Root Passwort vergessen

[chr11223]

Hallo,
ich habe einen vroot server und mein rootpasswort aus versehen geändert und es dann vergessen. jetzt habe ich aber das problem, dass ich den server restarten musste (da gibts nen webinterface für) und nun funktinieren ts2 server irc server... nichtmehr. ich kann mich in die my sql dbs noch als root einloggen und ssh zugang habe ich auch noch durch einen normalen benutzer allerdings nur.
Gibt es eine möglichkeit, dass ich das Pw ändern kann, löschen kann oder den Server auf den Zustand von vor 1 Woche zurücksetzt?
Der Provider will 40€ dafür haben und das ist die 4 Faache Monatsrate. Würde ich nur ungerne bezahlen

[blackm]

Bitte keine technischen Fragen in Smalltalk.

by, Martin

[chr11223]

mhh keiner ne idee?

[comes]

wenn man das ändern oder löschen könnte, wäre Linux ja nicht sicher oder?

es geht nicht! zumindest nicht über fernzugriff und nicht über legale methoden!

[KBDCALLS]

Hast du einen Zugang über SSH oder über eine Rettngskonsole die du starten kannts.

[8ull23y3]

Wenn du da dran kommst die Passwörter befinden sich 1. etc/passwd wenn da x an zeiter stelle steht sind die Passwörter in der Datei shadow zum Glück hatte ich noch ein Backup der Datei die Debian ja glücklicherweise nach dem editieren anlegt. Da ich aber nicht mehr als root irgendwo ran kam konnte ich diese Datei aber weder umbenennen noch die fehlerhafte löschen. Ich musste den Umweg mittels eines Knoppix das ich hier rumfliegen hatte gehen jetz läuft alles wieder.

[Savar]

hmm... kannst du als User noch was kompilieren?

[8ull23y3]

Kompilieren wirste schon können aber ein make install wird nicht mehr funktionieren wenn was in geschütze Ordner reininstalliert werden soll.

[Savar]

es gibt aber (pssst) auch ein paar Exploits mit denen man als Normaluser (wenn nicht schon gepatcht) die /etc/shadow kopiert werden kann.. danach "john" draufjagen und hoffen..

[chr11223]

exploit seiten kenne ich
ssh habe ich als normaler user

root0:0:root:/root:/bin/bash
web1636:106::/var/www/web1:/bin/bash

web1 habe ich noch

in die shadow komme ich so nicht

normal kompilieren müsste auch gehen.

kannst du mir zu den exploit hier noch irgendwas schreiben oder per pm, damit ich es leichter finden kann? weil ich nicht so genau weiß nach was ich suchen muss

john habe ich. habe auch cain, brutus, unsecure und was es in den bereich noch gibt
aber per unsecure z.b. nen bruteforce von meinen rechner aus scheint zu lange zu dauern


edit: ist folgendes exploit gemeint?

Code: Alles auswählen

* lame, oversophisticated local root exploit for kmod/ptrace bug in linux
 * 2.2 and 2.4
 * 
 * have fun
 */

#define ANY_SUID	"/usr/bin/passwd"

#include <stdio.h>
#include <string.h>
#include <stdlib.h>
#include <unistd.h>
#include <sys/ptrace.h>
#include <linux/user.h>
#include <signal.h>
#include <fcntl.h>
#include <sys/wait.h>
#include <sys/stat.h>
#include <asm/ioctls.h>
#include <getopt.h>

will nicht alles posten, weil ich nicht weiß ob man das heir darf

[KBDCALLS]

Was iich meinte kannst du mit der SSH und Key auf den Rechner?

Code: Alles auswählen

 ssh -l root biljana.matthias.uccnet.de 

So zum Beispiel. Wenn du deinen Key da hinterlegt hast brauchst du kein Passwort.

