Reverse Shell یکی از تکنیک‌های متداول در حملات سایبری است که مهاجمان از آن برای کنترل از راه دور سیستم‌های هدف استفاده می‌کنند. در این روش، دستگاه قربانی به‌جای پذیرش اتصال، خودش یک ارتباط خروجی به مهاجم برقرار می‌کند و به او دسترسی می‌دهد. این تکنیک در تست نفوذ و حملات هکری کاربرد دارد و شناسایی آن برای متخصصان امنیت اهمیت زیادی دارد.

Reverse Shell چیست؟

Reverse Shell یک تکنیک پیشرفته در حملات سایبری و تست نفوذ است که به مهاجم امکان می‌دهد کنترل یک سیستم هدف را از راه دور در دست بگیرد. برخلاف روش‌های سنتی که در آن مهاجم مستقیماً به سیستم هدف متصل می‌شود، در Reverse Shell این خود سیستم قربانی است که یک ارتباط خروجی را به سمت مهاجم برقرار می‌کند. این روش معمولاً برای دور زدن فایروال‌ها و محدودیت‌های شبکه استفاده می‌شود زیرا بسیاری از شبکه‌ها اتصالات ورودی غیرمجاز را مسدود می‌کنند اما به ارتباطات خروجی اجازه عبور می‌دهند.

این تکنیک به‌طور گسترده در تست نفوذ و حملات سایبری مورد استفاده قرار می‌گیرد. مهاجم ابتدا یک Listener (شنونده) روی سیستم خود اجرا می‌کند، سپس با بهره‌گیری از یک آسیب‌پذیری یا اجرای کد مخرب، یک Reverse Shell روی سیستم قربانی راه‌اندازی می‌کند. پس از برقراری ارتباط، مهاجم می‌تواند دستورات خود را اجرا کند، فایل‌ها را تغییر دهد و حتی کنترل کامل سیستم را به دست بگیرد.

مراحل عملکرد شل معکوس

1. ایجاد Listener در سیستم مهاجم:

مهاجم ابتدا یک Listener روی سیستم خود اجرا می‌کند. این Listener معمولاً روی یک پورت مشخص تنظیم می‌شود و منتظر دریافت اتصال از سمت سیستم قربانی است. ابزارهایی مانند Netcat و Metasploit برای این کار استفاده می‌شوند.

2. آلوده‌سازی سیستم قربانی:

مهاجم از طریق یک آسیب‌پذیری، فیشینگ، مهندسی اجتماعی یا اجرای یک بدافزار، کدی را روی سیستم هدف اجرا می‌کند. این کد مخرب حاوی اسکریپت یا برنامه‌ای است که به Listener مهاجم متصل می‌شود.

3. برقراری اتصال معکوس:

سیستم قربانی یک ارتباط خروجی به سیستم مهاجم برقرار می‌کند. ازآنجایی‌که این اتصال از داخل شبکه قربانی به بیرون است، معمولاً توسط فایروال‌ها و مکانیزم‌های امنیتی کمتر مسدود می‌شود.

4. دریافت دسترسی توسط مهاجم:

پس از برقراری ارتباط، مهاجم می‌تواند از طریق ترمینال، دستورات را روی سیستم قربانی اجرا کند. این شامل خواندن و نوشتن فایل‌ها، اجرای کدهای مخرب و حتی ایجاد دسترسی پایدار برای کنترل طولانی‌مدت سیستم هدف است.

انواع تکنیک‌های پیاده‌سازی Reverse Shell

Reverse Shell مبتنی بر TCP

در این روش ارتباط بین مهاجم و سیستم قربانی از طریق پروتکل TCP برقرار می‌شود. این نوع ارتباط پایدار و قابل‌اعتماد است و امکان ارسال و دریافت داده‌ها را به‌صورت دوطرفه فراهم می‌کند. بااین‌حال، به دلیل نیاز به یک اتصال دائمی، ممکن است توسط فایروال‌ها یا سیستم‌های تشخیص نفوذ (IDS) شناسایی شود.

