Comece criando uma pasta para a máquina. Assim você não perde scans, exploits, arquivos e anotações.

mkdir -p ~/ctf/maquina
cd ~/ctf/maquina

touch notes.txt
mkdir scans exploits files

nmap -sC -sV -oN scans/initial.txt IP

Se encontrar portas novas, rode uma varredura direcionada nelas.

nmap -sC -sV -p PORTAS -oN scans/targeted.txt IP

Troque IP pelo IP da máquina. Troque PORTAS pelas portas encontradas, separadas por vírgula.

curl -i http://IP/
curl -s http://IP/ | head
whatweb http://IP/

curl -s http://IP/robots.txt
curl -s http://IP/sitemap.xml

ffuf -u http://IP/FUZZ -w /usr/share/wordlists/dirb/common.txt

gobuster dir -u http://IP/ -w /usr/share/wordlists/dirb/common.txt

Se a aplicação responder sempre com o mesmo tamanho, filtre por status ou tamanho.

ffuf -u http://IP/FUZZ -w /usr/share/wordlists/dirb/common.txt -fc 404

ffuf -u http://IP/FUZZ -w /usr/share/wordlists/dirb/common.txt -fs TAMANHO

Se encontrar um diretório, entre nele pelo browser e verifique informações que podem ser interessantes.

searchsploit "NOME DA APLICAÇÃO"
searchsploit "NOME DA APLICAÇÃO" "VERSÃO"

"NOME DA APLICAÇÃO" "VERSÃO" exploit
"NOME DA APLICAÇÃO" "VERSÃO" CVE

head -n 60 exploit.py
grep -n "usage|url|target|payload|wordlist|password|hash" exploit.py

python3 exploit.py -h

Se o exploit retorna hash, token ou credencial, a exploração ainda pode não ter acabado.

ssh usuario@IP
ftp IP
smbclient -L //IP/ -U usuario

whoami
id
hostname
pwd
uname -a
ls -la

Se for uma reverse shell limitada, tente melhorar a interatividade.

python3 -c 'import pty; pty.spawn("/bin/bash")'
export TERM=xterm
stty rows 40 columns 120

Se estiver via SSH, normalmente não precisa estabilizar shell.

sudo -l

cat /etc/passwd
ls -la /home
ls -la /root 2>/dev/null

find / -perm -4000 -type f 2>/dev/null
getcap -r / 2>/dev/null

cat /etc/crontab
ls -la /etc/cron.d

1. Rode sudo -l.
2. Veja se algum binário pode rodar como root.
3. Pesquise o nome do binário no GTFOBins.
4. Abra a seção que combina com seu caso.
5. Se o contexto for sudo, procure a seção sudo.
6. Se a técnica abrir shell, entenda que essa shell pode herdar o privilégio do comando executado.

Editores, pagers e interpretadores costumam ser interessantes porque possuem comandos internos. Se um editor aparece no sudo -l, pesquise esse editor no GTFOBins e leia a seção sudo.

Em um CTF, abrir uma shell significa conseguir executar comandos diretamente dentro da máquina alvo.

A parte importante para privesc é o contexto dessa shell. Se uma shell abre com permissões do usuário comum, você continua limitado. Se uma shell abre a partir de um programa executado como root, ela pode herdar esse contexto e virar uma shell privilegiada.

Por isso GTFOBins dá tanta atenção para técnicas de Shell. O objetivo não é apenas abrir um terminal novo, mas abrir um terminal no contexto de privilégio errado.

A lógica é simples: se um programa roda com permissão maior e ele consegue chamar uma shell, a shell pode abrir no mesmo contexto de privilégio.

Por isso, quando aparecer um editor, pager ou interpretador no sudo -l, procure por formas de shell escape desse programa.

# Dentro de alguns programas interativos, procure por padrões como:

:!comando
!/bin/sh
!/bin/bash
shell
sh
bash

# Em alguns casos, o programa também aceita executar comandos ao iniciar:
programa -c 'comando interno'
programa --command 'comando interno'

Essa lista não é uma receita universal. Ela serve para reconhecer o tipo de coisa que você deve procurar quando um programa interativo aparece em sudo -l.

find / -iname "*flag*" 2>/dev/null
ls -la /home
ls -la /root 2>/dev/null

Se conseguir root, confirme com:

whoami
id

# Organização
mkdir -p ~/ctf/maquina/{scans,exploits,files}
cd ~/ctf/maquina
touch notes.txt

# Nmap
nmap -sC -sV -oN scans/initial.txt IP
nmap -p- --min-rate 5000 -oN scans/all-ports.txt IP
nmap -sC -sV -p PORTAS -oN scans/targeted.txt IP

# Web
curl -i http://IP/
whatweb http://IP/
curl -s http://IP/robots.txt

# Fuzzing
ffuf -u http://IP/FUZZ -w /usr/share/wordlists/dirb/common.txt
gobuster dir -u http://IP/ -w /usr/share/wordlists/dirb/common.txt

# Searchsploit
searchsploit "NOME"
searchsploit "NOME" "VERSÃO"
searchsploit -x ID
searchsploit -m ID

# PoC
head -n 60 exploit.py
python3 exploit.py -h
pip install -r requirements.txt

# Credenciais
ssh usuario@IP
ftp IP
smbclient -L //IP/ -U usuario

# Foothold
whoami
id
hostname
uname -a
ls -la

# Privesc
sudo -l
find / -perm -4000 -type f 2>/dev/null
getcap -r / 2>/dev/null
cat /etc/crontab
ls -la /home
find / -iname "*flag*" 2>/dev/null