Linux Post-Exploitation

Naučite i vežbajte AWS Hakovanje:HackTricks Obuka AWS Crveni Tim Stručnjak (ARTE) Naučite i vežbajte GCP Hakovanje: HackTricks Obuka GCP Crveni Tim Stručnjak (GRTE)

Podržite HackTricks

• Proverite planove pretplate!

• Pridružite se 💬 Discord grupi ili telegram grupi ili pratite nas na Twitteru 🐦 @hacktricks_live.

• Podelite hakovanje trikova slanjem PR-ova na HackTricks i HackTricks Cloud github repozitorijume.

Snifovanje Logon Lozinki sa PAM

Konfigurišemo PAM modul da beleži svaku lozinku koju svaki korisnik koristi za prijavljivanje. Ako ne znate šta je PAM, proverite:

PAM - Pluggable Authentication Modules

Za dalje detalje proverite originalni post. Ovo je samo sažetak:

Pregled Tehnike: Pluggable Authentication Modules (PAM) nude fleksibilnost u upravljanju autentifikacijom na Unix baziranim sistemima. Mogu poboljšati bezbednost prilagođavanjem procesa prijavljivanja, ali takođe mogu predstavljati rizike ako se zloupotrebljavaju. Ovaj sažetak opisuje tehniku za hvatanje prijavljivačkih podataka korišćenjem PAM-a, zajedno sa strategijama za ublažavanje.

Hvatanje Podataka za Prijavljivanje:

• Bash skripta nazvana toomanysecrets.sh je kreirana da beleži pokušaje prijavljivanja, hvatajući datum, korisničko ime ($PAM_USER), lozinku (putem stdin), i IP adresu udaljenog hosta ($PAM_RHOST) u /var/log/toomanysecrets.log.

• Skripta je postavljena da bude izvršiva i integrisana u PAM konfiguraciju (common-auth) korišćenjem pam_exec.so modula sa opcijama za tiho izvršavanje i izlaganje autentifikacionog tokena skripti.

• Pristup pokazuje kako kompromitovan Linux host može biti iskorišćen da diskretno beleži akreditive.

#!/bin/sh
echo " $(date) $PAM_USER, $(cat -), From: $PAM_RHOST" >> /var/log/toomanysecrets.log
sudo touch /var/log/toomanysecrets.sh
sudo chmod 770 /var/log/toomanysecrets.sh
sudo nano /etc/pam.d/common-auth
# Add: auth optional pam_exec.so quiet expose_authtok /usr/local/bin/toomanysecrets.sh
sudo chmod 700 /usr/local/bin/toomanysecrets.sh

Backdooring PAM

Za dodatne detalje pogledajte originalni post. Ovo je samo sažetak:

Pluggable Authentication Module (PAM) je sistem koji se koristi u Linuxu za autentikaciju korisnika. Radi na tri glavna koncepta: korisničko ime, šifra i servis. Konfiguracione datoteke za svaki servis se nalaze u direktorijumu /etc/pam.d/, gde deljene biblioteke rukuju autentikacijom.

Cilj: Modifikovati PAM kako bi omogućio autentikaciju sa određenom šifrom, zaobilazeći stvarnu korisničku šifru. Ovo je posebno usmereno na deljenu biblioteku pam_unix.so koja se koristi u fajlu common-auth, koji je uključen u gotovo sve servise za proveru šifre.

Koraci za Modifikaciju pam_unix.so:

1. Locirajte Autentikacionu Direktivu u fajlu common-auth:

• Linija odgovorna za proveru korisničke šifre poziva pam_unix.so.

2. Modifikujte Izvorni Kod:

• Dodajte uslovnu izjavu u izvorni fajl pam_unix_auth.c koja odobrava pristup ako se koristi unapred definisana šifra, inače nastavlja sa uobičajenim procesom autentikacije.

3. Rekompajlirajte i Zamenite modifikovanu biblioteku pam_unix.so u odgovarajućem direktorijumu.

4. Testiranje:

• Pristup je odobren preko različitih servisa (login, ssh, sudo, su, screensaver) sa unapred definisanom šifrom, dok normalni procesi autentikacije ostaju nepromenjeni.

Možete automatizovati ovaj proces sa https://github.com/zephrax/linux-pam-backdoor

Naučite i vežbajte hakovanje AWS:HackTricks Training AWS Red Team Expert (ARTE) Naučite i vežbajte hakovanje GCP-a: HackTricks Training GCP Red Team Expert (GRTE)

Podržite HackTricks

• Proverite planove pretplate!

• Pridružite se 💬 Discord grupi ili telegram grupi ili nas pratite na Twitteru 🐦 @hacktricks_live.

• Podelite hakovanje trikova slanjem PR-ova na HackTricks i HackTricks Cloud github repozitorijume.