凌晨两点，提权我盯着终端里那行“Permission denied”发呆。提权服务器上的提权日志文件像一堵墙，把线索全挡在外面。提权提权从来不是提权炫技，是提权跟系统玩心理战——你得先搞清楚它怕什么。

拿Linux来说，提权内核漏洞是提权最粗暴的路子。脏牛、提权Dirty Pipe，提权这些名字听着像脏话，提权用起来也像。提权但打补丁快的提权系统早把门焊死了，你得找那些运维偷懒的提权。我遇到过一台老掉牙的提权CentOS 6，内核版本停在2014年，编译个exp直接拿root，整个过程比泡面还快。可这种好事越来越少，现在的管理员学精了，内核更新比闹钟还准时。

那就换个思路。sudo配置错误是块肥肉。我见过某公司的监控脚本，sudoers里给普通用户开了NOPASSWD权限，允许执行/usr/bin/python。你猜怎么着？python -c 'import os; os.system("/bin/bash")'，一行代码，直接换了个身份。这不算漏洞，是管理员自己递的刀。还有更蠢的，允许vim以root运行，进去后:!sh，shell就来了。这类问题出在人，不在系统。

Windows那边路子更野。服务权限配置不当，比如某个第三方软件的服务以SYSTEM运行，但它的安装目录普通用户能写。替换掉它的exe，重启服务，你就成了SYSTEM。这招老套，但总有人不设防。我碰到过一家医院，用的老影像系统，服务跑在LocalSystem上，目录权限Everyone完全控制。进去后跟逛自家后院一样，连域管理员密码都躺在配置文件里。

你得学会看环境。提权不是单打独斗，是察言观色。找那些临时文件、计划任务、环境变量里的秘密。有人把数据库密码写在.bash_history里，有人把密钥放在/tmp下忘了删。最绝的一次，我在某台web服务器上发现/var/backups里有完整的shadow备份，权限0644，全世界都能读。管理员大概觉得备份目录没人看，可黑客最爱翻垃圾。

别老想着用现成工具。LinEnum、WinPEAS跑一遍固然省事，但真正的好机会藏在细节里。你手动翻过/etc/passwd吗？看过每个用户的登录shell吗？那些nologin账户，说不定哪个就带着sudo权限。你检查过/home下每个目录的.bashrc吗？要是有人把别名指向了危险命令，root登录时就会触发。这不算漏洞，但利用起来比漏洞还顺手。

说到底，提权拼的是观察力和耐心。系统给你留了那么多暗示，就看你读不读得懂。有一次，我发现某个应用以root运行，但它读取配置文件的路径里有个目录是普通用户可写的。放个符号链接过去，把配置指向我自己的文件，里面写个恶意库路径。重启应用，LD_PRELOAD加载我的so，root就到手了。整个过程没碰任何漏洞，全是逻辑漏洞。

当然，技术之外还有社会工程学。我认识一个哥们，从不碰技术，就蹲在目标公司楼下抽烟，跟运维套近乎，聊两句就摸清了他们的密码习惯。后来他猜中了一个管理员的密码——公司名加年份加感叹号。这算提权吗？算，从普通员工到管理员，跨度比任何exp都大。

写到这里，天快亮了。系统是死的，人是活的。提权的本质，是在规则里找例外，在习惯中找疏忽。别指望一招鲜吃遍天，每台服务器都有自己的脾气，你得顺着它来，它才肯把钥匙给你。