编辑/etc/passwd文件进行权限升级的技巧

刺骨的言语ヽ痛彻心扉 2024-04-07 10:53 94阅读 0赞

### **0x00 前言** ###

在本文中，我们将学习“修改/etc/passwd文件以创建或更改用户的root权限的各种方法”。有时，一旦目标被攻击，就必须知道如何在/etc/passwd文件中编辑自己的用户以进行权限升级，其中我们将此技巧应用于权限提升。打开下面给出的链接：

[链接1][1]:Hack the Box Challenge: Apocalyst Walkthrough

[链接2][2]:Hack the Hackday Albania VM (CTF Challenge)

### **0x01 基础知识** ###

首先，在进行提权之前，我们应该深入了解/etc/passwd文件。在etc目录中，我们将得到三个最重要的文件，即**passwd**、**group**和**shadow**。

etc/passwd：它是一个可读的文本文件，存储用户帐户的信息

etc/group：也是一个可读的文本文件，它存储组信息以及用户所属的组，可以通过该文件识别。

etc/shadow：它是一个包含加密密码的文件，任何用户的用户信息都将过期。

/passwd: 文件中的详细信息格式

![a785fe4deb87e8697347023578e65ed1.png][]

![f4e9d050b1ba370d9f474bc67733e965.png][]

**详细说明**

**Username：**第一个字段表示用于登录用户的名称

**Encrypted password：**x表示加密密码，实际存储在/shadow文件中。如果用户没有密码，则密码字段将用\*(星号)表示

**User Id (UID)：**必须为每个用户分配一个用户ID(UID)。Uid 0(零)为root用户保留，UID 1-99为进一步的预定义帐户保留，UID 100-999为管理目的由系统保留。UID 1000几乎是第一个非系统用户，通常是管理员。如果我们在Ubuntu系统上创建一个新用户，它将被赋予UID 1001

**Group Id (GID)：**表示每个用户的组；与UID一样，前100个GID通常保留以供系统使用。GID为0与root组相关，GID为1000通常表示用户。新组通常分配GID从1000开始

**Gecos Field：**通常，这是一组以逗号分隔的值，用于说明与用户相关的更多详细信息。GECOS字段的格式表示以下信息：

用户全名

地址和门牌号码或联系人

办公电话号码

家庭电话号码

任何其他联系信息

**Home Directory****：**表示用户主目录的路径，其中存储用户的所有文件和程序。如果没有指定的目录，则/将成为用户的目录

**Shell：**它表示(由用户)执行命令并显示结果的默认shell的完整路径

**注意：**每个字段用**(冒号)**分隔

### **0x02 提权技巧** ###

#### **1.默认方法添加用户** ####

让我们首先通过cat命令打开/etc/passwd文件，以查看系统中当前可用的用户

![7798aec7d652547e2d6a2ae21ad1372b.png][]

从上面给出的截图中，您可以看到“raj”是最后一个使用uid 1000的用户。这里gid 1000表示它是非系统用户。

当我们使用adduser命令添加任何用户时，让我们看看/passwd文件中实际发生了什么。因此，在这里您可以清楚地看到下面给出的信息以及截图。

**adduser user1**

Username: user1

GID: 1002

UID: 1001

Enter password: 任意密码

Home Directory: /home/user1

Gecos Filed：full Name(全名), Room Number(门牌号), Work phone(工作电话), Home Phone(家庭电话), Other

![c9a6ef43bb2ca274a7f9098144cdbee3.png][]

当您打开/passwd文件时，您会注意到上述所有信息都存储在/etc/passwd文件中

![7e2d9e462241165f65ae207b20b6e895.png][]

#### **2./etc/passwd文件中手动编辑用户** ####

一般来说，普通用户对passwd文件具有只读权限，但有时用户也可能具有读/写权限，在这种情况下，我们可以借助上述理论将自己的用户添加到/etc/passwd文件中。

user2:*:1002:1003:,,,:/home/user2:/bin/bash

**\***(**星号**)符号表示对于user2空口令。

![4b50ea65594765a58aa9177352e51f6d.png][]

因为我们已经为user2分配了GID 1003 ，所以我们也需要在/etc/group文件中对其进行处理

请遵循以下格式：

**语法：**username:x:gid

因为我们没有密码，所以在x处使用\*符号

user2:*:1003:

