搜索

[18525] 2020-08-04_Linux本地提权漏洞复现与检测思路

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2020-08-04_Linux本地提权漏洞复现与检测思路 L i n u x 本 地 提 权 漏 洞 复 现 与 检 测 思 路 原 创   z g a o   H A C K 学 习 呀   2 0 2 0 - 0 8 - 0 4 我 做 的 是 l i n u x 本 地 提 权 漏 洞 的 复 现 。 但 本 地 提 权 漏 洞 并 不 像 其 他 w e b 漏 洞 一 样 ， 可 以 直 接 p u l l 一 个 d o c k e r 镜 像 就 o k 了 ， 提 权 的 洞 复 杂 在 于 配 置 环 境 ， 基 本 都 是 在 虚 拟 机 里 复 现 ， 一 个 镜 像 的 大 小 基 本 都 是 上 G 的 ， 镜 像 安 装 时 间 又 长 ， 每 个 洞 要 求 的 k e r n n e l 版 本 号 又 不 同 ， 依 赖 的 库 也 不 一 样 。 环 境 装 好 了 ， 漏 洞 的 e x p 还 不 一 定 能 打 成 功 ， 我 太 难 了 所 以 这 周 各 种 踩 坑 之 后 ， 将 我 复 现 漏 洞 的 一 些 经 验 写 下 来 ， 或 许 对 大 家 复 现 本 地 提 权 漏 洞 有 些 帮 助 ，   以 及 在 实 战 中 确 实 可 以 拿 着 直 接 用 的 e x p 。 首 先 分 享 一 下 我 复 现 成 功 的 本 地 提 取 漏 洞 以 及 截 图 ， 我 花 费 了 大 量 的 时 间 来 做 这 件 事 ， 这 些 都 是 质 量 较 高 且 实 际 可 用 的 。 C V E - 2 0 1 5 - 1 3 2 8 存 在 于 U b u n t u   1 2 . 0 4 、 1 4 . 0 4 、 1 4 . 1 0 、 1 5 . 0 4 版 本 中 我 复 现 该 漏 洞 所 使 用 镜 像 为   U b u n t u   1 2 . 0 4 . 5   L T S   ( G N U / L i n u x   3 . 1 3 . 0 - 3 2 - g e n e r i c   x 8 6 _ 6 4 ) e x p : h t t p s : / / g i t h u b . c o m / z g a o 2 6 4 / l i n u x - k e r n e l - e x p l o i t s / t r e e / m a s t e r / 2 0 1 5 / C V E - 2 0 1 5 - 1 3 2 8 C V E - 2 0 1 6 - 5 1 9 5 （ 脏 牛 ） L i n u x   K e r n e l   > 2 . 6 . 2 2 每 个 l i n u x 发 行 版 修 复 的 版 本 不 同
e x p : h t t p s : / / g i t h u b . c o m / F i r e F a r t / d i r t y c o w C V E - 2 0 1 7 - 1 6 9 9 5 L i n u x   k e r n e l   v e r s i o n s   4 . 4   ~   4 . 1 4 U b u n t u 版 本 ： 1 6 . 0 4 . 0 1 ~   1 6 . 0 4 . 0 4 e x p : h t t p s : / / g i t h u b . c o m / R e a l B e a r c a t / C V E - 2 0 1 7 - 1 6 9 9 5 C V E - 2 0 1 8 - 1 8 9 5 5 L i n u x   k e r n e l   4 . 1 5 . x   t h r o u g h   4 . 1 9 . x   b e f o r e   4 . 1 9 . 2
s u d o   a p t - g e t   i n s t a l l   u i d m a p e x p : h t t p s : / / g i t h u b . c o m / b c o l e s / k e r n e l - e x p l o i t s / t r e e / m a s t e r / C V E - 2 0 1 8 - 1 8 9 5 5 C V E - 2 0 1 8 - 1 0 0 0 0 0 1 （ g l i b c ） g l i b c   < =   2 . 2 6 复 现 所 使 用 镜 像 为   U b u n t u   1 6 . 0 4 . 3   L T S e x p :
