服务器提权

凌晨两点，服务我盯着终端里那行"Permission denied"，器提权咖啡已经凉透。服务这是器提权第三周了，目标服务器上那个脆弱的服务Web应用早被打穿，可shell就是器提权弹不出来——低权限的www-data账户像被关在玻璃房里的鸟，看得见外面的服务世界，却撞不破那层透明的器提权墙。

提权这事儿，服务说白了就两种路子：找漏洞，器提权或者找密码。服务前者是器提权技术活，后者是服务运气活。可现实里，器提权多数成功的服务提权都靠后者——不是开发者多蠢，而是他们总把密钥藏在自以为没人找得到的地方。

记得去年某次渗透测试，客户坚持说服务器"绝对安全"。我花了三小时扫描端口、测SQL注入、试文件上传，全无收获。最后随手翻了翻备份目录，发现一个叫config_old.php.bak的文件，里面躺着MySQL的root密码——还是明文。那种感觉就像撬了半天保险柜，结果发现钥匙就贴在柜子侧面。

技术性的提权则更像解谜。Linux内核漏洞利用是经典戏码，但现代系统补丁打得勤，老路子越来越难走。真正有意思的是那些"非预期"路径——比如某个SUID程序存在路径遍历，或者sudoers配置里给了某个脚本过宽的权限。你得像侦探一样，从蛛丝马迹里拼出完整的攻击链。

Windows提权又是另一番风景。服务权限配置错误、未打补丁的内核漏洞、甚至注册表中的弱ACL都能成为突破口。有次我遇到一台Server 2012，所有常规手段都失效了，最后发现IIS的应用池账户居然在Administrators组里——管理员图省事，直接给了最高权限。这种"人为漏洞"往往比技术漏洞更致命。

但说实话，最让我印象深刻的是一次失败的提权。那台服务器固若金汤，所有路径都被堵死。我正准备放弃时，突然想到能不能利用已有的低权限做点"坏事"——比如读敏感文件、窃取其他用户的环境变量。结果真在/home/backup/.bash_history里找到了旧密码，顺藤摸瓜翻出了数据库备份文件。虽然最后还是没拿到root，但那种接近突破的紧张感，比成功更让人上瘾。

提权这活儿，七分靠耐心，三分靠直觉。你得同时理解系统机制和人类惰性——前者决定了漏洞能不能被利用，后者决定了漏洞存不存在。每次敲下sudo -l或者whoami /priv的时候，我都觉得像是在跟服务器管理员下棋：他留下的每个配置错误，都是无意间让出的一步。

当然，写完这些得补一句：所有技巧都该用在合法授权范围内。越权一时爽，铁窗泪两行——这可不是玩笑话。