Reverse Shell مبتنی بر UDP

برخلاف روش TCP این تکنیک از پروتکل UDP استفاده می‌کند که یک ارتباط بدون اتصال ایجاد می‌کند. این ویژگی باعث افزایش سرعت ارتباط می‌شود، اما ازآنجاکه UDP تضمینی برای تحویل داده‌ها ندارد، احتمال از دست رفتن برخی بسته‌های اطلاعاتی وجود دارد. این روش در برخی شبکه‌ها که ترافیک UDP مجاز است، می‌تواند از فایروال‌ها عبور کند.

انواع روش های ارتباطی شبکه چیست؟ اتصال گرا (Connection-Oriented) و غیر اتصال گرا (Connectionless) چه تفاوتی دارند؟

Reverse Shell مبتنی بر HTTP/HTTPS

در این روش، ارتباط شل در قالب درخواست‌ها و پاسخ‌های HTTP یا HTTPS مخفی می‌شود. این تکنیک به مهاجم اجازه می‌دهد که ترافیک مخرب را در میان ترافیک وب معمولی پنهان کند و از سد فایروال‌هایی که ترافیک وب را مجاز می‌دانند، عبور کند. استفاده از HTTPS علاوه بر رمزنگاری داده‌ها، شناسایی این نوع حمله را دشوارتر می‌کند.

Reverse Shell مبتنی بر DNS

این تکنیک از پروتکل DNS برای ارسال و دریافت داده‌های شل استفاده می‌کند. در بسیاری از شبکه‌ها، ترافیک DNS به‌طور پیش‌فرض مجاز است، بنابراین این روش برای دور زدن فایروال‌ها بسیار مفید است. بااین‌حال به دلیل محدودیت‌های پروتکل DNS سرعت انتقال داده پایین‌تر خواهد بود و در برخی موارد ممکن است نیاز به اجرای چندین درخواست برای ارسال یک پیام کامل باشد.

Reverse Shell مبتنی بر ICMP

در این روش، مهاجم از پیام‌های ICMP مانند درخواست‌ها و پاسخ‌های Ping برای برقراری ارتباط استفاده می‌کند. این روش به‌ویژه در محیط‌هایی که ترافیک ICMP مجاز است، کارآمد است. ازآنجایی‌که ICMP کمتر برای ارتباطات مخرب استفاده می‌شود، احتمال شناسایی آن نیز پایین‌تر است اما حجم داده‌های قابل‌انتقال محدود خواهد بود.

Reverse Shell مبتنی بر WebSocket

این روش از پروتکل WebSocket برای ایجاد یک ارتباط دوطرفه و پایدار استفاده می‌کند که در بستر وب عمل می‌کند. WebSocket به دلیل پشتیبانی توسط بسیاری از مرورگرها و سرویس‌های تحت وب، می‌تواند در برخی شرایط از مکانیزم‌های امنیتی عبور کند. این روش برای ایجاد ارتباط بلادرنگ و پنهان شدن در ترافیک وب مدرن مناسب است.

Reverse Shell مبتنی بر SMTP

داده‌های شل از طریق پروتکل SMTP و ایمیل‌ها ارسال می‌شود. این روش به مهاجم اجازه می‌دهد که از زیرساخت‌های ایمیل برای انتقال داده‌ها استفاده کند، به‌خصوص در شبکه‌هایی که سایر پروتکل‌ها مسدود شده‌اند. بااین‌حال، سرعت ارتباط پایین‌تر است، زیرا ارسال و دریافت ایمیل معمولاً زمان‌بر است.

مثال عملی از اجرای یک Reverse Shell

برای درک بهتر نحوه عملکرد Reverse Shell یک سناریوی عملی را بررسی می‌کنیم که در آن مهاجم از طریق Netcat یک اتصال شل معکوس ایجاد می‌کند. 

مرحله ۱: تنظیم Listener در سیستم مهاجم

ابتدا مهاجم باید یک listener روی سیستم خود اجرا کند تا منتظر اتصال از سوی قربانی باشد. برای این کار، در ترمینال لینوکس یا ویندوز (با نصب Netcat) دستور زیر اجرا می‌شود: