提权技巧

这里是Linux环境中特权升级的最常用技术：

内核突破
以root身份运行的程序
安装的软件
弱密码 /重用密码 /纯文本密码
内部服务
Suid 配置错误
滥用sudo权利
由root调用的世界可写脚本
路径配置错误
Cronjobs
卸载的文件系统
内核利用

脏牛利用

此漏洞最初是通过HTTP 数据包捕获获得的，它利用竞争条件漏洞扩展Linux内核将任意数据写入受限制的系统文件。

竞争状况漏洞的存在是由于的“Linux的内核内存子系统处理私有只读内存映射的写时复制（COW）功能”方式的存在缺陷（Oester 2016年）。

由于存在安全隐患，脏COW漏洞被方位安全高级的研究员丹·罗森伯格宣布为“有史以来最严重的Linux的本地特权升级漏洞”（古丁2016年）罗森伯格的评估源于肮脏的COW存在漏洞几乎于每一个发行的Linux，根据安全焦点，超过770的Linux版本都容易脏COW（安全焦点，2016）。总体而言，该突破已经知道存在早在2005年（托沃兹/ Linux基金会，2016）。来一直在积极利用该突破，而没有发现或缓解。

该错误自2.6.22（2007年发布）以来一直存在，并于2016年10月18日修复。

以下示例将演示攻击者如何通过编辑/ etc / passwd文件来使用DirtyCOW将“ root”用户替换为新用户“ rash”。

您可以在这里查看 dirtycow突破利用的其他变体

CVE-2017-6074（ kernel-4.4.0-21-generic）

在专有的上载了IPV6_RECVPKTINFO选项时，Linux内核的数据报拥塞控制协议（DCCP）实现释放了DCCP_PKT_REQUEST数据包的SKB（专有对象）资源的方式中发现了一个使用后使用的缺陷。本地的非特权用户可以利用此突破来更改内核内存，从而使他们能够在系统上提升特权。

CVE-2017-7308 （内核4.8.0-41-通用）

发现的Linux的内核网络实现的packet_set_ring（）函数未正确验证某些块大小的数据。具有CAP_NET_RAW的功能攻击本地者可以利用此缺陷触发缓冲区溢出，从而导致系统崩溃或特权提升。

CVE-2017-1000112 （内核4.8.0-58-通用）

在Linux内核中发现了一个可以利用的内存损坏漏洞。使用MSG_MORE选项生成UFO数据包时，可以在ip_ufo_append_data（）中将附加路径从UFO错误地切换到非UFO。如果没有特权的用户名空间可用，则可以利用此突破获取root特权。

CVE-2017-16995 （ kernel-4.10.0-28-generic）

在使用eBPF bpf（2）系统调用（CONFIG_BPF_SYSCALL）支持编译的Linux内核中发现了任意内存读写访问问题。由于用户提供的恶意 BPF程序触发了eBPF验证程序模块中的计算错误，因此可能会出现此问题。非特权用户可以使用此缺陷来升级他们在系统上的特权。设置参数“ kernel.unprivileged_bpf_disabled = 1”可通过限制对bpf（2）称为访问防止这种特权升级。

以root身份运行的程序

著名的EternalBlue和SambaCry漏洞利用了通常以根身份运行的SMB服务。只需利用一种漏洞，者攻击就可以远程执行代码和本地特权升级。由于它的致命组合，它被广泛用于在全球范围内传播勒索软件。

您应该始终检查Web服务器，邮件服务器，数据库服务器等是否以root用户身份运行。很多时候，Web管理员都以root用户身份运行这些服务，而忘记了它可能引起的安全问题。可能有一些服务在本地运行，而没有公开暴露，也可以被利用。

