3snake

3snake - extrai strings relacionadas a credenciais do sshd e do sudo

Aviso legal

Escrevi isto na faculdade

Sobre

Tendo como alvo servidores com root, lê a memória a partir das chamadas de sistema sshd e sudo que tratam da autenticação baseada em palavra-passe. Não escreve qualquer memória nos processos rastreados. Cria um novo processo para cada comando sshd e sudo executado.

Escuta o evento proc usando sockets netlink para obter processos candidatos a rastrear. Quando recebe um processo sshd ou sudo, é anexado ptrace e rastreia as chamadas de sistema read e write, extraindo strings relacionadas com a autenticação baseada em palavra-passe.

Não gosto realmente da solução de fazer backdoor ao openssh ou de instalar um módulo de kernel nos servidores alvo, por isso fiz isto.

Compilação

make
./3snake -h
./3snake

Utilização

Executar no terminal atual ./3snake

Daemonizar e guardar a saída num ficheiro ./3snake -d -o "/tmp/output_file.txt"

Configuração

Localizada em config.h

• ROOT_DIR - diretório raiz quando daemonizado (caminhos de ficheiro relativos para a opção -o terminarão aqui)
• ENABLE_SSH - autenticação por palavra-passe do servidor OpenSSH
• ENABLE_SUDO - autenticação por palavra-passe do sudo
• ENABLE_SU (experimental) - autenticação por palavra-passe do su
• ENABLE_SSH_CLIENT (experimental) - autenticação por palavra-passe do cliente ssh
• ENABLE_PASSWD - alterações de palavra-passe com passwd

Limitações

Linux, ptrace ativado, sistema de ficheiros /proc montado

Tarefas pendentes

Funcionalidades	X
Autenticação por palavra-passe do servidor OpenSSH	X
sudo	X
su	X
strings regex a partir de processos	~
cliente ssh	X

• Tornar o processo de adicionar rastreadores mais fluido
• Yubikey: Pedir uma segunda yubikey aos utilizadores finais, OpenSSH
• Modo de saída que mostra apenas nomes de utilizador/palavras-passe

Licenças

MIT e Escrito Quando Estava na Faculdade