Informática forense · Linux

Análisis forense de /etc/passwd y /etc/shadow: revisión detallada de las bases de datos centrales de cuentas

Die Datei /etc/passwd enthält grundlegende Kontoinformationen wie Benutzername, UID, GID, Home-Verzeichnis und Standard-Shell, während /etc/shadow die eigentlichen, gehashten Passwortinformationen sowie Ablauf- und Änderungsdaten separat und stärker geschützt vorhält.

Solicitar información sin compromiso

Für die forensische Auswertung ist insbesondere relevant, ob und wann Einträge nachträglich verändert wurden, etwa durch Hinzufügen eines Kontos mit UID 0 oder durch Änderung eines Passwort-Hashes ohne erkennbaren regulären Anlass.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

El análisis se lleva a cabo, por regla general, exclusivamente sobre una copia forense, una imagen forense o una fuente de datos capturada de forma técnicamente equivalente y que garantice la integridad de las pruebas. La prueba original permanece inalterada y se conserva de forma que se garantice la integridad de las pruebas.

Nuestros servicios

Wir analysieren /etc/passwd und /etc/shadow systematisch auf ungewöhnliche Konten, insbesondere solche mit UID 0 oder unerwarteten Shell-Zuweisungen, und werten verfügbare Zeitstempelinformationen zur Änderungshistorie aus.

Ámbitos de aplicación habituales

•Aufdeckung zusätzlicher Konten mit Administratorrechten (UID 0)
•Untersuchung nachträglicher Passwort-Hash-Änderungen
•Analyse ungewöhnlicher Shell- oder Home-Verzeichniszuweisungen
•Rekonstruktion der Änderungshistorie von Kontodaten
•Respuesta ante incidentes en sistemas Linux
•Peritajes judiciales y extrajudiciales

So läuft eine Analyse von /etc/passwd und /etc/shadow ab

Nach der Sicherung werden beide Dateien strukturiert ausgewertet und auf Konten mit UID 0, unerwarteten Shell-Zuweisungen oder untypischen Home-Verzeichnissen geprüft. Verfügbare Zeitstempel- und Dateisystemmetadaten werden herangezogen, um Änderungszeitpunkte einzelner Einträge einzugrenzen.

¿Por qué este análisis es relevante desde el punto de vista forense?

Ein zusätzliches Konto mit UID 0 besitzt dieselben Rechte wie der reguläre Root-Benutzer und stellt damit einen der kritischsten möglichen Persistenzmechanismen bei einer Systemkompromittierung dar.

Da diese Dateien zentrale Sicherheitsinformationen enthalten, wird ihre Auswertung grundsätzlich mit besonderer Sorgfalt und im Abgleich mit weiteren Protokollquellen durchgeführt.

Preguntas frecuentes

Was bedeutet ein zweites Konto mit UID 0?+
Es besitzt dieselben Administratorrechte wie das reguläre Root-Konto, unabhängig vom gewählten Benutzernamen, und ist deshalb besonders kritisch zu bewerten.
Können Passwort-Hashes selbst entschlüsselt werden?+
Eine Entschlüsselung ist bei modernen Hash-Verfahren nach aktuellem technischem Stand nicht seriös möglich. Die forensische Auswertung konzentriert sich auf Änderungszeitpunkte und -muster.
Wie wird eine nachträgliche Manipulation erkannt?+
Unter anderem durch Abgleich mit Dateisystem-Zeitstempeln, Backup-Ständen und weiteren Protokollquellen wie Auditd.

🔗 Temas relacionados

LanCologne – Análisis forense de Linux en Colonia

Sie benötigen eine professionelle forensische Untersuchung zu „/etc/passwd und /etc/shadow forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Ponte en contacto con nosotros ahora