keepass_dumper.py

vdohney/keepass-password-dumper का Python पोर्ट (CVE-2023-32784) — मूल C# इम्प्लीमेंटेशन और अंतर्निहित तकनीक का सारा श्रेय vdohney को जाता है।

यह स्क्रिप्ट प्रोसेस मेमोरी डंप में बचे हुए रेंडर स्ट्रिंग्स को स्कैन करती है जो KeePass 2.x का SecureTextBoxEx उपयोगकर्ता द्वारा मास्टर पासवर्ड टाइप करते समय पीछे छोड़ देता है, और उस पासवर्ड का पहला अक्षर छोड़कर बाकी हर अक्षर को पुनर्प्राप्त करती है। वैकल्पिक रूप से, यह keepassxc-cli का उपयोग करके KDBX फ़ाइल के विरुद्ध अज्ञात पहले अक्षर को ब्रूट-फोर्स करती है।

प्रभावित संस्करण

• असुरक्षित: KeePass 2.53.1 और उससे पुराने (Windows और Linux)।
• सुधारित: KeePass 2.54 और उससे नए।
• KeePassXC, KeePass 1.x, और Strongbox प्रभावित नहीं हैं।

यह दोष कस्टम SecureTextBoxEx कंट्रोल में है: टाइप किए गए प्रत्येक अक्षर के लिए, .NET प्रबंधित मेमोरी में ●a, ●●s, ●●●s, … के रूप में एक अवशिष्ट स्ट्रिंग रखता है, जिससे पहले अक्षर के बाद का हर पासवर्ड अक्षर पुनर्प्राप्त किया जा सकता है।

हमले की पूर्वापेक्षाएँ और सीमाएँ

• KeePass प्रोसेस का मेमोरी आर्टिफैक्ट आवश्यक है: प्रोसेस डंप, पेज/स्वैप फ़ाइल, हाइबरनेशन फ़ाइल, कर्नेल क्रैश डंप, या पूर्ण RAM कैप्चर। लक्ष्य होस्ट पर कोड निष्पादन की आवश्यकता नहीं है।
• यह कार्य करता है चाहे वर्कस्पेस लॉक हो या अनलॉक, और KeePass प्रोसेस के बाहर निकलने के बाद भी (जब तक मेमोरी पेज कहीं बचे रहते हैं)।
• पासवर्ड का सबसे पहला अक्षर लीक से पुनर्प्राप्त नहीं किया जा सकता।
• लीक प्रिंटेबल ASCII को विश्वसनीय रूप से कैप्चर करता है; गैर-ASCII अक्षर कम विश्वसनीय हैं।
• एक ही सत्र में दर्ज किए गए कई मास्टर पासवर्ड ओवरलैपिंग अवशिष्ट स्ट्रिंग्स उत्पन्न कर सकते हैं और सटीकता को कम कर सकते हैं।

शमन

यदि आपने KeePass ≤ 2.53.1 का उपयोग किया है, तो मान लें कि मास्टर पासवर्ड समझौता हो चुका है:

1. KeePass को 2.54 या नए संस्करण में अपडेट करें।
2. मास्टर पासवर्ड बदलें (और डेटाबेस में संग्रहीत किसी भी उच्च-मूल्य वाले रहस्य को रोटेट करें जो पुराने मास्टर के उपयोग के दौरान दर्ज किए गए थे)।
3. उन मेमोरी आर्टिफैक्ट्स को शुद्ध करें जिनमें अभी भी अवशिष्ट स्ट्रिंग्स हो सकती हैं:
   • क्रैश डंप हटाएँ (जैसे C:\Windows\memory.dmp),
   • हाइबरनेशन अक्षम/साफ़ करें (Windows पर powercfg /h off),
   • पेजफ़ाइल / स्वैपफ़ाइल हटाएँ या वाइप करें,
   • खाली डिस्क स्थान को ओवरराइट करें (जैसे Windows पर cipher /w:) ताकि पहले से आवंटित सेक्टरों से अवशेष निकाले न जा सकें,
   • रिबूट करें — या, उच्च-सुरक्षा परिदृश्यों के लिए, OS को पुनः स्थापित करें।

आवश्यकताएँ

• Python 3.10+ (केवल मानक लाइब्रेरी — कोई तृतीय-पक्ष पैकेज नहीं)
• $PATH में keepassxc-cli (केवल --kdbx के लिए आवश्यक)

स्थापना

Debian / Ubuntu पर, यदि आप ब्रूट-फोर्स करने की योजना बनाते हैं तो KeePassXC CLI स्थापित करें:

sudo apt install keepassxc

उपयोग

# उम्मीदवार अक्षर पुनर्प्राप्त करें और उन्हें प्रिंट करें
python3 keepass_dumper.py memory.dmp

# उत्पन्न उम्मीदवार सूची को फ़ाइल में डंप करें
python3 keepass_dumper.py memory.dmp -p candidates.txt

# KDBX के विरुद्ध लापता पहले अक्षर को पुनर्प्राप्त और ब्रूट-फोर्स करें
python3 keepass_dumper.py memory.dmp --kdbx db.kdbx

पूर्ण विकल्प सूची के लिए python3 keepass_dumper.py --help चलाएँ।

मूल से क्या अलग है

• सख्त स्कैन फ़िल्टर (डिफ़ॉल्ट रूप से प्रिंटेबल ASCII) ताकि गलत सकारात्मक परिणाम कम हों।
• प्राथमिकता-क्रमित कैरेक्टर सेट (अक्षर → अंक → सामान्य विराम चिह्न → बाकी) ताकि सबसे संभावित उम्मीदवार पहले आज़माए जाएँ।
• mmap-आधारित डंप रीडर, सिंगल-लाइन प्रोग्रेस बार, शांत आउटपुट।