„uebung3/logbuch_a2.md“ ändern
parent
f7284bc359
commit
4390c28b50
|
|
@ -7,6 +7,7 @@ ___
|
|||
**[15.04.2023 20:18:53 UTC+2]**: Die Datei wird mit 7-Zip [64] 16.02 entpackt.
|
||||
>$ 7z e image3.zip
|
||||
Folgender Output wird dabei erzeugt:
|
||||
```
|
||||
7-Zip [64] 16.02 : Copyright (c) 1999-2016 Igor Pavlov : 2016-05-21
|
||||
p7zip Version 16.02 (locale=en_US.UTF-8,Utf16=on,HugeFiles=on,64 bits,3 CPUs Intel(R) Core(TM) i5-8265U CPU @ 1.60GHz (806EC),ASM)
|
||||
|
||||
|
|
@ -27,10 +28,11 @@ Physical Size = 5021389400
|
|||
|
||||
Archives with Errors: 1
|
||||
Open Errors: 1
|
||||
|
||||
```
|
||||
**[15.04.2023 20:29:42 UTC+2]**: Mit fdisk -l wird nun die Partitionstabelle aufgerufen:
|
||||
>$ sudo fdisk -l image.img
|
||||
Der Command generiert folgenden Output:
|
||||
```
|
||||
Disk image.img: 20 GiB, 21474836480 bytes, 41943040 sectors
|
||||
Units: sectors of 1 * 512 = 512 bytes
|
||||
Sector size (logical/physical): 512 bytes / 512 bytes
|
||||
|
|
@ -42,12 +44,13 @@ Device Start End Sectors Size Type
|
|||
image.img1 2048 4095 2048 1M BIOS boot
|
||||
image.img2 4096 1054719 1050624 513M EFI System
|
||||
image.img3 1054720 41940991 40886272 19.5G Linux filesystem
|
||||
|
||||
```
|
||||
|
||||
|
||||
**[15.04.2023 20:34:02 UTC+2]**: Es wird die Partitionstabelle mit mmls über The Sleuth Kit Version 4.11.1 aufgerufen:
|
||||
>$ mmls -B image.img
|
||||
Dabei wird folgender Output generiert:
|
||||
```
|
||||
GUID Partition Table (EFI)
|
||||
Offset Sector: 0
|
||||
Units are in 512-byte sectors
|
||||
|
|
@ -61,15 +64,16 @@ Units are in 512-byte sectors
|
|||
005: 001 0000004096 0001054719 0001050624 0513M EFI System Partition
|
||||
006: 002 0001054720 0041940991 0040886272 0019G
|
||||
007: ------- 0041940992 0041943039 0000002048 1024K Unallocated
|
||||
|
||||
```
|
||||
**[01.05.2023 16:24:03 UTC+2]**: Es wird die größte Partition des Images image.img in die Datei image_dd gedumped. Um den Status-Fortschritt während des Dumpens anzeigen zu lassen, setzen wir den Status auf "progress". Damit der Dump während eines Fehlers nicht angehalten wird, wird conv auf sync,noerror gesetzt. Um nichts von der Ausgabe abzuschneiden, wird zusätzlich notrunc gesetzt. Zudem werden 512 große Byte-Blöcke gedumped, wobei die ersten 1054720 Blöcke geskippt werden, und mit count wird die Anzahl der zu dumpenden Blöcke festgelegt.:
|
||||
>$ dd if=image.img of=image_dd status=progress conv=notrunc,sync,noerror bs=512 skip=1054720
|
||||
Folgende Ausgabe wird dabei erzeugt:
