sshkey-grab

Dieses Skript nutzt einen Bug in ssh-agent aus, der es ermöglicht, den zuletzt zum Agenten hinzugefügten Schlüssel zu extrahieren. Dadurch könnte ein Schlüssel wiederhergestellt werden, der über ssh-add -t, -d oder -D aus ssh-agent entfernt wurde, sofern der ssh-Agent nicht beendet wurde und seit der Entfernung des vorherigen Schlüssels kein neuer Schlüssel hinzugefügt wurde. Dieser Bug wurde gemeldet und könnte in neueren Versionen von OpenSSH behoben werden, was dazu führen würde, dass dieses Tool nicht mehr funktioniert.

Voraussetzungen

• grabagentmem.sh benötigt Root-Zugriff und gdb auf dem Zielsystem, um ordnungsgemäß zu funktionieren
• parse_mem.py erfordert, dass das Python-Modul pyasn1 installiert ist

Verwendung

1. Kopieren Sie grabagentmem.sh auf das Zielsystem.
2. Führen Sie grabagentmem.sh auf dem Zielsystem als Root aus. Dadurch wird ein Speicherabbild des Stacks für jeden auf diesem System laufenden ssh-agent-Prozess erstellt. Standardmäßig werden sie als /tmp/SSHagent-$PID.stack benannt.
3. Kopieren Sie die Stack-Abbilder auf das System, auf dem parse_mem.py installiert ist.
4. Führen Sie parse_mem.py [Stack-Datei] [Schlüssel-Ausgabe] aus (Beispiel: ./parse_mem.py /tmp/SSHagent-17019.stack /tmp/key)
5. Testen Sie, ob die extrahierte Schlüsseldatei funktioniert, indem Sie ssh -i [Schlüsseldatei] [Benutzer]@[Rechner] verwenden.

Ein Teil des RSA-Schlüsselerstellungs-Codes stammt von Thialfihar's Fancy SSH Key Generator: https://github.com/thialfihar/semantic-ssh-key/blob/master/generate_fancy_ssh_key.py