3snake – gibt sshd- und sudo-berechtigungsbezogene Strings aus

Haftungsausschluss

Ich habe das im Studium geschrieben

Über

Zielt auf gerootete Server ab und liest Speicher aus sshd- und sudo-Systemaufrufen, die passwortbasierte Authentifizierung verarbeiten. Schreibt keinen Speicher in die überwachten Prozesse. Startet für jeden ausgeführten sshd- und sudo-Befehl einen neuen Prozess.

Lauscht auf das proc-Ereignis über Netlink-Sockets, um Kandidatenprozesse zum Überwachen zu erhalten. Wenn ein sshd- oder sudo-Prozess empfangen wird, wird ptrace angehängt und die read- und write-Systemaufrufe werden verfolgt, wobei Strings extrahiert werden, die mit passwortbasierter Authentifizierung zusammenhängen.

Ich mag die Lösung, openssh zu backdooren oder ein Kernelmodul auf Zielservern zu installieren, nicht wirklich, also habe ich das gemacht.

3snake

Build

make
./3snake -h
./3snake

Verwendung

Im aktuellen Terminal ausführen ./3snake

Als Daemon ausführen und Ausgabe in Datei schreiben ./3snake -d -o "/tmp/output_file.txt"

Konfiguration

Befindet sich in config.h

ROOT_DIR – Wurzelverzeichnis bei Daemonisierung (relative Dateipfade für die Option -o landen hier)
ENABLE_SSH – Passwort-Authentifizierung des OpenSSH-Servers
ENABLE_SUDO – sudo-Passwort-Authentifizierung
ENABLE_SU (experimentell) – su-Passwort-Authentifizierung
ENABLE_SSH_CLIENT (experimentell) – Passwort-Authentifizierung des ssh-Clients
ENABLE_PASSWD – passwd-Passwortänderungen

Einschränkungen

Linux, ptrace aktiviert, /proc-Dateisystem eingebunden

Todo

Funktionen	X
Passwort-Authentifizierung des OpenSSH-Servers	X
sudo	X
su	X
Regex-Strings aus Prozessen	~
ssh-Client	X

Den Prozess des Hinzufügens von Tracern flüssiger gestalten
Yubikey: Endbenutzer nach einem zweiten Yubikey fragen, OpenSSH
Ausgabemodus, der nur Benutzernamen/Passwörter anzeigt

Lizenzen

MIT und im Studium geschrieben