Linux Sistemlerde SUID Biti İle Yetki Yükseltme Tespiti

Linux yetki yükseltme (privilege escalation) senaryolarında saldırganların ilk baktığı yerlerden biri SUID (Set User ID) biti atanmış dosyalardır. Bir ikili dosyada SUID biti aktifse, o dosya kimin tarafından çalıştırılırsa çalıştırılsın dosya sahibinin (çoğunlukla root) yetkileriyle çalışır. Örneğin bir yönetici geçici bir test için /bin/bash veya /usr/bin/find dosyasına "chmod u+s" vermişse, standart bir kullanıcı "find . -exec /bin/sh -p \; -quit" komutuyla anında root kabuğuna düşebilir. Sisteminizde gereksiz yere SUID yetkisi verilmiş tehlikeli dosyaları tespit etmek için terminalde "find / -perm -4000 -type f 2>/dev/null" komutunu çalıştırmanız yeterlidir. Çıktıda nmap, vim, find, base64 veya python gibi programlar görüyorsanız, sistemde ciddi bir yetki aşımı riski bulunuyor demektir.