3snake

3snake - extrait les chaînes liées aux identifiants de sshd et sudo

Avertissement

Je l'ai écrit à l'université

À propos

Cible les serveurs compromis (rootés), lit la mémoire à partir des appels système sshd et sudo qui gèrent l'authentification par mot de passe. N'écrit aucune mémoire dans les processus tracés. Lance un nouveau processus pour chaque commande sshd et sudo exécutée.

Écoute l'événement proc via des sockets netlink pour obtenir les processus candidats à tracer. Lorsqu'il reçoit un processus sshd ou sudo, ptrace est attaché et trace les appels système read et write, en extrayant les chaînes liées à l'authentification par mot de passe.

Je n'aime pas vraiment la solution consistant à backdoorer openssh ou à installer un module noyau sur les serveurs cibles, donc j'ai fait ceci.

Compilation

make
./3snake -h
./3snake

Utilisation

Exécuter dans le terminal courant ./3snake

Passer en démon et écrire la sortie dans un fichier ./3snake -d -o "/tmp/output_file.txt"

Configuration

Située dans config.h

• ROOT_DIR - répertoire racine en mode démon (les chemins de fichiers relatifs pour l'option -o aboutiront ici)
• ENABLE_SSH - authentification par mot de passe du serveur OpenSSH
• ENABLE_SUDO - authentification par mot de passe de sudo
• ENABLE_SU (expérimental) - authentification par mot de passe de su
• ENABLE_SSH_CLIENT (expérimental) - authentification par mot de passe du client ssh
• ENABLE_PASSWD - changements de mot de passe via passwd

Limitations

Linux, ptrace activé, système de fichiers /proc monté

À faire

Fonctionnalités	X
Authentification par mot de passe du serveur OpenSSH	X
sudo	X
su	X
chaînes regex issues des processus	~
client ssh	X

• Rendre le processus d'ajout de traceurs plus fluide
• Yubikey : demander un second yubikey aux utilisateurs finaux, OpenSSH
• Mode de sortie n'affichant que les noms d'utilisateur/mots de passe

Licences

MIT et Écrit à l'université