El sistema de archivos de Linux

En Linux, casi todo se representa como un archivo: archivos normales, directorios, dispositivos e incluso procesos en /proc.

Comprender el sistema de archivos es fundamental para desplazarse por una máquina comprometida y detectar datos interesantes.

Linux utiliza un único árbol con raíz que comienza en /. Directorios importantes:

• /etc: configuración del sistema (y contraseñas).
• /home: directorios personales de los usuarios.
• /var: registros y datos variables.
• /tmp: espacio temporal con permisos de escritura para todos, útil para dejar herramientas.
• /root: directorio personal del usuario root.

Desplácese y muestre el contenido con estos comandos básicos.

Una ruta absoluta comienza en la raíz: /var/log/auth.log. Una ruta relativa parte de la ubicación actual: ../log/auth.log.

• . es el directorio actual.
• .. es el directorio padre.

Un listado detallado muestra permisos como -rwxr-xr--:

• Primer carácter: tipo de archivo (- archivo, d directorio, l enlace).
• A continuación aparecen tres grupos de tres caracteres: propietario, grupo y otros.
• Cada grupo representa lectura (r), escritura (w) y ejecución (x).

Los permisos también se expresan mediante números octales: r=4, w=2, x=1.

• 755 = rwxr-xr-x (el propietario tiene todos los permisos; los demás, lectura y ejecución).
• 644 = rw-r--r-- (el propietario tiene lectura y escritura; los demás, lectura).

Cada archivo tiene un propietario y un grupo. Cámbielos con chown (requiere privilegios).

Los permisos mal configurados son una de las principales vías para la escalada de privilegios.

• Los scripts con permisos de escritura para todos que ejecuta root pueden ser manipulados.
• Un archivo /etc/shadow legible expone hashes de contraseñas.
• Las copias de seguridad confidenciales con permisos 644 dejan secretos expuestos.

Un archivo con el bit SUID se ejecuta con los privilegios del propietario del archivo, no con los del usuario que lo invoca. Si un binario SUID de root es vulnerable, el atacante obtiene privilegios de root.

Buscar binarios SUID inusuales es un paso clásico de la escalada de privilegios.

Los archivos cuyo nombre comienza con un punto están ocultos (.bashrc, .ssh). A menudo contienen credenciales e historial.

Los enlaces simbólicos apuntan a otros archivos; ls -l los muestra con una flecha. Preste atención a los enlaces que redirigen operaciones con privilegios.

El almacenamiento se conecta al árbol mediante puntos de montaje. Enumerar los montajes revela discos adicionales, recursos compartidos de red o particiones ocultas que vale la pena explorar en un objetivo.

Interprete un permiso octal.

Ha explorado el sistema de archivos de Linux:

• Un único árbol desde /; directorios clave: /etc, /home, /var y /tmp.
• Los permisos se expresan como grupos de rwx para propietario, grupo y otros, y también en octal (755, 644).
• Los permisos mal configurados y los binarios SUID son objetivos principales para la escalada de privilegios.

A continuación: los comandos esenciales para trabajar rápidamente en un shell.