keepass_dumper.py

vdohney/keepass-password-dumper のPython移植版 (CVE-2023-32784) — オリジナルのC#実装とその基盤となる技術のすべての功績は vdohney に帰属します。

このスクリプトは、プロセスメモリダンプをスキャンして、KeePass 2.x の SecureTextBoxEx がマスターパスワードの入力中に残すレンダリング文字列の残骸を探し、最初の文字を除くパスワードの全文字を復元します。オプションで、keepassxc-cli を使用して KDBX ファイルに対して不明な最初の文字をブルートフォースします。

影響を受けるバージョン

• 脆弱性あり: KeePass 2.53.1 以前（Windows および Linux）。
• 修正済み: KeePass 2.54 以降。
• KeePassXC、KeePass 1.x、Strongbox は影響を受けません。

この欠陥はカスタムの SecureTextBoxEx コントロールにあります。入力された各文字について、.NET はマネージドメモリ内に ●a、●●s、●●●s、… という形式の残存文字列を保持し、そこから最初の文字以降のすべてのパスワード文字を復元できます。

攻撃の前提条件と制限事項

• KeePass プロセスのメモリアーティファクトが必要です：プロセスダンプ、ページ/スワップファイル、ハイバネーションファイル、カーネルクラッシュダンプ、または RAM 全体のキャプチャ。ターゲットホストでのコード実行は不要です。
• ワークスペースがロックされているかロック解除されているかに関係なく機能し、KeePass プロセスが終了した後でも機能します（メモリページがどこかに残っている限り）。
• パスワードの最初の文字はリークから復元できません。
• リークは印刷可能な ASCII を確実に捕捉します。非 ASCII 文字は信頼性が低くなります。
• 同じセッションで複数のマスターパスワードが入力された場合、重複する残存文字列が生成され、精度が低下する可能性があります。

緩和策

KeePass ≤ 2.53.1 を使用していた場合は、マスターパスワードが漏洩したと想定してください：

1. KeePass を 2.54 以降 に更新します。
2. マスターパスワードを変更します（また、古いマスターが使用中に入力されたデータベース内の高価値の秘密情報をローテーションします）。
3. 残存文字列をまだ含む可能性のあるメモリアーティファクトを消去します：
   • クラッシュダンプを削除します（例：C:\Windows\memory.dmp）、
   • ハイバネーションを無効化/クリアします（Windows では powercfg /h off）、
   • ページファイル/スワップファイルを削除またはワイプします、
   • 空きディスク領域を上書きします（Windows では cipher /w: など）— 以前に割り当てられたセクタから残骸を復元できないようにします、
   • 再起動します — または、高保証シナリオでは OS を再インストールします。

要件

• Python 3.10+（標準ライブラリのみ — サードパーティパッケージ不要）
• $PATH 内の keepassxc-cli（--kdbx にのみ必要）

インストール

Debian / Ubuntu で、ブルートフォースを計画している場合は KeePassXC CLI をインストールします：

sudo apt install keepassxc

使用方法

# 候補文字を復元して表示
python3 keepass_dumper.py memory.dmp

# 生成された候補リストをファイルに出力
python3 keepass_dumper.py memory.dmp -p candidates.txt

# 復元し、KDBX に対して欠落した最初の文字をブルートフォース
python3 keepass_dumper.py memory.dmp --kdbx db.kdbx

完全なオプション一覧は python3 keepass_dumper.py --help を実行してください。

オリジナルとの違い

• より厳密なスキャンフィルタ（デフォルトで印刷可能な ASCII）により、誤検知を削減。
• 優先順位付き文字セット（英字 → 数字 → 一般的な記号 → その他）により、最も可能性の高い候補から試行。
• mmap ベースのダンプリーダー、単一行のプログレスバー、より静かな出力。