搜索

[375] 2021-01-16_使用LD_PRELOAD进行Linux提权

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-16
2021-01-16_使用LD_PRELOAD进行Linux提权 使 用 L D _ P R E L O A D 进 行 L i n u x 提 权 原 创   a F a 攻 防 实 验 室   a F a 攻 防 实 验 室   2 0 2 1 - 0 1 - 1 6 收 录 于 话 题   # 内 网 攻 防   , 4 3 个 介 绍 介 绍 L D _ P R E L O A D 是 L i n u x 下 的 一 个 环 境 变 量 ， 程 序 运 行 时 都 会 加 载 一 些 s o 文 件 ， 类 似 于 w i n d o w s 下 程 序 加 载 d l l ， 而 L D _ P R E L O A D 可 以 指 定 程 序 运 行 前 加 载 的 动 态 连 接 库 。 测 试 前 先 按 如 下 配 置 一 下 s u d o e r s 文 件 ， 以 a a a 用 户 为 例 ， 添 加 一 个 f i n d 命 令 和 一 个 L D _ P R E L O A D 。 a a a         A L L = ( A L L : A L L )   N O P A S S W D : / u s r / b i n / f i n d D e f a u l t         e n v _ k e e p   + =   L D _ P R E L O A D
配 置 用 户 s u d o 权 限 之 前 有 记 录 过 ， 这 里 记 录 下 e n v _ k e e p 的 说 明 。 例 如 a a a 用 户 有 一 个 a a a 的 环 境 变 量 ， 当 通 过 s u 切 换 到 b b b 用 户 时 ， 再 查 看 e n v 环 境 变 量 ， a a a 就 没 有 了 ， 也 就 意 味 着 用 户 的 切 换 不 会 带 着 环 境 变 量 一 块 切 过 去 。 而 想 保 持 某 个 环 境 不 受 用 户 切 换 的 影 响 ， 那 么 可 以 在 s u d o e r s 文 件 中 设 置 e n v _ k e e p 。 提 权 测 试 提 权 测 试 切 换 回 普 通 用 户 ， 查 看 s u d o 权 限 。 我 们 有 一 个 f i n d 的 s u d o 权 ， 且 e n v _ k e e p 中 定 义 了 L D _ P R E L O A D ， 那 么 我 们 就 可 以 定 义 一 个 恶 意 的 s o 文 件 ， 然 后 s u d o 运 行 f i n d 时 指 定 L D _ P R E L O A D 来 加 载 我 们 自 己 的 s o 文 件 ， 就 可 以 实 现 提 权 。 s o 文 件 的 c 代 码 如 下 。 然 后 进 行 编 译 - f P I C   - s h a r e d 参 数 简 单 理 解 就 是 动 态 编 辑 共 享 库 ， 可 以 进 行 公 共 调 用 ， n o s t a r t f i l e s 参 数 代 表 该 库 运 行 不 会 去 调 用 系 统 的 其 它 库 ， 避 免 影 响 自 己 的 程 序 执 行 。 编 译 后 我 们 使 用 s u d o 运 行 f i n d 并 指 定 L D _ P R E L O A D 为 我 们 编 译 的 s h e l l . s o 文 件 ， 这 时 f i n d 就 会 先 调 用 s h e l l . s o ， 导 致 我 们 的 代 码 被 执 行 ， 返 回 的 权 限 为 r o o t 。 # i n c l u d e   < s t d i o . h > # i n c l u d e   < s y s / t y p e s . h > # i n c l u d e   < s t d l i b . h > v o i d   _ i n i t ( )   {                   u n s e t e n v ( " L D _ P R E L O A D " ) ;                 s e t g i d ( 0 ) ;                 s e t u i d ( 0 ) ;                 s y s t e m ( " / b i n / s h " ) ; }
注 意 点 ： 如 果 使 用 自 己 攻 击 机 编 译 的 s o 文 件 ， 传 到 目 标 机 可 能 普 通 用 户 没 有 执 行 权 限 ， 这 时 需 要 加 下 权 限 。 如 果 目 标 机 支 持 g c c 编 译 ， 也 可 以 直 接 在 目 标 机 编 译 。 总 结 总 结 使 用 情 况 就 是 s u d o e r s 中 的 e n v _ k e e p 定 义 了 L D _ P R E L O A D ， 然 后 s u d o 有 相 关 的 命 令 ， 那 么 s u d o 运 行 命 令 时 就 可 以 通 过 L D _ P R E L O A D 来 指 定 恶 意 s o 文 件 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理