hacktricks/linux-hardening/linux-post-exploitation/README.md

# Linux Post-Eksploatacija

{% hint style="success" %}
Naučite i vežbajte AWS Hakovanje:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Obuka AWS Crveni Tim Stručnjak (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Naučite i vežbajte GCP Hakovanje: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Obuka GCP Crveni Tim Stručnjak (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Podržite HackTricks</summary>

* Proverite [**planove pretplate**](https://github.com/sponsors/carlospolop)!
* **Pridružite se** 💬 [**Discord grupi**](https://discord.gg/hRep4RUj7f) ili [**telegram grupi**](https://t.me/peass) ili **pratite** nas na **Twitteru** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Podelite hakovanje trikova slanjem PR-ova na** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repozitorijume.

</details>
{% endhint %}

## Snifovanje Logon Lozinki sa PAM

Konfigurišemo PAM modul da beleži svaku lozinku koju svaki korisnik koristi za prijavljivanje. Ako ne znate šta je PAM, proverite:

{% content-ref url="pam-pluggable-authentication-modules.md" %}
[pam-pluggable-authentication-modules.md](pam-pluggable-authentication-modules.md)
{% endcontent-ref %}

**Za dalje detalje proverite [originalni post](https://embracethered.com/blog/posts/2022/post-exploit-pam-ssh-password-grabbing/)**. Ovo je samo sažetak:

**Pregled Tehnike:**
Pluggable Authentication Modules (PAM) nude fleksibilnost u upravljanju autentifikacijom na Unix baziranim sistemima. Mogu poboljšati bezbednost prilagođavanjem procesa prijavljivanja, ali takođe mogu predstavljati rizike ako se zloupotrebljavaju. Ovaj sažetak opisuje tehniku za hvatanje prijavljivačkih podataka korišćenjem PAM-a, zajedno sa strategijama za ublažavanje.

**Hvatanje Podataka za Prijavljivanje:**
- Bash skripta nazvana `toomanysecrets.sh` je kreirana da beleži pokušaje prijavljivanja, hvatajući datum, korisničko ime (`$PAM_USER`), lozinku (putem stdin), i IP adresu udaljenog hosta (`$PAM_RHOST`) u `/var/log/toomanysecrets.log`.
- Skripta je postavljena da bude izvršiva i integrisana u PAM konfiguraciju (`common-auth`) korišćenjem `pam_exec.so` modula sa opcijama za tiho izvršavanje i izlaganje autentifikacionog tokena skripti.
- Pristup pokazuje kako kompromitovan Linux host može biti iskorišćen da diskretno beleži akreditive.
```bash
#!/bin/sh
echo " $(date) $PAM_USER, $(cat -), From: $PAM_RHOST" >> /var/log/toomanysecrets.log
sudo touch /var/log/toomanysecrets.sh
sudo chmod 770 /var/log/toomanysecrets.sh
sudo nano /etc/pam.d/common-auth
# Add: auth optional pam_exec.so quiet expose_authtok /usr/local/bin/toomanysecrets.sh
sudo chmod 700 /usr/local/bin/toomanysecrets.sh
```
### Backdooring PAM

**Za dodatne detalje pogledajte [originalni post](https://infosecwriteups.com/creating-a-backdoor-in-pam-in-5-line-of-code-e23e99579cd9)**. Ovo je samo sažetak:

Pluggable Authentication Module (PAM) je sistem koji se koristi u Linuxu za autentikaciju korisnika. Radi na tri glavna koncepta: **korisničko ime**, **šifra** i **servis**. Konfiguracione datoteke za svaki servis se nalaze u direktorijumu `/etc/pam.d/`, gde deljene biblioteke rukuju autentikacijom.

**Cilj**: Modifikovati PAM kako bi omogućio autentikaciju sa određenom šifrom, zaobilazeći stvarnu korisničku šifru. Ovo je posebno usmereno na deljenu biblioteku `pam_unix.so` koja se koristi u fajlu `common-auth`, koji je uključen u gotovo sve servise za proveru šifre.

### Koraci za Modifikaciju `pam_unix.so`:

1. **Locirajte Autentikacionu Direktivu** u fajlu `common-auth`:
- Linija odgovorna za proveru korisničke šifre poziva `pam_unix.so`.
2. **Modifikujte Izvorni Kod**:
- Dodajte uslovnu izjavu u izvorni fajl `pam_unix_auth.c` koja odobrava pristup ako se koristi unapred definisana šifra, inače nastavlja sa uobičajenim procesom autentikacije.
3. **Rekompajlirajte i Zamenite** modifikovanu biblioteku `pam_unix.so` u odgovarajućem direktorijumu.
4. **Testiranje**:
- Pristup je odobren preko različitih servisa (login, ssh, sudo, su, screensaver) sa unapred definisanom šifrom, dok normalni procesi autentikacije ostaju nepromenjeni.

{% hint style="info" %}
Možete automatizovati ovaj proces sa [https://github.com/zephrax/linux-pam-backdoor](https://github.com/zephrax/linux-pam-backdoor)
{% endhint %}

{% hint style="success" %}
Naučite i vežbajte hakovanje AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Naučite i vežbajte hakovanje GCP-a: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Podržite HackTricks</summary>

* Proverite [**planove pretplate**](https://github.com/sponsors/carlospolop)!
* **Pridružite se** 💬 [**Discord grupi**](https://discord.gg/hRep4RUj7f) ili [**telegram grupi**](https://t.me/peass) ili nas **pratite** na **Twitteru** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Podelite hakovanje trikova slanjem PR-ova na** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repozitorijume.

</details>
{% endhint %}