[chr11223]

zuhause habe ich windof xp

also denke ich mal ich solls eingeben wenn ich per user web1 eingeloggt bin (auf den server) oder? server ist spacehunters.de

web1@spacehunters:~$ ssh -l root spacehunters.de
The authenticity of host 'spacehunters.de (62.75.245.142)' can't be established.
RSA key fingerprint is fa:96:06:48:b5:6d:a7:ef:c5:39:fa:31:63:8f:6c:3b.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'spacehunters.de,62.75.245.142' (RSA) to the list of known hosts.
Password:

[woodymask]

Wenn du von web1 redest, klingt es, als hättest du Confixx installiert. Geh mal in /var/www/confixx/html. Wenn du Glück hast, kannst du das Root-Passwort aus der Datei settings.dat auslesen (nach Neuinstallation bei gewissen anbietern ist sie meist ungeschützt und für jeden zugänglich)

[chr11223]

danke aber das weiß ich.
leider steht da das alte. ich habs ja manuell mit passwd geändert.
ich weiß immer noch nicht wie ich das geschafft hab
jedenfalls steht in der datei das alte pw

[Joghurt]

Dann wirst du wohl den Support deines Hosters bitten müssen, dass Kennwort zurückzusetzen.

[woodymask]

In der Datei steht auch das cofixx-passwort drin; der Benutzer ist auch ziemlich mächtig.
Versuch mal damit irgednwas zu bewerkstelligen

Ansonsten Neuinstallation

[chr11223]

<?
#### CONFIXX PHP CONFIG FILE ####
### created at Tue May 17 01:11:43 2005 ###

$version = '1.6.4';
$langfileversion = '2003';
$user_prefix = 'web'; # do not edit!!
$hostname = 'vs245142.vserver.de';
$bindir = '/var/www/confixx/bin';

$db_type = 'mysql';
$db_db = 'confixx';
$db_host = 'localhost';
$db_user = 'confixx';
$db_pass = 'xxxxxx'; <----------------------dieses pw geht für die datenbank.
$mysql_user_host = 'localhost';
$mysql_user_user = 'root';
$mysql_user_pass = 'xxxxxxxxxxxxxx'; <-------------dieses pw geht für die datenbank.
$mysql_host = 'localhost';

aber wenn ich su confixx mache und da dann das pw was ich durch die xxx ersetzt hab eingebe gehts net

alles klar
confixx631:/var/www/confixx:/bin/false
ausser passwd also hat der user ja kein ssh


ok er hat kein ssh aber kann man da nicht was machen? ich kann per confixx im inet ja user pws ändern... daraus folgt eigentlich, dass der user zugriff zur shadow hat. oder macht confixx das mit uid oder wie das heißt von root und die confixx dateien sind im root verzeichnis wo ich nciht drankomme?

[chr11223]

so habe das verschlüsselte pw nun
jetzt muss ichs entschlüsseln. md5 ist es leider nicht wo sehe ich denn welche verschlüsselung verwendet wird?

[Joghurt]

$1$....$.... -> MD5
$....$... -> crypt

Einfach die shadow-Datei durch John jagen. Wenn du allerdings ein sicheres Kennwort hast, wird es dir nicht viel nützen.

Wie bist du an das Kennwort herangekommen? Wenn du die /etc/shadow editieren kannst, kannst du das gespeicherte Kennwort einfach durch einen dir bekannten Hash ersetzen.

[chr11223]

root:$1$zFigglP/$5a7oBKkKAnQ047SXqNFPf.:12974:0:99999:7:::
so siehts aus. habe nur nen paar zahlen geändert.
ich habe heute bemerkt, dass ich lese rechte zur shadow hatte
aber schreibrechte nicht.
wie muss ich das in john eingeben? richtiges md5 ist es ja nciht oder? sonst würde ich mit rainbow tables rangehen

[Wikinator]

wenn du sudo installiert und konfiguriert hast, kannst du es vielleicht mit "sudo passwd" ohne root-passwort ändern.

[chr11223]

sudo leider nicht

also ich habe jetzt die shadow datei
habe festgestellt, dass die verschlüsselung zwar md5 ist aber mit salt
versuchs grade mit john.
geht aber sehr langsam und da ich die buchstaben in den pw ca. 10 und die länge auch ca. 10 weiß ist john auch ungeeigenet, weil man dort nicht best. buchstaben definieren kann kennt einer nen besseres prog

[Joghurt]

Nochmal: warum bittest du nicht den Support, das root-Kennwort zurückzusetzen?

[woodymask]

Weil die sowas nicht können...
wenn dann an die technische Beratung

[chr11223]

weils 4mal soviel kostet wie die monatsrate ist.
das muss doch auch anders zu schaffen sein