![31f8a868f84345d26fee868c62b801aa.png][]

现在，使用passwd命令为user2设置密码并输入密码。

passwd user2

![8c1ee50739ea84cc16a836f2c4c7f0f9.png][]

由于我们在不使用adduser命令的情况下手动创建了一个新用户user2，因此在/etc/shadow文件中找不到任何有关信息。但是它在/etc/passwd文件中，此处\*符号已被加密密码值替换。通过这种方式，我们可以创建自己的用户以进行权限提升。

![5edd488a1a3d52e36a1315183f5039ac.png][]

#### **3.OpenSSL** ####

有时无法执行passwd命令来设置用户的密码; 在这种情况下，我们可以使用OpenSSL命令，它将使用salt生成加密密码。

**OpenSSL passwd**将使用salt字符串和基于MD5的BSD密码算法1计算指定密码的哈希值

**语法：**openssl passwd-1-salt\[salt value\]password

openssl passwd -1 -salt user3 pass123

![5989fe96315e0a1dada60f75986afab4.png][]

我们将获得加密的密码，然后在终端中输入vipw命令打开/passwd文件，并手动添加用户名。按照添加新用户user3的手动步骤，在\*或X处粘贴加密值以获取密码。

在下图中，您可以看到，我已经分配了uid:0和gid:0以及主目录/root/root，因此我们为用户user3赋予了root权限。

![bf706114b878af53513ec7d835c7bf60.png][]

现在切换用户并通过user3访问终端并确认root访问权限。

su user3

whoami

YESSSSSS表示以root权限访问

注意：您还可以修改其他用户的密码，方法是将：x:替换为您自己加密的密码，然后使用您的密码登录该用户帐户

![de73d150f12d41e6a7bf8a2e1f65e874.png][]

#### **4.mkpasswd** ####

mkpasswd类似于openssl passwd，它将生成指定密码字符串的哈希值。

**语法：**mkpasswd -m \[hash type\] \{password\}

mkpasswd -m SHA-512 pass

![d9a55415d25715ec54d7fd63817d80c6.png][]

它将为您的密码字符串生成哈希值，重复上述步骤或更改其他现有用户的密码。

如果您将比较user1的信息，那么您还可以注意到不同。我们已经替换了: X: 来自我们的哈希值。

![b6b882982e70ab760ae9a1ef1f98499f.png][]

现在切换用户并通过user1访问终端并确认root访问权限

su user1
    whoami
    id

很好，成功以root权限访问

![866a29469860cd607b534469e72138e7.png][]

#### **5.Python** ####

使用python,我们可以导入crypt库，并将salt添加到我们的密码中，这将创建包含salt值的加密密码。

python -c 'import crypt; print crypt.crypt("pass", "$6$salt")'

![5e2dc42cf0ab8d5a88ad6e357e22a723.png][]

它将生成密码字符串的哈希值，重复上述步骤或更改其他现有用户的密码。如果您将比较user2的信息，那么您还可以注意到不同。我们已经从新的哈希值替换了旧的哈希值。

![d9bb29a116d6584d6556be66c1980d54.png][]

现在切换用户并通过user2访问终端并确认root访问权限。

su user2
    whoami
    id
    pwd
    sudo -l

它也能进行提权，以前它是/home/user2目录的成员，但是在成为/root目录的成员之后，您可以注意到它拥有root用户的所有特权

![07a6b376d821301db701b9512b617a56.png][]

#### **6.Perl** ####

类似地，我们可以使用Perl和crypt来使用salt值为我们的密码生成哈希值。

perl -le 'print crypt("pass123", "abc")'

![2307aaa9395c6373ee12e6c6dba7e8e8.png][]

您将获得加密的密码，然后在终端中键入vipw命令并手动添加用户名，再次打开/passwd文件。按照添加新用户user4的手动步骤，将加密值粘贴到\*或X的位置以获取密码。

在下图中，您可以看到，我分配了uid:0和gid:0以及home directory/root/root，因此我们为user4赋予了root权限

![ddd8d6ca38b58d58af2fa5fb22f98b8f.png][]