|
||||
```
|
||||
20905252352 bytes (21 GB, 19 GiB) copied, 502 s, 41.6 MB/s
|
||||
40886272+0 records in
|
||||
40886272+0 records out
|
||||
20933771264 bytes (21 GB, 19 GiB) copied, 502.408 s, 41.7 MB/s
|
||||
|
||||
```
|
||||
**[01.05.2023 16:42:34 UTC+2]**: Die Image-Datei wird mit dem folgenden Command gemountet.
|
||||
>$ sudo mount -t auto image_dd ./mnt/U3-mnt
|
||||
|
||||
|
|
@ -78,11 +82,13 @@ Folgende Ausgabe wird dabei erzeugt:
|
|||
Anschließend wird mit folgendem Command der Inhalt des Ordners angezeigt:
|
||||
>$ ls
|
||||
Folgende Ausgabe wird dabei erzeugt:
|
||||
```
|
||||
bin boot cdrom dev etc home lib lib32 lib64 libx32 lost+found media mnt opt proc root run sbin snap srv swapfile sys tmp usr var
|
||||
|
||||
```
|
||||
**[01.05.2023 16:58:36 UTC+2]**: Um an eine Liste aller Login-Daten (und somit aller Benutzer) zu bekommen, muss zunächst mit folgendem Command die etc/passwd-Datei untersucht werden:
|
||||
>$ sudo cat passwd
|
||||
Dabei werden die folgenden Login-Daten ausgegeben:
|
||||
```
|
||||
root:x:0:0:root:/root:/bin/bash
|
||||
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
|
||||
bin:x:2:2:bin:/bin:/usr/sbin/nologin
|
||||
|
|
@ -130,12 +136,13 @@ hplip:x:125:7:HPLIP system user,,,:/run/hplip:/bin/false
|
|||
gdm:x:126:132:Gnome Display Manager:/var/lib/gdm3:/bin/false
|
||||
dif:x:1000:1000:DIF,,,:/home/dif:/bin/bash
|
||||
systemd-coredump:x:999:999:systemd Core Dumper:/:/usr/sbin/nologin
|
||||
|
||||
```
|
||||
Jede Zeile steht für einen Login-Datensatz. Der erste Eintrag einer Zeile entspricht dem Benutzer, der zweite Eintrag gibt an, ob ein verschlüsseltes Passwort in der etc/shadow Datei vorliegt (x -> Passwort liegt vor).
|
||||
|
||||
**[01.05.2023 17:05:46 UTC+2]**: Es wird nun auch die etc/shadow Datei mit folgendem Command untersucht:
|
||||
>$ sudo cat shadow
|
||||
Dabei entsteht folgende Ausgabe:
|
||||
```
|
||||
root:!:19105:0:99999:7:::
|
||||
daemon:*:18912:0:99999:7:::
|
||||
bin:*:18912:0:99999:7:::
|
||||
|
|
@ -183,7 +190,7 @@ hplip:*:18912:0:99999:7:::
|
|||
gdm:*:18912:0:99999:7:::
|
||||
dif:$1$Al1JOy/e$nSQ5CgVYrz2WTfoeXQwH11:19105:0:99999:7:::
|
||||
systemd-coredump:!*:19105::::::
|
||||
|
||||
```
|
||||
Jede Zeile entspricht einem Login-Datensatz. Der erste Eintrag in der Zeile entspricht dem Benutzer und der zweite dem verschlüsselten Passwort. Da nur der Benutzer dif ein verschlüsseltes Passwort hat (* und ! bedeuten, dass die Authentifizierung über einen anderen Weg als über ein Passwort erfolgt. Meistens handelt es sich dabei um Systemprozesse etc), lässt sich daraus erschließen, dass “dif” der Benutzer des Systems ist.
|
||||
|
||||
**[01.05.2023 17:17:14 UTC+2]**: Um den vorangegangenen Verdacht zu bestätigen, wird das Filesystem nach dem entsprechenden Homeverzeichnis untersucht. Dafür muss zunächst in das mnt/U3-mnt/home Verzeichnis gewechselt werden mit folgendem Command:
|
||||
|
|
@ -191,7 +198,7 @@ Jede Zeile entspricht einem Login-Datensatz. Der erste Eintrag in der Zeile ents
|
|||
Anschließend wird der Inhalt des Verzeichnis mit folgendem Command geprüft:
|
||||
>$ ls
|
||||
Folgende Ausgabe wird dabei erzeugt:
|
||||
dif
|
||||
```dif```
|
||||
Somit ist bestätigt, dass es sich bei dem Nutzer um den Benutzer “dif” handeln muss.
