Pourquoi tout le monde est-il si préoccupé par etc / passwd?

Voici le contenu de ma machine vagabonde de ce fichier particulier:

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/us$
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
syslog:x:100:103::/home/syslog:/bin/false

Quelqu'un pourrait-il m'expliquer pourquoi il est mauvais qu'un type maléfique puisse récupérer ce fichier de mon serveur de production?

Le point clé est que les pentesters / chapeaux blancs / hackers éthiques ainsi que la cible black-hat en /etc/passwd tant proof of conceptque test de la possibilité d'accéder à un système.

Techniquement, /etc/passwdn'est-ce pas effrayant? Dans le passé , utilisé pour stocker des données privées, les mots de passe de toute évidence, mais de nos jours , vous aurez besoin d'être plus inquiet /etc/shadow- la plupart des systèmes Linux utilisent aujourd'hui shadowsuite d'utilitaires pour garder un mot de passe et haché salé /etc/shadow, qui , contrairement à /etc/passwdn'est pas monde -lisible. (sauf si vous utilisez la pwunconvcommande qui ramène les mots de passe hachés dans `/ etc / passwd).

Les noms d'utilisateur sont la seule information plus ou moins sensible. Si vous avez sshdou telnetsur le serveur et un nom d'utilisateur avec un mot de passe faible, une attaque par force brute est possible.

En passant, votre même question a déjà été posée . Ici, je me suis contenté de reformuler certains des concepts déjà mentionnés.

Petit ajout: c'est un peu tiré par les cheveux, mais j'ai remarqué que vous avez bashcomme shell racine. Supposons maintenant que vous avez un utilisateur sur le système qui a bashpour shell, pire encore: cet utilisateur est sudoer. Désormais, si votre bash est obsolète ou n’a pas été corrigé, un attaquant pourrait tenter d’exploiter la vulnérabilité de Shellshock afin de voler des données ou d’exécuter une bombe à la fourche afin d’arrêter temporairement votre système. Donc oui, techniquement, ce /etc/passwdn’est pas un gros problème, mais cela donne à l’attaquant une idée de certaines informations sur ce qu’il faut tenter.

Ajout supplémentaire, 18/11/2016

Après avoir utilisé un serveur Ubuntu sur Digital Ocean pendant un certain temps, il m’a été signalé que la plupart des attaques par force brute dirigées contre mon serveur étaient commises pour un rootutilisateur - 99% des entrées pour mot de passe ayant échoué /var/log/auth.logétaient destinées root. /etc/password, comme je l'ai déjà mentionné, donne à l'attaquant un aperçu de la liste des utilisateurs, et pas seulement des utilisateurs du système, mais également des utilisateurs, ce qui signifie davantage de lieux potentiels d'attaque. Rappelons-nous que tous les utilisateurs ne sont pas conscients de la sécurité et ne créent pas toujours un mot de passe fort. Par conséquent, le pari de l'attaquant sur une erreur humaine ou une confiance excessive a une probabilité assez élevée d'être un jackpot.

Pour vous connecter à une machine, vous devez connaître à la fois le nom d'utilisateur et le mot de passe.

/etc/passwd fournit des informations sur les utilisateurs qui vous fournissent la moitié des informations dont vous avez besoin et incluaient un hachage de votre mot de passe.

Un hachage étant quelque chose calculé à partir de votre mot de passe. Il est difficile de trouver un mot de passe à partir d'un hachage, mais pas l'inverse. Si vous avez les deux, vous pouvez essayer avec une force brutale de trouver le mot de passe hors connexion, puis essayez uniquement de vous connecter à l'ordinateur une fois que vous l'avez trouvé.

Aujourd'hui, la sécurité est améliorée car les hachages sont stockés dans un fichier différent /etc/shadowqui, par défaut, n'est pas lisible par la plupart des utilisateurs.

Mais, si j'avais accès aux deux /etc/passwdet que /etc/shadowje pourrais probablement trouver votre mot de passe en utilisant une attaque par «dictionnaire» de force brute. Comme je peux le faire localement sur ma machine, vous ne remarquerez pas de nombreuses tentatives infructueuses pour trouver votre mot de passe et je n’aurais plus besoin que de vous reconnecter à votre machine une fois que je connaissais le mot de passe. Je suis alors libre de faire ce que je veux.

Il y a plus d'informations ici sur Wikipedia