搜索

[14886] 2019-12-01_提权总结以及各种利用姿势

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2019-12-01_提权总结以及各种利用姿势 提 权 总 结 以 及 各 种 利 用 姿 势 原 创   l i k e c h u x i n   F r e e B u f   2 0 1 9 - 1 2 - 0 1 本 文 章 适 合 正 在 学 习 提 权 的 朋 友 ， 或 者 准 备 学 习 提 权 的 朋 友 ， 大 佬 就 可 以 绕 过 了 ， 写 的 比 较 基 础 。 我 也 是 一 个 小 白 ， 总 结 一 下 提 权 的 姿 势 和 利 本 文 章 适 合 正 在 学 习 提 权 的 朋 友 ， 或 者 准 备 学 习 提 权 的 朋 友 ， 大 佬 就 可 以 绕 过 了 ， 写 的 比 较 基 础 。 我 也 是 一 个 小 白 ， 总 结 一 下 提 权 的 姿 势 和 利 用 ， 也 分 享 一 些 自 己 觉 得 好 用 的 方 法 给 大 家 ， 欢 迎 大 家 帮 我 补 充 ， 有 什 么 好 用 的 提 权 的 方 法 也 可 以 分 享 一 下 ， 大 家 共 同 进 步 。 本 篇 有 自 己 的 理 用 ， 也 分 享 一 些 自 己 觉 得 好 用 的 方 法 给 大 家 ， 欢 迎 大 家 帮 我 补 充 ， 有 什 么 好 用 的 提 权 的 方 法 也 可 以 分 享 一 下 ， 大 家 共 同 进 步 。 本 篇 有 自 己 的 理 解 ， 如 果 有 什 么 不 对 的 或 者 不 好 的 地 方 希 望 大 家 不 要 喷 我 ， 但 是 欢 迎 帮 我 指 正 。 解 ， 如 果 有 什 么 不 对 的 或 者 不 好 的 地 方 希 望 大 家 不 要 喷 我 ， 但 是 欢 迎 帮 我 指 正 。 提 权 的 含 义 ： 提 权 的 含 义 ： 提 权 ， 顾 名 思 义 就 是 提 升 权 限 ， 当 我 们 g e t s h e l l 一 个 网 站 之 后 ， 大 部 分 情 况 下 我 们 的 权 限 是 非 常 低 的 （ 一 般 只 是 一 个 a p a c h e 权 限 ） 。 这 时 候 为 了 “ 扩 大 战 果 ” ， 就 需 要 利 用 提 权 ， 来 让 原 本 的 低 权 限 （ 如 只 允 许 列 目 录 ） → 高 权 限 （ 拥 有 修 改 文 件 的 能 力 ） ， 提 升 一 下 权 限 ， 有 助 于 我 们 继 续 往 下 渗 透 。 提 权 的 方 式 有 以 下 几 种 提 权 的 方 式 有 以 下 几 种 : L i n u x ： ： 本 地 提 权 数 据 库 提 权 第 三 方 软 件 提 权 W i n d o w s ： ： 本 地 提 权 数 据 库 提 权 第 三 方 软 件 提 权 是 的 你 没 看 错 ， L i n u x 跟 W i n d o w s 都 有 三 种 ， 而 且 都 是 一 样 的 ， 原 来 准 备 给 大 家 画 一 个 图 更 直 观 ， 因 为 时 间 原 因 就 没 画 ， 如 果 大 家 喜 欢 这 篇 文 章 的 话 ， 我 会 下 次 补 上 。 0 x 0 1   w i n d o w s 本 地 提 权 本 地 提 权 在 w i n d o w s 中 本 地 提 权 分 为 两 种 ， 一 种 是 本 地 服 务 提 权 ， 比 如 i i s 6   i i s 5   f t p   s m b 。 另 一 种 是 系 统 内 核 提 权 漏 洞 ， 比 如 比 较 火 的 m s 0 7 - 0 1 0 提 权 ， 4 4 5 端 口 存 在 漏 洞 ， 利 用 系 统 漏 洞 提 权 。 为 了 让 大 家 更 直 观 的 看 到 提 权 步 骤 ， 我 决 定 用 “ 啊 保 “ 的 环 境 进 行 测 试 （ 至 于 啊 保 是 谁 当 然 不 告 诉 你 们 啦 ） ， 贴 图 给 大 家 。 首 先 我 们 进 入 g e t s h e l l 的 主 机 ， 然 后 执 行 ‘ s y s t e m i n f o ’ 命 令 ， 看 一 下 这 台 主 机 的 基 本 信 息 ， 还 有 哪 些 漏 洞 没 有 修 复 。 查 找 有 哪 些 可 以 提 权 的 漏 洞 , 查 看 目 标 机 的 版 本 号 （ 比 如 这 个 主 机 是 x 6 4 的 还 是 x 8 6 的 ） , 然 后 查 找 有 哪 个 漏 洞 可 以 利 用 。