h t t p s : / / g i t h u b . c o m / 0 x 0 0 - 0 x 0 0 / C V E - 2 0 1 8 - 1 0 0 0 0 0 1 C V E - 2 0 1 9 - 1 3 2 7 2 L i n u x   K e r n e l   4 . 1 0   <   5 . 1 . 1 7 该 漏 洞 依 赖 桌 面 环 境   （ 略 显 鸡 肋 ） e x p : h t t p s : / / g i t h u b . c o m / j a s 5 0 2 n / C V E - 2 0 1 9 - 1 3 2 7 2 上 面 是 我 成 功 复 现 的 6 个 洞 ， 只 要 环 境 配 置 对 了 就 能 直 接 提 权 成 功 的 那 种 。 当 然 还 有 些 能 够 提 权 的 成 功 的 洞 比 如   C V E - 2 0 1 6 - 0 7 2 8   ， 但 我 感 觉 实 在 太 鸡 肋 了 ， 大 家 可 以 看 这 篇 文 章 分 析 的 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 8 3 3 4 2 我 在 我 虚 拟 机 执 行 这 个 e x p ， 物 理 机 c p u 都 占 满 了 ， 跑 了 半 小 时 是 真 没 跑 出 来 ， 我 裂 开 。 实 战 中 用 这 个 提 权 太 鸡 肋 了 ， 除 非 真 的 是 物 理 渗 透 。
L i n u x 本 地 提 权 漏 洞 复 现 思 路 本 地 提 权 漏 洞 复 现 思 路 - 更 换 更 换 k e r n e l 一 开 始 我 认 为 每 复 现 一 个 漏 洞 就 得 换 一 个 镜 像 ， 其 实 不 然 ， 对 于 只 对 k e r n e l 有 要 求 的 可 以 只 更 换 k e r n e l 然 后 重 启 即 可 。 因 为 U b u n t u 的 漏 洞 最 多 ， 所 以 u b u n t u 镜 像 作 为 本 地 提 权 漏 洞 复 现 的 基 础 环 境 ， 根 据 不 同 漏 洞 所 需 要 的 k e r n e l 版 本 ， 更 换 指 定 的 版 本 启 动 。 u b u n t u 历 史 镜 像 下 载 链 接 ： h t t p : / / o l d - r e l e a s e s . u b u n t u . c o m / r e l e a s e s / u b u n t u 历 史   k e r n e l   下 载 链 接 ： h t t p s : / / k e r n e l . u b u n t u . c o m / ~ k e r n e l - p p a / m a i n l i n e / 这 里 使 用 的 基 础 镜 像 为   u b u n t u   1 6 . 0 4 . 3   L T S 自 带 的 k e n n e l 版 本 号 为 4 . 4 . 0 - 8 7 - g e n e r i c 以 以 C V E - 2 0 1 8 - 1 8 9 5 5 为 例 为 例 要 求 的   L i n u x   k e r n e l   范 围 在   4 . 1 5 . x   至   4 . 1 9 . x   低 于   4 . 1 9 . 2 所 以 复 现 该 漏 洞 需 要 切 换 对 应 的   k e r n e l   版 本 号 可 以 下 载   4 . 1 6 . 1   的   k e r n e l   作 为 复 现 环 境 安 装 指 定 内 核 d p k g   - i   * . d e b
v i   / e t c / d e f a u l t / g r u b
