keepass_dumper.py

نسخة Python من vdohney/keepass-password-dumper (CVE-2023-32784) — كل الفضل في تنفيذ C# الأصلي والتقنية الأساسية يعود إلى vdohney.

يقوم السكربت بفحص تفريغ ذاكرة العملية بحثًا عن سلاسل العرض المتبقية التي يتركها SecureTextBoxEx الخاص بـ KeePass 2.x خلفه أثناء قيام المستخدم بكتابة كلمة المرور الرئيسية، ويستعيد كل حرف من كلمة المرور باستثناء الحرف الأول. اختياريًا، يقوم بعد ذلك بفرض الحرف الأول المجهول ضد ملف KDBX باستخدام keepassxc-cli.

الإصدارات المتأثرة

• قابلة للاستغلال: KeePass 2.53.1 والإصدارات الأقدم (Windows و Linux).
• تم الإصلاح: KeePass 2.54 والإصدارات الأحدث.
• KeePassXC و KeePass 1.x و Strongbox غير متأثرة.

الخلل يكمن في عنصر التحكم المخصص SecureTextBoxEx: لكل حرف يتم كتابته، يحتفظ .NET بسلسلة متبقية في الذاكرة المُدارة بالشكل ●a, ●●s, ●●●s, … والتي يمكن من خلالها استعادة كل حرف من كلمة المرور بعد الحرف الأول.

متطلبات الهجوم وقيوده

• يتطلب أثرًا في الذاكرة لعملية KeePass: تفريغ عملية، ملف الصفحة/التبديل، ملف الإسبات، تفريغ تعطل النواة، أو التقاط كامل لذاكرة الوصول العشوائي. لا حاجة لتنفيذ كود على الجهاز المستهدف.
• يعمل سواء كان مساحة العمل مقفلة أو مفتوحة، وحتى بعد خروج عملية KeePass (طالما أن صفحات الذاكرة باقية في مكان ما).
• الحرف الأول من كلمة المرور غير قابل للاستعادة من التسريب.
• يلتقط التسريب الأحرف القابلة للطباعة ASCII بشكل موثوق؛ الأحرف غير ASCII أقل موثوقية.
• قد تنتج كلمات مرور رئيسية متعددة تم إدخالها في نفس الجلسة سلاسل متبقية متداخلة وتقلل من الدقة.

التخفيف

إذا كنت تستخدم KeePass ≤ 2.53.1، افترض أن كلمة المرور الرئيسية معرضة للخطر:

1. قم بتحديث KeePass إلى 2.54 أو أحدث.
2. غيّر كلمة المرور الرئيسية (وقم بتدوير أي أسرار عالية القيمة مخزنة في قاعدة البيانات تم إدخالها أثناء استخدام كلمة المرور القديمة).
3. قم بتطهير آثار الذاكرة التي قد لا تزال تحتوي على السلاسل المتبقية:
   • احذف تفريغات التعطل (مثل C:\Windows\memory.dmp),
   • عطّل/امسح الإسبات (powercfg /h off على Windows),
   • احذف أو امسح ملف الصفحة/التبديل,
   • اكتب فوق مساحة القرص الحرة (مثل cipher /w: على Windows) حتى لا يمكن استخراج البقايا من القطاعات المخصصة سابقًا,
   • أعد التشغيل — أو، لسيناريوهات الضمان العالي، أعد تثبيت نظام التشغيل.

المتطلبات

• Python 3.10+ (المكتبة القياسية فقط — لا حزم خارجية)
• keepassxc-cli في $PATH (مطلوب فقط لـ --kdbx)

التثبيت

على Debian / Ubuntu، قم بتثبيت KeePassXC CLI إذا كنت تخطط لفرض القوة الغاشمة:

sudo apt install keepassxc

الاستخدام

# استعادة الأحرف المرشحة وطباعتها
python3 keepass_dumper.py memory.dmp

# تفريغ قائمة المرشحين المولدة إلى ملف
python3 keepass_dumper.py memory.dmp -p candidates.txt

# الاستعادة وفرض الحرف الأول المفقود ضد KDBX
python3 keepass_dumper.py memory.dmp --kdbx db.kdbx

شغّل python3 keepass_dumper.py --help للحصول على قائمة الخيارات الكاملة.

ما يختلف عن الأصل

• مرشح فحص أكثر إحكامًا (أحرف ASCII قابلة للطباعة افتراضيًا) لتقليل النتائج الإيجابية الخاطئة.
• مجموعة أحرف مرتبة حسب الأولوية (الحروف ← الأرقام ← علامات الترقيم الشائعة ← الباقي) بحيث يتم تجربة المرشحين الأكثر احتمالًا أولاً.
• قارئ تفريغ قائم على mmap، شريط تقدم بخط واحد، إخراج أكثر هدوءًا.