El punto clave es que los Pentesters / white-hats / ethics hackers, así como el black-hat /etc/passwd
como objetivo proof of concept
, como prueba de la posibilidad de obtener acceso a un sistema.
Técnicamente /etc/passwd
no es tan aterrador. En el pasado, solía almacenar datos privados, contraseñas obviamente, pero a partir de hoy debería preocuparse más /etc/shadow
: la mayoría de los sistemas Linux en la actualidad usan un shadow
conjunto de utilidades para mantener una contraseña codificada y salada /etc/shadow
, que a diferencia de /etc/passwd
no es el mundo -legible. (a menos que use el pwunconv
comando, que en realidad mueve las contraseñas hash de nuevo a `/ etc / passwd).
La única información más o menos sensible son los nombres de usuario. Si tiene sshd
o telnet
en el servidor y un nombre de usuario con contraseña débil, existe la posibilidad de un ataque de fuerza bruta.
Por cierto, tu misma pregunta ya se ha hecho antes . Aquí me limité a repetir algunos de los conceptos mencionados allí.
Pequeña adición: esto es un poco exagerado, pero he notado que tiene bash
como shell raíz. Ahora, supongamos que tiene un usuario en el sistema que tiene bash
como caparazón, aún peor: ese usuario es sudoer. Ahora, si bash está desactualizado o sin parchear, un atacante podría tratar de explotar la vulnerabilidad Shellshock para robar datos o ejecutar una bomba tenedor que derribe su sistema temporalmente. Entonces sí, técnicamente /etc/passwd
no es un gran problema, pero le da al atacante una idea de parte de la información sobre qué intentar
Edición adicional, 18/11/2016
Después de haber usado un servidor Ubuntu en Digital Ocean durante un tiempo, me llamó la atención que la mayoría de los ataques de fuerza bruta contra mi servidor se llevaron a cabo para el root
usuario: el 99% de las entradas para la contraseña fallida /var/log/auth.log
fueron para root
. /etc/password
, como mencioné antes, el atacante observa la lista de usuarios, y no solo los usuarios del sistema, sino también los usuarios humanos, lo que significa más lugares potenciales para el ataque. Recordemos que no todos los usuarios son conscientes de la seguridad y no siempre crean una contraseña segura, por lo que la apuesta de un atacante por error humano o exceso de confianza tiene una probabilidad bastante alta de ser un premio gordo.