IT-Forensik · Linux

/etc/passwd und /etc/shadow forensisch analysieren – Zentrale Kontodatenbanken im Detail prüfen

Die Datei /etc/passwd enthält grundlegende Kontoinformationen wie Benutzername, UID, GID, Home-Verzeichnis und Standard-Shell, während /etc/shadow die eigentlichen, gehashten Passwortinformationen sowie Ablauf- und Änderungsdaten separat und stärker geschützt vorhält.

Demande sans engagement

Für die forensische Auswertung ist insbesondere relevant, ob und wann Einträge nachträglich verändert wurden, etwa durch Hinzufügen eines Kontos mit UID 0 oder durch Änderung eines Passwort-Hashes ohne erkennbaren regulären Anlass.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Wir analysieren /etc/passwd und /etc/shadow systematisch auf ungewöhnliche Konten, insbesondere solche mit UID 0 oder unerwarteten Shell-Zuweisungen, und werten verfügbare Zeitstempelinformationen zur Änderungshistorie aus.

Domaines d'application typiques

•Aufdeckung zusätzlicher Konten mit Administratorrechten (UID 0)
•Untersuchung nachträglicher Passwort-Hash-Änderungen
•Analyse ungewöhnlicher Shell- oder Home-Verzeichniszuweisungen
•Rekonstruktion der Änderungshistorie von Kontodaten
•Incident Response auf Linux-Systemen
•Expertises judiciaires et extrajudiciaires

So läuft eine Analyse von /etc/passwd und /etc/shadow ab

Nach der Sicherung werden beide Dateien strukturiert ausgewertet und auf Konten mit UID 0, unerwarteten Shell-Zuweisungen oder untypischen Home-Verzeichnissen geprüft. Verfügbare Zeitstempel- und Dateisystemmetadaten werden herangezogen, um Änderungszeitpunkte einzelner Einträge einzugrenzen.

Warum ist diese Analyse forensisch relevant?

Ein zusätzliches Konto mit UID 0 besitzt dieselben Rechte wie der reguläre Root-Benutzer und stellt damit einen der kritischsten möglichen Persistenzmechanismen bei einer Systemkompromittierung dar.

Da diese Dateien zentrale Sicherheitsinformationen enthalten, wird ihre Auswertung grundsätzlich mit besonderer Sorgfalt und im Abgleich mit weiteren Protokollquellen durchgeführt.

Foire aux questions

Was bedeutet ein zweites Konto mit UID 0?+
Es besitzt dieselben Administratorrechte wie das reguläre Root-Konto, unabhängig vom gewählten Benutzernamen, und ist deshalb besonders kritisch zu bewerten.
Können Passwort-Hashes selbst entschlüsselt werden?+
Eine Entschlüsselung ist bei modernen Hash-Verfahren nach aktuellem technischem Stand nicht seriös möglich. Die forensische Auswertung konzentriert sich auf Änderungszeitpunkte und -muster.
Wie wird eine nachträgliche Manipulation erkannt?+
Unter anderem durch Abgleich mit Dateisystem-Zeitstempeln, Backup-Ständen und weiteren Protokollquellen wie Auditd.

🔗 Sujets connexes

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „/etc/passwd und /etc/shadow forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Nous contacter dès maintenant