keepass_dumper.py

vdohney/keepass-password-dumper의 Python 포트 (CVE-2023-32784) — 원본 C# 구현과 기본 기술에 대한 모든 공로는 vdohney에게 있습니다.

이 스크립트는 프로세스 메모리 덤프에서 KeePass 2.x의 SecureTextBoxEx가 사용자가 마스터 비밀번호를 입력하는 동안 남겨두는 잔여 렌더 문자열을 스캔하여, 첫 번째 문자를 제외한 비밀번호의 모든 문자를 복구합니다. 선택적으로 keepassxc-cli를 사용하여 KDBX 파일을 대상으로 알 수 없는 첫 번째 문자를 무차별 대입(brute-force)합니다.

영향을 받는 버전

• 취약한 버전: KeePass 2.53.1 및 이전 버전 (Windows 및 Linux).
• 수정된 버전: KeePass 2.54 이상.
• KeePassXC, KeePass 1.x 및 Strongbox는 영향을 받지 않습니다.

결함은 사용자 정의 SecureTextBoxEx 컨트롤에 있습니다. 입력된 각 문자에 대해 .NET은 관리 메모리에 ●a, ●●s, ●●●s, … 형태의 잔여 문자열을 유지하며, 이를 통해 첫 번째 이후의 모든 비밀번호 문자를 복구할 수 있습니다.

공격 전제 조건 및 제한 사항

• KeePass 프로세스의 메모리 아티팩트가 필요합니다: 프로세스 덤프, 페이지/스왑 파일, 최대 절전(hibernation) 파일, 커널 크래시 덤프 또는 전체 RAM 캡처. 대상 호스트에서의 코드 실행은 필요하지 않습니다.
• 작업 공간이 잠겨 있거나 잠금 해제된 상태 모두에서 작동하며, KeePass 프로세스가 종료된 후에도 작동합니다 (메모리 페이지가 어딘가에 남아 있는 한).
• 비밀번호의 첫 번째 문자는 누출에서 복구할 수 없습니다.
• 누출은 인쇄 가능한 ASCII 문자를 안정적으로 캡처합니다. 비-ASCII 문자는 신뢰도가 낮습니다.
• 동일한 세션에서 여러 마스터 비밀번호를 입력하면 중복된 잔여 문자열이 생성되어 정확도가 저하될 수 있습니다.

완화 조치

KeePass ≤ 2.53.1을 사용했다면 마스터 비밀번호가 손상된 것으로 간주하십시오:

1. KeePass를 2.54 이상으로 업데이트하십시오.
2. 마스터 비밀번호를 변경하십시오 (그리고 이전 마스터가 사용 중일 때 입력된 데이터베이스의 고가치 비밀번호도 교체하십시오).
3. 잔여 문자열을 여전히 포함할 수 있는 메모리 아티팩트를 제거하십시오:
   • 크래시 덤프 삭제 (예: C:\Windows\memory.dmp),
   • 최대 절전 모드 비활성화/삭제 (Windows에서 powercfg /h off),
   • 페이지 파일/스왑 파일 삭제 또는 덮어쓰기,
   • 여유 디스크 공간 덮어쓰기 (Windows에서 cipher /w:) — 이전에 할당된 섹터에서 잔여물이 추출되지 않도록,
   • 재부팅 — 또는 높은 보안이 요구되는 시나리오에서는 OS 재설치.

요구 사항

• Python 3.10+ (표준 라이브러리만 사용 — 타사 패키지 불필요)
• $PATH에 keepassxc-cli ( --kdbx 옵션에만 필요)

설치

Debian / Ubuntu에서 무차별 대입을 계획한다면 KeePassXC CLI를 설치하십시오:

sudo apt install keepassxc

사용법

# 후보 문자를 복구하여 출력
python3 keepass_dumper.py memory.dmp

# 생성된 후보 목록을 파일로 덤프
python3 keepass_dumper.py memory.dmp -p candidates.txt

# KDBX를 대상으로 누락된 첫 번째 문자를 복구하고 무차별 대입
python3 keepass_dumper.py memory.dmp --kdbx db.kdbx

전체 옵션 목록은 python3 keepass_dumper.py --help를 실행하십시오.

원본과의 차이점

• 더 엄격한 스캔 필터 (기본적으로 인쇄 가능한 ASCII)로 오탐(false positive) 감소.
• 우선순위가 지정된 문자 집합 (문자 → 숫자 → 일반적인 구두점 → 나머지)으로 가장 가능성 높은 후보를 먼저 시도.
• mmap 기반 덤프 리더, 단일 라인 진행 표시줄, 더 조용한 출력.