搜索

[12850] 2018-06-20_在Linux中使用环境变量进行提权

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2018-06-20_在Linux中使用环境变量进行提权 在 L i n u x 中 使 用 环 境 变 量 进 行 提 权 s e c i s t   F r e e B u f   2 0 1 8 - 0 6 - 2 0 在 这 篇 文 章 中 ， 我 将 会 为 大 家 介 绍 一 些 使 用 环 境 变 量 进 行 在 这 篇 文 章 中 ， 我 将 会 为 大 家 介 绍 一 些 使 用 环 境 变 量 进 行 L i n u x 提 权 的 方 法 ， 包 括 在 提 权 的 方 法 ， 包 括 在 C T F   c h a l l e n g e s 中 使 用 到 中 使 用 到 一 些 的 技 术 。 话 不 多 说 ， 让 我 们 进 入 正 题 ！ 一 些 的 技 术 。 话 不 多 说 ， 让 我 们 进 入 正 题 ！ 介 绍 介 绍 P A T H 是 L i n u x 和 类 U n i x 操 作 系 统 中 的 环 境 变 量 ， 它 指 定 存 储 可 执 行 程 序 的 所 有 b i n 和 s b i n 目 录 。 当 用 户 在 终 端 上 执 行 任 何 命 令 时 ， 它 会 通 过 P A T H 变 量 来 响 应 用 户 执 行 的 命 令 ， 并 向 s h e l l 发 送 请 求 以 搜 索 可 执 行 文 件 。 超 级 用 户 通 常 还 具 有 / s b i n 和 / u s r / s b i n 条 目 ， 以 便 于 系 统 管 理 命 令 的 执 行 。 使 用 e c h o 命 令 显 示 当 前 P A T H 环 境 变 量 ： / u s r / l o c a l / b i n : / u s r / b i n : / b i n : / u s r / l o c a l / g a m e s : / u s r / g a m e s 如 果 你 在 P A T H 变 量 中 看 到 ‘ . ’ ， 则 意 味 着 登 录 用 户 可 以 从 当 前 目 录 执 行 二 进 制 文 件 / 脚 本 ， 这 对 于 攻 击 者 而 言 也 是 一 个 提 权 的 绝 好 机 会 。 这 里 之 所 以 没 有 指 定 程 序 的 完 整 路 径 ， 往 往 是 因 为 编 写 程 序 时 的 疏 忽 造 成 的 。 方 法 方 法 1 U b u n t u   L A B   S E T _ U P 当 前 ， 我 们 位 于 / h o m e / r a j 目 录 ， 我 们 将 在 其 中 创 建 一 个 名 为 / s c r i p t 的 新 目 录 。 在 s c r i p t 目 录 下 ， 我 们 将 编 写 一 个 小 型 的 c 程 序 来 调 用 系 统 二 进 制 文 件 的 函 数 。 正 如 你 在 d e m o . c 文 件 中 看 到 的 ， 我 们 正 在 调 用 p s 命 令 。 e c h o   $ P A T H p w d m k d i r   s c r i p t c d   / s c r i p t n a n o   d e m o . c
然 后 使 用 g c c 编 译 d e m o . c 文 件 ， 并 提 升 编 译 文 件 的 S U I D 权 限 。 受 害 者 受 害 者 V M 机 器 机 器 假 设 我 们 已 经 成 功 渗 透 目 标 ， 并 进 入 提 权 阶 段 。 我 们 通 过 s s h 成 功 登 录 到 了 受 害 者 的 机 器 。 然 后 使 用 F i n d 命 令 ， 搜 索 具 有 S U I D 或 4 0 0 0 权 限 的 文 件 。 通 过 上 述 命 令 ， 攻 击 者 可 以 枚 举 出 目 标 系 统 上 所 有 的 可 执 行 文 件 ， 这 里 可 以 看 到 / h o m e / r a j / s c r i p t / s h e l l 具 有 S U I D 权 限 。 l s g c c   d e m o . c   - o   s h e l l c h m o d   u + s   s h e l l l s   - l a   s h e l l f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l
进 入 到 / h o m e / r a j / s c r i p t 目 录 ， 可 以 看 到 该 目 录 下 有 一 个 可 执 行 的 “ s h e l l ” 文 件 ， 我 们 运 行 这 个 文 件 。 E c h o 命 令 命 令 / h o m e / r a j / s c r i p t c d   / t m p e c h o   “ / b i n / s h ”   >   p s c h m o d   7 7 7   p s e c h o   $ P A T H e x p o r t   P A T H = / t m p : $ P A T H c d   / h o m e / r a j / s c r i p t . / s h e l l w h o a m i
C o p y 命 令 命 令 S y m l i n k 命 令 命 令 注 意 ： 符 号 链 接 也 叫 软 链 接 ， 如 果 目 录 具 有 完 全 权 限 ， 则 它 将 成 功 运 行 。 在 U b u n t u 中 s y m l i n k 情 况 下 ， 我 们 已 经 赋 予 了 / s c r i p t 目 录 7 7 7 的 权 限 。 因 此 ， 攻 击 者 可 以 操 纵 环 境 变 量 P A T H 来 进 行 提 权 ， 并 获 得 r o o t 访 问 权 限 。 方 法 方 法 2 U b u n t u   L A B   S E T _ U P 重 复 上 述 步 骤 配 置 你 的 实 验 环 境 ， 现 在 在 脚 本 目 录 中 ， 我 们 将 编 写 一 个 小 型 的 c 程 序 来 调 用 系 统 二 进 制 文 件 的 函 数 。 c d   / h o m e / r a j / s c r i p t / c p   / b i n / s h   / t m p / p s e c h o   $ P A T H e x p o r t   P A T H = / t m p : $ P A T H . / s h e l l w h o a m i l n   - s   / b i n / s h   p s e x p o r t   P A T H = . : $ P A T H . / s h e l l i d w h o a m i
