Oto zawartość mojej błędnej maszyny tego konkretnego pliku:
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/us$
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
syslog:x:100:103::/home/syslog:/bin/false
Czy ktoś mógłby mi wyjaśnić, dlaczego źle jest, jeśli jakiś zły facet może zdobyć ten plik z mojego serwera produkcyjnego?
security
passwd-file
zabawny gość
źródło
źródło
Odpowiedzi:
Najważniejsze jest to, że Pentesters / biało-kapelusze / etycznych hakerów, a także cel czarny kapelusz
/etc/passwd
jakoproof of concept
, jako sprawdzian możliwości uzyskania dostępu do systemu.Technicznie
/etc/passwd
nie jest to takie straszne. Kiedyś przechowywał prywatne dane, oczywiście hasła, ale na dzień dzisiejszy powinieneś się bardziej martwić/etc/shadow
- większość systemów Linux używa obecnieshadow
zestawu narzędzi do przechowywania zaszyfrowanego i solonego hasła/etc/shadow
, które w przeciwieństwie do innych/etc/passwd
nie jest światem -czytelny. (chyba że użyjeszpwunconv
polecenia, które faktycznie przenosi zaszyfrowane hasła z powrotem do `/ etc / passwd).Jedyną mniej lub bardziej wrażliwą informacją są nazwy użytkowników. Jeśli masz
sshd
lubtelnet
na serwerze i nazwę użytkownika ze słabym hasłem, istnieje możliwość ataku siłowego.Nawiasem mówiąc, twoje pytanie zostało zadane wcześniej . Tutaj po prostu odtworzyłem niektóre z wymienionych tam pojęć.
Mały dodatek: jest to trochę zbyt daleko idące, ale zauważyłem, że masz
bash
jako root root. Załóżmy, że masz w systemie użytkownika, który mabash
powłokę, a nawet gorzej - ten użytkownik jest sudoer. Teraz, jeśli bash jest przestarzały lub niezałatany, osoba atakująca może próbować wykorzystać lukę Shellshock w celu kradzieży danych lub wykonania bomby wideł, aby tymczasowo wyłączyć system. Tak, technicznie rzecz biorąc,/etc/passwd
nie jest to wielka sprawa, ale daje atakującemu pojęcie o niektórych informacjach o tym, co należy podjąćDodatkowa edycja, 18.11.2016
Po wykorzystaniu serwera Ubuntu na Oceanie cyfrowej na chwilę, to przyszło do mojej uwagi, że większość ataków brute force przeciwko mojego serwera przeprowadzono dla
root
użytkownika - 99% wpisów do nieudanej hasło w/var/log/auth.log
były zaroot
./etc/password
, jak wspomniałem wcześniej, pozwala atakującemu spojrzeć na listę użytkowników, nie tylko użytkowników systemu, ale także użytkowników, co oznacza więcej potencjalnych miejsc ataku. Pamiętajmy, że nie wszyscy użytkownicy są świadomi bezpieczeństwa i nie zawsze tworzą silne hasło, więc osoba atakująca na błąd ludzki lub zbytnią pewność siebie ma dość duże szanse na wygraną.źródło
testuser1:x:1001:1001:,,,:/home/testuser:/bin/bash
. Po biegnęsudo usermod testuser1 -l testuser2 sudo usermod testuser1 -l testuser2
, wpis ma inną nazwę, ale i uid gid są takie same:testuser2:x:1001:1001:,,,:/home/testuser:/bin/bash
. Jeśli hasło pozostanie niezmienione, atakujący może zgadywać i nadal łamać system. Wymaganie, aby hasło wygasało i było zmieniane co jakiś czas, jest lepszym podejściem, ale również nie jest kuloodporne.Aby zalogować się do komputera, musisz znać zarówno nazwę użytkownika, jak i hasło.
/etc/passwd
dostarcza informacji o użytkownikach, co daje połowę potrzebnych informacji i wykorzystanych do włączenia skrótu hasła.Skrót jest czymś obliczonym na podstawie hasła. Trudno jest znaleźć hasło z skrótu, ale nie na odwrót. Jeśli masz jedno i drugie, możesz spróbować brutalnej próby znalezienia hasła offline, a następnie spróbuj połączyć się z komputerem dopiero po jego znalezieniu.
Dzisiaj poprawiono bezpieczeństwo, ponieważ skróty są przechowywane w innym pliku,
/etc/shadow
który domyślnie nie jest czytelny dla większości użytkowników.Ale gdybym miał dostęp do obu
/etc/passwd
i/etc/shadow
prawdopodobnie mógłbym znaleźć twoje hasło za pomocą ataku „słownikowego” brutalnej siły. Ponieważ mogę to zrobić lokalnie na moim komputerze, nie zauważysz wielu nieudanych prób znalezienia twojego hasła i będę musiał ponownie połączyć się z twoim komputerem, gdy tylko poznam hasło. Mogę wtedy robić, co chcę.Więcej informacji znajduje się tutaj na Wikipedii
źródło