w i n d o w s 版 提 权 下 载 的 话 一 般 都 会 有 一 个 e x e 脚 本 , 下 载 这 个 e x e 程 序 , 但 是 不 一 定 会 提 权 成 功 。 所 以 我 们 要 自 己 先 搭 建 一 个 跟 目 标 机 一 样 的 环 境 先 进 行 测 试 ， 测 试 成 功 之 后 ， 再 将 程 序 放 到 目 标 机 中 进 行 提 权 。 这 里 我 就 直 接 演 示 我 测 试 好 的 脚 本 进 行 提 权 。 W i n d o w s 本 地 提 权 步 骤 ： 本 地 提 权 步 骤 ： 首 先 g e t s h e l l ， 怎 么 g e t s h e l l 我 就 不 说 了 ， 提 权 肯 定 是 要 在 g e t s h e l l 之 后 的 ， 如 果 看 到 有 数 据 库 的 话 ， 可 以 猜 到 数 据 库 账 号 密 码 的 话 那 就 不 用 g e t s h e l l 了 （ 但 是 一 般 是 猜 不 到 的 - 。 - ） ， 就 用 数 据 库 提 权 ， 数 据 库 提 权 后 面 再 说 。 把 咱 们 测 试 好 的 x 6 4 . e x e 脚 本 上 传 到 目 标 机 我 们 可 以 看 到 没 执 行 这 个 脚 本 之 前 还 不 是 s y s t e m 权 限 接 下 来 我 们 执 行 这 个 x 6 4 . e x e 脚 本 ， 也 就 是 M S 1 6 - 0 3 2 漏 洞 ， 可 以 看 到 权 限 变 成 了 s y s t e m 权 限 ， 提 权 成 功 。 但 是 要 注 意 几 点 ， 因 为 我 们 用 菜 刀 或 者 蚁 剑 连 接 之 后 执 行 命 令 不 是 交 互 式 的 s h e l l ， 至 于 什 么 是 交 互 式 的 s h e l l ， 可 以 去 百 度 一 下 。 所 以 我 们 用 脚 本 的 时 候 需 要 在 后 面 输 入 命 令 才 可 以 执 行 。 如 果 是 交 互 式 的 s h e l l 的 话 ， 比 如 用 m s f ， 就 会 弹 出 一 个 对 话 框 ， 只 要 在 这 个 对 话 框 里 执 行 命 令 ， 不 管 什 么 命 令 都 是 以 s y s t e m 权 限 执 行 。 其 他 的 脚 本 也 是 可 以 提 权 的 ， 需 要 大 家 去 挖 掘 了 。 当 然 也 可 以 用 m s f 生 成 的 脚 本 来 提 权 ， m s f 反 弹 回 来 是 交 互 式 的 s h e l l 后 面 我 们 会 说 到 。 W i n d o w s 提 权 脚 本 运 行 方 式 （ 总 结 ） ： 提 权 脚 本 运 行 方 式 （ 总 结 ） ： 1 . 直 接 执 行 e x e 程 序 ， 成 功 后 会 打 开 一 个 c m d 窗 口 ， 在 新 窗 口 中 权 限 就 是 s y s t e m 。 2 . 在 w e b s h e l l 中 执 行 e x e 程 序 ， 执 行 方 式 为 x 6 4 . e x e   w h o a m i ， 成 功 后 直 接 执 行 命 令 ， 再 修 改 命 令 内 容 ， 可 以 执 行 不 同 的 命 令 。 3 . 利 用 m s f 等 工 具 。 4 . 特 殊 的 ， c + + 源 码 ， p y t h o n 脚 本 ， p o w e r s h e l l 脚 本 。 