Даже удивительно, что я в свое время пропустил такую отличную штуку как mod_rootme. Кристоф Девин (автор aircrack) написал его уже в 2004 году. Из хорошего там интерактивный шелл, это важно, чтобы не наделать ошибок на таргете (когда сдампленные базы и огрызки эксплоитов валяются по всей системе, а в процессах висит 100500 шеллов, сразу с ипами хакера. А еще подобный модуль можно использовать для поднятия прав, если Апач сконфигурирован неправильно (привет, Bitrix VM). Вот такого будет вполне достаточно:

static void register_hooks(apr_pool_t *p)
{
  if (getuid() == 0) {
    /* do something */
  }
}

module AP_MODULE_DECLARE_DATA demo_module =
{
  STANDARD20_MODULE_STUFF,
  NULL,
  NULL,
  NULL,
  NULL,
  NULL,
  register_hooks
};

Чтобы не тащить на таргет девел, major/minor version копируем из любого другого модуля. Сама структура стабильна и не менялась десятилетиями. Так что находим символ NAME_module в mod_NAME.so, или сразу ищем по сигнатуре 22PA, 42PA. Остается только рестартануть Апач или дождаться, пока это сделает сам администратор.