linux提权漏洞

2016年，权漏Linux内核的权漏Dirty COW漏洞（CVE-2016-5195）被公开时，很多人还没意识到它的权漏破坏力。一个本地用户，权漏不需要任何特殊权限，权漏就能在几秒内拿到root shell。权漏那段时间，权漏我帮几个朋友排查服务器，权漏发现他们跑的权漏还是3.x的老内核，补丁没打，权漏提权脚本一跑一个准。权漏这个漏洞的权漏本质是条件竞争——内核在写时复制（COW）过程中没锁好内存页，攻击者可以反复触发，权漏最终篡改只读文件。权漏听起来简单，权漏但影响面覆盖了几乎所有Android设备和大量服务器。

提权漏洞分两类：内核态和用户态。内核态的直接打内核，比如Dirty COW、CVE-2022-0847（Dirty Pipe）。Dirty Pipe更狠，它允许覆盖管道缓冲区背后的文件内容，哪怕文件是只读的。我试过在Ubuntu 20.04上跑POC，把/etc/passwd里root的密码字段直接改成空，然后su就进去了。用户态的提权通常靠配置错误——SUID文件、sudo规则、cron任务、环境变量。比如你发现一个SUID的vim，那基本等于root，因为vim可以执行shell命令。这种错误在运维脚本里特别常见，有人为了图方便，给脚本加SUID位，结果脚本里调用了不带绝对路径的命令，PATH一劫持就完蛋。

找提权漏洞的工具不少，LinPEAS、Linux Exploit Suggester、unix-privesc-check。我习惯先手动看几个点：sudo -l看能跑什么，find / -perm -4000 -type f 2>/dev/null找SUID，crontab -l和/etc/crontab看定时任务，还有getcap -r / 2>/dev/null查文件能力。这些命令跑完，基本能画出提权路径。有一次在内网一台CentOS 7上，sudo -l显示用户可以无密码运行/usr/bin/find。这还用想？直接sudo find . -exec /bin/sh \; -quit，root到手。这种配置错误比内核漏洞更常见，也更隐蔽。

内核提权漏洞的利用有个麻烦：不同发行版、不同内核版本，偏移量和符号地址不一样。你拿一个编译好的EXP去跑，大概率kernel panic。所以实战里更倾向用那些通用性强的，比如Dirty Pipe，它不依赖特定内核符号，只要版本在5.8到5.16.11之间就能打。另一个思路是看内核编译选项，如果开了CONFIG_USER_NS，可以试试用户命名空间提权，配合overlayfs或者fuse，能在容器里逃逸。Docker逃逸很多时候就是靠这个。

防御提权漏洞，补丁是第一位的。但现实是，很多生产环境不敢随便重启，内核更新要等维护窗口。那就得靠加固：去掉不必要的SUID位，限制sudo命令，用noexec挂载/tmp和/dev/shm，开启SELinux或AppArmor。我见过最离谱的配置是/tmp可执行，攻击者上传一个提权EXP，编译运行，全程不需要交互。另外，监控/etc/passwd、/etc/shadow、/etc/sudoers的改动也很重要，Dirty Pipe这类漏洞利用完会留下文件修改痕迹。

说个真实案例。去年帮一个客户做渗透测试，目标是一台对外提供API的Ubuntu 18.04。Web漏洞拿到www-data shell后，uname -a显示内核4.15.0-20。我直接搜CVE-2017-16995，一个eBPF验证器漏洞，EXP编译后运行，几秒钟就拿到root。客户问怎么进来的，我说你们内核两年没更新了。他们运维说不敢升，怕影响业务。这种心态很普遍，但攻击者就喜欢这种环境。提权漏洞不是孤立存在的，它往往是整个防御链条里最薄的那一环。