmd.exe или PowerShell.
Типичные однострочники используют механизм /dev/tcp в bash, Python, PowerShell или netcat. Противоположный подход — bind shell («прямой шелл»), при котором порт для подключения открывается на стороне жертвы. В MITRE ATT&CK такая активность относится к Command and Scripting Interpreter (T1059) и протоколам прикладного уровня для управления.
Почему обратные шеллы важны
Большинство межсетевых экранов и устройств NAT блокируют непрошеные входящие соединения, но пропускают исходящий трафик, поэтому обратный шелл часто оказывается самым простым способом превратить разовую ошибку выполнения кода в полноценный интерактивный доступ. Именно поэтому разборы эксплойтов и атаки на веб-приложения, VPN-шлюзы и IoT-устройства так часто заканчиваются обратным шеллом. В тестировании на проникновение работающий обратный шелл — стандартное доказательство успешной компрометации. Злоумышленники могут туннелировать его через HTTPS или DNS, чтобы смешаться с обычным трафиком.
Как защититься от обратных шеллов
- Ограничить исходящий трафик: серверы должны подключаться только к тем адресам, которые им действительно нужны.
- Настроить оповещения, когда веб-серверы или сервисы порождают командные оболочки и интерпретаторы скриптов.
- Использовать EDR и сетевой мониторинг, чтобы замечать долгоживущие соединения с неизвестными узлами.
- Быстро обновлять приложения, доступные из интернета, чтобы лишить атакующего первоначального выполнения кода.
