Cuentas con shell inesperado

Cada línea del archivo de cuentas tiene siete campos separados por dos puntos: nombre, marca de contraseña, identificador de usuario, identificador de grupo, descripción, carpeta personal y shell. El último campo decide si la cuenta puede abrir una sesión interactiva. Las cuentas de servicio se crean con un shell de «sin acceso» precisamente para que nadie pueda entrar con ellas aunque conozca una clave.

La caza compara, cuenta por cuenta, el shell que tiene contra el shell aprobado. Las excepciones legítimas existen —un agente de copias que exige shell—, y por eso están escritas en la lista de aprobadas con su solicitud de cambio. Lo que no está escrito es lo cazable.

El identificador de usuario 0 es el del administrador del sistema: cualquier cuenta que lo tenga actúa con sus mismos poderes, sea cual sea su nombre. Por eso un segundo nombre con identificador 0 es una forma de persistencia que no depende de permisos de grupo ni de sudo, y no aparece en las revisiones que solo miran quién está en el grupo de administración. Es la huella de crear una cuenta local (T1136.001) con privilegios equivalentes.

Los nombres no cuentan: el que se llama «soporte» o «respaldo» es tan administrador como el que se llama «root» si su identificador es 0. Se caza por el número, no por el nombre.

Abre el laboratorio. En /srv/cdm-lnx-app01 tienes passwd y cuentas-aprobadas.txt. Varias cuentas tienen un intérprete de comandos y la mayoría están aprobadas: administradores y un agente de copias que lo exige, con su solicitud. Busca la cuenta de servicio que tiene intérprete y no está en la lista de aprobadas, sin contar la que tiene identificador 0, que es el hallazgo de la siguiente tarea.

Repite la lectura con la otra anomalía: en el mismo listado, una cuenta que no se llama root comparte el identificador del administrador. Tampoco figura en la lista de aprobadas. grep busca una cadena dentro de un archivo, y el identificador es el tercer campo de cada línea.

El listado de cuentas dice qué existe; el archivo de últimos accesos dice qué se usó. Cruzarlos separa una cuenta olvidada de una cuenta en uso. Para la cuenta de servicio con el shell que nadie aprobó, el origen de su último acceso es lo que decide si es una puerta propia de la empresa o una persona fuera de ella: las direcciones internas de Cordeles empiezan por 172.22, y las externas usan rangos de documentación.