T1556.003: 可插入身份验证模块

摘要

攻击者可能修改可插入身份验证模块（PAM）以访问用户凭据或启用对账户的未经授权访问。PAM 是一个由配置文件、库和可执行文件组成的模块化系统，指导许多服务的身份验证。最常见的身份验证模块是 <code>pam_unix.so</code>，它检索、设置和验证 <code>/etc/passwd</code> 和 <code>/etc/shadow</code> 中的账户身份验证信息。(Citation: Apple PAM)(Citation: Man Pam_Unix)(Citation: Red Hat PAM) 攻击者可能修改 PAM 系统的组件以创建后门。PAM 组件（如 <code>pam_unix.so</code>）可以被修补以接受攻击者提供的任意值作为合法凭据。(Citation: PAM Backdoor) 对 PAM 系统的恶意修改也可能被滥用来窃取凭据。攻击者可能用代码感染 PAM 资源以收集用户凭据，因为与 PAM 组件交换的值可能是明文，因为 PAM 不存储密码。(Citation: PAM Creds)(Citation: Apple PAM)