Linux利用系统漏洞提权

拿到一个低权限shell，用系第一件事就是统漏看内核版本。这不是洞提什么高深技巧，纯粹是用系碰运气——很多管理员懒得打补丁，内核一老，统漏漏洞就躺在那里等人捡。洞提我见过最离谱的用系一次，目标机器跑着3.10.0的统漏CentOS，DirtyCow直接一击即中，洞提三分钟拿到root。用系那种感觉像用万能钥匙开了扇没锁的统漏门，反而有点空虚。洞提

提权思路其实分两条路：内核漏洞和配置疏漏。用系内核漏洞是统漏硬碰硬，打补丁前的洞提老洞基本是公开情报，比如CVE-2016-5195、CVE-2021-3493这类，网上PoC一堆。但别傻乎乎直接编译跑，先看目标有没有gcc，没有就传静态编译的二进制。有一次我传了个带依赖的动态链接程序，对面环境缺库，直接报错，白白暴露了行为日志。

配置疏漏就更有意思了。系统管理员犯的错，往往比内核漏洞更蠢也更致命。比如sudo配置里给某用户留了`(ALL) NOPASSWD: /usr/bin/find`——这等于把钥匙挂在门口，find命令有个`-exec`参数能直接执行系统命令，一条`sudo find . -exec /bin/bash \;`就完事。还有cron脚本以root权限跑，但脚本所在目录全世界可写，那就替换脚本内容，等下次执行就自动提权。这类问题不靠技术，靠眼力，看文件权限、看环境变量、看历史命令，总能翻出点东西。

说个真实案例。去年渗透测试，遇到一台Ubuntu 18.04服务器，拿到的www-data权限弱得可怜，连家目录都进不去。查内核版本，4.15.0-20-generic，有CVE-2018-18955的漏洞——这个洞利用user namespace的映射错误，能把普通用户映射成root。但编译环境是坏的，没有make，gcc版本也不对。折腾半天，突然想起检查sudo -l，结果发现www-data能无密码执行`/usr/bin/python3`。python3有`-c`参数，直接`sudo python3 -c 'import os; os.system("/bin/bash")'`，秒变root。管理员把python3放进sudo白名单，比不设密码还离谱。

提权成功后别急着欢呼。第一件事是清理痕迹，history、/var/log/auth.log、bashrc里的记录都得抹掉。但更该做的是复盘：为什么能提权？是内核未打补丁，还是配置失误？大多数情况下是后者。管理者对系统更新不上心，对最小权限原则理解停留在纸面上，把运维便利放在安全前面。这些习惯在生产环境里到处都是，比任何0day都危险。

最后说句掏心窝的话：提权不是炫技，是理解系统信任模型的边界。你拿到root那一刻，看到的东西往往让人失望——数据库密码明文存在配置文件里，备份脚本挂在NFS共享上，管理员把私钥放在/home/backup下。漏洞只是入口，真正的宝藏是人性的懒惰和疏忽。