|
||||
|
||||
**[01.05.2023 17:20:08 UTC+2]**: Es wird zurück auf den Desktop navigiert mit folgendem Command:
|
||||
|
|
@ -199,10 +206,10 @@ Somit ist bestätigt, dass es sich bei dem Nutzer um den Benutzer “dif” hand
|
|||
|
||||
**[07.05.2023 13:07:28 UTC+2]**: Eine Liste mit möglichen Passwörtern (Aufbau: \d\d[a-z]+\d\d , Zahlen von 0-4, Kleinbuchstaben d-i, Länge: 7 Zeichen) wird mit crunch erzeugt:
|
||||
|
||||
crunch 7 7 defghi + 01234 -t %%@@@%% -o passwortliste.txt
|
||||
>$ crunch 7 7 defghi + 01234 -t %%@@@%% -o passwortliste.txt
|
||||
|
||||
Dabei wird folgender Output generiert:
|
||||
|
||||
```
|
||||
Crunch will now generate the following amount of data: 1080000 bytes
|
||||
1 MB
|
||||
0 GB
|
||||
|
|
@ -211,13 +218,14 @@ Crunch will now generate the following amount of data: 1080000 bytes
|
|||
Crunch will now generate the following number of lines: 135000
|
||||
|
||||
crunch: 100% completed generating output
|
||||
|
||||
```
|
||||
**[07.05.2023 13:08:32 UTC+2]**: Das Passwort wird mit Hilfe des Tools John the Ripper (Version 1.9.) und der vorher erzeugten Wortliste geknackt:
|
||||
|
||||
>$ sudo john combined_file --wordlist=passwortliste.txt
|
||||
|
||||
Dabei wird folgender Output generiert:
|
||||
|
||||
```
|
||||
Warning: detected hash type "md5crypt", but the string is also recognized as "md5crypt-long"
|
||||
Use the "--format=md5crypt-long" option to force loading these as that type instead
|
||||
Using default input encoding: UTF-8
|
||||
|
|
@ -228,7 +236,7 @@ Press 'q' or Ctrl-C to abort, almost any other key for status
|
|||
1g 0:00:00:01 DONE (2023-05-07 07:08) 0.5434g/s 35686p/s 35686c/s 35686C/s 22dhh40..22dih23
|
||||
Use the "--show" option to display all of the cracked passwords reliably
|
||||
Session completed.
|
||||
|
||||
```
|
||||
Aus dem Output lässt sich ablesen, dass das Passwort des Nutzers dif “22dif04” ist und die Ermittlung des Passworts eine Sekunde gedauert hat.
|
||||
|
||||
**[07.05.2023 13:17:13 UTC+2]**: Nachdem wir in den Ordner des Benutzers im gemounteten Image gewechselt sind (>$ cd ./mnt/U3-mnt/home/dif), haben wir dort alle Dateien, Ordner sowie Unterordner anzeigen lassen:
|
||||
|
|
@ -236,7 +244,7 @@ Aus dem Output lässt sich ablesen, dass das Passwort des Nutzers dif “22dif04
|
|||
>$ ls -R
|
||||
|
||||
Dabei wird folgender Output generiert:
|
||||
|
||||
```
|
||||
Desktop Documents Downloads Music Pictures Public snap Templates Videos
|
||||
|
||||
./Desktop:
|
||||
|
|
@ -269,7 +277,7 @@ firefox
|
|||
./Templates:
|
||||
|
||||
./Videos:
|
||||
|
||||
```
|
||||
Anhand der Ausgabe können wir erkennen, dass der Nutzer dif den Browser Firefox heruntergeladen hat und die beiden Bilder im Pictures-Verzeichnis angelegt hat. Die beiden Bilder haben die Dateientypen png und webp, wie wir an der Ausgabe erkennen können. Die Bilder zeigen den afrikanischen Vogel Schuhschnabel.
|
||||
|
||||
|
||||
|
|
|
|||
Loading…
Reference in New Issue