quarkslab/peetchToolkit basato su eBPF per sniffare il traffico di rete, estrarre chiavi TLS di OpenSSL e intercettare/decrittare connessioni TLS 1.2 in tempo reale usando Scapy.
peetch è una raccolta di strumenti pensati per sperimentare con diversi aspetti di eBPF al fine di bypassare le protezioni del protocollo TLS.
Attualmente, peetch include tre sottocomandi. Il primo chiamato dump ha lo scopo di sniffare il traffico di rete associando informazioni sul processo sorgente a ciascun pacchetto. Il secondo chiamato tls permette di identificare i processi che utilizzano OpenSSL per estrarre le chiavi crittografiche. Il terzo, proxy, intercetta automaticamente il traffico TLS dai processi che utilizzano OpenSSL e decifra i messaggi al volo.
Combinati, i primi due comandi rendono possibile decifrare gli scambi TLS registrati nel formato PCAPng.
peetch si basa su diverse dipendenze tra cui bcc e Scapy. Un'immagine Docker può essere facilmente costruita per testare peetch usando il seguente comando:
docker build -t quarkslab/peetch .
I seguenti esempi assumono che tu abbia usato il seguente comando per entrare nell'immagine Docker e avviare gli esempi al suo interno:
docker run --privileged --network host --mount type=bind,source=/sys,target=/sys --mount type=bind,source=/proc,target=/proc --pid host --rm -it quarkslab/peetch
dumpQuesto sottocomando ti dà la capacità di sniffare i pacchetti usando un classificatore eBPF TC e di recuperare il PID e i nomi dei processi corrispondenti con:
peetch dump
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https S / Padding
curl/1289291 - Ether / IP / TCP 208.97.177.124:https > 10.211.55.10:53052 SA / Padding
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https A / Padding
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https PA / Raw / Padding
curl/1289291 - Ether / IP / TCP 208.97.177.124:https > 10.211.55.10:53052 A / Padding
Nota che ad oggi, dump catturerà solo segmenti TCP basati su IPv4.
Per comodità, i pacchetti catturati possono essere salvati in PCAPng insieme alle informazioni del processo usando --write:
peetch dump --write peetch.pcapng
^C
Questo PCAPng può essere facilmente manipolato con Wireshark o Scapy:
scapy
>>> l = rdpcap("peetch.pcapng")
>>> l[0]
<Ether dst=00:1c:42:00:00:18 src=00:1c:42:54:f3:34 type=IPv4 |<IP version=4 ihl=5 tos=0x0 len=60 id=11088 flags=DF frag=0 ttl=64 proto=tcp chksum=0x4bb1 src=10.211.55.10 dst=208.97.177.124 |<TCP sport=53054 dport=https seq=631406526 ack=0 dataofs=10 reserved=0 flags=S window=64240 chksum=0xc3e9 urgptr=0 options=[('MSS', 1460), ('SAckOK', b''), ('Timestamp', (1272423534, 0)), ('NOP', None), ('WScale', 7)] |<Padding load='\x00\x00' |>>>>
>>> l[0].comment
b'curl/1289909'
tlsQuesto sottocomando mira a identificare i processi che utilizzano OpenSSL e facilita il dump di diverse cose come testo in chiaro e segreti.
Di default, peetch tls mostrerà solo una riga per processo, l'argomento --directions permette di visualizzare i messaggi scambiati:
peetch tls --directions
<- curl (1291078) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
-> curl (1291078) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
La visualizzazione del contenuto del buffer di OpenSSL si ottiene con --content.
peetch tls --content
<- curl (1290608) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
0000 47 45 54 20 2F 20 48 54 54 50 2F 31 2E 31 0D 0A GET / HTTP/1.1..
0010 48 6F 73 74 3A 20 77 77 77 2E 70 65 72 64 75 2E Host: www.perdu.
0020 63 6F 6D 0D 0A 55 73 65 72 2D 41 67 65 6E 74 3A com..User-Agent:
0030 20 63 75 72 6C 2F 37 2E 36 38 2E 30 0D 0A 41 63 curl/7.68.0..Ac
-> curl (1290608) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
0000 48 54 54 50 2F 31 2E 31 20 32 30 30 20 4F 4B 0D HTTP/1.1 200 OK.
0010 0A 44 61 74 65 3A 20 54 68 75 2C 20 31 39 20 4D .Date: Thu, 19 M
0020 61 79 20 32 30 32 32 20 31 38 3A 31 36 3A 30 31 ay 2022 18:16:01
0030 20 47 4D 54 0D 0A 53 65 72 76 65 72 3A 20 41 70 GMT..Server: Ap
L'argomento --secrets mostrerà i Master Secret TLS estratti dalla memoria. L'esempio seguente usa --write per scrivere i master secret e semplificare la decifratura dei messaggi TLS con Scapy:
(sleep 5; curl https://www.perdu.com/?name=highly%20secret%20information --tls-max 1.2 --http1.1 --tlsv1.2) &
peetch tls --write &
curl (1293232) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
peetch dump --write traffic.pcapng
^C
# Add the master secret to a PCAPng file
editcap --inject-secrets tls,1293232-master_secret.log traffic.pcapng traffic-ms.pcapng
scapy
>>> load_layer("tls")
>>> conf.tls_session_enable = True
>>> l = rdpcap("traffic-ms.pcapng")
>>> l[13][TLS].msg
[<TLSApplicationData data='GET /?name=highly%20secret%20information HTTP/1.1\r\nHost: www.perdu.com\r\nUser-Agent: curl/7.68.0\r\nAccept: */*\r\n\r\n' |>]
proxyQuesto sottocomando utilizza programmi eBPF per intercettare automaticamente il traffico TLS dai processi che utilizzano OpenSSL e decifrare i messaggi al volo usando Scapy.
Nell'esempio seguente, peetch proxy mostra un valore segreto inviato a un server dal processo openssl.
peetch proxy
[-] Proxying OpenSSL traffic
[+] Intercepting traffic from openssl/451255 to 172.67.133.176/443 via 127.0.0.1/58039
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
<-- 172.67.133.176:https > 127.0.0.1:58039 tcp
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
<-- 172.67.133.176:https > 127.0.0.1:58039 tcp
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
###[ TLS Application Data ]###
data = b'GET /?secret=9590 HTTP/1.1\r\nHost: www.perdu.com\r\n\r\n\n'
Per design, peetch supporta solo OpenSSL, IPv4 e TLS 1.2.