去年冬天，权限我帮一个做运维的工具朋友处理服务器入侵事件。攻击者没用什么高级漏洞，权限就是工具拿了一个叫“权限获取工具”的小脚本，跑了几分钟，权限普通用户就变成了root。工具那台机器上跑着公司内部Wiki，权限数据全被加密，工具勒索信留在桌面。权限朋友气得直拍桌子，工具但问题根源很清楚：sudo配置里多了一行NOPASSWD，权限而那个工具恰好能利用它。工具

权限获取工具，权限说白了就是工具帮你从低权限爬到高权限的软件。它不创造漏洞，权限只是把系统里已有的配置缺陷、内核bug或者错误授权串起来用。比如Linux上的LinPEAS，一个bash脚本，跑完会列出所有可疑的SUID文件、可写的/etc/passwd、cron任务里的通配符注入点。你不需要懂内核提权，它把线索摆在你面前，像一份体检报告。

我见过最离谱的案例，是一台测试机装了老版本的sudo，CVE-2021-3156，堆溢出。攻击者用一个小工具发几个特殊参数，直接拿到root shell。管理员还纳闷：“我补丁打了啊。”结果他打的是内核补丁，sudo没动。权限获取工具就爱这种疏忽——它不挑食，什么配置错误都能吃。

Windows那边也一样。PowerUp.ps1，PowerSploit套件里的一个模块，专查服务权限、注册表键值、未引用的服务路径。有次我拿它扫一台域成员服务器，发现一个服务二进制路径带空格，比如C:\Program Files\My App\service.exe。攻击者只要在C:\Program.exe放个木马，服务重启时就会以SYSTEM权限执行它。工具会直接标红：“可写路径，可劫持。”你都不用自己分析。

这些工具本身不违法。渗透测试、CTF比赛、甚至自己在家折腾虚拟机，都用得上。问题在于，它们太容易获取。GitHub上搜“privilege escalation”，几千个仓库。有些打包成单文件，双击就跑。一个脚本小子拿到初始shell，上传工具，等几分钟，可能就拿到域管权限。中间不需要任何0day。

防守方怎么办？我自己的习惯是，每台Linux服务器上线前，跑一遍LinPEAS，把输出里的红色项全修掉。Windows机器用PowerUp扫一遍，重点看服务权限和计划任务。别指望一次搞定，权限获取工具也在更新。上个月还只能利用sudo的某个参数，这个月可能就多了Polkit的利用链。你得把“定期自查”当成运维流程的一部分，而不是等出事再救火。

说个具体细节。LinPEAS输出里有一项叫“SUID binaries”，列出一堆带s位的可执行文件。其中/usr/bin/find如果带SUID，那就完蛋。攻击者直接find . -exec /bin/sh -p \;，root shell到手。很多发行版默认不给find加SUID，但有些老系统或者手动编译的软件会加上。工具一跑，你一眼就能看到。修起来也简单：chmod u-s /usr/bin/find。但没人提醒你，你可能永远不知道。

最后提一句，别把权限获取工具当成黑客专属。它更像一把螺丝刀，修车的人用，偷车的人也用。区别在于你拿它拧紧自己的螺丝，还是撬别人的锁。我电脑里常备一份LinPEAS和PowerUp，每次配完新服务器，先自己扫一遍。扫出来的问题，比等扫描器报警要早得多。

(责任编辑：热点)