IT-Forensik · Linux

/etc/passwd und /etc/shadow forensisch analysieren – Zentrale Kontodatenbanken im Detail prüfen

Die Datei /etc/passwd enthält grundlegende Kontoinformationen wie Benutzername, UID, GID, Home-Verzeichnis und Standard-Shell, während /etc/shadow die eigentlichen, gehashten Passwortinformationen sowie Ablauf- und Änderungsdaten separat und stärker geschützt vorhält.

Vrijblijvend informeren

Für die forensische Auswertung ist insbesondere relevant, ob und wann Einträge nachträglich verändert wurden, etwa durch Hinzufügen eines Kontos mit UID 0 oder durch Änderung eines Passwort-Hashes ohne erkennbaren regulären Anlass.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Die Untersuchung erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

Onze diensten

Wir analysieren /etc/passwd und /etc/shadow systematisch auf ungewöhnliche Konten, insbesondere solche mit UID 0 oder unerwarteten Shell-Zuweisungen, und werten verfügbare Zeitstempelinformationen zur Änderungshistorie aus.

Typische toepassingsgebieden

•Aufdeckung zusätzlicher Konten mit Administratorrechten (UID 0)
•Untersuchung nachträglicher Passwort-Hash-Änderungen
•Analyse ungewöhnlicher Shell- oder Home-Verzeichniszuweisungen
•Rekonstruktion der Änderungshistorie von Kontodaten
•Incident Response auf Linux-Systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

So läuft eine Analyse von /etc/passwd und /etc/shadow ab

Nach der Sicherung werden beide Dateien strukturiert ausgewertet und auf Konten mit UID 0, unerwarteten Shell-Zuweisungen oder untypischen Home-Verzeichnissen geprüft. Verfügbare Zeitstempel- und Dateisystemmetadaten werden herangezogen, um Änderungszeitpunkte einzelner Einträge einzugrenzen.

Warum ist diese Analyse forensisch relevant?

Ein zusätzliches Konto mit UID 0 besitzt dieselben Rechte wie der reguläre Root-Benutzer und stellt damit einen der kritischsten möglichen Persistenzmechanismen bei einer Systemkompromittierung dar.

Da diese Dateien zentrale Sicherheitsinformationen enthalten, wird ihre Auswertung grundsätzlich mit besonderer Sorgfalt und im Abgleich mit weiteren Protokollquellen durchgeführt.

Veelgestelde vragen

Was bedeutet ein zweites Konto mit UID 0?+
Es besitzt dieselben Administratorrechte wie das reguläre Root-Konto, unabhängig vom gewählten Benutzernamen, und ist deshalb besonders kritisch zu bewerten.
Können Passwort-Hashes selbst entschlüsselt werden?+
Eine Entschlüsselung ist bei modernen Hash-Verfahren nach aktuellem technischem Stand nicht seriös möglich. Die forensische Auswertung konzentriert sich auf Änderungszeitpunkte und -muster.
Wie wird eine nachträgliche Manipulation erkannt?+
Unter anderem durch Abgleich mit Dateisystem-Zeitstempeln, Backup-Ständen und weiteren Protokollquellen wie Auditd.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „/etc/passwd und /etc/shadow forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Nu contact opnemen