Moverte por Linux sin ratón

Lo primero en una máquina ajena no es hacer nada: es ubicarte. En qué carpeta estás, qué archivos hay, quién eres. Un dato tan simple como el nombre de usuario con el que entraste decide todo lo que puedes o no puedes hacer después. En el servidor de Salitre entras como un usuario de servicio sin privilegios, y saberlo es lo que evita que pierdas el tiempo intentando cosas que ese usuario no puede.

Ubicarse antes de actuar es lo que separa trabajar de dar palos de ciego. Vale igual para el que audita y para el que responde a un incidente.

En Linux cada archivo dice quién puede leerlo, escribirlo o ejecutarlo, y cada usuario pertenece a grupos que amplían o limitan eso. Un archivo de configuración que cualquiera puede leer y que contiene una contraseña es un problema de permisos, no de contraseñas. En Salitre, el servidor tiene un archivo de configuración legible por todos con una credencial dentro: para el que ataca es una vía; para el que defiende, un fallo que reportar. El mismo hallazgo, los dos oficios.

Leer permisos es leer confianza: quién confía en quién sobre qué. Casi todas las escaladas empiezan por un permiso puesto de más.

Un sistema no es solo sus archivos: es lo que está ejecutándose ahora mismo. Listar los procesos te dice qué programas viven en la máquina, con qué usuario corren y desde cuándo. Un proceso que corre como administrador y atiende conexiones de fuera es superficie de ataque; un proceso que apareció a una hora rara y con un nombre que no reconoces es, para el defensor, lo primero que mirar. En Salitre hay un proceso corriendo como www-data que sirve la web: normal. Saber cuál es lo normal es lo que deja ver lo que no lo es.

No se puede reconocer lo raro sin conocer lo normal. Por eso el defensor empieza por saber qué debería estar corriendo.

Los programas que deben estar siempre disponibles —la web, la base de datos, el acceso remoto— los gestiona el sistema como «servicios»: los arranca al encender y los reinicia si se caen. Saber qué servicios corren y cuáles arrancan solos es media administración y media defensa. Un servicio de acceso remoto habilitado que nadie recuerda haber activado es exactamente el tipo de puerta que el que ataca busca y el que defiende debería haber cerrado.

Un servicio es una decisión que alguien tomó y quizá olvidó. Revisarlos es revisar decisiones viejas que siguen vivas.

Un fallo de permisos no se reconoce de memoria: se ve con ls -l. Abre el servidor de Salitre, localiza el archivo de respaldo que quedó legible por cualquier usuario del sistema y léelo hasta el final.