3snake

3snake - 转储 sshd 和 sudo 凭据相关字符串

免责声明

我在大学期间写了这个

关于

针对已获取 root 权限的服务器，从处理基于密码认证的 sshd 和 sudo 系统调用中读取内存。不会向被跟踪的进程写入任何内存。每次运行 sshd 和 sudo 命令时都会生成一个新进程。

使用 netlink 套接字监听 proc 事件以获取可跟踪的候选进程。当接收到 sshd 或 sudo 进程时，附加 ptrace 并跟踪 read 和 write 系统调用，提取与基于密码认证相关的字符串。

不太喜欢给 openssh 植入后门或在目标服务器上安装内核模块的解决方案，所以我做了这个。

构建

make
./3snake -h
./3snake

用法

在当前终端运行 ./3snake

守护进程化并将输出转储到文件 ./3snake -d -o "/tmp/output_file.txt"

配置

位于 config.h

• ROOT_DIR - 守护进程化时的根目录（-o 选项的相对文件路径将以此为基础）
• ENABLE_SSH - OpenSSH 服务器密码认证
• ENABLE_SUDO - sudo 密码认证
• ENABLE_SU（实验性）- su 密码认证
• ENABLE_SSH_CLIENT（实验性）- ssh 客户端密码认证
• ENABLE_PASSWD - passwd 密码更改

限制

Linux，启用 ptrace，挂载 /proc 文件系统

待办

功能	X
OpenSSH 服务器密码认证	X
sudo	X
su	X
从进程提取正则字符串	~
ssh 客户端	X

• 使添加跟踪器的过程更加流畅
• Yubikey：向最终用户请求第二个 yubikey，OpenSSH
• 仅显示用户名/密码的输出模式

许可证

MIT 以及 我在大学期间写了这个