T1003.008: /etc/passwd 和 /etc/shadow

摘要

攻击者可能尝试转储 <code>/etc/passwd</code> 和 <code>/etc/shadow</code> 的内容，以实现离线密码破解。大多数现代 Linux 操作系统使用 <code>/etc/passwd</code> 和 <code>/etc/shadow</code> 的组合来存储用户账户信息，其中密码哈希存储在 <code>/etc/shadow</code> 中。默认情况下，<code>/etc/shadow</code> 仅可由 root 用户读取。(Citation: Linux Password and Shadow File Formats) Linux 将用户 ID、组 ID、主目录路径和登录 shell 等用户信息存储在 <code>/etc/passwd</code> 中。系统上的“用户”可能属于某个人或某个服务。所有密码哈希都存储在 <code>/etc/shadow</code> 中——包括无密码用户以及已锁定或已禁用账户的条目。(Citation: Linux Password and Shadow File Formats) 攻击者可能尝试通过 <code>cat</code> 命令等命令行实用程序读取或转储 Linux 系统上的 <code>/etc/passwd</code> 和 <code>/etc/shadow</code> 文件。(Citation: Arctic Wolf) 此外，Linux 实用程序 <code>unshadow</code> 可用于将这两个文件合并为适合 John the Ripper 等密码破解实用程序的格式——例如，通过命令 <code>/usr/bin/unshadow /etc/passwd /etc/shadow > /tmp/crack.password.db</code>(Citation: nixCraft - John the Ripper)。由于存储在 <code>/etc/passwd</code> 中的用户信息与 <code>/etc/shadow</code> 中的密码哈希相关联，攻击者需要同时拥有对两者的访问权限。