Si la vérification de confiance d'hôte n'accorde pas l'accès, rlogin demande un mot de passe, et comme tout dans les r-commands ce mot de passe traverse le réseau sans chiffrement. Un attaquant sur le chemin capture le nom d'utilisateur et le mot de passe directement depuis le flux, plus la session interactive complète qui suit. Cela donne un identifiant réutilisable sans aucun du bruit de la force brute, aucun enregistrement de connexion échouée, aucun verrouillage, et le compte capturé est généralement réutilisé à travers l'environnement hérité où les r-commands persistent.
# capture the cleartext rlogin login and session
tcpdump -i eth0 -A port 513 -w rlogin.pcap
tshark -r rlogin.pcap -q -z follow,tcp,ascii,0 # reassemble login + session
Notes d'exploitation#
- La capture bat la devinette : une connexion rlogin interceptée livre l'identifiant exact discrètement, donc privilégiez-la partout où une position sur le chemin existe, le même raisonnement que le sniffing de mot de passe Telnet.
- Toute la session est également capturée, exposant commandes, sorties et tout identifiant secondaire saisi, voir capture de commande/session.
- L'identifiant est généralement réutilisable sur d'autres hôtes hérités et parfois d'autres services ; testez-le largement.
- Nécessite une position sur le chemin/en dérivation ; combinez avec l'abus de confiance (qui ne nécessite aucun mot de passe) selon que la confiance ou un mot de passe est en usage.