搜索

[18409] 2021-08-15_Linux提权总结

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-08-15_Linux提权总结 L i n u x   提 权 总 结 C o n s T 2 7   H A C K 之 道   2 0 2 1 - 0 8 - 1 5 收 录 于 话 题 # 提 权   , 2 # l i n u x 提 权   , 1 一 一 .   s u d o   和 和   s u i d   提 权 提 权 1 .   何 为 何 为 s u i d 可 见 在 权 限 位 置 有 一 个 s 权 限 。 那 么 这 个 s 的 作 用 是 什 么 呢 ？ 答 案 是 当 其 他 用 户 执 行 该 文 件 时 ， 该 文 件 会 以 r o o t 的 身 份 执 行 。 这 里 就 涉 及 到 了 E f f e c t i v e   U I D 和 R e a l   U I D 以 及 S a v e d   U I D E f f e c t i v e   U I D :   程 序 实 际 操 作 时 生 效 的 U I D R e a l   U I D :   执 行 该 程 序 的 用 户 的 实 际 U I D S a v e d   U I D :   在 高 权 限 用 户 降 权 后 ， 保 留 的 其 原 本 U I D   ( 不 展 开 说 ) 所 以 增 加 了 一 个 s 权 限 ， 该 程 序 在 实 际 运 行 时 E f f e c t i v e   U I D 就 会 变 为 0 ， 即 r o o t 的 U I D 2 .   s u d o 就 是 能 把 一 个 命 令 视 作 r o o t 来 执 行 , 用 s u d o - l 查 看 可 以 被 s u d o 的 命 令 3 .   S U I D 与 与 s u d o 提 权 提 权 遍 历 目 录 中 的 遍 历 目 录 中 的 s u i d 文 件 文 件 f i n d   /   - p e r m   - u = s   2 > / d e v / n u l l 执 行 该 命 令 ， 会 得 到 所 有 s u i d 文 件
用 用 s u d o   - l   查 看 哪 些 命 令 能 被 查 看 哪 些 命 令 能 被 s u d o 可 利 用 于 提 权 的 命 令 可 利 用 于 提 权 的 命 令 n m a p n m a p   - - i n t e r a c t i v e 使 用 n m a p 的 u d p 或 t c p   s y n 扫 描 时 ， 需 要 用 到 r o o t 权 限 ， 所 以 有 些 管 理 员 图 方 便 会 直 接 给 n a m p 上 s 权 限 ， 而 n m a p   5 . 2 0 ( 使 用 n m a p   - v 查 看 n m a p 版 本 ) 之 前 有 一 个 i n t e r a c t i v e 交 互 模 式 ( n m a p   – i n t e r a c t i v e ) ， 在 n m a p   e f f e c t i v e   u i d 为 0 时 ， 可 以 通 过 这 个 模 式 获 得 r o o t 权 限 交 互 式 命 令 行 ， 成 功 提 权 e c h o   " o s . e x e c u t e ( ' / b i n / b a s h ' ) "   >   . / s h e l l n m a p   - - s c r i p t = s h e l l 全 版 本 通 杀 提 权 ， 利 用 n m a p 可 以 执 行 指 定 文 件 的 特 点 提 权 f i n d f i n d   /   - e x e c   c o m m a n d
f i n d 命 令 自 带 - e x e c 参 数 ， 可 以 执 行 命 令 ， 若 f i n d 有 s u i d 权 限 ， 那 么 使 用 e x e c 相 当 于 直 接 提 权 到 r o o t . 读 文 件   f i n d   / p a t h   - e x e c   { }   ; v i m v i m 有 了 s u i d 就 可 以 任 意 文 件 读 取 了 同 时 也 可 以 输 入   : s h e l l 来 获 取 r o o t   s h e l l b a s h b a s h   - p     开 启 一 个 新 s h e l l ， s u i d 的 话 自 然 是 开 启 r o o t   s h e l l l e s s ， ， m o r e 和 v i m 差 不 多 ， 任 意 文 件 读 取 ， 同 时 也 可 以 输 入   ! c o m m a n d   进 行 提 权 到 r o o t e x i m e x i m 在 特 定 版 本 下 会 有 s u i d 提 权