0 x 0 2   L i n u x 本 地 提 权 本 地 提 权 L i n u x 安 装 好 系 统 后 里 面 自 带 的 软 件 或 者 内 核 存 在 的 漏 洞 ， 比 较 流 行 的 “ 脏 牛 “ 提 权 ， 也 可 以 使 用 v i m 提 权 ， s u d o 提 权 等 。 l i n u x 内 核 提 权 跟 w i n d o w s 是 一 样 的 ， 都 要 下 载 对 应 漏 洞 的 脚 本 进 行 提 权 ， 只 不 过 下 载 的 l i n u x 提 权 脚 本 需 要 编 译 一 下 才 可 以 使 用 ， 编 译 的 方 法 很 简 单 ， 后 面 再 说 。 L i n u x 本 地 提 权 步 骤 ： 本 地 提 权 步 骤 ： g e t s h e l l 之 后 一 般 是 a p a c h e 用 户 ， 然 后 进 入 命 令 栏 ， 输 入 u n a m e   - a   命 令 可 以 查 看 内 核 版 本 ， 利 用 内 核 版 本 提 权 。 我 们 还 是 用 “ 啊 保 “ 的 环 境 进 行 演 示 。 这 两 个 都 可 以 查 看 内 核 版 本 看 r e d h a t 系 列 的 系 统 版 本 ， 可 以 看 到 是 c e n t o   6 . 5 的 然 后 查 找 相 关 版 本 的 漏 洞 ， 进 行 提 权 ， 还 是 为 了 不 把 系 统 搞 崩 ， 我 们 要 安 装 相 应 版 本 的 系 统 ， 先 在 本 地 进 行 测 试 ， 以 免 把 目 标 系 统 搞 崩 （ 我 已 经 搞 崩 好 几 回 了 ， 崩 溃 ） 一 般 来 说 l i n u x 提 权 脚 本 都 是 一 个 . c 的 文 件 ， 所 以 需 要 l i n u x 里 面 有 g c c 才 可 以 进 行 编 译 ， 如 果 目 标 机 没 有 g c c ， 那 么 我 们 就 只 能 搭 建 一 个 相 同 的 环 境 ， 然 后 装 上 g c c 进 行 编 译 ， 编 译 方 法 脚 本 里 一 般 都 有 。 我 们 以 测 试 好 的 脏 牛 脚 本 为 例 ， 首 先 我 们 上 传 一 个 脏 牛 脚 本 ， 然 后 进 行 编 译 多 了 一 个 脚 本 ， 我 们 执 行 脚 本 ， 必 须 在 后 面 加 上 密 码 ， 管 理 员 跟 我 们 都 不 知 道 密 码 就 会 连 不 上 ， 然 后 系 统 崩 溃 ， 后 面 的 事 我 就 不 说 了 ， 且 行 且 珍 惜 呀 。
我 们 查 看 p a s s w d 文 件 ， 可 以 看 到 r o o t 用 户 变 成 了 f i r e f a r t ， 然 后 我 们 可 以 用 s s h 进 行 连 接 。 r o o t 就 会 变 成 我 们 的 脏 牛 ， 然 后 登 陆 这 个 用 户 ， 就 可 以 是 管 理 员 权 限 ， 记 得 一 定 要 把 脏 牛 备 份 的 文 件 移 动 到 原 来 的 地 方 ， 否 则 管 理 员 就 会 登 陆 不 上 。 0 x 0 3   数 据 库 提 权 数 据 库 提 权 M y S Q L 数 据 库 提 权 数 据 库 提 权 1 、 具 有 M y S Q L 的 r o o t 权 限 ， 且 M y S Q L 以 s y s t e m 权 限 运 行 。 2 、 具 有 执 行 S Q L 语 句 的 权 限 。 M y S Q L 数 据 库 提 权 分 为 ： 1 、 开 机 启 动 脚 本 2 、 u d f 脚 本 3 、 m o f 脚 本 4 、 计 划 任 务 我 们 主 要 介 绍 u d f 脚 本 提 权 ， 因 为 我 个 人 觉 得 这 个 数 据 库 提 权 方 法 还 是 比 较 好 用 的 ， 但 是 需 要 数 据 库 写 权 限 。 开 机 启 动 项 提 权 开 机 启 动 项 提 权 利 用 M y S Q L ， 将 后 门 写 入 开 机 启 动 项 。 