• XSS.stack #1 – первый литературный журнал от юзеров форума

Как проснифать пользователей SSH после повышения прав на целевом сервере?

Отслеживать

RavenMaster

HDD-drive
Пользователь
Регистрация
13.01.2022
Сообщения
22
Реакции
1
Вообщем представим ситуацию, что на сервере (веб сервере) удалось повысить привелегии до root.
Мы можем прочитать /etc/shadow но пароли зашифрованы и нет ни времени ни ресурсов чтобы брутить эти пароли.
Нужно получить в открытом виде пароль рута и желательно всех остальных юзеров.
На ум приходит как-то пробекдорить SSHD сервер, чтобы он записывал открытым текстом куда-нибудь пароли после успешной авторизации.
Так вот, есть ли у кого ссылки на мануалы, где описано как это реализовать, чтобы это могло применяться без особых танцев с бубном на популярных
серверных хостинговых ОС типа Centos,Ubuntu server и т.п. Возможно какие-то руткиты которые не сложны в установке и не крашнут сервер.
Вообщем предлагаю описать тут все эффективные методики, манулы, видео ссылки
 
Сортировать по дате Сортировать по голосам
За 0 Против
RavenMaster сказал(а):
Вообщем представим ситуацию, что на сервере (веб сервере) удалось повысить привелегии до root.
Мы можем прочитать /etc/shadow но пароли зашифрованы и нет ни времени ни ресурсов чтобы брутить эти пароли.
Нужно получить в открытом виде пароль рута и желательно всех остальных юзеров.
На ум приходит как-то пробекдорить SSHD сервер, чтобы он записывал открытым текстом куда-нибудь пароли после успешной авторизации.
Так вот, есть ли у кого ссылки на мануалы, где описано как это реализовать, чтобы это могло применяться без особых танцев с бубном на популярных
серверных хостинговых ОС типа Centos,Ubuntu server и т.п. Возможно какие-то руткиты которые не сложны в установке и не крашнут сервер.
Вообщем предлагаю описать тут все эффективные методики, манулы, видео ссылки
Pam модуль нужен. Наверняка на гитхабе есть что-то похожее.
 
За 0 Против
Добавлю oneliner - cat /tmp/sniff.txt | grep --line-buffered "read(5,"| grep --line-buffered '\\f\\0\\0\\0'| sed 's/\\f\\0\\0\\0//g'

У меня Ubuntu и read(5, иногда бывает read(6, тут смотреть на месте и тестить
 
За 0 Против
Помоему вы что-то ошибаетесь, пароль передается при конекте зашифрованый ключами поэтому ни tcpdump ни темболее strace не может их перехватить. Даже модуль Pam под сомнением но это не точно.
 
За 0 Против
xargs сказал(а):
Помоему вы что-то ошибаетесь, пароль передается при конекте зашифрованый ключами поэтому ни tcpdump ни темболее strace не может их перехватить. Даже модуль Pam под сомнением но это не точно.
Я скрин скинул конкретный, т.е. лично протестил
 
За 0 Против
xargs сказал(а):
при конекте
Я понял в чем твоя не уверенность, а у нас уже не при коннекте, а при обработке бинарника в памяти после коннекта
 
За 0 Против
Мне нужно перехватить пароль именно при подключение админа по SSH к серверу. Тоесть заранее запустить патч и забыть. админ же может подключаться через день, или через месяц и т.д.

у меня на веб-шелле суидник рутовый. тоесть я изнутри работаю.
 
За 0 Против
Пожалуйста, обратите внимание, что пользователь заблокирован
RavenMaster сказал(а):
На ум приходит как-то пробекдорить SSHD сервер, чтобы он записывал открытым текстом куда-нибудь пароли после успешной авторизации.
Если на машине включен ptrace (а он по умолчанию вроде включен), то ты можешь пропатчить sshd примерно так: https://blog.xpnsec.com/linux-process-injection-aka-injecting-into-sshd-for-fun/
Само собой это допилить надо.
 
За 0 Против
RavenMaster сказал(а):
Мне нужно перехватить пароль именно при подключение админа по SSH к серверу. Тоесть заранее запустить патч и забыть. админ же может подключаться через день, или через месяц и т.д.

у меня на веб-шелле суидник рутовый. тоесть я изнутри работаю.
Я же специально в конце амперсанд & поставил, включил и забыл, пишет он в /tmp/sniff.txt Зашел через время и прочитал, разобраться то как оно работает не пробовал ?
 
За 0 Против
RavenMaster сказал(а):
админ же может подключаться через день, или через месяц и т.д.
это что за важный ресурс такой где админ годами не заходит... (вопрос риторический).
 
За 0 Против
Kushanashvili сказал(а):
это что за важный ресурс такой где админ годами не заходит... (вопрос риторический).
Да не суть, я лишь хотел такой способ, чтобы не зависеть от момента конкретного захода админа
Exited3n сказал(а):
Я же специально в конце амперсанд & поставил, включил и забыл, пишет он в /tmp/sniff.txt Зашел через время и прочитал, разобраться то как оно работает не пробовал ?
Да, спасибо, понял. Я просто дополнительно пояснил, чтобы другие формучане лучше понял смысл моей задачи.
 
За 0 Против
через ld_preload перехватите эти функции, через них идет текстом пароль и ключ

user_key_allowed2;
sshpam_auth_passwd;
auth_shadow_pwexpired;
getpwnamallow;
login_write
read_passphrase;
ssh_userauth2;
key_perm_ok;
load_identity_file;
key_load_private_type
 
За 0 Против
Exited3n сказал(а):
Самый простой вариант используя strace - strace -f -p $(pgrep -o sshd) -o /tmp/sniff.txt -v -e trace=read,write -s 128 &

Посмотреть вложение 105216

Посмотреть вложение 105215
подскажи пожалуйста, вот в xshell созранена сессия, я могу залогинится кинуть эту команду и у меня будет пользовательский пароль?
 
За 0 Против
bademov сказал(а):
подскажи пожалуйста, вот в xshell созранена сессия, я могу залогинится кинуть эту команду и у меня будет пользовательский пароль?
Нет, это для realtime сбора, т.е. пароль получишь когда кто-то из пользователей залогиниться по ssh
Проверить это занимает 1 минуту, на своем сервере или виртуалке внутри сети
 
За 0 Против
RavenMaster сказал(а):
Вообщем представим ситуацию, что на сервере (веб сервере) удалось повысить привелегии до root.
Мы можем прочитать /etc/shadow но пароли зашифрованы и нет ни времени ни ресурсов чтобы брутить эти пароли.
Нужно получить в открытом виде пароль рута и желательно всех остальных юзеров.
На ум приходит как-то пробекдорить SSHD сервер, чтобы он записывал открытым текстом куда-нибудь пароли после успешной авторизации.
Так вот, есть ли у кого ссылки на мануалы, где описано как это реализовать, чтобы это могло применяться без особых танцев с бубном на популярных
серверных хостинговых ОС типа Centos,Ubuntu server и т.п. Возможно какие-то руткиты которые не сложны в установке и не крашнут сервер.
Вообщем предлагаю описать тут все эффективные методики, манулы, видео ссылки
Если еще актуально, с ваших слов root уже получен, подмените судо на заглушку свою и получите пароль, не забудьте запрашиваемую программу от рута стартануть чтоб не вызвать подозрение
 
За 0 Против
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх