peetch 是一个工具集合，旨在实验 eBPF 的各个方面以绕过 TLS 协议保护。
目前，peetch 包含三个子命令。第一个名为 dump，用于嗅探网络流量，并将每个数据包与源进程信息关联。第二个名为 tls，用于识别使用 OpenSSL 的进程，以提取加密密钥。第三个 proxy 自动拦截使用 OpenSSL 的进程的 TLS 流量，并实时解密消息。
结合使用前两个命令，可以解密以 PCAPng 格式记录的 TLS 交换。
peetch 依赖多个库，包括 bcc 和 Scapy。可以使用以下命令轻松构建 Docker 镜像，以便测试 peetch：
docker build -t quarkslab/peetch .
以下示例假设您已使用以下命令进入 Docker 镜像并在其中启动示例：
docker run --privileged --network host --mount type=bind,source=/sys,target=/sys --mount type=bind,source=/proc,target=/proc --pid host --rm -it quarkslab/peetch
dump此子命令让您能够使用 eBPF TC 分类器嗅探数据包，并检索相应的 PID 和进程名称：
peetch dump
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https S / Padding
curl/1289291 - Ether / IP / TCP 208.97.177.124:https > 10.211.55.10:53052 SA / Padding
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https A / Padding
curl/1289291 - Ether / IP / TCP 10.211.55.10:53052 > 208.97.177.124:https PA / Raw / Padding
curl/1289291 - Ether / IP / TCP 208.97.177.124:https > 10.211.55.10:53052 A / Padding
请注意，截至目前，dump 仅捕获基于 IPv4 的 TCP 段。
为了方便，可以使用 --write 将捕获的数据包存储为 PCAPng 格式，并附带进程信息：
peetch dump --write peetch.pcapng
^C
此 PCAPng 文件可以方便地使用 Wireshark 或 Scapy 进行处理：
scapy
>>> l = rdpcap("peetch.pcapng")
>>> l[0]
<Ether dst=00:1c:42:00:00:18 src=00:1c:42:54:f3:34 type=IPv4 |<IP version=4 ihl=5 tos=0x0 len=60 id=11088 flags=DF frag=0 ttl=64 proto=tcp chksum=0x4bb1 src=10.211.55.10 dst=208.97.177.124 |<TCP sport=53054 dport=https seq=631406526 ack=0 dataofs=10 reserved=0 flags=S window=64240 chksum=0xc3e9 urgptr=0 options=[('MSS', 1460), ('SAckOK', b''), ('Timestamp', (1272423534, 0)), ('NOP', None), ('WScale', 7)] |<Padding load='\x00\x00' |>>>>
>>> l[0].comment
b'curl/1289909'
tls此子命令旨在识别使用 OpenSSL 的进程，并方便地转储明文和密钥等内容。
默认情况下，peetch tls 仅显示每个进程一行，使用 --directions 参数可以显示交换的消息：
peetch tls --directions
<- curl (1291078) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
-> curl (1291078) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
显示 OpenSSL 缓冲区内容需要使用 --content。
peetch tls --content
<- curl (1290608) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
0000 47 45 54 20 2F 20 48 54 54 50 2F 31 2E 31 0D 0A GET / HTTP/1.1..
0010 48 6F 73 74 3A 20 77 77 77 2E 70 65 72 64 75 2E Host: www.perdu.
0020 63 6F 6D 0D 0A 55 73 65 72 2D 41 67 65 6E 74 3A com..User-Agent:
0030 20 63 75 72 6C 2F 37 2E 36 38 2E 30 0D 0A 41 63 curl/7.68.0..Ac
-> curl (1290608) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
0000 48 54 54 50 2F 31 2E 31 20 32 30 30 20 4F 4B 0D HTTP/1.1 200 OK.
0010 0A 44 61 74 65 3A 20 54 68 75 2C 20 31 39 20 4D .Date: Thu, 19 M
0020 61 79 20 32 30 32 32 20 31 38 3A 31 36 3A 30 31 ay 2022 18:16:01
0030 20 47 4D 54 0D 0A 53 65 72 76 65 72 3A 20 41 70 GMT..Server: Ap
--secrets 参数将显示从内存中提取的 TLS 主密钥。以下示例利用 --write 写入主密钥，以简化使用 Scapy 解密 TLS 消息：
(sleep 5; curl https://www.perdu.com/?name=highly%20secret%20information --tls-max 1.2 --http1.1 --tlsv1.2) &
peetch tls --write &
curl (1293232) 208.97.177.124/443 TLS1.2 ECDHE-RSA-AES128-GCM-SHA256
peetch dump --write traffic.pcapng
^C
# 将主密钥注入到 PCAPng 文件中
editcap --inject-secrets tls,1293232-master_secret.log traffic.pcapng traffic-ms.pcapng
scapy
>>> load_layer("tls")
>>> conf.tls_session_enable = True
>>> l = rdpcap("traffic-ms.pcapng")
>>> l[13][TLS].msg
[<TLSApplicationData data='GET /?name=highly%20secret%20information HTTP/1.1\r\nHost: www.perdu.com\r\nUser-Agent: curl/7.68.0\r\nAccept: */*\r\n\r\n' |>]
proxy此子命令使用 eBPF 程序自动拦截使用 OpenSSL 的进程的 TLS 流量，并利用 Scapy 实时解密消息。
在以下示例中，peetch proxy 显示由 openssl 进程发送到服务器的秘密值。
peetch proxy
[-] Proxying OpenSSL traffic
[+] Intercepting traffic from openssl/451255 to 172.67.133.176/443 via 127.0.0.1/58039
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
<-- 172.67.133.176:https > 127.0.0.1:58039 tcp
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
<-- 172.67.133.176:https > 127.0.0.1:58039 tcp
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
--> 127.0.0.1:58039 > 172.67.133.176:https tcp
###[ TLS Application Data ]###
data = b'GET /?secret=9590 HTTP/1.1\r\nHost: www.perdu.com\r\n\r\n\n'
根据设计，peetch 仅支持 OpenSSL、IPv4 和 TLS 1.2。