Il payload della shell inversa di msf usa una nuova porta per riconnettersi all'attaccante, quindi se il server di destinazione ha filtri in uscita, l'attacco fallirebbe.
vale a dire server stabilito: ftp < - > attaccante: 12345
Dopo l'exploit
server: 23456 < - > attacker: 4444 // perché non provare a connettere la porta 12345?
Ma perché dovrebbe usare una nuova porta, perché non riutilizzare il canale esistente?
Riutilizzare il canale esistente richiede una complessità aggiuntiva, è anche importante notare che non tutti i moduli metasploit utilizzano un socket per sfruttare l'host. Lo shellcode dovrebbe cercare nella memoria (egghunt ...) e trovare il socket e quindi usarlo. Lo shellcode significa essere piccoli e semplici.
Detto questo ci sono altri metodi per influenzare un host dietro un firewall esotico. download + exec shellcode è un metodo.
Utilizza una nuova porta perché il canale esistente è in una direzione e da un processo separato ....
Una shell inversa avvia un nuovo processo con nuove connessioni nella direzione in uscita. I firewall distinguono tra nuove connessioni in una direzione e connessioni esistenti. Che cosa sta facendo Revshell di MSF sta creando una nuova connessione di rete con la scatola dell'attaccante. Puoi indovinare quale porta potrebbe essere libera oppure utilizzare la shell inversa 'allports' per eseguire tutte le porte in cerca di una porta libera su cui comunicare.
Leggi altre domande sui tag firewalls metasploit