IT-forensik · Linux

/etc/passwd und /etc/shadow forensisch analysieren – Zentrale Kontodatenbanken im Detail prüfen

Die Datei /etc/passwd enthält grundlegende Kontoinformationen wie Benutzername, UID, GID, Home-Verzeichnis und Standard-Shell, während /etc/shadow die eigentlichen, gehashten Passwortinformationen sowie Ablauf- und Änderungsdaten separat und stärker geschützt vorhält.

Begär en icke-bindande offert

Für die forensische Auswertung ist insbesondere relevant, ob und wann Einträge nachträglich verändert wurden, etwa durch Hinzufügen eines Kontos mit UID 0 oder durch Änderung eines Passwort-Hashes ohne erkennbaren regulären Anlass.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Wir analysieren /etc/passwd und /etc/shadow systematisch auf ungewöhnliche Konten, insbesondere solche mit UID 0 oder unerwarteten Shell-Zuweisungen, und werten verfügbare Zeitstempelinformationen zur Änderungshistorie aus.

Typiska användningsområden

•Aufdeckung zusätzlicher Konten mit Administratorrechten (UID 0)
•Untersuchung nachträglicher Passwort-Hash-Änderungen
•Analyse ungewöhnlicher Shell- oder Home-Verzeichniszuweisungen
•Rekonstruktion der Änderungshistorie von Kontodaten
•Incident Response auf Linux-Systemen
•Rättsliga och utomrättsliga utlåtanden

So läuft eine Analyse von /etc/passwd und /etc/shadow ab

Nach der Sicherung werden beide Dateien strukturiert ausgewertet und auf Konten mit UID 0, unerwarteten Shell-Zuweisungen oder untypischen Home-Verzeichnissen geprüft. Verfügbare Zeitstempel- und Dateisystemmetadaten werden herangezogen, um Änderungszeitpunkte einzelner Einträge einzugrenzen.

Warum ist diese Analyse forensisch relevant?

Ein zusätzliches Konto mit UID 0 besitzt dieselben Rechte wie der reguläre Root-Benutzer und stellt damit einen der kritischsten möglichen Persistenzmechanismen bei einer Systemkompromittierung dar.

Da diese Dateien zentrale Sicherheitsinformationen enthalten, wird ihre Auswertung grundsätzlich mit besonderer Sorgfalt und im Abgleich mit weiteren Protokollquellen durchgeführt.

Vanliga frågor

Was bedeutet ein zweites Konto mit UID 0?+
Es besitzt dieselben Administratorrechte wie das reguläre Root-Konto, unabhängig vom gewählten Benutzernamen, und ist deshalb besonders kritisch zu bewerten.
Können Passwort-Hashes selbst entschlüsselt werden?+
Eine Entschlüsselung ist bei modernen Hash-Verfahren nach aktuellem technischem Stand nicht seriös möglich. Die forensische Auswertung konzentriert sich auf Änderungszeitpunkte und -muster.
Wie wird eine nachträgliche Manipulation erkannt?+
Unter anderem durch Abgleich mit Dateisystem-Zeitstempeln, Backup-Ständen und weiteren Protokollquellen wie Auditd.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „/etc/passwd und /etc/shadow forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Kontakta oss nu