Ключевым моментом является то, что Пентестеры / белые шляпы / этические хакеры, а также черные шляпы /etc/passwd
как цель proof of concept
, как тест на возможность получения доступа к системе.
Технически /etc/passwd
это не так страшно. В прошлом он используется для хранения личных данных, паролей , очевидно, но в настоящее время вы должны были бы быть более обеспокоены /etc/shadow
- большинство систем Linux в настоящее время используют shadow
набор утилита , чтобы сохранить хешированную и соленый пароль /etc/shadow
, который в отличии от /etc/passwd
не мир -удобочитаемый. (если вы не используете pwunconv
команду, которая фактически перемещает хешированные пароли обратно в `/ etc / passwd).
Единственная более или менее конфиденциальная информация - это имена пользователей. Если у вас есть sshd
или telnet
на сервере и имя пользователя со слабым паролем, существует вероятность атаки методом перебора.
Кстати, ваш самый тот же вопрос был задан ранее . Здесь я просто изложил некоторые из концепций, упомянутых там уже.
Небольшое дополнение: это немного надумано, но я заметил, что у вас есть bash
root-оболочка. Теперь предположим, что у вас в системе есть пользователь, у которого в bash
качестве оболочки даже хуже - этот пользователь sudoer. Теперь, если ваш bash устарел или не исправлен, злоумышленник может попытаться использовать уязвимость Shellshock, чтобы украсть данные или выполнить бомбу-бомбу , временно отключив вашу систему. Так что да, технически /etc/passwd
это не имеет большого значения, но оно дает злоумышленнику представление о том, что делать
Дополнительное редактирование, 18.11.2016
Некоторое время использовав сервер Ubuntu в Digital Ocean, я обратил внимание, что большинство грубых атак на мой сервер было выполнено для root
пользователя - 99% записей для ошибочного пароля /var/log/auth.log
были root
. /etc/password
Как я уже упоминал ранее, злоумышленник видит список пользователей, и не только пользователей системы, но и пользователей, что означает больше потенциальных мест для атаки. Давайте помнить, что не все пользователи заботятся о безопасности и не всегда создают надежный пароль, поэтому ставка злоумышленника на человеческую ошибку или чрезмерную уверенность имеет довольно высокую вероятность получения джекпота.