搜索

[12760] 2018-05-29_从Windows10SSH-Agent中提取SSH私钥

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-05-29_从Windows10SSH-Agent中提取SSH私钥 从 W i n d o w s   1 0   S S H - A g e n t 中 提 取 S S H 私 钥 s e c i s t   F r e e B u f   2 0 1 8 - 0 5 - 2 9 背 景 背 景 在 这 个 周 末 我 安 装 了 在 这 个 周 末 我 安 装 了 W i n d o w s   1 0   S p r i n g   U p d a t e ， 最 令 我 期 待 的 就 是 它 的 内 置 ， 最 令 我 期 待 的 就 是 它 的 内 置 O p e n S S H 工 具 ， 这 意 味 着 工 具 ， 这 意 味 着 W i n d o w s 管 理 员 不 再 需 要 使 用 管 理 员 不 再 需 要 使 用 P u t t y 和 和 P P K 格 式 的 密 钥 了 。 随 后 ， 我 花 了 些 时 间 来 探 索 并 了 解 该 版 本 所 支 持 的 特 格 式 的 密 钥 了 。 随 后 ， 我 花 了 些 时 间 来 探 索 并 了 解 该 版 本 所 支 持 的 特 性 。 最 终 没 有 令 我 失 望 ， 我 惊 喜 地 看 到 性 。 最 终 没 有 令 我 失 望 ， 我 惊 喜 地 看 到 s s h - a g e n t . e x e 也 被 包 含 在 内 。 在 也 被 包 含 在 内 。 在 M S D N 的 一 篇 关 于 使 用 新 的 一 篇 关 于 使 用 新 W i n d o w s   s s h - a g e n t 文 章 的 以 下 部 分 ， 引 起 了 我 的 注 意 ： 文 章 的 以 下 部 分 ， 引 起 了 我 的 注 意 ： 过 去 我 曾 有 过 劫 持 s s h - a g e n t . 的 相 关 经 验 ， 并 尝 试 过 一 些 有 趣 的 测 试 ， 所 以 我 决 定 开 始 查 看 W i n d o w s 是 如 何 “ 安 全 地 ” 用 这 个 新 的 服 务 来 存 储 您 的 私 钥 的 。 我 将 在 这 篇 文 章 中 概 述 我 的 方 法 和 步 骤 ， 这 是 一 个 非 常 有 趣 的 过 程 。 好 了 ， 话 不 多 说 让 我 们 开 始 我 们 的 旅 程 吧 ！ 私 钥 由 D P A P I 保 护 并 存 储 在 H K C U 注 册 表 h i v e 中 。 我 在 这 里 发 布 了 一 些 P o C 代 码 ， 从 注 册 表 中 提 取 并 重 构 R S A 私 钥 。 在 在 W i n d o w s   1 0 中 使 用 中 使 用 O p e n S S H 测 试 要 做 的 第 一 件 事 就 是 使 用 O p e n S S H 生 成 几 个 密 钥 对 并 将 它 们 添 加 到 s s h - a g e n t 中 。 首 先 ， 我 使 用 s s h - k e y g e n . e x e 生 成 了 一 些 受 密 码 保 护 的 测 试 密 钥 对 ： 然 后 确 保 新 的 s s h - a g e n t 服 务 正 在 运 行 ， 并 使 用 s s h - a d d 将 私 钥 对 添 加 到 正 在 运 行 的 a g e n t 中 ：