* $ netstat -antup * –它显示所有打开并正在侦听的端口。我们可以检查在本地运行的服务是否可以被利用。

利用以root用户身份运行的易受攻击的MySQL版本来获得root用户访问权限

MySQL UDF动态库突破利用可让您从MySQL shell执行任意命令。如果MySQL以root权限运行，则命令将以root身份执行。

* $ ps -aux | grep root * –它向我们展示了以root身份运行的服务。

* >我们可以使用将以root身份执行的MySQL Shell执行任意命令。*

已安装的软件

在这种特权升级技术中，您需要确定用户是否安装了一些可能容易受到攻击的第三方软件？检查以下这些命令，如果您发现任何内容，只需在Google上进行进行利用即可。

＃ 常见的 位置 为 用户 安装的 软件 在/ usr /本地/  在/ usr / local / src目录 的/ usr / local / bin目录 的/ opt /  /家庭 的/ var /  / usr / src目录/  ＃ class =“ mention”  href =“ / tags / debian”  data-type =“ Tag”  data-id =“ QdH39kSsAc9NrHBzR”  title =“＃debian  （search）”> Debian class =“ mention”  href =“ / tags / dpkg”  data-type =“ Tag”  data-id =“ xNqW4QwgQ2ttpKPtf”  title =“＃dpkg  （search）”> dpkg  -l  ＃ class =“ mention”  href =“ / tags / centos-8”  data-type =“ Tag”  data-id =“ g5P7sDppErcrh4cmq”  title =“＃centos  （search）”> CentOS， OpenSuse， class =“ mention”  href =“ / tags / fedora”  data-type =“ Tag”  data-id =“ HMntQpH8eYHbiAXWc”  title =“＃fedora  （搜索）”> Fedora， RHEL  rpm  -qa  （CentOS  /  openSUSE  ） ＃ class =“ mention”  href =“ / tags / openbsd”  data-type =“ Tag”  data-id =“ f9jiscu7G2HGFZPbg”  title =“＃openbsd  （search）”> OpenBSD， class =“ mention”  href =“ / tags / freebsd”  data-type =“ Tag”  data-id =“ aBTcfAATatDL4ZanW”  title =“＃freebsd  （search）”> FreeBSD  pkg_info

弱密码/重用密码/纯文本密码

检查网络服务器连接到数据库的文件（config.php或类似文件）
检查数据库以获取可能被重用的管理员密码
检查弱密码

class =“ mention”  href =“ / tags / username”  data-type =“ Tag”  data-id =“ EjNwgeaeXkotExsvj”  title =“＃username  （search）”>用户名：用户 名用户名：username1  用户名：root  用户名：admin  用户名：qwerty  用户名：class =“ mention”  href =“ / tags / password”  data-type =“ Tag”  data-id =“ WcffKpWXacDYmjCGu”  title =“＃password  （search）”>密码

4.检查明文密码

＃ 什么 有趣 的 的 邮件？
/ var / spool / mail 

./LinEnum.sh  -t  -k  密码

服务仅在内部提供

在这种情况下，用户正在运行某些只能从该主机获得的服务。您无法从外部连接到服务。它可能是开发服务器，数据库或其他任何东西。这些服务可能以root用户身份运行，或者可能其中存在漏洞。由于开发人员或用户可能会考虑“由于只有特定用户可以访问它，因此我们不需要花费那么多的安全性”，因此它们可能更加脆弱。

检查netstat连接其与您从外部进行的nmap扫描进行比较。您是否从内部找到更多可用的服务？

＃ Linux的
netstat的 -anlp 
的netstat  -ano

Suid和Guid配置错误

根据文件，设置uid和setgid有访问权限的目标允许启动初始化文件与文件的权利的所有者或组的替换文件（通常是根）的。

当运行具有suid权限的二进制文件时，并以其他用户身份运行，因此具有其他用户特权。它可以是root用户，也可以只是另一个用户。如果将suid位置设置在可以生成shell或以其他方式滥用的程序上，则可以使用它来提升特权。

例如，以下是一些可用于产生外壳的程序：

`nmap`

`vim`

`less`

`more`

如果这些程序设置了suid位，我们也可以使用它们来升级特权。有关这些内容以及如何使用的更多信息，请参见下一段有关滥用sudo-rights的内容：

`nano`

`cp`

`mv`

`find`

发现suid和guid文件

#Find  class="mention" href="/tags/suid" data-type="Tag" data-id="x6R7KDWkD4Wn7trAX" title="#SUID (search)">SUID
find / -perm -u=s -type f 2>/dev/null
 
