在滲透測試或者漏洞評估的過程中，提權是非常重要的一步，在這一步，黑客和安全研究人員常常通過exploit,bug,錯誤配置來提升許可權。本文的例子都是在虛擬機器裡測試的，不同的虛擬機器可以從Vulnhub下載。

實驗一：利用Linux核心漏洞提權

獲取到低許可權SHELL後我們通常做下面幾件事
1.檢測作業系統的發行版本
2.檢視核心版本
3.檢測當前使用者許可權
4.列舉Suid檔案

5.檢視已經安裝的包，程式，執行的服務，過期版本的有可能有漏洞

檢視系統發行版

檢視核心版本

每 次在提權的時候，我們都會一次又一次的測試，我們將搜尋所有可能的提權技術，並依次應用，直到成功。我們將測試不同的核心exploit,也會暴力破解賬 號。這個例子我們知道作業系統採用的是Ubuntu 14.04.4 LTS，核心版本是3.13.0-24-generic，首先我們嘗試利用overlayfs,這個exploit會工作在Ubuntu 12.04/14.04/14.10/15.04的linux核心3.19之前和3.13.0之後，我們測試一下。
我們首先移動到/tmp目錄，然後新建一個檔案，貼上exploit程式碼進去

依次執行：

cd /tmp
touch exploit.c
vim exploit.c

vim儲存推出後，我們編譯程式碼

gcc exploit.c -o exploit

chomd 777 ./exploit
./exploit

通過截圖可以看到我們已經獲取到了root許可權，接下來獲取互動式的shell

 python -c 'import pty; pty.spawn("/bin/bash")'

如果提權失敗了，我個人建議你測試幾個其他的exploit,新的核心版本也可以試試

Linux Kernel 4.3.3 (Ubuntu 14.04/15.10) – ‘overlayfs’ Local Root Exploit
https://www.exploit-db.com/exploits/39166/

Linux Kernel 4.3.3 – ‘overlayfs’ Local Privilege Escalation
https://www.exploit-db.com/exploits/39230/
最後核心提示：核心exploit提權有風險，有可能會崩潰系統。

實驗2：利用低許可權使用者目錄下可被Root許可權使用者呼叫的指令碼提權

Mr.Robot是另一個boot到root的挑戰虛擬機器，我拿這個例子來告訴你為什麼suid程式在提權的過程中是重要的，如果你以前對suid沒有了解，可以參考https://en.wikipedia.org/wiki/Setuid
我們首先檢視下當前使用者

通過截圖可以得知，當前使用者為”daemon”，我們接下來提權”daemon”到”root”
這臺Ubuntu 14.04執行linux核心3.13.0-55-generic，我嘗試已有的exploit都失敗了。

這次我們通過尋找系統裡可以用的SUID檔案來提權。執行：

 find / -perm -u=s -type f 2>/dev/null

通過截圖，我們發現nmap居然有SUID標誌位，來看看nmap版本

一個非常老的nmap版本，但是這個版本的nmap如何幫我們提權呢？
nmap支援“interactive.”選項，使用者能夠通過該選項執行shell命令，通常，安全人員會使用該命令來避免他們使用nmap命令被記錄在history檔案中

因為nmap有SUID位，所以通過“!sh”我們會獲取到一個root許可權的shell

在你的滲透過程，如果發現Nmap 3.48 有SUID位，可以按照本文的例子做下測試。

實驗3：利用環境變數劫持高許可權程式提權

PwnLad是筆者最喜歡的挑戰，一個攻擊者有幾個賬號，但是都不是root許可權。
我們當前登入的是”Kane”賬號，當前沒有有效的核心exploit，也沒有其他可以利用的suid檔案

只有在Kane的home目錄下有一個“msgmike.”檔案

使用file命令檢視下這個檔案

從截圖可以看到，這是一個ELF 32位 LSB執行檔案，但是當我們執行檔案的時候，報錯了

通過報錯資訊我們可以看到msgmike呼叫cat命令讀取/home/mike/msg.txt檔案。

針對這種情況，我們可以通過設定bash的$path環境變數來利用，通常的$PATH包含

然而當我們呼叫cat命令的時候，cat會從以上目錄來尋找，如果我們新增.到$PATH環境變數，則會先從當前目錄來尋找cat指令
新建cat,新增執行許可權

這樣當我們再次執行./msgmike命令的時候，就會觸發當前目錄下的cat(/bin/sh)，從而提權。完整的exploit如下