IT-forensik · Linux

Forensisk analys av /etc/passwd och /etc/shadow – Noggrann granskning av centrala kontodatabaser

Filen /etc/passwd innehåller grundläggande kontoinformation såsom användarnamn, UID, GID, hemkatalog och standard-shell, medan /etc/shadow lagrar själva den hashade lösenordsinformationen samt uppgifter om giltighetstid och ändringar separat och med bättre skydd.

Begär en icke-bindande offert

För den forensiska analysen är det särskilt viktigt att fastställa om och när poster har ändrats i efterhand, till exempel genom att ett konto med UID 0 har lagts till eller genom att en lösenordshash har ändrats utan någon uppenbar anledning.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi analyserar /etc/passwd och /etc/shadow systematiskt för att upptäcka ovanliga konton, särskilt sådana med UID 0 eller oväntade shell-tilldelningar, och utvärderar tillgänglig tidsstämpelinformation om ändringshistoriken.

Typiska användningsområden

•Upptäckt av ytterligare konton med administratörsrättigheter (UID 0)
•Undersökning av efterföljande ändringar av lösenordshashar
•Analys av ovanliga tilldelningar av shell- eller hemkataloger
•Rekonstruktion av ändringshistoriken för kontouppgifter
•Incidenthantering på Linux-system
•Rättsliga och utomrättsliga utlåtanden

Så här går en analys av /etc/passwd och /etc/shadow till

Efter säkerhetskopieringen analyseras båda filerna systematiskt och granskas med avseende på konton med UID 0, oväntade shell-tilldelningar eller atypiska hemkataloger. Tillgängliga tidsstämplar och metadata från filsystemet används för att avgränsa tidpunkterna för ändringar av enskilda poster.

Varför är denna analys relevant ur ett kriminaltekniskt perspektiv?

Ett extra konto med UID 0 har samma behörigheter som den vanliga root-användaren och utgör därmed en av de allvarligaste möjliga mekanismerna för att upprätthålla åtkomst vid en systemkompromettering.

Eftersom dessa filer innehåller viktig säkerhetsinformation utvärderas de alltid med särskild noggrannhet och i kombination med andra loggkällor.

Vanliga frågor

Vad innebär ett andra konto med UID 0?+
Det har samma administratörsrättigheter som det vanliga root-kontot, oavsett vilket användarnamn som valts, och bör därför betraktas som särskilt kritiskt.
Kan man själv dekryptera lösenordshashar?+
Med dagens tekniska kunskaper är det inte möjligt att på ett seriöst sätt dekryptera data med moderna hash-algoritmer. Den kriminaltekniska analysen inriktar sig på tidpunkter och mönster för ändringar.
Hur upptäcks en efterhand gjord ändring?+
Bland annat genom jämförelse med filsystemets tidsstämplar, säkerhetskopieringsstatus och andra loggkällor, såsom Auditd.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Behöver ni en professionell kriminalteknisk undersökning av „kriminalteknisk analys av /etc/passwd och /etc/shadow"? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett rättsligt godtagbart sätt samt med en spårbar utvärdering av relevanta Linux-artefakter.

Kontakta oss nu