quarkslab/peetchBoîte à outils basée sur eBPF pour renifler le trafic réseau, extraire les clés TLS OpenSSL, et intercepter/déchiffrer les connexions TLS 1.2 en temps réel à l'aide de Scapy.
peetch est une collection d'outils visant à expérimenter différents aspects d'eBPF pour contourner les protections du protocole TLS.
Actuellement, peetch comprend trois sous-commandes. La première appelée dump vise à sniffer le trafic réseau en associant des informations sur le processus source à chaque paquet. La seconde appelée tls permet d'identifier les processus utilisant OpenSSL pour extraire les clés cryptographiques. La troisième, proxy, intercepte automatiquement le trafic TLS des processus utilisant OpenSSL et déchiffre les messages à la volée.
Combinées, les deux premières commandes permettent de déchiffrer les échanges TLS enregistrés au format PCAPng.
peetch dépend de plusieurs dépendances, notamment bcc et Scapy. Une image Docker peut être facilement construite pour tester peetch en utilisant la commande suivante :
docker build -t quarkslab/peetch .
Les exemples suivants supposent que vous avez utilisé la commande suivante pour entrer dans l'image Docker et lancer les exemples à l'intérieur :
docker run --privileged --network host --mount type=bind,source=/sys,target=/sys --mount type=bind,source=/proc,target=/proc --pid host --rm -it quarkslab/peetch
dumpCette sous-commande vous permet de sniffer les paquets en utilisant un classifieur TC eBPF et de récupérer le PID et les noms de processus correspondants avec :
peetch dump
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https S / Padding
curl/1289291 - Ether / IP / TCP 208.97.177.124:https > 10.211.55.10:53052 SA / Padding
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https A / Padding
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https PA / Raw / Padding
curl/1289291 - Ether / IP / TCP 208.97.177.124:https > 10.211.55.10:53052 A / Padding
Notez qu'à ce jour, dump ne capture que les segments TCP basés sur IPv4.
Pour plus de commodité, les paquets capturés peuvent être enregistrés au format PCAPng avec les informations de processus en utilisant --write :
peetch dump --write peetch.pcapng
^C
Ce PCAPng peut être facilement manipulé avec Wireshark ou Scapy :
scapy
>>> l = rdpcap("peetch.pcapng")
>>> l[0]
<Ether dst=00:1c:42:00:00:18 src=00:1c:42:54:f3:34 type=IPv4 |<IP version=4 ihl=5 tos=0x0 len=60 id=11088 flags=DF frag=0 ttl=64 proto=tcp chksum=0x4bb1 src=10.211.55.10 dst=208.97.177.124 |<TCP sport=53054 dport=https seq=631406526 ack=0 dataofs=10 reserved=0 flags=S window=64240 chksum=0xc3e9 urgptr=0 options=[('MSS', 1460), ('SAckOK', b''), ('Timestamp', (1272423534, 0)), ('NOP', None), ('WScale', 7)] |<Padding load='\x00\x00' |>>>>
>>> l[0].comment
b'curl/1289909'
tlsCette sous-commande vise à identifier les processus qui utilisent OpenSSL et facilite l'extraction de plusieurs choses comme le texte en clair et les secrets.
Par défaut, peetch tls affiche seulement une ligne par processus, l'argument --directions permet d'afficher les messages échangés :
peetch tls --directions
<- curl (1291078) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
-> curl (1291078) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
L'affichage du contenu du buffer OpenSSL se fait avec --content.
peetch tls --content
<- curl (1290608) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
0000 47 45 54 20 2F 20 48 54 54 50 2F 31 2E 31 0D 0A GET / HTTP/1.1..
0010 48 6F 73 74 3A 20 77 77 77 2E 70 65 72 64 75 2E Host: www.perdu.
0020 63 6F 6D 0D 0A 55 73 65 72 2D 41 67 65 6E 74 3A com..User-Agent:
0030 20 63 75 72 6C 2F 37 2E 36 38 2E 30 0D 0A 41 63 curl/7.68.0..Ac
-> curl (1290608) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
0000 48 54 54 50 2F 31 2E 31 20 32 30 30 20 4F 4B 0D HTTP/1.1 200 OK.
0010 0A 44 61 74 65 3A 20 54 68 75 2C 20 31 39 20 4D .Date: Thu, 19 M
0020 61 79 20 32 30 32 32 20 31 38 3A 31 36 3A 30 31 ay 2022 18:16:01
0030 20 47 4D 54 0D 0A 53 65 72 76 65 72 3A 20 41 70 GMT..Server: Ap
L'argument --secrets affiche les Master Secrets TLS extraits de la mémoire. L'exemple suivant utilise --write pour écrire les master secrets afin de simplifier le déchiffrement des messages TLS avec Scapy :
(sleep 5; curl https://www.perdu.com/?name=highly%20secret%20information --tls-max 1.2 --http1.1 --tlsv1.2) &
peetch tls --write &
curl (1293232) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
peetch dump --write traffic.pcapng
^C
# Add the master secret to a PCAPng file
editcap --inject-secrets tls,1293232-master_secret.log traffic.pcapng traffic-ms.pcapng
scapy
>>> load_layer("tls")
>>> conf.tls_session_enable = True
>>> l = rdpcap("traffic-ms.pcapng")
>>> l[13][TLS].msg
[<TLSApplicationData data='GET /?name=highly%20secret%20information HTTP/1.1\r\nHost: www.perdu.com\r\nUser-Agent: curl/7.68.0\r\nAccept: */*\r\n\r\n' |>]
proxyCette sous-commande utilise des programmes eBPF pour intercepter automatiquement le trafic TLS des processus utilisant OpenSSL et déchiffrer les messages à la volée avec Scapy.
Dans l'exemple suivant, peetch proxy affiche une valeur secrète envoyée à un serveur par le processus openssl.
peetch proxy
[-] Proxying OpenSSL traffic
[+] Intercepting traffic from openssl/451255 to 172.67.133.176/443 via 127.0.0.1/58039
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
<-- 172.67.133.176:https > 127.0.0.1:58039 tcp
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
<-- 172.67.133.176:https > 127.0.0.1:58039 tcp
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
###[ TLS Application Data ]###
data = b'GET /?secret=9590 HTTP/1.1\r\nHost: www.perdu.com\r\n\r\n\n'
Par conception, peetch ne supporte que OpenSSL, IPv4 et TLS 1.2.