3snake

3snake - sshd と sudo の認証情報に関連する文字列をダンプする

免責事項

これは大学時代に書いたものだ

概要

root 化されたサーバーを対象に、パスワードベース認証を処理する sshd と sudo のシステムコールからメモリを読み取る。トレース対象のプロセスには一切メモリを書き込まない。実行される sshd および sudo コマンドごとに新しいプロセスを生成する。

netlink ソケットを使用して proc イベントを監視し、トレース対象の候補プロセスを取得する。sshd または sudo プロセスを受信すると ptrace をアタッチし、read および write システムコールをトレースして、パスワードベース認証に関連する文字列を抽出する。

対象サーバーに openssh をバックドア化したりカーネルモジュールをインストールする解決策があまり好きではなかったので、これを作った。

ビルド

make
./3snake -h
./3snake

使用方法

現在のターミナルで実行 ./3snake

デーモン化して出力をファイルにダンプ ./3snake -d -o "/tmp/output_file.txt"

設定

config.h にあります

• ROOT_DIR - デーモン化時のルートディレクトリ（-o オプションの相対ファイルパスはここに配置される）
• ENABLE_SSH - OpenSSH サーバーのパスワード認証
• ENABLE_SUDO - sudo のパスワード認証
• ENABLE_SU（実験的） - su のパスワード認証
• ENABLE_SSH_CLIENT（実験的） - ssh クライアントのパスワード認証
• ENABLE_PASSWD - passwd によるパスワード変更

制限事項

Linux、ptrace が有効、/proc ファイルシステムがマウントされていること

Todo

機能	X
OpenSSH サーバーのパスワード認証	X
sudo	X
su	X
プロセスからの正規表現文字列	~
ssh クライアント	X

• トレーサーを追加するプロセスをより流動的にする
• Yubikey: エンドユーザーに 2 つ目の yubikey を要求する、OpenSSH
• ユーザー名/パスワードのみを表示する出力モード

ライセンス

MIT および大学時代に書いたもの