下 载 e x p 打 就 完 事 了 二 二 .   r b a s h   绕 过 绕 过 1 .   何 为 何 为 r b a s h r b a s h ， 是 出 于 安 全 性 考 虑 的 一 个 功 能 受 限 的 b a s h ， 我 在 v u l n h u b   d c - 2 首 次 接 触 , 他 的 限 制 性 可 能 会 有 如 下 . c d   切 换 目 录 含 有 斜 杠     的 命 令 ,   譬 如   设 置   P A T H   E N V   等 环 境 变 量 使 用       进 行 重 定 向 b i n a r y   的 运 行 .   通 常   r o o t   用 户 会 手 动 创 建     的 软 链 接 ,   限 制 性 地 提 供 部 分   b i n a r y _ f i l e   给   r b a s h _ u s e r   使 用   在   b a s h   下   ,   可 以 获 取 当 前 环 境 是 否 是   r b a s h . 2 .   b y p a s s s c p   b y p a s s 我 在 h t t p : / / w w w . c o n s t 2 7 . c o m / 2 0 2 0 / 0 7 / 0 2 / v u l n h u b - d c - 2 / 就 是 用 s c p 绕 的 / / b i n / s h > < / b i n / b i n a r y _ f i l e   - >   / h o m e / r b a s h _ u s e r / b i n / b i n a r y _ f i l e e c h o   $ S H E L L
3 .   进 入 命 令 自 带 进 入 命 令 自 带 s h e l l   b y p a s s m a n , g i t   c o n f i g   h e l p , m o r e , l e s s , v i m , v i , f t p , g d b 等 命 令 都 有 自 己 的 s h e l l ， 我 们 只 需 在 他 们 各 自 的 s h e l l 中 执 行 / b i n / s h 即 可 一 般 都 是 在 s h e l l 键 入 ! / b i n / s h 来 b y p a s s   r b a s h 下 面 这 种 方 法 也 是 可 行 的 （ 似 乎 仅 v i m ) : s e t   s h e l l = / b i n / b a s h : s h e l l 执 行 上 面 两 个 语 句 ， 就 b y p a s s 了 4   f i n d   b y p a s s s 简 单 概 括 就 是 - e x e c 执 行 一 下 / b i n / b a s h   … 5   编 程 语 言 编 程 语 言   b y p a s s
p y t h o n 如 果 p y t h o n 都 可 以 用 的 话 ， 那 就 更 轻 松 了 ， o s 安 排 一 下 似 乎 p t y 也 行 ? 没 试 p y t h o n   - c   " i m p o r t   o s ; o s . s y s t e m ( ' / b i n / b a s h ' ) " p h p p h p   - a   进 入 p h p   s h e l l 然 后 执 行 命 令 : e x e c ( " / b i n / b a s h " ) ; p e r l p e r l   - e   ' e x e c   " / b i n / s h " ; ' r u b y r u b y   - e   ' e x e c   " / b i n / b a s h " ' 6 .   c p   b y p a s s 直 接 用 c p 把 / u s r / b i n 里 的 命 令 复 制 过 来 就 行 了 7 .   直 接 更 改 直 接 更 改 P A T H / S H E L L 变 量 变 量 键 入 e x p o r t   - p   查 看 该 用 户 的 变 量