同 时 因 为 是 开 机 自 启 动 ， 再 写 入 之 后 ， 需 要 重 启 目 标 服 务 器 ， 才 可 以 运 行 。 L i n u x   U D F 提 权 提 权 不 需 要 判 断 m y s q l 是 什 么 版 本 的 ， 直 接 查 看 路 径 就 行 ， 直 接 写 s o 文 件 ， l i n u x 里 面 的 文 件 是 s o 文 件 ， W i n d o w s 文 件 是 d l l 文 件 。 我 们 g e t s h e l l 之 后 进 入 终 端 输 入 w h o a m i ， 发 现 我 们 只 是 a p a c h e 用 户 权 限 我 们 找 一 下 网 站 数 据 库 的 配 置 文 件 ， 查 看 数 据 库 的 账 号 密 码 ， 可 以 看 到 账 号 r o o t 密 码 r o o t 登 陆 m y s q l 数 据 库 ， 可 以 在 M y S Q L 里 输 入 s h o w   v a r i a b l e s   l i k e   ‘ % p l u g i n % ’ ;   直 接 查 看 p l u g i n 路 径
然 后 我 们 把 s o 文 件 利 用 1 6 进 制 编 辑 工 具 进 行 编 码 ， 再 解 码 写 入 目 录 中 , 返 回 为 t r u e ， 写 入 成 功 。 写 入 之 后 ， 执 行 创 建 函 数 的 命 令 ， 就 会 创 建 一 个 s y s _ e v a l 的 函 数 ， 用 来 执 行 系 统 命 令 ， 这 个 函 数 执 行 的 系 统 命 令 全 部 都 是 s y s t e m 权 限 的 。 s y s _ e v a l 这 个 函 数 就 可 以 执 行 系 统 命 令 ， 括 号 里 输 入 系 统 命 令 即 可 W i n d o w s   U D F 提 权 ： 提 权 ：
U D F 可 以 理 解 为 M y S Q L 的 函 数 库 ， 可 以 利 用 u d f 定 义 的 创 建 函 数 。 •   想 要 利 用 u d f ， 必 须 上 传 u d f . d l l 作 为 u d f 的 执 行 库 。 •   M y S Q L 中 支 持 U D F 扩 展 ， 使 得 我 们 可 以 调 用 D L L 里 面 的 函 数 来 实 现 一 些 特 殊 的 功 能 。 首 先 导 出 D L L 文 件 ， 然 后 判 断 m y s q l 的 版 本 m y s q l 版 本 5 . 2 ， U D F 导 出 到 系 统 目 录 c : / w i n d o w s / s y s t e m 3 2 / m y s q l 版 本 5 . 2 ， U D F 导 出 到 安 装 路 径 M y S Q L L i b P l u g i n 后 面 的 方 式 跟 l i n u x   u d f 提 权 一 样 。 就 不 演 示 了 ， 方 法 跟 L i n u x   u d f 提 权 一 样 M O F 提 权 （ 只 适 用 于 提 权 （ 只 适 用 于 w i n d o w s 系 统 ， 一 般 低 版 本 系 统 才 可 以 用 ， 比 如 系 统 ， 一 般 低 版 本 系 统 才 可 以 用 ， 比 如 x p ， ， s e r v e r 2 0 0 3 ） ） 1 、 首 先 找 一 个 可 以 写 的 目 录 ， 把 我 们 的 M O F 文 件 上 传 上 去 。 2 、 执 行 以 下 s q l 语 句 ， m o f 文 件 内 的 命 令 就 会 执 行 。 我 们 把 m o f 文 件 上 传 到 C : / w m p u b / n u l l e v t . m o f ， 之 后 再 将 这 个 文 件 复 制 到 c : / w i n d o w s / s y s r t e m 3 2 / w b e m / m o f / n u l l e v t . m o f 目 录 下 将 这 段 代 码 复 制 到 m o f 后 缀 的 文 件 把 这 个 m o f 文 件 上 传 到 目 标 机 中 ， 可 以 修 改 代 码 ， 进 行 命 令 执 行 。 