3snake

3snake - استخراج السلاسل النصية المتعلقة ببيانات الاعتماد من sshd وsudo

إخلاء المسؤولية

كتبت هذا في الكلية

حول

يستهدف الخوادم المخترقة (rooted)، ويقرأ الذاكرة من استدعاءات النظام sshd وsudo التي تتعامل مع المصادقة القائمة على كلمة المرور. لا يكتب أي ذاكرة إلى العمليات المتتبَّعة. يُنشئ عملية جديدة لكل أمر sshd وsudo يتم تشغيله.

يستمع لحدث proc باستخدام مقابس netlink للحصول على العمليات المرشحة للتتبع. عند استلام عملية sshd أو sudo يتم إرفاق ptrace وتتبع استدعاءات النظام read وwrite، واستخراج السلاسل النصية المتعلقة بالمصادقة القائمة على كلمة المرور.

لا أحب حقًا حل زرع باب خلفي في openssh أو تثبيت وحدة نواة على الخوادم المستهدفة، لذا صنعت هذا.

البناء

make
./3snake -h
./3snake

الاستخدام

التشغيل في الطرفية الحالية ./3snake

العمل كخدمة خلفية (daemonize) وإخراج النتائج إلى ملف ./3snake -d -o "/tmp/output_file.txt"

الإعدادات

موجودة في config.h

• ROOT_DIR - الدليل الجذر عند العمل كخدمة خلفية (مسارات الملفات النسبية لخيار -o ستنتهي هنا)
• ENABLE_SSH - مصادقة كلمة المرور لخادم OpenSSH
• ENABLE_SUDO - مصادقة كلمة المرور لـ sudo
• ENABLE_SU (تجريبي) - مصادقة كلمة المرور لـ su
• ENABLE_SSH_CLIENT (تجريبي) - مصادقة كلمة المرور لعميل ssh
• ENABLE_PASSWD - تغييرات كلمة المرور عبر passwd

القيود

Linux، تمكين ptrace، نظام ملفات /proc مُثبَّت

المهام المتبقية

الميزات	X
مصادقة كلمة المرور لخادم OpenSSH	X
sudo	X
su	X
السلاسل النصية بالتعبيرات النمطية من العمليات	~
عميل ssh	X

• جعل عملية إضافة أدوات التتبع أكثر سلاسة
• Yubikey: طلب مفتاح yubikey ثانٍ من المستخدمين النهائيين، OpenSSH
• وضع إخراج يعرض أسماء المستخدمين/كلمات المرور فقط

التراخيص

MIT وكُتب هذا في الكلية