如 果 这 俩 变 量 有 w 权 ， 那 么 我 们 可 以 直 接 写 入 来 b y p a s s 8 .   s s h   b y p a s s 原 理 是 通 过 s s h 链 接 当 前 I P 的 当 前 用 户 并 启 动 / b i n / b a s h s s h   u s e r n a m e @ I p   - t   " / b i n / b a s h " 三 三 .   内 核 提 权 内 核 提 权 用   u a n m e   - a   查 明 内 核 版 本 然 后 找 e x p 打 就 完 事 了 ， 内 核 提 权 的 内 容 有 点 底 层 ， 暂 时 不 用 深 入 了 解 四 四 .   p a s s w d 和 和 s h a d o w 1 .   明 文 密 码 明 文 密 码 / e t c / p a s s w d   默 认 所 有 用 户 可 读 ， 但 只 有 r o o t 可 写 。 / e t c / p a s s w d 里 的 用 户 口 令 往 往 以 x 代 替 ， 其 加 密 后 的 密 码 会 存 入 / e t c / s h a d o w 里 面 ， / e t c / s h a d o w 默 认 只 有 r o o t 可 读 。 但 是 有 小 概 率 情 况 ， 明 文 密 码 就 直 接 出 现 在 / e t c / p a s s w d 了 ， 如 果 有 这 个 情 况 且 r o o t 密 码 暴 露 在 了 p a s s w d 里 ， 那 么 就 可 以 轻 而 易 举 提 权 了 2 .   p a s s w d   可 写 可 写 如 果 / e t c / p a s s w d   我 们 当 前 用 户 可 写 ， 可 以 直 接 把 r o o t 的 密 码 改 成 一 个 明 文 密 码 ， 从 而 达 到 提 权 目 的
3 .   爆 破 爆 破 s h a d o w 如 果 / e t c / s h a d o w   可 读 ， 我 们 可 以 用 h a s h c a t 或 者 j o h n 暴 力 破 解 s h a d o w 文 件 五 五 .   计 划 任 务 计 划 任 务 1 .   文 件 重 写 文 件 重 写 计 划 任 务 由 c r o n t a b 管 理 ， 非 r o o t 用 户 是 无 法 列 出 r o o t 用 户 的 计 划 任 务 的 ， 但 我 们 可 以 列 出 / e t c 的 系 统 任 务 ， 系 统 任 务 默 认 是 r o o t 权 限 运 行 的 l s   - l   / e t c / c r o n * 如 果 我 们 有 幸 有 权 限 能 更 改 其 中 一 个 任 务 指 定 的 脚 本 ， 我 们 就 可 以 往 脚 本 里 添 加 如 反 弹 s h e l l 等 指 令 ， 从 而 提 权 2 .   环 境 变 量 劫 持 环 境 变 量 劫 持 我 们 查 看 定 时 任 务 发 现 定 义 了 诸 多 环 境 变 量 ， 如 果 其 任 务 有 未 指 定 绝 对 路 径 的 指 令 ， 如 1 7   *         *   *   *       r o o t         s h e l l . s h 而 且 我 们 在 其 环 境 变 量 路 径 中 可 以 进 行 写 入 操 作 ， 那 么 我 们 可 以 通 过 写 入 环 境 变 量 的 靠 前 路 径 一 个 同 名 恶 意 文 件 从 而 导 致 环 境 变 量 劫 持 比 如 我 们 在 / s b i n   写 入 一 个   反 弹 s h e l l 功 能 的 s h e l l . s h ， 那 么 就 可 以 造 成 提 权 3 .   通 配 符 提 权 通 配 符 提 权 h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 7 2 9 6 5 . h t m l   总 结 的 太 好 了 ， 我 都 不 想 记 笔 记 了 （ 偷 懒 六 六 .   环 境 变 量 环 境 变 量 如 果 我 们 找 到 一 个 s u i d 权 限 的 程 序 ， 但 是 我 们 无 法 完 成 s u i d 提 权 ， 就 可 以 试 试 搭 配 环 境 变 量 进 行 提 权 。 这 个 提 权 方 法 的 思 想 是 ， 找 到 有 s u i d 的 ， 内 部 有 s y s t e m 函 数 调 用 未 指 定 路 径 的 命 令 的 文 件 。 同 时 用 户 有 修 改 自 己 环 境 变 量 的 权 限 ， 我 们 就 可 以 通 过 劫 持 s y s t e m 函 数 里 调 用 的 脚 本 文 件 ， 使 其 指 向 我 们 环 境 变 量 里 自 行 创 建 的 一 个 同 名 脚 本 文 件 ， 那 么 这 个 我 们 自 行 创 建 的 同 名 脚 本 文 件 就 能 以 r o o t 权 限 运 行 了 ， 如 果 这 个 脚 本 文 件 里 的 命 令 是 / b i n / b a s h ， 那 么 就 相 当 于 我 们 提 权 了 。
