peetch

peetch هي مجموعة من الأدوات تهدف إلى تجربة جوانب مختلفة من eBPF لتجاوز حماية بروتوكول TLS.

حاليًا، تتضمن peetch ثلاثة أوامر فرعية. الأول يسمى dump يهدف إلى التقاط حركة مرور الشبكة من خلال ربط معلومات عن العملية المصدر بكل حزمة. الثاني يسمى tls يسمح بتحديد العمليات التي تستخدم OpenSSL لاستخراج المفاتيح التشفيرية. الثالث proxy يعترض تلقائيًا حركة مرور TLS من العمليات التي تستخدم OpenSSL ويفك تشفير الرسائل أثناء التنقل.

بالدمج، يجعل الأمران الأولان من الممكن فك تشفير تبادلات TLS المسجلة بصيغة PCAPng.

التثبيت

يعتمد peetch على عدة تبعيات بما في ذلك bcc و Scapy. يمكن بناء صورة Docker بسهولة لاختبار peetch باستخدام الأمر التالي:

docker build -t quarkslab/peetch .

استعراض الأوامر

تفترض الأمثلة التالية أنك استخدمت الأمر التالي لدخول صورة Docker وتشغيل الأمثلة داخلها:

docker run --privileged --network host --mount type=bind,source=/sys,target=/sys --mount type=bind,source=/proc,target=/proc --pid host --rm -it quarkslab/peetch

`dump`

يمنحك هذا الأمر الفرعي القدرة على التقاط الحزم باستخدام مصنف TC من eBPF واسترداد معرفات العمليات وأسماء العمليات المقابلة باستخدام:

peetch dump
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https S / Padding
curl/1289291 - Ether / IP / TCP 208.97.177.124:https > 10.211.55.10:53052 SA / Padding
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https A / Padding
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https PA / Raw / Padding
curl/1289291 - Ether / IP / TCP 208.97.177.124:https > 10.211.55.10:53052 A / Padding

لاحظ أنه حتى الآن، dump يلتقط فقط مقاطع TCP المعتمدة على IPv4.

للتيسير، يمكن تخزين الحزم الملتقطة إلى PCAPng مع معلومات العملية باستخدام --write:

peetch dump --write peetch.pcapng
^C

يمكن معالجة ملف PCAPng هذا بسهولة باستخدام Wireshark أو Scapy:

scapy
>>> l = rdpcap("peetch.pcapng")
>>> l[0]
<Ether  dst=00:1c:42:00:00:18 src=00:1c:42:54:f3:34 type=IPv4 |<IP  version=4 ihl=5 tos=0x0 len=60 id=11088 flags=DF frag=0 ttl=64 proto=tcp chksum=0x4bb1 src=10.211.55.10 dst=208.97.177.124 |<TCP  sport=53054 dport=https seq=631406526 ack=0 dataofs=10 reserved=0 flags=S window=64240 chksum=0xc3e9 urgptr=0 options=[('MSS', 1460), ('SAckOK', b''), ('Timestamp', (1272423534, 0)), ('NOP', None), ('WScale', 7)] |<Padding  load='\x00\x00' |>>>>
>>> l[0].comment
b'curl/1289909'

`tls`

يهدف هذا الأمر الفرعي إلى تحديد العمليات التي تستخدم OpenSSL ويسهل تفريغ عدة أشياء مثل النص العادي والأسرار.

بشكل افتراضي، سيعرض peetch tls سطرًا واحدًا لكل عملية، وتجعل الوسيطة --directions من الممكن عرض الرسائل المتبادلة:

peetch tls --directions
<- curl (1291078) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
-> curl (1291078) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256

يتم عرض محتوى مخزن OpenSSL المؤقت باستخدام --content.

peetch tls --content
<- curl (1290608) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256

   0000  47 45 54 20 2F 20 48 54 54 50 2F 31 2E 31 0D 0A  GET / HTTP/1.1..
   0010  48 6F 73 74 3A 20 77 77 77 2E 70 65 72 64 75 2E  Host: www.perdu.
   0020  63 6F 6D 0D 0A 55 73 65 72 2D 41 67 65 6E 74 3A  com..User-Agent:
   0030  20 63 75 72 6C 2F 37 2E 36 38 2E 30 0D 0A 41 63   curl/7.68.0..Ac

-> curl (1290608) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256

   0000  48 54 54 50 2F 31 2E 31 20 32 30 30 20 4F 4B 0D  HTTP/1.1 200 OK.
   0010  0A 44 61 74 65 3A 20 54 68 75 2C 20 31 39 20 4D  .Date: Thu, 19 M
   0020  61 79 20 32 30 32 32 20 31 38 3A 31 36 3A 30 31  ay 2022 18:16:01
   0030  20 47 4D 54 0D 0A 53 65 72 76 65 72 3A 20 41 70   GMT..Server: Ap

ستعرض وسيطات --secrets مفاتيح TLS الرئيسية المستخرجة من الذاكرة. يستخدم المثال التالي --write لكتابة المفاتيح الرئيسية لتبسيط فك تشفير رسائل TLS باستخدام Scapy:

(sleep 5; curl https://www.perdu.com/?name=highly%20secret%20information --tls-max 1.2 --http1.1 --tlsv1.2) &

peetch tls --write &
curl (1293232) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256

peetch dump --write traffic.pcapng
^C

# Add the master secret to a PCAPng file
editcap --inject-secrets tls,1293232-master_secret.log traffic.pcapng traffic-ms.pcapng

scapy
>>> load_layer("tls")
>>> conf.tls_session_enable = True
>>> l = rdpcap("traffic-ms.pcapng")
>>> l[13][TLS].msg
[<TLSApplicationData  data='GET /?name=highly%20secret%20information HTTP/1.1\r\nHost: www.perdu.com\r\nUser-Agent: curl/7.68.0\r\nAccept: */*\r\n\r\n' |>]

`proxy`

يستخدم هذا الأمر الفرعي برامج eBPF لاعتراض حركة مرور TLS تلقائيًا من العمليات التي تستخدم OpenSSL وفك تشفير الرسائل أثناء التنقل باستخدام Scapy.

في المثال التالي، يعرض peetch proxy قيمة سرية مرسلة إلى خادم بواسطة عملية openssl.

peetch proxy
[-] Proxying OpenSSL traffic
[+] Intercepting traffic from openssl/451255 to 172.67.133.176/443 via 127.0.0.1/58039
    --> 127.0.0.1:58039 > 172.67.133.176:https tcp
    <-- 172.67.133.176:https > 127.0.0.1:58039 tcp
    --> 127.0.0.1:58039 > 172.67.133.176:https tcp
    <-- 172.67.133.176:https > 127.0.0.1:58039 tcp
    --> 127.0.0.1:58039 > 172.67.133.176:https tcp
    --> 127.0.0.1:58039 > 172.67.133.176:https tcp

###[ TLS Application Data ]###
  data      = b'GET /?secret=9590 HTTP/1.1\r\nHost: www.perdu.com\r\n\r\n\n'

القيود

حسب التصميم، يدعم peetch فقط OpenSSL و IPv4 و TLS 1.2.

peetch

الأكثر شعبية

peetch

التثبيت

استعراض الأوامر

dump

tls

proxy

القيود

`dump`

`tls`

`proxy`