GTFOBins
What it is — GTFOBins is a curated list of legitimate Unix/Linux binaries that can be abused to bypass local security restrictions: privilege escalation, escaping a restricted shell, reading/writing files, or maintaining persistence — as long as you have sudo, SUID, or some capability over that binary.
| Type | Web / static catalogue |
| Cost | Free |
| URL | gtfobins.github.io |
How to use it
Every binary has its own page with examples grouped by category (Shell, SUID, Sudo, File read, File write, etc.). The usual flow starts on the target machine:
sudo -l
find / -perm -4000 -type f 2>/dev/null # SUID binariesWith the binary's name in hand, you look it up directly on GTFOBins, e.g. gtfobins.github.io/gtfobins/tar/, and copy the example from whichever category applies to your case (Sudo, SUID...).
It's practically the first place I go as soon as
sudo -lreveals an allowed binary — I've literally used it in several of my own writeups (e.g.sudo tar --checkpoint-action=execin TartarSauce).
What I use it for
- Linux privilege escalation, always: any time
sudo -lor a SUID binary shows up during enumeration, GTFOBins is the first lookup. - Learning the "why", not just the command: every entry briefly explains the mechanism (why that specific flag yields a shell), not just copy-paste.
- Its Windows sibling is LOLBAS — I use them together depending on the target's operating system.
Link
Qué es — GTFOBins es una lista curada de binarios Unix/Linux legítimos que pueden abusarse para saltarse restricciones de seguridad locales: escalar privilegios, escapar de una shell restringida, leer/escribir ficheros, o mantener persistencia — siempre que tengas sudo, SUID o alguna capability sobre ese binario.
| Tipo | Web / catálogo estático |
| Coste | Gratis |
| URL | gtfobins.github.io |
Cómo se usa
Cada binario tiene su propia página con ejemplos por categoría (Shell, SUID, Sudo, File read, File write, etc.). El flujo habitual empieza en la máquina objetivo:
sudo -l
find / -perm -4000 -type f 2>/dev/null # binarios SUIDCon el nombre del binario en mano, buscas directamente en GTFOBins su página, por ejemplo gtfobins.github.io/gtfobins/tar/, y copias el ejemplo de la categoría que aplica a tu caso (Sudo, SUID...).
Es prácticamente el primer sitio al que voy en cuanto
sudo -lrevela un binario permitido — lo he usado literalmente en varios de mis propios writeups (por ejemplo,sudo tar --checkpoint-action=execen TartarSauce).
Para qué lo uso yo
- Escalada de privilegios en Linux, siempre: cada vez que
sudo -lo un binario SUID aparece en la enumeración, GTFOBins es la primera consulta. - Aprender el "por qué" y no solo el comando: cada entrada explica brevemente el mecanismo (por qué ese flag concreto da una shell), no es solo copiar-pegar.
- Su hermano para Windows es LOLBAS — los uso juntos según el sistema operativo del objetivo.