目 前 m o f 提 权 方 法 用 的 比 较 少 了 ， 因 为 比 较 麻 烦 ， 建 议 M y S Q L 数 据 库 提 权 还 是 用 u d f 比 较 好 。 R e d i s 提 权 提 权 1 、 开 机 启 动 脚 本 2 、 一 般 情 况 下 ， 由 于 使 用 源 码 编 译 安 全 的 ， 默 认 以 r o o t 权 限 运 行 ， 通 过 未 授 权 进 入 数 据 库 ， 可 以 写 任 意 文 件 ， 还 可 以 用 e x p 直 接 执 行 命 令 。 3 、 m o f 脚 本 4 、 计 划 任 务 5 、 s s h 公 钥 S e l e c t   l o a d   f i l e ( ‘ C : / w m p u b / n u l l e v t . m o f ’ ) i n t o d u m p f i l e ’ c : / w i n d o w s / s y s r t e m 3 2 / w b e m / m o f / n u l l e v t . m o f ’ #   p r a g m a   n a m e s p a c e ( " . r o o t s u b s c r i p t i o n " ) i n s t a n c e   o f   E v e n t F i l t e r   a s   $ E v e n t F i l t e r {   E v e n t N a m e s p a c e   = " R o o t C i m v 2 " ;   N a m e   =   " f i l t P 2 " ;   Q u e r y   =   " S e l e c t   *   F r o m   I n s t a n c e M o d i f i c a t i o n E v e n t   " " W h e r e   T a r g e t I n s t a n c e   I s a   " W i n 3 2 _ L o c a l T i m e "   " " A n d   T a r g e t I n s t a n c e . S e c o n d   =   5 " ; Q u e r y L a n g u a g e   =   " W Q L " ; } ; i n s t a n c e   o f   A c t i v e S c r i p t E v e n t C o n s u m e r   a s   $ C o n s u m e r { N a m e   =   " c o n s P C S V 2 " ; S c r i p t i n g E n g i n e   =   " J S c r i p t " ; S c r i p t T e x t   = " v a r   W S H   =   n e w A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) n W S H . r u n ( " n e t . e x e   u s e r   a d m i n   a d m i n   / a d d " ) " ; } ; i n s t a n c e   o f   _ _ F i l t e r T o C o n s u m e r B i n d i n g { C o n s u m e r   =   $ C o n s u m e r ; F i l t e r   =   $ E v e n t F i l t e r ; } ;
