sshfinder

sshfinder é uma ferramenta rápida e confiável para descobrir serviços SSH abertos em um ou vários alvos. Ela verifica portas TCP abertas e então confirma quais delas realmente falam SSH — executando as duas etapas simultaneamente para velocidade.

Recursos

• Vários alvos — verifica muitos IPs, hostnames e redes CIDR (ex.: 10.0.0.0/24) em uma única execução, ou carrega-os de um arquivo.
• Varredura paralela — portas são testadas simultaneamente e hosts são verificados em paralelo, tornando varreduras grandes dramaticamente mais rápidas.
• Dois back-ends de varredura:
  • connect — varredura TCP connect portátil, sem privilégios (padrão).
  • syn — varredura SYN half-open via Scapy (mais rápida, requer root).
• Validação SSH confiável — lê o banner de identificação SSH (RFC 4253) por padrão, com validação opcional de handshake completo via Paramiko.
• Auditoria de segurança SSH (--audit) — transforma a descoberta em inteligência de superfície de ataque para pentesters: enumera métodos de autenticação aceitos (sinalizando autenticação por senha), lista os algoritmos KEX/cipher/MAC/chave de host e sinaliza os fracos/obsoletos, detecta Terrapin (CVE-2023-48795), e correlaciona chaves de host compartilhadas entre alvos para revelar infraestrutura clonada ou com balanceamento de carga.
• Zero dependências obrigatórias — a varredura connect padrão e a validação de banner rodam apenas com a biblioteca padrão do Python.
• Identificação em pipeline — o serviço por trás de cada porta aberta é identificado (e auditado) no instante em que a porta é encontrada, em paralelo com o restante da varredura de portas. Os serviços SSH são confirmados sem esperar a varredura inteira terminar, e cada porta aberta é rotulada [SSH] / [not ssh] para que uma porta aberta nunca seja confundida com uma SSH.
• Descoberta ao vivo, por soquete — portas abertas e serviços SSH confirmados são exibidos no momento em que são encontrados, como host:port, para que fique sempre claro a qual alvo cada resultado pertence ao verificar muitos hosts.
• Progresso ao vivo e Ctrl+C robusto — um indicador de progresso em tempo real mostra o funcionamento da varredura. O Ctrl+C é respeitado até no Windows (onde uma espera ilimitada de thread normalmente o engole): o primeiro pressionamento interrompe graciosamente e retorna resultados parciais, o segundo força uma saída imediata.
• Status claro do host — distingue portas abertas, fechadas e filtradas, para que um host com firewall ou inacessível seja relatado como tal, em vez de parecer travado.
• Saída legível por máquina — texto amigável ou --json, opcionalmente gravado em um arquivo.

Instalação

git clone https://github.com/kabiri-labs/sshfinder.git
cd sshfinder

# Installs paramiko (recommended: enables the full --audit deep checks and
# --validate paramiko):
pip install -r requirements.txt

# Optional, only for half-open SYN scans (needs root):
pip install scapy>=2.5

A varredura connect principal, a validação de banner e as partes sem dependências do --audit (inventário de algoritmos, sinalização de criptografia fraca, Terrapin) funcionam sem quaisquer pacotes de terceiros; o paramiko desbloqueia impressões digitais de chave de host, enumeração de métodos de autenticação e correlação de chaves compartilhadas.

Requer Python 3.9+.

Uso

python sshfinder.py [targets ...] [options]

Opções

Nota sobre varreduras lentas. Verificar o intervalo completo 1-65535 contra um host com firewall ou inacessível é inerentemente lento: cada porta filtrada precisa aguardar o tempo limite. O indicador de progresso mostra que ainda está funcionando, e o Ctrl+C interrompe imediatamente. Para ir mais rápido, reduza as portas (ex.: -p 22,2222), diminua o tempo limite (-t 1) ou aumente a concorrência (-w).

auto seleciona a varredura SYN quando executado como root com Scapy instalado, e, caso contrário, volta para a varredura connect sem privilégios.

Exemplos

Verifica um único host nas portas SSH comuns:

python sshfinder.py 192.168.1.1 -p 22,2222

Verifica uma sub-rede inteira e emite JSON:

python sshfinder.py 10.0.0.0/24 -p 22,2222 --json -o results.json

Verifica muitos alvos de um arquivo com uma varredura SYN rápida (como root):

sudo python sshfinder.py -iL targets.txt --scan-method syn

Valida estritamente o SSH com um handshake completo:

python sshfinder.py example.com -p 22 --validate paramiko

Audita a superfície de ataque SSH em uma sub-rede (métodos de autenticação, criptografia fraca, Terrapin, chaves de host compartilhadas):

python sshfinder.py 10.0.0.0/24 -p 22,2222 --audit

Exemplo de saída da auditoria:

=== 10.0.0.5 ===
  open: 10.0.0.5:22
  SSH  10.0.0.5:22  (SSH-2.0-OpenSSH_7.4)
       host key: ssh-ed25519 SHA256:T/ZM4jOL4amTsO5K3AaCdg2...
       auth: publickey, password  [!] password auth enabled
       [!] Terrapin (CVE-2023-48795): VULNERABLE
       [!] weak ciphers: aes128-cbc

Shared SSH host keys (possible shared/cloned hosts):
  SHA256:T/ZM4jOL4amTsO5K3AaCdg2...
    -> 10.0.0.5:22, 10.0.0.9:22

O inventário de algoritmos, a sinalização de criptografia fraca e a verificação de Terrapin funcionam sem dependências. Impressões digitais de chave de host, enumeração de métodos de autenticação e correlação de chaves compartilhadas usam Paramiko (pip install paramiko).

Desenvolvimento

pip install -r requirements-dev.txt
pytest

Avisos legais

Verifique apenas sistemas que você possui ou para os quais tem autorização explícita para testar. Varreduras não autorizadas podem ser ilegais na sua jurisdição.