W takim wypadku szuka się procesów [polecenie ps aux] które działają na uprawnieniach roota. Szuka się na nie eksploitów (bo wiadomo, że gdy je wyeksploitujemy, również wstrzyknięty payload będzie działał na prawach roota).