m s s q l 提 权 提 权 所 谓 利 用 数 据 库 进 行 提 权 ， 利 用 的 其 实 是 数 据 库 的 运 行 权 限 ， 所 以 我 们 只 要 满 足 以 下 条 件 即 可 进 行 提 权 ： 1 、 必 须 获 得 s a 的 账 号 密 码 或 者 s a 相 同 权 限 的 账 号 密 码 ， 且 m s s q l 没 有 被 降 权 。 2 、 必 须 可 以 以 某 种 方 式 执 行 s q l 语 句 ， 例 如 ： w e b s h e l l 或 者 1 4 3 3 端 口 的 连 接 。 m s s q l 数 据 库 提 权 思 路 ： 1 、 开 机 启 动 脚 本 2 、 监 听 在 1 4 3 3 端 口 ， 拿 到 m s s q l 的 s a 账 户 的 账 号 和 密 码 ， 就 可 以 执 行 命 令 ， 利 用 e x e c   x p _ c m d s h e l l w h o a m i 。 如 果 m s s q l 数 据 库 运 行 时 ， 以 管 理 员 权 限 运 行 ， 那 么 执 行 命 令 时 就 是 管 理 员 权 限 。 m s s q l 数 据 库 提 权 步 骤 ： 我 们 首 先 还 是 要 先 g e t s h e l l 或 者 找 其 他 漏 洞 ， 我 这 里 看 到 目 标 机 2 1 端 口 开 放 ， 直 接 用 f t p 连 接 ， 把 文 件 直 接 复 制 出 来 ， 获 取 到 数 据 库 的 账 号 密 码 利 用 数 据 库 连 接 工 具 连 接 ， 之 后 输 入 e x e c   x p _ c m d s h e l l   w h o a m i 命 令 ， 可 以 看 到 是 s y s t e m 权 限 0 x 0 4   第 三 方 软 件 提 权 第 三 方 软 件 提 权 L i n u x 系 统 中 有 一 个 s u i d 的 提 权 ， 如 果 一 个 文 件 有 s 权 限 ， 那 么 普 通 用 户 有 执 行 权 限 ， 如 果 普 通 用 户 执 行 这 个 文 件 ， 就 会 以 文 件 拥 有 者 的 权 限 执 行   首 先 找 有 s 权 限 的 文 件 ， 然 后 再 找 能 够 执 行 命 令 的 文 件   L i n u x 可 执 行 文 件 包 括 ： N m a p 、 v i m 、 f i n d 、 B a s h 、 M o r e 、 L e s s 、 N a n o 、 c p 这 条 命 令 就 可 以 查 询 具 有 r o o t 权 限 的 s u i d 文 件 F i n d   /   - u s e r   r o o t   - p e r m   - 4 0 0 0   - p r i n t 2 > / d e v / n u l l
我 们 用 f i n d 命 令 演 示 一 下 ， 首 先 找 到 f i n d 的 目 录 ， 可 以 用 w h e r e i s 命 令 查 找 f i n d 目 录 ， 我 们 将 f i n d 加 上 s 权 限 创 建 一 个 新 进 行 用 户 进 行 实 验 我 们 可 以 看 到 权 限 是 q q q 用 户 的 权 限 可 以 看 到 输 入 这 个 命 令 之 后 我 们 的 权 限 变 成 了 r o o t ， 成 功 提 权 提 权 到 这 就 结 束 了 ， 至 于 m s f 的 话 ， 如 果 可 以 我 下 篇 文 章 给 大 家 补 上 ， 如 果 有 写 的 不 好 的 地 方 希 望 大 家 不 要 喷 我 ， 码 字 也 挺 累 的 ， 但 是 欢 迎 大 家 来 纠 正 我 ， 共 同 学 习 进 步 ， 这 是 我 们 的 初 衷 ， 感 谢 阅 读 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： l i k e c h u x i n ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理