eCapture (旁观者)
Cattura il testo in chiaro di SSL/TLS con eBPF—senza proxy MITM né installazione di CA personalizzate.

English · 汉字

[!IMPORTANT] Supporta Linux su x86_64 (kernel 4.18+), aarch64 (kernel 5.5+) e LoongArch64 loong64 (kernel 6.6+). Android supporta x86_64 e aarch64 con i requisiti minimi di kernel esistenti. Richiede privilegi di root o specifiche capacità Linux. Non supporta Windows o macOS.

---

• Introduzione
• Per iniziare
  • Download
    • File binario ELF
    • Immagine Docker
  • Catturare i dati in chiaro di OpenSSL
  • Moduli
    • Modulo OpenSSL
    • Modulo GoTLS
    • Altri moduli
  • Video
• Star History
• Sicurezza e operazioni
• Contribuire
• Compilazione

Introduzione

• Cattura il traffico TLS/SSL in chiaro dalle librerie OpenSSL, LibreSSL, BoringSSL, GnuTLS e NSS/NSPR.
• Supporta la cattura in chiaro per i programmi Go TLS, incluso il traffico HTTPS/TLS nelle applicazioni Go.
• Verifica la cronologia dei comandi di bash e zsh per il monitoraggio della sicurezza dell'host.
• Verifica le query MySQL e supporta MySQL 5.6/5.7/8.0 e MariaDB.

Per iniziare

Download

File binario ELF

[!TIP] Supporta Linux su x86_64, aarch64 e LoongArch64; Android supporta x86_64 e aarch64.

Scarica il pacchetto binario ELF dalla pagina delle release, estrailo ed esegui:

sudo ecapture --help

Immagine Docker

[!TIP] Solo Linux.

# Pull the Docker image
docker pull gojue/ecapture:latest

# Run it
docker run --rm --privileged=true --net=host -v ${HOST_PATH}:${CONTAINER_PATH} gojue/ecapture ARGS

⚠️ Nota sulla sicurezza: --privileged=true concede l'accesso completo all'host. Per l'uso in produzione, preferire capacità specifiche. Consultare la Guida ai privilegi minimi.

Per ulteriori informazioni, consultare Docker Hub.

Catturare i dati in chiaro di OpenSSL

sudo ecapture tls

eCapture rileva automaticamente la libreria OpenSSL del sistema e avvia la cattura del traffico in chiaro. Quando effettui una richiesta HTTPS, ad esempio curl https://google.com, vengono visualizzati la richiesta e la risposta catturate:

...
INF module started successfully. moduleName=EBPFProbeOPENSSL
??? UUID:233851_233851_curl_5_1_172.16.71.1:51837, Name:HTTP2Request, Type:2, Length:304
header field ":method" = "GET"
header field ":path" = "/"
header field ":authority" = "google.com"
...

📄 Per esempi completi di output, consulta docs/example-outputs.md.

Moduli

Lo strumento eCapture include 8 moduli in grado di catturare dati in chiaro da librerie TLS/SSL come OpenSSL, GnuTLS, NSS/NSPR, BoringSSL e GoTLS. Supporta inoltre l'audit dei comandi e delle query delle applicazioni Bash, MySQL e PostgreSQL.

• bash: cattura i comandi bash
• zsh: cattura i comandi zsh
• gnutls: cattura il testo in chiaro dalle librerie GnuTLS senza necessità di un certificato CA
• gotls: cattura la comunicazione in chiaro dai programmi Go che utilizzano TLS/HTTPS
• mysqld: cattura le query SQL da MySQL 5.6/5.7/8.0 e MariaDB
• nss: cattura il testo in chiaro dalle librerie NSS/NSPR senza necessità di un certificato CA
• postgres: cattura le query SQL da PostgreSQL 10+
• tls: cattura il traffico TLS/SSL in chiaro senza certificato CA (supporta OpenSSL 1.0.x/1.1.x/3.0.x e versioni successive)

Puoi usare ecapture -h per visualizzare l'elenco completo dei sottocomandi.

Modulo OpenSSL

eCapture cerca nei percorsi predefiniti delle librerie indicati in /etc/ld.so.conf per individuare le librerie condivise e rilevare la posizione della libreria OpenSSL. Puoi anche impostare esplicitamente il percorso della libreria con il flag --libssl.

Se il programma di destinazione è collegato staticamente, puoi impostare direttamente il percorso del programma come valore del flag --libssl.

Il modulo OpenSSL supporta tre modalità di cattura:

• La modalità pcap/pcapng memorizza i dati in chiaro catturati nel formato pcap-NG.
• La modalità keylog/key salva le chiavi dell'handshake TLS in un file.
• La modalità text cattura direttamente i dati in chiaro, scrivendoli in un file o stampandoli sulla console.

Per OpenSSL, GoTLS e GnuTLS, --eventaddr è la destinazione primaria uniforme degli eventi. Accetta stdout, un percorso semplice o un URI file://, tcp://host:port e ws:///wss:// (frame binari ordinati). La modalità seleziona la rappresentazione text, NSS Key Log o pcapng; l'indirizzo seleziona solo il trasporto. --keylogfile e --pcapfile restano alias compatibili del file primario nelle rispettive modalità. Impostare --eventaddr insieme all'alias corrispondente è un errore. In modalità pcapng, --keylogfile è un artefatto keylog opzionale separato.

--logaddr trasporta solo i log di runtime di eCapture. I log di runtime della console usano stderr, mentre lo stdout catturato contiene solo byte di eventi. eCaptureQ è additivo: abilitarlo non sostituisce --eventaddr o --logaddr.

Modalità Pcap

Supporta HTTP 1.0/1.1/2.0 crittografato con TLS su TCP e HTTP/3 (QUIC) su UDP.

Puoi specificare -m pcap o -m pcapng insieme a --pcapfile e -i. Il valore predefinito compatibile attuale di --pcapfile è save.pcapng.