3snake

3snake — извлечение строк, связанных с учётными данными sshd и sudo

Отказ от ответственности

Я написал это ещё в колледже

О программе

Ориентирован на серверы с полученным root-доступом, читает память из системных вызовов sshd и sudo, обрабатывающих аутентификацию по паролю. Не записывает никаких данных в память отслеживаемых процессов. Порождает новый процесс для каждой выполняемой команды sshd и sudo.

Прослушивает событие proc с помощью netlink-сокетов, чтобы получить процессы-кандидаты для трассировки. При получении процесса sshd или sudo подключается ptrace и трассируются системные вызовы read и write, извлекая строки, связанные с аутентификацией по паролю.

Мне не очень нравится решение с бэкдором в openssh или установкой модуля ядра на целевых серверах, поэтому я сделал это.

Сборка

make
./3snake -h
./3snake

Использование

Запуск в текущем терминале ./3snake

Демонизация и вывод в файл ./3snake -d -o "/tmp/output_file.txt"

Конфигурация

Находится в config.h

• ROOT_DIR — корневая директория при работе в режиме демона (относительные пути для опции -o будут разрешаться относительно неё)
• ENABLE_SSH — аутентификация по паролю на сервере OpenSSH
• ENABLE_SUDO — аутентификация по паролю sudo
• ENABLE_SU (экспериментально) — аутентификация по паролю su
• ENABLE_SSH_CLIENT (экспериментально) — аутентификация по паролю ssh-клиента
• ENABLE_PASSWD — смена пароля через passwd

Ограничения

Linux, включённый ptrace, смонтированная файловая система /proc

Список задач

Возможности	X
Аутентификация по паролю на сервере OpenSSH	X
sudo	X
su	X
извлечение строк по regex из процессов	~
ssh-клиент	X

• Сделать процесс добавления трассировщиков более гибким
• Yubikey: запрашивать второй yubikey у конечных пользователей, OpenSSH
• Режим вывода, показывающий только имена пользователей/пароли

Лицензии

MIT и «Написано в колледже»