3snake

3snake - sshd 및 sudo 자격 증명 관련 문자열 덤프

면책 조항

대학생 때 작성했습니다

소개

루팅된 서버를 대상으로, 비밀번호 기반 인증을 처리하는 sshd 및 sudo 시스템 호출에서 메모리를 읽습니다. 추적 중인 프로세스에는 메모리를 전혀 쓰지 않습니다. 실행되는 모든 sshd 및 sudo 명령에 대해 새 프로세스를 생성합니다.

netlink 소켓을 사용하여 proc 이벤트를 수신하여 추적할 후보 프로세스를 가져옵니다. sshd 또는 sudo 프로세스를 수신하면 ptrace를 연결하고 read 및 write 시스템 호출을 추적하여 비밀번호 기반 인증과 관련된 문자열을 추출합니다.

대상 서버에 openssh를 백도어하거나 커널 모듈을 설치하는 해결책이 별로 마음에 들지 않아서 이걸 만들었습니다.

빌드

make
./3snake -h
./3snake

사용법

현재 터미널에서 실행 ./3snake

데몬화하고 출력을 파일로 덤프 ./3snake -d -o "/tmp/output_file.txt"

구성

config.h에 위치

• ROOT_DIR - 데몬화 시 루트 디렉터리 (-o 옵션의 상대 파일 경로는 이곳에 위치하게 됨)
• ENABLE_SSH - OpenSSH 서버 비밀번호 인증
• ENABLE_SUDO - sudo 비밀번호 인증
• ENABLE_SU (실험적) - su 비밀번호 인증
• ENABLE_SSH_CLIENT (실험적) - ssh 클라이언트 비밀번호 인증
• ENABLE_PASSWD - passwd 비밀번호 변경

제한 사항

Linux, ptrace 활성화, /proc 파일 시스템 마운트됨

할 일

기능	X
OpenSSH 서버 비밀번호 인증	X
sudo	X
su	X
프로세스에서 정규식 문자열 추출	~
ssh 클라이언트	X

• 추적기 추가 과정을 더 유연하게 만들기
• Yubikey: 최종 사용자에게 두 번째 yubikey 요청, OpenSSH
• 사용자 이름/비밀번호만 표시하는 출력 모드

라이선스

MIT 및 대학생 때 작성함