Cron monitor para ver todos los procesos nuevos en linux privilege escalation

Algunas veces hay procesos automáticos que puedes modificar para lograr un priv-escalation.

Por ejemplo en Solidstate de HackTheBox podemos ver que tenemos opcion de escribir en un archivo que es root  pero no ejecutarlo.

Tenemos la teoría que se ejecutar automáticamente pero no podemos estar seguros… pero hay un script maravilloso para checarlo.

cronmonit.sh

#!/bin/bash

# Loop by line
IFS=$'\n'

old_process=$(ps aux --forest | grep -v "ps aux --forest" | grep -v "sleep 1" | grep -v $0)

while true; do
  new_process=$(ps aux --forest | grep -v "ps aux --forest" | grep -v "sleep 1" | grep -v $0)
  diff <(echo "$old_process") <(echo "$new_process") | grep [\<\>]
  sleep 1
  old_process=$new_process
done