正 如 你 在 d e m o . c 文 件 中 看 到 的 ， 我 们 正 在 调 用 i d 命 令 。 然 后 使 用 g c c 编 译 d e m o . c 文 件 ， 并 提 升 编 译 文 件 的 S U I D 权 限 。 受 害 者 受 害 者 V M 机 器 机 器 同 样 ， 假 设 我 们 已 经 成 功 渗 透 目 标 ， 并 进 入 提 权 阶 段 。 我 们 通 过 s s h 成 功 登 录 到 了 受 害 者 的 机 器 。 然 后 使 用 F i n d 命 令 ， 搜 索 具 有 S U I D 或 4 0 0 0 权 限 的 文 件 。 在 这 里 ， 我 们 可 以 看 到 / h o m e / r a j / s c r i p t / s h e l l 2 具 有 S U I D 权 限 。 进 入 到 / h o m e / r a j / s c r i p t 目 录 ， 可 以 看 到 该 目 录 下 有 一 个 可 执 行 的 “ s h e l l 2 ” 文 件 ， 我 们 运 行 这 个 文 件 。 p w d m k d i r   s c r i p t c d   / s c r i p t n a n o   d e m o . c l s g c c   d e m o . c   - o   s h e l l 2 c h m o d   u + s   s h e l l 2 l s   - l a   s h e l l 2 f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l c d   / h o m e / r a j / s c r i p t l s . / s h e l l 2
E c h o 命 令 命 令 c d   / t m p e c h o   “ / b i n / s h ”   >   i d c h m o d   7 7 7   i d e c h o   $ P A T H e x p o r t   P A T H = / t m p : $ P A T H c d   / h o m e / r a j / s c r i p t . / s h e l l 2 w h o a m i
方 法 方 法 3 U b u n t u   L A B   S E T _ U P 重 复 上 述 步 骤 配 置 你 的 实 验 环 境 。 正 如 你 在 d e m o . c 文 件 中 看 到 的 ， 我 们 正 在 调 用 c a t 命 令 从 e t c / p a s s w d 文 件 中 读 取 内 容 。 然 后 使 用 g c c 编 译 d e m o . c 文 件 ， 并 提 升 编 译 文 件 的 S U I D 权 限 。 受 害 者 受 害 者 V M 机 器 机 器 同 样 ， 假 设 我 们 已 经 成 功 渗 透 目 标 ， 并 进 入 提 权 阶 段 ， 通 过 执 行 以 下 命 令 查 看 s u d o 用 户 列 表 。 在 这 里 ， 我 们 可 以 看 到 / h o m e / r a j / s c r i p t / r a j 具 有 S U I D 权 限 ， 进 入 到 h o m e / r a j / s c r i p t / 目 录 ， 可 以 看 到 该 目 录 下 有 一 个 可 执 行 的 “ r a j ” 文 件 。 所 以 当 我 们 运 行 这 个 文 件 时 ， 它 会 把 e t c / p a s s w d 文 件 作 为 输 出 结 果 。 l s g c c   d e m o . c   - o   r a j c h m o d   u + s   r a j l s   - l a   r a j f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l c d   / h o m e / r a j / s c r i p t / l s . / r a j
N a n o * * 编 辑 器 编 辑 器 * * 现 在 ， 当 终 端 打 开 时 输 入 / b i n / b a s h 并 保 存 。 c d   / t m p n a n o   c a t
方 法 方 法 4 U b u n t u   L A B   S E T _ U P 重 复 上 述 步 骤 配 置 你 的 实 验 环 境 。 正 如 你 在 d e m o . c 文 件 中 看 到 的 ， 我 们 正 在 调 用 c a t 命 令 读 取 / h o m e / r a j 中 的 m s g . t x t 中 的 内 容 ， 但 / h o m e / r a j 中 并 没 有 这 样 的 文 件 。 然 后 使 用 g c c 编 译 d e m o . c 文 件 ， 并 提 升 编 译 文 件 的 S U I D 权 限 。 c h m o d   7 7 7   c a t l s   - a l   c a t e c h o   $ P A T H e x p o r t   P A T H = / t m p : $ P A T H c d   / h o m e / r a j / s c r i p t . / r a j w h o a m i l s g c c   d e m o . c   - o   i g n i t e c h m o d   u + s   i g n i t e l s   - l a   i g n i t e
受 害 者 受 害 者 V M 机 器 机 器 同 样 ， 假 设 我 们 已 经 成 功 渗 透 目 标 ， 并 进 入 提 权 阶 段 ， 通 过 执 行 以 下 命 令 查 看 s u d o 用 户 列 表 在 这 里 ， 我 们 可 以 看 到 / h o m e / r a j / s c r i p t / i g n i t e 具 有 S U I D 权 限 ， 进 入 到 / h o m e / r a j / s c r i p t 目 录 ， 可 以 看 到 该 目 录 下 有 一 个 可 执 行 的 “ i g n i t e ” 文 件 。 所 以 当 我 们 运 行 这 个 文 件 时 ， 它 会 报 错 “ c a t :   / h o m e / r a j / m s g . t x t ” 文 件 或 目 录 不 存 在 。 V i 编 辑 器 编 辑 器 现 在 ， 当 终 端 打 开 时 输 入 / b i n / b a s h 并 保 存 。 f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l c d   / h o m e / r a j / s c r i p t l s . / i g n i t e c d   / t m p v i   c a t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理