#Find GUID
find / -perm -g=s -type f 2>/dev/null

> Nmap的SUID位置1。很多时候，管理员将SUID位设置为nmap，踩您可以有效地扫描网络，因为如果您没有以root权限运行它，则所有的nmap扫描技术都将无法使用。 *$ nmap –interactive –运行nmap交互模式* * $ ！sh –使您可以从nmap shell转到系统shell *

滥用sudo权利

如果攻击者无法通过其他任何方法直接获得根用户访问权限，他则可能会尝试损害具有SUDO访问权限的任何用户。一旦他可以访问任何须藤用户，他就可以基本上以根特权执行任何命令。

如果您的外壳程序有限，可以使用某些程序进行访问，则sudo可以升级权限。

$ sudo的-l - 打印的命令，这我们都不允许到运行的SUDO

我们可以使用SUDO运行时查找，猫和python。当使用SUDO运行时，所有这些命令都将以root用户身份运行。如果我们可以通过这些命令中的任何一条以某种方式逃脱到shell，我们将获得root访问权限。

$ sudo查找/ home -exec sh -i; –查找命令的执行参数可用于任意代码执行。

以root身份调用世界可写脚本

如果找到一个脚本，该脚本由root拥有但可以被任何人写，则可以在该脚本中添加自己的恶意代码，当该脚本以root身份运行时，该恶意代码将提升权限。它可能是cronjob的一部分，或者以其他方式实现了自动化，或者它可能由sysadmin手动运行。您还可以检查这些脚本调用的脚本。

#World可写文件目录
find / -writable -type d 2>/dev/null
find / -perm -222 -type d 2>/dev/null
查找/ -perm -ow -type d 2> / dev / null`''

＃世界重构文件夹
find / -perm -o x -type d 2>/dev/null
＃世界可写和重置文件夹
find / $ -perm -o w -perm -o x $ -type d 2>/dev/null

路径配置错误

放置**.**路径如果在路径中放置点，则无需编写立即执行它。您将能够执行当前目录中的任何脚本或二进制文件。**./binary**

人们/系统管理员为什么要这样做？因为他们很懒，不想写**./.**

这说明了它 https://hackmag.com/security/reach-the-root/ 此处 http://www.dankalia.com/tutor/01005/0100501004.htm

Cronjob

具有运行脚本的特权，其他用户可以编辑该脚本。

发现特权用户拥有但对您可写的所有内容：

crontab -l
ls -alh /var/spool/cron
ls -al /etc/ | grep cron
ls -al /etc/cron*
cat /etc/cron*
cat /etc/at.allow
cat /etc/at.deny
cat /etc/cron.allow
cat /etc/cron.deny
cat /etc/crontab
cat /etc/anacrontab
cat /var/spool/cron/crontabs/root

卸载的文件系统

在这里，我们正在寻找任何未挂载的文件系统。如果找到一个，我们将其挂载并重新开始priv-esc 进程。

mount -l
cat /etc/fstab

II.Windows权限提升

当您在计算机中遇到Meterpreter会话时，想到的第一件事就是运行“ getsystem ”，并使用多种不同的技术来尝试获取远程系统上的SYSTEM等级特权。

但是，如果失败了怎么办？

不要惊慌您仍然可以尝试一些技巧。

以下是Windows环境中特权升级的最常用技术：

Windows内核利用
访问令牌操纵
AppInit DLL
绕过用户帐户控制
可信服务路径
AlwaysInstallElevated
Windows内核利用

CVE-2018-8120

提升特权漏洞中存在的视窗时WIN32K未能组件妥善处理的对象的内存，又名“特权漏洞WIN32K提升。”这会影响在Windows Server 2008，Windows 7中的Windows 服务器2008 R2。此CVE ID在CVE-2018 -8124，CVE-2018-8164，CVE-2018-8166中是唯一的。

