3snake

3snake - extrae cadenas relacionadas con credenciales de sshd y sudo

Aviso

Escribí esto en la universidad

Acerca de

Dirigido a servidores con acceso root, lee memoria de las llamadas al sistema sshd y sudo que manejan la autenticación basada en contraseña. No escribe ninguna memoria en los procesos rastreados. Genera un nuevo proceso por cada comando sshd y sudo que se ejecuta.

Escucha el evento proc usando sockets netlink para obtener procesos candidatos a rastrear. Cuando recibe un proceso sshd o sudo, se adjunta mediante ptrace y rastrea las llamadas al sistema read y write, extrayendo cadenas relacionadas con la autenticación basada en contraseña.

Realmente no me gustaba la solución de poner un backdoor en openssh o instalar un módulo del kernel en los servidores objetivo, así que hice esto.

Compilación

make
./3snake -h
./3snake

Uso

Ejecutar en la terminal actual ./3snake

Daemonizar y volcar la salida a un archivo ./3snake -d -o "/tmp/output_file.txt"

Configuración

Ubicada en config.h

• ROOT_DIR - directorio raíz cuando se daemoniza (las rutas de archivo relativas para la opción -o terminarán aquí)
• ENABLE_SSH - autenticación por contraseña del servidor OpenSSH
• ENABLE_SUDO - autenticación por contraseña de sudo
• ENABLE_SU (experimental) - autenticación por contraseña de su
• ENABLE_SSH_CLIENT (experimental) - autenticación por contraseña del cliente ssh
• ENABLE_PASSWD - cambios de contraseña con passwd

Limitaciones

Linux, ptrace habilitado, sistema de archivos /proc montado

Pendientes

Funcionalidades	X
Autenticación por contraseña del servidor OpenSSH	X
sudo	X
su	X
cadenas regex de procesos	~
cliente ssh	X

• Hacer más fluido el proceso de añadir rastreadores
• Yubikey: Solicitar un segundo yubikey a los usuarios finales, OpenSSH
• Modo de salida que solo muestre nombres de usuario/contraseñas

Licencias

MIT y Escrito Esto Cuando Estaba En La Universidad