LINUX 普通用户提权ROOT (完整版)SHELL版首发!!!

chris_zhu

系统环境：
[zhuxj@localhost ~]$ uname -a
Linux localhost.localdomain 2.6.18-128.el5 #1 SMP Wed Dec 17 11:41:38 EST 2008 x86_64 x86_64 x86_64 GNU/Linux
[zhuxj@localhost ~]$ lsb_release -a
LSB Version:    :core-3.1-amd64:core-3.1-ia32:core-3.1-noarch:graphics-3.1-amd64:graphics-3.1-ia32:graphics-3.1-noarch
Distributor ID: RedHatEnterpriseServer
Description:    Red Hat Enterprise Linux Server release 5.3 (Tikanga)
Release:        5.3
Codename:       Tikanga
[zhuxj@localhost ~]$ rpm -q udev
udev-095-14.19.el5

测试：
[zhuxj@localhost ~]$ id
uid=500(zhuxj) gid=500(zhuxj) groups=500(zhuxj) context=user_u:system_r:unconfined_t
[zhuxj@localhost ~]$ ls
a
[zhuxj@localhost ~]$ ps aux | grep udev
root       410  0.0  0.1  13648  1892 ?        S<s  May01   0:01 /sbin/udevd -d
zhuxj    22648  0.0  0.0  61156   728 pts/0    R+   08:33   0:00 grep udev
[zhuxj@localhost ~]$ cat /proc/net/netlink
sk       Eth Pid    Groups   Rmem     Wmem     Dump     Locks
ffff810033a0bc00 0   2557   00000111 0        0        0000000000000000 2
ffff810034bb9c00 0   15815  00020100 0        0        0000000000000000 2
ffff81003fea3400 0   0      00000000 0        0        0000000000000000 2
ffff81003f589400 6   0      00000000 0        0        0000000000000000 2
ffff81003e24b000 7   2218   00000001 0        0        0000000000000000 2
ffff810037dd2000 7   0      00000000 0        0        0000000000000000 2
ffff81003f9afc00 9   0      00000000 0        0        0000000000000000 2
ffff81003e984400 9   1997   00000000 0        0        0000000000000000 2
ffff810037d67000 10  0      00000000 0        0        0000000000000000 2
ffff810037f82000 11  0      00000000 0        0        0000000000000000 2
ffff81003e985400 12  0      00000000 0        0        0000000000000000 2
ffff81003fea3000 15  0      00000000 0        0        0000000000000000 2
ffff81003f5a3000 15  409    ffffffff 0        0        0000000000000000 2
ffff810037f66c00 16  0      00000000 0        0        0000000000000000 2
ffff81003f0d7000 18  0      00000000 0        0        0000000000000000 2
[zhuxj@localhost ~]$ sh a 409
suid.c: In function ‘main’:
suid.c:3: warning: incompatible implicit declaration of built-in function ‘execl’
/usr/bin/ld: cannot open output file /tmp/suid: Permission denied
collect2: ld returned 1 exit status
sh-3.2# id
uid=0(root) gid=0(root) groups=500(zhuxj) context=user_u:system_r:unconfined_t
sh-3.2#

安装补丁：
[root@localhost ~]# wget ftp://ftp.redhat.com/pub/redhat/ ... 14.20.el5_3.src.rpm
安装更新后，需要删除/tmp下相关文件，否则此Bug还是有效的。
[root@localhost ~]$ rm /tmp/{suid,udev,libno_ex.so.1.0}
[zhuxj@localhost ~]$ sh a 409
suid.c: In function ‘main’:
suid.c:3: warning: incompatible implicit declaration of built-in function ‘execl’
sh-3.2$ id
uid=500(zhuxj) gid=500(zhuxj) groups=500(zhuxj) context=user_u:system_r:unconfined_t

linuxsun.cn

方法二:
另外最好通过ps aux | grep udev获取pid 为365，然后再-1，

为什么要"-1"   ???

marlborolj

好像2.6.18－53的kernel也可以变成root用户

liu1103

做成了,得多做几次。
环境centos 5.2
kernel:2.6.18-92.el5

[xiaoyun@LC Desktop]$ ps aux |grep udev
root       486  0.0  0.2  14208  2212 ?        S<s  21:02   0:00 /sbin/udevd -d
xiaoyun   8926  0.0  0.0  61164   728 pts/0    R+   21:49   0:00 grep udev
[xiaoyun@LC Desktop]$ sh a.sh 485
suid.c: In function ‘main’:
suid.c:3: 警告：隐式声明与内建函数 ‘execl’ 不兼容
sh-3.2$ id
uid=500(xiaoyun) gid=501(xiaoyun) groups=501(xiaoyun) context=user_u:system_r:unconfined_t
sh-3.2$ id
uid=500(xiaoyun) gid=501(xiaoyun) groups=501(xiaoyun) context=user_u:system_r:unconfined_t
sh-3.2$ sh a.sh 485
suid.c: In function ‘main’:
suid.c:3: 警告：隐式声明与内建函数 ‘execl’ 不兼容
sh-3.2# id
uid=0(root) gid=0(root) groups=501(xiaoyun) context=user_u:system_r:unconfined_t
sh-3.2# uname -r
2.6.18-92.el5
sh-3.2# uname -p
x86_64
sh-3.2# id
uid=0(root) gid=0(root) groups=501(xiaoyun) context=user_u:system_r:unconfined_t
sh-3.2#

ccjsj1

suse 9 企业版没有udev进程，不好使啊

ccjsj1

回复 15# greendays


成功了，和你的一样，为什末执行两次才能得到root权限呢？？


试了几次，发现个规律，当第一次不成功时/tmp/suid的属主不是root

变成root后，/tmp/suid文件如下：
-rwsr-sr-x 1 root     root      4945 03-01 10:28 suid

南极雨

回复 10# 枫影谁用了


这个好像已经不能下了....
干嘛用的 ？

beyondfly

嗯，最近也在找些相关的漏洞

greysky-zfj

http://milw0rm.com/exploits/8478 打不开啊 谁能留一个能用的

caonima943

下载代码地址 貌似打不开了