E-LIN
linPEAS
Script de enumeración Linux que expone vectores de escalada de privilegios local: binarios SUID, cron jobs, credenciales y más.
Sitio oficialVolver al catálogo
RESUMEN
linPEAS, parte del monorepo PEASS-ng, es un script de enumeración para Linux (y sistemas tipo Unix) que revisa docenas de categorías en una sola pasada: binarios SUID/SGID, desconfiguraciones de sudo, cron jobs, archivos escribibles por cualquiera, capabilities, indicios de fuga de contenedor y credenciales dejadas en archivos de historial, configuraciones o memoria. La salida usa colores para que el analista revise un informe largo rápido en vez de leerlo línea por línea.
Se distribuye como un único script shell portable sin dependencias más allá de utilidades Unix comunes, y se combina con winPEAS y la notación compartida de PEASS-ng, así que un equipo que trabaja hosts Linux y Windows en el mismo engagement obtiene un formato de informe consistente entre plataformas.
CASOS DE USO
Casos de uso en un engagement
- 01
Correr un primer barrido automatizado de escalada de privilegios justo tras obtener shell en un host Linux.
- 02
Detectar binarios SUID/SGID, desconfiguraciones de sudo y cron jobs explotables.
- 03
Encontrar credenciales dejadas en el historial de bash, archivos de configuración o variables de entorno.
- 04
Señalar indicios de contenedor o virtualización que valga la pena explotar en una prueba de fuga.
PRIMEROS PASOS
En un host Linux con una shell ya establecida, para lanzar un barrido automatizado amplio de vectores de escalada local antes de buscar a mano.
- Confirma que la enumeración de escalada local está autorizada en este host.
- Transfiere linpeas.sh al objetivo, o pásalo directamente por un canal autorizado.
- Ejecútalo y deja que termine el barrido completo.
- Revisa primero los resaltados en rojo/amarillo de la salida, y luego valida cada uno a mano.
./linpeas.sh -a | tee linpeas_output.txtANTES DE USARLA
Qué revisar antes de lanzarla
linPEAS es detectado por firma por muchos AV/EDR y sistemas de monitoreo de integridad de archivos, y el volumen de su salida por sí solo puede llamar la atención en un host monitorizado — considera acotar a un conjunto más estrecho de checks si el sigilo importa.
Solo reporta lo que sus checks están programados para buscar; un host endurecido con un camino de escalada por lógica o un día cero puede salir limpio.
El informe completo puede ser largo y ruidoso: trata cada hallazgo resaltado como una pista para validar a mano, no como una vulnerabilidad confirmada.