SUID

Qué es

Un archivo con el bit SUID se ejecuta con los permisos de su dueño, no de quien lo lanza. Si el dueño es root y el binario permite hacer cosas peligrosas, cualquiera puede aprovecharlo. Es lo que usa passwd para poder cambiar tu contraseña.

Cómo se detecta

find / -perm -4000 -type f 2>/dev/null

Los binarios normales (passwd, sudo, mount) son esperables. Los raros (find, bash, cp, python, o algo que no reconozcas) son sospechosos.

Cómo se explota

Se mira el binario en GTFOBins en la sección "SUID". Por ejemplo con bash:

bash -p

-p evita que bash baje los privilegios, así que la shell mantiene el UID efectivo de root.

Cómo se arregla

• Quitar el bit a lo que no lo necesite: chmod u-s /ruta/binario.
• Auditar periódicamente los SUID del sistema.