运 行 s s h - a d d . e x e   - L 显 示 当 前 由 S S H   a g e n t 管 理 的 密 钥 。 最 后 ， 在 将 公 钥 添 加 到 U b u n t u   b o x 之 后 ， 我 验 证 了 我 可 以 从 W i n d o w s   1 0 进 入 S S H ， 而 不 需 要 解 密 我 的 私 钥 （ 因 为 s s h - a g e n t 正 在 为 我 处 理 ） ： 监 控 监 控 S S H   A g e n t 为 了 了 解 S S H 代 理 是 如 何 存 储 和 读 取 我 的 私 钥 ， 我 开 始 静 态 检 查 s s h - a g e n t . e x e 。 然 而 ， 我 的 静 态 分 析 技 能 很 弱 ， 所 以 我 放 弃 了 ， 并 最 终 决 定 采 用 动 态 跟 踪 这 个 过 程 的 方 式 ， 看 看 它 在 做 什 么 。 我 使 用 了 S y s i n t e r n a l s 的 p r o c m o n . e x e ， 并 为 包 含 “ s s h ” 的 任 意 进 程 名 称 添 加 了 一 个 过 滤 器 。 随 着 p r o c m o n 捕 获 事 件 ， 我 再 次 进 入 我 的 U b u n t u 机 器 。 查 看 所 有 的 事 件 ， 我 看 到 s s h . e x e 打 开 了 一 个 T C P 连 接 到 U b u n t u ， 以 及 s s h - a g e n t . e x e 进 入 并 从 R e g i s t r y 中 读 取 了 一 些 值 ： 这 里 有 两 个 非 常 重 要 的 点 ： 进 程 s s h - a g e n t . e x e 读 取 来 自 H K C U S o f t w a r e O p e n S S H A g e n t K e y s 的 键 值 读 取 这 些 值 后 ， 立 即 打 开 了 d p a p i . d l l 。 正 因 为 如 此 ， 我 现 在 知 道 某 种 受 保 护 的 数 据 被 存 储 在 注 册 表 中 并 从 注 册 表 中 被 读 取 ， s s h - a g e n t 正 在 使 用 微 软 的 数 据 保 护 A P I . a s p x ) 。 测 试 注 册 表 值 测 试 注 册 表 值
果 然 ， 在 注 册 表 中 ， 可 以 看 到 我 使 用 s s h - a d d 添 加 的 两 个 键 项 。 密 钥 名 称 是 公 开 密 钥 的 指 纹 ， 并 且 存 在 一 些 二 进 制 b l o b s ： 我 能 够 p u l l 注 册 表 值 并 操 作 它 们 。 “ 注 释 ” 字 段 只 是 A S C I I 编 码 文 本 ， 是 我 添 加 的 密 钥 的 名 称 ： （ 默 认 值 ） 只 是 一 个 字 节 数 组 ， 没 有 解 码 出 任 何 有 意 义 的 东 西 。 我 有 一 个 预 感 ， 这 是 “ 加 密 ” 私 钥 ， 那 么 我 是 否 能 p u l l 并 解 密 它 呢 。 我 把 字 节 p u l l 到 了 一 个 P o w e r s h e l l 变 量 ： 解 除 密 钥 保 护 解 除 密 钥 保 护 虽 然 我 知 道 很 多 后 利 用 工 具 可 以 滥 用 它 来 取 出 凭 据 ， 但 我 对 D P A P I 并 不 太 熟 悉 ， 因 此 我 也 知 道 其 他 人 可 能 已 经 实 现 了 一 个 w r a p p e r 。 通 过 G o o g l e 搜 索 ， 我 找 到 了 一 个 简 单 的 单 线 程 w r a p p e r 。 我 仍 然 不 知 道 这 是 否 可 行 ， 但 我 试 图 使 用 D P A P I 去 解 除 字 节 数 组 的 保 护 。 B a s e 6 4 编 码 结 果 如 下 ： 返 回 的 B a s e 6 4 看 起 来 不 像 是 私 钥 ， 但 我 只 是 为 了 好 玩 而 解 码 它 ， 然 而 对 于 里 面 出 现 的 “ s s h - r s a ” 字 符 串 我 感 到 非 常 的 惊 喜 。