编 辑   / e t c / d e f a u l t / g r u b   修 改 启 动 引 导 G R U B _ D E F A U L T = " A d v a n c e d   o p t i o n s   f o r   U b u n t u > U b u n t u ,   w i t h   L i n u x   4 . 1 6 . 1 - 0 4 1 6 0 1 - g e n e r i c "   u p d a t e - g r u b 然 后 重 启 生 效 ， 但 更 换 内 核 的 时 候 有 可 能 会 遇 到 提 示 W a r n i n g :   y o u   m a y   n e e d   t o   i n s t a l l   m o d u l e - i n i t - t o o l s ， 那 么 安 装 即 可 a p t   i n s t a l l   m o d u l e - i n i t - t o o l s 这 里 e x p 提 示 该 漏 洞 依 赖   n e w u i d m a p s u d o   a p t - g e t   i n s t a l l   u i d m a p 再 执 行 e x p
提 权 成 功 ！ 每 个 漏 洞 要 求 的 版 本 号 不 同 ， 可 通 过 更 换   k e r n e l   尽 可 能 减 少 复 现 漏 洞 配 置 环 境 的 时 间 。 复 现 这 些 漏 洞 最 终 的 目 的 是 为 了 总 结 本 地 提 权 有 哪 些 类 型 ， 如 何 让 牧 云 去 检 测 这 些 提 权 ， 怎 么 去 判 断 一 个 进 程 是 在 提 权 ？ 这 里 我 总 结 的 提 权 分 为 三 类 ： 条 件 竞 争 写 入 只 读 ( r ) 文 件 ， 如   脏 牛 向 内 核 注 入 代 码 提 权 ， 如   C V E - 2 0 1 7 - 1 6 9 9 5 缓 冲 区 溢 出   s u i d 提 权   ， 如   C V E - 2 0 1 8 - 1 0 0 0 0 0 1 其 中 最 为 常 见 的 就 是 s u i d 提 权 ， 像 老 版 本 的 n a m p 交 互 模 式 执 行 s h e l l 其 实 也 是 s u i d 提 权 。
但 谷 歌 之 后 发 现 网 上 对 于 l i n u x 本 地 提 权 检 测 的 文 章 少 之 又 少 ， 于 是 和 师 傅 讨 论 了 一 番 ， 因 为 l i n u x 下 一 切 皆 文 件 ， 在 / p o r c / 目 录 下 有 每 个 进 程 的 p i d ， 提 供 每 个 进 程 的 相 关 信 息 。 这 些 进 程 的 文 件 夹 大 小 都 是 0 ， 因 为 都 是 在 内 存 中 。 不 过 直 接 去 分 析 文 件 不 太 方 便 ， 这 里 为 了 更 加 直 观 就 用 h t o p 命 令 查 看 进 程 信 息 。 我 同 时 开 了 两 个 终 端 ， 上 面 执 行 e x p 提 权 ， 下 面 开 h t o p 监 控 进 程 的 变 化 ， 沿 着 这 条 进 程 链 可 以 看 到 执 行 e x p l o i t 还 是 t e s t 用 户 但 是 他 的 子 进 程 就 变 成 了 r o o t ， 而 t e s t 本 身 也 没 有 s u d o 权 限 ， 所 以 这 里 是 很 可 疑 的 。 虽 然 可 以 通 过 这 种 方 式 去 做 提 权 检 测 ， 但 是 这 里 可 能 会 存 在 误 判 ， 这 里 我 和 X X 师 傅 都 还 没 有 讨 论 出 更 好 的 方 式 ， 所 以 只 是 这 么 一 个 思 路 ， 还 需 要 讨 论 测 试 更 多 的 情 况 ， 只 能 之 后 再 做 补 充 了 。 对 于 上 面 的 提 权 漏 洞 ， 可 能 是 有 不 足 的 ， 如 果 有 小 伙 伴 还 有 什 么 高 质 量 的 提 权 漏 洞 可 以 在 下 面 留 言 ， 我 复 现 后 再 补 充 在 上 面 。 在 长 亭 实 习 的 第 二 周 ， 感 觉 进 步 很 快 ， 冲 冲 冲 ！ 知 识 点 补 充 ： 知 识 点 补 充 ： 替 换 内 核 版 本 发 生 错 误 时 ， 虚 拟 机 无 法 启 动 的 解 决 办 法 。
这 是 我 在 替 换 内 核 时 发 生 了 错 误 导 致 无 法 启 动 ， 直 接 出 现 这 个 界 面 无 法 选 择 其 他 内 核 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理