Lista de verificación - Escalación de privilegios en Linux

Reading time: 6 minutes

Mejor herramienta para buscar vectores de escalación de privilegios locales en Linux: LinPEAS

Información del sistema

• Obtener información del SO
• Verificar el PATH, ¿hay alguna carpeta escribible?
• Verificar variables de entorno, ¿hay algún detalle sensible?
• Buscar exploits del kernel usando scripts (¿DirtyCow?)
• Verificar si la versión de sudo es vulnerable
• Dmesg verificación de firma fallida
• Más enumeración del sistema (fecha, estadísticas del sistema, información de CPU, impresoras)
• Enumerar más defensas

Unidades

• Listar unidades montadas
• ¿Alguna unidad no montada?
• ¿Alguna credencial en fstab?

Software instalado

• Verificar software útil instalado
• Verificar software vulnerable instalado

Procesos

• ¿Hay algún software desconocido en ejecución?
• ¿Hay algún software en ejecución con más privilegios de los que debería tener?
• Buscar exploits de procesos en ejecución (especialmente la versión en ejecución).
• ¿Puedes modificar el binario de algún proceso en ejecución?
• Monitorear procesos y verificar si algún proceso interesante se está ejecutando con frecuencia.
• ¿Puedes leer alguna memoria de proceso interesante (donde podrían guardarse contraseñas)?

¿Tareas programadas/Cron?

• ¿El PATH está siendo modificado por algún cron y puedes escribir en él?
• ¿Algún comodín en un trabajo cron?
• ¿Algún script modificable está siendo ejecutado o está dentro de una carpeta modificable?
• ¿Has detectado que algún script podría estar o está siendo ejecutado muy frecuentemente? (cada 1, 2 o 5 minutos)

Servicios

• ¿Algún archivo .service escribible?
• ¿Algún binario escribible ejecutado por un servicio?
• ¿Alguna carpeta escribible en el PATH de systemd?

Temporizadores

• ¿Algún temporizador escribible?

Sockets

• ¿Algún archivo .socket escribible?
• ¿Puedes comunicarte con algún socket?
• ¿Sockets HTTP con información interesante?

D-Bus

• ¿Puedes comunicarte con algún D-Bus?

Red

• Enumerar la red para saber dónde estás
• ¿Puertos abiertos a los que no pudiste acceder antes de obtener un shell dentro de la máquina?
• ¿Puedes capturar tráfico usando tcpdump?

Usuarios

• Enumeración de usuarios/grupos genéricos
• ¿Tienes un UID muy grande? ¿Es la máquina vulnerable?
• ¿Puedes escalar privilegios gracias a un grupo al que perteneces?
• ¿Datos del portapapeles?
• ¿Política de contraseñas?
• Intenta usar cada contraseña conocida que hayas descubierto previamente para iniciar sesión con cada posible usuario. Intenta iniciar sesión también sin una contraseña.

PATH escribible

• Si tienes privilegios de escritura sobre alguna carpeta en PATH, podrías ser capaz de escalar privilegios

Comandos SUDO y SUID

• ¿Puedes ejecutar cualquier comando con sudo? ¿Puedes usarlo para LEER, ESCRIBIR o EJECUTAR algo como root? (GTFOBins)
• ¿Hay algún binario SUID explotable? (GTFOBins)
• ¿Los comandos sudo están limitados por ruta? ¿Puedes eludir las restricciones?
• Binario Sudo/SUID sin ruta indicada?
• Binario SUID especificando ruta? Eludir
• Vuln de LD_PRELOAD
• Falta de .so en binario SUID de una carpeta escribible?
• Tokens SUDO disponibles? ¿Puedes crear un token SUDO?
• ¿Puedes leer o modificar archivos sudoers?
• ¿Puedes modificar /etc/ld.so.conf.d/?
• Comando OpenBSD DOAS

Capacidades

• ¿Algún binario tiene alguna capacidad inesperada?

ACLs

• ¿Algún archivo tiene alguna ACL inesperada?

Sesiones de Shell abiertas

• screen
• tmux

SSH

• Debian OpenSSL PRNG predecible - CVE-2008-0166
• Valores de configuración interesantes de SSH

Archivos interesantes

• Archivos de perfil - ¿Leer datos sensibles? ¿Escribir para privesc?
• Archivos passwd/shadow - ¿Leer datos sensibles? ¿Escribir para privesc?
• Verificar carpetas comúnmente interesantes en busca de datos sensibles
• Ubicación/Archivos extraños, a los que podrías tener acceso o alterar archivos ejecutables
• Modificados en los últimos minutos
• Archivos de base de datos Sqlite
• Archivos ocultos
• Scripts/Binarios en PATH
• Archivos web (¿contraseñas?)
• ¿Copias de seguridad?
• Archivos conocidos que contienen contraseñas: Usa Linpeas y LaZagne
• Búsqueda genérica

Archivos escribibles

• Modificar biblioteca de python para ejecutar comandos arbitrarios?
• ¿Puedes modificar archivos de registro? Explotación Logtotten
• ¿Puedes modificar /etc/sysconfig/network-scripts/? Explotación Centos/Redhat
• ¿Puedes escribir en archivos ini, int.d, systemd o rc.d?

Otros trucos

• ¿Puedes abusar de NFS para escalar privilegios?
• ¿Necesitas escapar de un shell restrictivo?