现在切换用户并通过user4访问终端并确认root访问权限。

su user4
    whoami
    id

很好，这种方法也能获取root权限。

![81d22d9fbc5dba7b8ed4616c61232cb4.png][]

#### **7.PHP** ####

同样，我们可以使用PHP和crypt来使用salt值为我们的密码生成哈希值。

php  \- r  "print(crypt('aarti','123') . \\"\\n\\");"

![244424744e793f88c3d44fdb5f8c1800.png][]

您将获得加密的密码，然后在终端中键入vipw命令打开/passwd文件，并手动添加用户名。按照添加新用户user5的手动步骤，并将加密值粘贴到密码字段中。

在下图中，您可以看到，我分配了uid:0和gid:0以及home directory/root/root，因此我们为user5授予了root权限

![e305ef3969f0ad9a0295bad88c13e0f7.png][]

现在切换用户并通过user5访问终端并确认root访问权限。

su user5
    whoami
    id

因此，有很多方法可以为您自己的用户添加root访问权限，这对于在任何主机中获得root权限非常有帮助。

![b86de0e3cbbba89ae0ef02d9350a3290.png][]

[1]: https://www.hackingarticles.in/hack-the-box-challenge-apocalyst-walkthrough/
[2]: https://www.hackingarticles.in/hack-hackday-albania-vm-ctf-challenge/
[a785fe4deb87e8697347023578e65ed1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/658188f6d107423282b07e447ba142e3.png
[f4e9d050b1ba370d9f474bc67733e965.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/2d12a0d204a846cd93146ddcf542c549.png
[7798aec7d652547e2d6a2ae21ad1372b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d520ff7580da473482628fe6dcd64521.png
[c9a6ef43bb2ca274a7f9098144cdbee3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/7e7347b7d99240c9b5ad2b9b2d74e185.png
[7e2d9e462241165f65ae207b20b6e895.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/a35d23c9aed04d3fbb40253409235d84.png
[4b50ea65594765a58aa9177352e51f6d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f251ccf2d6774804b82208217b7c93e1.png
[31f8a868f84345d26fee868c62b801aa.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/1282860f825c4fb9a7491aad96f8e827.png
[8c1ee50739ea84cc16a836f2c4c7f0f9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/2c49002949ba467abc13a61ddadf87a5.png
[5edd488a1a3d52e36a1315183f5039ac.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/786702717cd3446c9444ebf031d9014d.png
[5989fe96315e0a1dada60f75986afab4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/9ce9fa1e06b344cd980620068a8d569e.png
[bf706114b878af53513ec7d835c7bf60.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/c75c270b4f7542a3bdd5077f947dbcae.png
[de73d150f12d41e6a7bf8a2e1f65e874.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/823ebeb5394342719821b50b6f715771.png
[d9a55415d25715ec54d7fd63817d80c6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/550402b21a2b47098b0ce2af6a15af67.png
[b6b882982e70ab760ae9a1ef1f98499f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/4a0025e4e98c4fa2a9f5aae6f85f5447.png
[866a29469860cd607b534469e72138e7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/56768ebb143a4ec6bce36734b9553046.png
[5e2dc42cf0ab8d5a88ad6e357e22a723.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/32d9b231500940f1907b76afe6215bf8.png
[d9bb29a116d6584d6556be66c1980d54.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/606039239f014a968ad52944c66a3069.png
[07a6b376d821301db701b9512b617a56.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5d7b63b67663491e9c7327a6aab6e5c0.png
[2307aaa9395c6373ee12e6c6dba7e8e8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d3378446d196499f8aa64146eb73e650.png
[ddd8d6ca38b58d58af2fa5fb22f98b8f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6d69924d569345c48ba2aab2e74778ad.png
[81d22d9fbc5dba7b8ed4616c61232cb4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ac972593b6134a2abf1d6d1bb7c3d2c3.png
[244424744e793f88c3d44fdb5f8c1800.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/30d0a5090aed48e7b459477888d540ec.png
[e305ef3969f0ad9a0295bad88c13e0f7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/29cf6286e2a44a99a9a3929986bc18ae.png
[b86de0e3cbbba89ae0ef02d9350a3290.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d85ad6b38c4f4d01869ee2b692e10de3.png