可 能 有 点 小 绕 ， 看 下 面 具 体 操 作 就 行 了 。 实 验 室 配 置 : 首 先 在 一 个 目 录 下 创 建 如 下 文 件 v i m   d e m o . c 然 后   g c c   d e m o . c   - o   s h e l l   将 其 编 译 为 可 执 行 文 件 然 后   c h m o d   u + s   s h e l l   为 其 增 加 s u i d 权 限 攻 击 者 视 角 : 首 先 使 用 下 列 指 令 搜 寻 s u i d 权 限 文 件 f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l 发 现 可 疑 目 标 ， 执 行 一 下 看 看 发 现 返 回 了 p s 命 令 的 结 果 ， 我 们 可 以 以 此 猜 测 这 个 文 件 内 部   有   s y s t e m ( “ p s ” ) ;   这 条 c 语 言 代 码 。 遂 可 尝 试 环 境 变 量 提 权 我 们 依 次 执 行 以 下 命 令
c d   / t m p e c h o   " / b i n / b a s h "   >   p s e x p o r t   $ P A T H = / t m p : $ P A T H                 需 要 修 改 自 身 环 境 变 量 的 权 限 ， 但 基 本 上 都 有 这 个 权 限 c h m o d   7 7 7   . / p s                                   没 这 条 命 令 会 导 致 提 权 失 败 c d   / h o m e / c o n s t 2 7 . / s h e l l                                                 提 权 成 功 七 七 .   密 码 查 找 密 码 查 找 这 个 提 权 技 术 说 白 了 ， 就 是 去 到 处 翻 密 码 文 件 内 查 找 文 件 内 查 找 g r e p   - - c o l o r = a u t o   - r n w   ' / '   - i e   " P A S S W O R D "   - - c o l o r = a l w a y s   2 >   / d e v / n u l l f i n d   .   - t y p e   f   - e x e c   g r e p   - i   - I   " P A S S W O R D "   { }   / d e v / n u l l   ; 我 们 可 以 通 过 以 上 命 令 ， 指 定 关 键 字 ， 在 所 有 文 件 中 搜 索 内 容 中 有 关 键 字 的 文 件 。 查 找 十 分 钟 内 更 改 过 的 文 件 查 找 十 分 钟 内 更 改 过 的 文 件 f i n d   /   - m m i n   - 1 0   2 > / d e v / n u l l   |   g r e p   - E v   " ^ / p r o c "     ( 不 显 示 ^ / p r o c 文 件 或 文 件 夹 ) 八 八 .   c a p a b i l i t i e s c a p a b i l i t i e s   是 l i n u x 2 . 2 后 出 现 的 产 物 ， 它 的 出 现 一 定 程 度 上 弥 补 了 s u i d 这 种 粗 糙 的 权 限 管 理 机 制 ， 但 是 c a p a b i l i t i e s   自 身 也 有 造 成 提 权 的 安 全 隐 患 1 .   简 介 简 介 c a p a b i l i t i e s   把 r o o t 的 权 限 细 分 了 ， 可 以 分 别 启 用 或 者 禁 用 。 在 进 行 特 权 操 作 的 时 候 ， 如 果 e u i d 不 是 r o o t ， 那 么 系 统 就 会 检 查 是 否 具 有 执 行 特 权 操 作 的 对 应 c a p a b i l i t i e s   ， 并 以 此 为 凭 据 决 定
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理