NFsec Logo

AGGR3SS0R Toolbox

Napisał: Patryk Krawaczyński

30/11/2023 w Techblog Możliwość komentowania AGGR3SS0R Toolbox została wyłączona

Aktualizacja w każdy: Poniedziałek

DNS info:
SSL info:
URL info:
Domain info:
IP info:
Host info:
Proxy info:
Phishing info:
Malware info:
Malware samples:
Threat Intelligence:
OSINT:
Support Tools:
User leak:

Ostatnia aktualizacja: 27.01.2025 21:50

Używanie utmpdump do wykrywania manipulacji plikami logowań

Napisał: Patryk Krawaczyński

30/10/2022 w Bezpieczeństwo Możliwość komentowania Używanie utmpdump do wykrywania manipulacji plikami logowań została wyłączona

Z

narzędziem utmpdump spotkaliśmy się pierwszy razy przy okazji ściągawki z informatyki śledczej w wykrywaniu włamań za pomocą linii poleceń Linuksa. W tym wpisie rozwinę trochę użycie tego narzędzia i pokażę jak można go użyć od strony defensywnej, jak i ofensywnej. Pozornie nieznane przez wielu polecenie utmpdump jest doskonałym narzędziem do wykrywania manipulacji na plikach logowań. Jeśli chodzi o system Linux to często możemy polegać na następujących trzech artefaktach w celu określenia czynności logowania i wylogowywania użytkowników:

  • /var/run/utmp – plik utmp pozwala odkryć informacje o tym, kto aktualnie korzysta z systemu.
  • /var/log/wtmp – plik wtmp rejestruje wszystkie logowania i wylogowania. Jego format jest dokładnie taki jak utmp, z tą różnicą, że pusta nazwa użytkownika wskazuje na wylogowanie z powiązanego terminala. Co więcej, nazwa terminala “~” z nazwą użytkownika “shutdown” lub “reboot” wskazuje na zamknięcie lub ponowne uruchomienie systemu.
  • /var/log/btmp – plik btmp zawiera wszystkie złe próby logowania do systemu.

Ponieważ pliki utmp, wtmp i btmp zawierają dane logowania wszystkich użytkowników, są one głównym celem modyfikacji lub usuwania wpisów przez intruzów i złośliwe oprogramowanie. Wiele rodzajów malware dla systemu Linux po prostu usunie te pliki i zastąpi je plikami o zerowej długości bajtów. Bardziej wyrafinowani napastnicy podejmują próbę wyczyszczenia poszczególnych wpisów jednak jest to trudniejszy sposób na zacieranie śladów i łatwo go zauważyć.
[ czytaj całość… ]

Twitter @nfsec_pl
Dołącz do NFsociety
RSS via e-mail