更多详细信息：https：//www.exploit-db.com/exploits/45653

CVE-2018-0101

微软的Windows Vista SP2的的中管理事务中器内核的模式驱动程序，在Windows Server 2008 SP2和R2，Windows 7的SP1; Windows 8.1中，Windows Server 2012中黄金和R2的Windows RT 8.1; Windows 10 Gold，1511和1607；Windows Server 2016和Windows Server 2016允许本地用户通过精心设计的应用程序（也称为“ Windows特权提升突破”）获得特权。

更多详细信息：https：//www.exploit-db.com/exploits/44479

CVE-2018-8497

Windows内核处理内存中对象的方式中存在一个特权提升扩展，也称为“ Windows内核特权提升漏洞”。这会影响Windows Server 2016，Windows 10，Windows Server 2019，Windows 10服务器。

访问令牌操纵

Windows使用访问令牌来确定正在运行的进程的所有权。用户可以操纵访问令牌以使正在运行的进程看起来像它属于启动该进程的用户以外的其他人。发生这种情况时，该过程还例如，Microsoft提倡使用访问令牌作为安全性最佳实践。管理员应以标准用户身份登录，但要使用内置访问令牌操作命令以管理员特权运行其工具。runas

有关更多详细信息：https：//attack.mitre.org/techniques/T1134/

AppInit DLL

在注册表项的AppInit_DLLs值中指定的动态链接库（DLL），HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows或HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows由user32.dll加载到每个加载user32.dll的进程中的动态链接库（DLL）。实际上，这几乎是每个程序，因为user32.dll中是一个非常常见的库。与进程注入类似，通过使恶意DLL加载并在计算机上单独进程的上下文中运行，可以滥用这些值来获得持久性和特权升级。

有关更多详细信息：https：//attack.mitre.org/techniques/T1103/

绕过用户帐户控制

Windows用户帐户控制（UAC）允许程序通过提示用户进行确认来提升其特权，以在管理员级权限下执行任务。对用户的影响范围从拒绝执行高强度操作到允许用户执行操作（如果他们在本地管理员组中并预设提示）或允许他们输入管理员密码来完成操作。

有关更多详细信息：https：//attack.mitre.org/techniques/T1088/

可信服务路径

此漏洞涉及的Windows如何解释服务二进制文件路径中的空格鉴于这些服务通常作为系统运行，因此如果我们可以利用此行为，就有。机会提升我们的特权例如，考虑以下文件路径：

C：\ Program  Files \ Some  Folder \ Service.exe

对于上述文件路径中的每个空间，Windows将尝试查找并执行名称与空间前面的单词匹配的程序。该操作系统将尝试所有的可能性，整个文件路径的整个长度，直到它找到一个匹配。上面的示例，Windows将尝试按以下顺序查找和执行程序：

C：\ Program.exe
C：\ Program  Files \ Some.exe
C：\ Program  Files \ Some  Folder \ Service.exe

** Metasploit模块：** 漏洞利用/ Windows /本地/可信服务路径

更多详细信息：https：//toshellandback.com/2015/11/24/ms-priv-esc/

AlwaysInstallElevated

AlwaysInstallElevated是一项设置，它使非特权用户能够以提升的（SYSTEM）权限运行Microsoft Windows安装程序包文件（MSI）。但是，授予用户此功能是一项安全问题，因为滥用此特权太容易了。因此，必须在计算机上将两个注册表项设置为值“ 1”：

[HKEY_CURRENT_USER \ SOFTWARE \ Policies \ Microsoft \ Windows \ Installer]
“ AlwaysInstallElevated” = dword：00000001 
[HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Microsoft \ Windows \ Installer]
“ AlwaysInstallElevated” = dword：00000001

来源：https：//pentest.blog/wp-content/uploads/alwaysinstallelevated.png

Metasploit模块： 漏洞利用/ Windows /本地/ always_install_elevated

三，特权升级工具

为了使搜索弱点的过程自动化，我们可以使用其他工具：

LinEnum ： LinEnum将使我在本地Linux枚举和特权升级备忘单中记录的许多检查自动化。这是一个非常基本的shell脚本，它执行65次以上的检查，从内核信息到定位可能的升级点（包括可能有用的） SUID / GUID文件以及Sudo / rhost错误配置等等），都可以获取任何信息。