IT-Forensik · Linux

/etc/passwd und /etc/shadow forensisch analysieren – Zentrale Kontodatenbanken im Detail prüfen

Die Datei /etc/passwd enthält grundlegende Kontoinformationen wie Benutzername, UID, GID, Home-Verzeichnis und Standard-Shell, während /etc/shadow die eigentlichen, gehashten Passwortinformationen sowie Ablauf- und Änderungsdaten separat und stärker geschützt vorhält.

Unverbindlich anfragen

Für die forensische Auswertung ist insbesondere relevant, ob und wann Einträge nachträglich verändert wurden, etwa durch Hinzufügen eines Kontos mit UID 0 oder durch Änderung eines Passwort-Hashes ohne erkennbaren regulären Anlass.

Warum LanCologne?

Seit der Gründung beschäftigt sich LanCologne schwerpunktmäßig mit der professionellen IT-Forensik. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung im Bereich der Informationstechnologie und unterstützen Unternehmen, Rechtsanwälte, Privatpersonen sowie regelmäßig auch Gerichte bei der technischen Aufklärung komplexer digitaler Sachverhalte.

Die Untersuchung erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

Unsere Leistungen

Wir analysieren /etc/passwd und /etc/shadow systematisch auf ungewöhnliche Konten, insbesondere solche mit UID 0 oder unerwarteten Shell-Zuweisungen, und werten verfügbare Zeitstempelinformationen zur Änderungshistorie aus.

Typische Einsatzgebiete

•Aufdeckung zusätzlicher Konten mit Administratorrechten (UID 0)
•Untersuchung nachträglicher Passwort-Hash-Änderungen
•Analyse ungewöhnlicher Shell- oder Home-Verzeichniszuweisungen
•Rekonstruktion der Änderungshistorie von Kontodaten
•Incident Response auf Linux-Systemen
•Gerichtliche und außergerichtliche Gutachten

So läuft eine Analyse von /etc/passwd und /etc/shadow ab

Nach der Sicherung werden beide Dateien strukturiert ausgewertet und auf Konten mit UID 0, unerwarteten Shell-Zuweisungen oder untypischen Home-Verzeichnissen geprüft. Verfügbare Zeitstempel- und Dateisystemmetadaten werden herangezogen, um Änderungszeitpunkte einzelner Einträge einzugrenzen.

Warum ist diese Analyse forensisch relevant?

Ein zusätzliches Konto mit UID 0 besitzt dieselben Rechte wie der reguläre Root-Benutzer und stellt damit einen der kritischsten möglichen Persistenzmechanismen bei einer Systemkompromittierung dar.

Da diese Dateien zentrale Sicherheitsinformationen enthalten, wird ihre Auswertung grundsätzlich mit besonderer Sorgfalt und im Abgleich mit weiteren Protokollquellen durchgeführt.

Häufige Fragen

Was bedeutet ein zweites Konto mit UID 0?+
Es besitzt dieselben Administratorrechte wie das reguläre Root-Konto, unabhängig vom gewählten Benutzernamen, und ist deshalb besonders kritisch zu bewerten.
Können Passwort-Hashes selbst entschlüsselt werden?+
Eine Entschlüsselung ist bei modernen Hash-Verfahren nach aktuellem technischem Stand nicht seriös möglich. Die forensische Auswertung konzentriert sich auf Änderungszeitpunkte und -muster.
Wie wird eine nachträgliche Manipulation erkannt?+
Unter anderem durch Abgleich mit Dateisystem-Zeitstempeln, Backup-Ständen und weiteren Protokollquellen wie Auditd.

🔗 Verwandte Themen

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „/etc/passwd und /etc/shadow forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Jetzt Kontakt aufnehmen