vulnhub Linux提权靶机 | escalate_linux_1

type

status

date

slug

summary

信息收集

扫描存活

访问 192.168.192.144 为 apache ubuntu 的默认页面，与靶机介绍相符合

目录扫描发现 shell.php

端口扫描发现

获取低权限

命令执行，并发现出网

反弹个shell

权限提升 (1)

PEASS-ng 信息收集

跑一下 https://github.com/carlospolop/PEASS-ng

sudo 1.8.21p2

CVE-2021-4034

mysql root/root 密码已知可尝试提权，但数据库是mysql用户启动

user3和user7 在 root 组

rw-r–r– 1 root root 423 Jun 4 2019 /etc/exports /home/user5 *(rw,no_root_squash)

当前用户可写文件

/home/user3/.script.sh

0x01 suid提权

suid文件查找

结果

直接运行 /home/user3/shell 提示

切换至 /home/user3 目录在执行即可提权至root

0x02 滥用root权限 + 环境变量提权

运行 /home/user5/script，看着像是 ls 命令的功能，通过Ghidra反编译一下，在Symbol Tree窗口，打开 Exports 项，一般入口函数是 main 或者 entry，原来 script 程序是通过root权限执行ls命令

但这里没有指定绝对路径，也就是说系统通过环境变量去获取的执行路径，只要我们新建一个ls脚本，把环境路径优先检索我们设置的目录，就可以执行我们想执行的操作了。

0x03 CVE-2021-4034 (pkexec) 提权

这个漏洞影响范围挺广的

0x04 NFS提权

发现没有限制root权限用户的远程访问

先远程挂在到本地

mac下但返回权限不足

然后 linux下通过 root 权限执行

我们切换到目录下新建一个C文件

内容如下（即以root权限执行 /bin/bash）

编译，并赋予 suid 权限

然后到需要提权的机器上执行这个文件即可

0x05 MSF 提权

先上线 msf

攻击机

msfconsole

受害者

攻击机 msfconsole

mac 下不知为啥一个都没，kali 正常

利用，这里只成功利用了 exploit/linux/local/sudo_baron_samedit（target 5 是可以的，target 4 不行，其他没试）

脏牛提权（失败）

GitHub - firefart/dirtycow: Dirty Cow exploit - CVE-2016-5195

Dirty Cow exploit - CVE-2016-5195. Contribute to firefart/dirtycow development by creating an account on GitHub.

https://github.com/FireFart/dirtycow

试了两次，用户都没有创建成功

权限维持

用户密码爆破

各个用户哈希

通过 john 去爆破

root 密码爆破出来了，其他爆不出来

权限提升 (2)

到这里，能通过 webshell 直接去提权的方式已经用的差不多了，有其他方式欢迎大佬们补充～

0x06 mysql 信息泄漏

通过 PEASS-ng 发现 mysql 密码为 root，连进去发现 user库user_info表存着mysql的密码

通过 /etc/passwd 得知mysql用户是可登陆的，猜测这个密码是mysql用户的登录密码

查找一下该用户的所属文件

发现 /var/mysql 目录下有点有意思的文件，特别是这个

给一下权限

发现了类似其他用户的密码，尝试切换可成

另外一个敏感文件 /etc/mysql/secret.cnf 发现 root 密码，不过 root 密码不是 12345 嘛..

0x07 crontab 提权

登陆至 user4

查看定时任务发现每隔5分钟以root权限执行 /home/user4/Desktop/autoscript.sh 脚本

更改 autoscript.sh 为（这里直接 bash -i 反弹会提示 fd 不存在， nc -e 提示没有 -e 参数）

过5分钟即会反弹一个root的shell回来

0x08 sudoers 提权 1

user8，运行

发现可以免密通过 vi 命令执行root权限操作

随便 vi 一个文件

0x09 root组用户提权至root

登陆至 user7

查看 /etc/passwd 文件权限发现同组可写

先备份一下 cp /etc/passwd . 然后写入一个 root 用户 id 等信息至 /etc/passwd 然后切换即可

user4 也是属于 root 组的，也可以这样做

sudoer 提权 2

登陆user2

发现可接管 user1 用户，这个用户在没在 mysql 泄漏的密码中

切换后继续看特权命令 sudo -l

可直接提权至 root

总结

至此，所有用户的提权方式已经覆盖的完了，靶机简介说是有 12+ 种提权方式，不过我这里不重复的提权方式是9种。

发现靶机刚好是用 apache，顺便补充一种 sudo 滥用下的 apache 任意文件查看[4]

这个靶机没安装这个模块，所以返回 AH00534: apache2: Configuration error: No MPM loaded.

整体来看，Linux 提权相关的还是挺全了，还不错的靶机。

参考

[1] https://ethicalhackingguru.com/escalate_linux-walkthrough/

[2] https://my.oschina.net/u/4196756/blog/4645765

[3] https://blog.katastros.com/a?ID=01600-b3c56dca-ab08-47e3-86f9-98b83a76d366

[4] https://www.freebuf.com/articles/system/251884.html