用途
该技能面向 Linux 后渗透与提权场景，适用于通过 RCE、webshell 或 SSH 获取到 Linux shell 之后。它提供一条完整行动路线：信息收集 → 提权 → 凭据收集 → 敏感数据 → 横向准备。内容按需加载，SKILL.md 提供决策树和快速命令，references 提供完整 payload。
主要能力
Phase 0：30 秒快速提权判断
刚拿到 shell 时运行几条命令快速判断是否存在“秒提”机会，包括查看身份与 sudo 权限、查找 SUID 文件、检查 Capabilities、查看 /etc/passwd 与 /etc/shadow 权限。秒提信号包括：sudo -l 存在 NOPASSWD 条目、非标准 SUID 文件、/etc/passwd 可写。
Phase 1：系统信息收集
收集身份与权限（id、whoami、uname -a、/etc/os-release）、网络信息（ip addr、ip route、ss -tlnp、/etc/resolv.conf、arp -a、/etc/hosts）、进程与环境（ps aux、env 中匹配 pass/key/secret/token）。关键判断包括多网卡可能为跳板、DNS 指向内网 IP 可能为域环境、ARP 表大表示活跃网段、root 进程命令行可能暴露密码或路径。
Phase 2：提权决策树（按成功率排序）
按顺序检查：sudo -l（NOPASSWD、特定命令查 GTFOBins、env_keep+=LD_PRELOAD）、SUID 文件（非标准 SUID、pkexec 对应 PwnKit CVE-2021-4034）、Capabilities（cap_setuid、cap_dac_read_search）、Cron 任务（可写脚本替换、PATH 劫持、通配符参数注入）、可写文件/目录（/etc/passwd、/etc/shadow、systemd .service、root 进程库/配置）、特殊组（docker、lxd/lxc、disk、adm）、NFS（no_root_squash）、内核漏洞（PwnKit、DirtyPipe 5.8-5.16、DirtyCow 2.6-4.8、OverlayFS、snap-confine+tmpfiles CVE-2026-3888 需等 10-30 天）。
提供 sudo 提权 Top 10 速查表，涵盖 vim/vi、find、python3、awk、env、less/more、tar、nmap、bash/sh、systemctl/journalctl 的提权方法，完整列表查 GTFOBins。
自动化枚举工具包括 LinPEAS（推荐）、LinEnum、linux-exploit-suggester，并给出对应命令。
Phase 3：凭据收集
提权成功后或即使未提权，尽可能收集凭据，包括 Web 应用配置（数据库密码、API Key）、历史记录（.bash_history、.mysql_history、.python_history）、SSH 密钥、数据库凭据（/etc/mysql/debian.cnf）、进程/环境中的凭据（/proc//environ、/proc//cmdline）。
Phase 4：敏感数据搜索
搜索 Flag（CTF/靶场）以及备份、数据库、密钥文件（.bak、.sql、.key、.pem）。
Phase 5：横向移动准备
通过 ip route、arp -a、/etc/hosts 发现其他网段和主机，通过 ~/.ssh/known_hosts 查看 SSH 连接过的机器。收集到的凭据与发现的网段可结合 internal-recon 技能做内网扫描，结合 lateral-movement 技能做横向移动。
使用方式
内容按需加载：SKILL.md 提供决策树和快速命令，references 提供完整 payload。深入参考包括：references/privesc-techniques.md（sudo/SUID/Capabilities/Cron 劫持全部利用命令、GTFOBins 速查、环境变量劫持、sudo CVE）、references/advanced-privesc.md（Docker/LXD 组提权、NFS、内核漏洞、snap-confine 提权、可写文件、进程凭据）、references/credential-harvest.md（凭据收集完整路径）。投递工具到目标的方法需加载 tool-delivery 技能。
适用场景
适用于已获得 Linux shell 后的后渗透阶段，包括 CTF/靶场环境与授权渗透测试。
限制
内核漏洞利用被列为最后手段，存在崩溃风险。snap-confine+tmpfiles（CVE-2026-3888）需等待 10-30 天。部分命令与 CVE 的适用版本已在资料中标注，未标注的版本范围暂未提供。