找 出 二 进 制 格 式 找 出 二 进 制 格 式 这 部 分 是 我 花 时 间 最 长 的 一 部 分 。 我 知 道 我 有 某 种 键 的 二 进 制 表 示 ， 但 我 无 法 找 出 格 式 或 如 何 使 用 它 。 我 用 o p e n s s l ， p u t t y g e n 和 s s h - k e y g e n 来 生 成 各 种 R S A 密 钥 ， 但 从 来 没 有 得 到 类 似 于 我 拥 有 的 二 进 制 文 件 的 任 何 东 西 。 最 后 ， 在 大 量 的 G o o g l e 之 后 ， 我 从 N e t S P I 找 到 了 一 篇 关 于 从 L i n u x 上 的 s s h - a g e n t 的 内 存 转 储 中 取 出 O p e n S S H 私 钥 的 文 章 ： h t t p s : / / b l o g . n e t s p i . c o m / s t e a l i n g - u n e n c r y p t e d - s s h - a g e n t - k e y s - f r o m - m e m o r y / 难 道 是 二 进 制 格 式 相 同 吗 ？ 我 从 博 客 中 获 取 了 P y t h o n 脚 本 ， 并 为 它 提 供 了 我 从 W i n d o w s 注 册 表 中 获 得 的 不 受 保 护 的 b a s e 6 4   b l o b ：
可 以 正 常 工 作 了 ！ 我 不 知 道 原 作 者 s o l e b l a z e 是 如 何 找 出 二 进 制 数 据 的 正 确 格 式 的 ， 但 在 这 里 我 要 特 别 感 谢 他 所 做 的 以 及 他 的 分 享 ！ 在 证 明 可 以 从 注 册 表 中 提 取 私 钥 后 ， 我 将 P o C 分 享 到 了 G i t H u b 。 G i t H u b   R e p o 第 一 个 是 P o w e r s h e l l 脚 本 （ e x t r a c t _ s s h _ k e y s . p s 1 ） ， 用 于 查 询 注 册 表 中 被 s s h - a g e n t 保 存 的 任 何 密 钥 。 然 后 使 用 D P A P I 与 当 前 用 户 上 下 文 来 解 除 二 进 制 保 护 ， 并 将 其 保 存 在 B a s e 6 4 中 。 由 于 我 不 知 道 如 何 在 P o w e r s h e l l 中 解 析 二 进 制 数 据 ， 所 以 我 把 所 有 的 密 钥 保 存 到 了 一 个 J S O N 文 件 中 ， 然 后 我 可 以 在 P y t h o n 中 导 入 。 P o w e r s h e l l 脚 本 只 有 几 行 ：
我 大 量 借 用 了 p a r s e _ m e m _ p y t h o n . p y 中 的 代 码 ， 并 将 其 更 新 为 P y t h o n   3 ， 用 于 下 一 个 脚 本 ： e x t r a c t P r i v a t e K e y s . p y 。 从 P o w e r s h e l l 脚 本 生 成 的 J S O N 将 输 出 所 有 的 R S A 私 钥 ： 这 些 R S A 私 钥 是 未 加 密 的 。 虽 然 我 创 建 它 们 时 ， 添 加 了 一 个 密 码 ， 但 它 们 使 用 s s h - a g e n t 未 加 密 存 储 ， 所 以 我 不 再 需 要 密 码 。 为 了 验 证 ， 我 将 密 钥 复 制 回 了 K a l i   l i n u x   b o x 中 验 证 了 指 纹 ， 并 将 其 应 用 到 了 S S H 中 ！
结 语 结 语 很 显 然 ， 我 的 P o w e r S h e l l 功 底 非 常 的 薄 弱 ， 我 发 布 的 代 码 更 多 的 是 P o C 。 我 也 希 望 我 的 P o C 最 终 能 被 武 器 化 ， 并 被 添 加 到 后 利 用 的 框 架 中 。 希 望 大 家 也 能 积 极 地 探 索 ， 如 果 你 也 有 新 的 发 现 和 玩 法 ， 那 么 欢 迎 你 在 第 一 时 间 与 我 分 享 ！ * 参 考 来 源 ： r o p n o p ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理