系统漏洞提权

凌晨两点，系统某甲方服务器的漏洞日志里突然多了一条不起眼的记录。攻击者没有用0day，提权没碰内存破坏，系统只是漏洞把目标锁在了一个几乎没人维护的旧版Tomcat上。他上传了一个JSP脚本，提权通过一个反序列化漏洞拿到了普通用户权限，系统然后花了四十分钟，漏洞把root密码改了。提权整个过程干净得像一场外科手术。系统

漏洞提权这词听着玄乎，漏洞说白了就是提权一场“权限的越狱”。系统给你发了一间牢房，系统你却想拿到整座监狱的漏洞钥匙。攻击者拿到一个低权限shell后，提权真正的博弈才刚开始——他得在系统内部翻箱倒柜，找那扇没锁好的门。

我见过最蠢的提权方式，是直接翻管理员留下的备份文件。某次渗透测试，目标服务器上有个/backup目录，权限设得稀烂，里面躺着个passwords.txt，明文写着root口令。这不算技术，算捡漏。但现实中这类“捡漏”占比高得吓人，因为运维也是人，人总想省事。

更典型的场景在Linux上。内核漏洞提权是老把戏了——脏牛（Dirty COW）当年横扫一片，利用写时复制机制的竞态条件，把只读文件映射改成可写，轻松覆盖/etc/passwd。这种攻击拼的是时间窗口，内核版本不对就白搭，但一旦成功，权限直接起飞。现代内核修补得勤，可总有老旧系统裸露在公网，像没穿裤子的醉汉。

Windows那边又是另一套逻辑。服务权限配置不当是重灾区。攻击者扫到某个第三方服务以SYSTEM权限运行，却允许普通用户修改其可执行文件路径——替换成自己的恶意程序，等服务重启，权限就到手了。这种攻击不需要多高深的技术，但需要细心观察。我见过一个案例，攻击者盯上的是打印机后台处理服务，就因为它默认以高权限跑着，还允许远程调用。

提权成功后干什么？没人是为了好玩。要么横向移动，要么直接拿走数据。但有个细节常被忽略：攻击者会清理痕迹，把日志里的关键行删掉，甚至篡改时间戳。所以防守方要是发现进程异常，别光看当前会话，得翻历史记录，比对文件访问时间。

说句掏心窝的话，防御提权没有银弹。打补丁是基础，但更实际的是收敛攻击面——关掉不必要的服务，限制用户权限，把敏感目录的ACL收紧。我见过不少公司，安全设备堆了一墙，结果内部一台测试机裸奔着，上面跑着数据库的root账号。

系统漏洞提权，最终拼的是对系统细节的熟悉程度和耐心。攻击者像小偷在屋里摸黑找保险柜，防守方得把每个抽屉都锁好，还得留盏灯。别指望一次加固就万事大吉，漏洞是活的，人也得跟着动。