eCapture(旁观者): captura contenido de texto SSL/TLS sin un certificado CA utilizando eBPF.
Importante
Admite versiones del kernel de Linux/Android x86_64 4.18 y superiores, aarch64 5.5 y superiores. Necesita permiso ROOT. No es compatible con los sistemas Windows y macOS.
Introducción
Empezando
Contribuyendo
Compilación
Introducción
Captura de texto sin formato SSL/TLS, admite bibliotecas openssllibresslboringsslgnutlsnspr(nss).
GoTLS admite texto plano en la biblioteca go tls, que se refiere a la comunicación cifrada en programas https/tls escritos en el lenguaje golang.
auditoría bash, comando capture bash para auditoría de seguridad del host.
Auditoría SQL de consultas mysql, compatible con mysqld 5.65.78.0 y mariadDB.
Empezando
Descargar
Archivo binario ELF
Consejo
Compatible con Linux/Android x86_64/aarch64.
Descargue el archivo zip ELF, descomprímalo y utilícelo con el comando sudo ecapture --help .
imagen acoplable
Consejo
Sólo Linux.
# pull docker imagedocker pull gojue/ecapture:latest# rundocker run --rm --privileged=true --net=host -v ${HOST_PATH}:${CONTAINER_PATH} gojue/ecapture ARGS consulte Docker Hub para obtener más información.
Capture contenido de texto de openssl.
sudo ecapture tls
2024-09-15T11:51:31Z INF AppName="eCapture(旁观者)"2024-09-15T11:51:31Z INF Página de inicio=https://ecapture.cc
2024-09-15T11:51:31Repositorio Z INF=https://github.com/gojue/ecapture
2024-09-15T11:51:31Z INF Author="CFC4N "2024-09-15T11:51:31Z INF Descripción="Captura de texto sin formato SSL/TLS sin un certificado de CA mediante eBPF. Compatible con Linux /Kernels de Android para amd64/arm64."2024-09-15T11:51:31Z INF Version=linux_arm64:0.8.6-20240915-d87ae48:5.15.0-113-generic
2024-09-15T11:51:31Z INF Escuchar=localhost:28256
2024-09-15T11:51:31Z INF eCapture ejecutando registros logger=
2024-09-15T11:51:31Z INF el controlador de archivos que recibe el evento capturado eventCollector=
2024-09-15T11:51:31Z INF escuchar=localhost:28256
2024-09-15T11:51:31Z Se inicia el servidor https INF... Puede actualizar el archivo de configuración a través de la interfaz HTTP.
2024-09-15T11:51:31Z WRN ========== módulo iniciando. ==========
2024-09-15T11:51:31Z Información del kernel INF=5.15.152 Pid=233698
2024-09-15T11:51:31Z Modo de código de bytes INF BTF: CORE. modobtf=0
2024-09-15T11:51:31Z Se ha configurado el registrador de teclas de clave maestra INF. eBPFProgramType=Registrador de teclas de texto=
2024-09-15T11:51:31Z Inicialización del módulo INF. isReload=false moduleName=EBPFProbeOPENSSL
2024-09-15T11:51:31Z Módulo INF.Ejecutar()
2024-09-15T11:51:31Z No se encontró la versión WRN OpenSSL/BoringSSL en el archivo de biblioteca compartida, se usó la versión predeterminada OpenSSL Version=linux_default_3_0
2024-09-15T11:51:31Z Función INF Hook masterKey ElfType=2 Functions=["SSL_get_wbio","SSL_in_before","SSL_do_handshake"] binrayPath=/usr/lib/aarch64-linux-gnu/libssl.so.3
2024-09-15T11:51:31Z INF apunta a todo el proceso.
2024-09-15T11:51:31Z INF está dirigido a todos los usuarios.
2024-09-15T11:51:31Z INF setupManagers eBPFProgramType=Texto
2024-09-15T11:51:31Z El archivo de código de bytes INF BPF coincide. bpfFileName=usuario/bytecode/openssl_3_0_0_kern_core.o
2024-09-15T11:51:32Z INF perfEventReader creó el tamaño del mapa (MB) = 4
2024-09-15T11:51:32Z INF perfEventReader creó el tamaño del mapa (MB) = 4
2024-09-15T11:51:32Z El módulo INF se inició correctamente. isReload=false moduleName=EBPFProbeOPENSSL
2024-09-15T11:51:53Z??? UUID:233851_233851_curl_5_1_172.16.71.1:51837, Nombre:HTTP2Request, Tipo:2, Longitud:304
Tipo de marco => AJUSTES
Tipo de marco => WINDOW_UPDATE
Tipo de marco => ENCABEZADOS
campo de encabezado ":method" = "GET"campo de encabezado ":path" = "/"campo de encabezado ":scheme" = "https"campo de encabezado ":authority" = "google.com"campo de encabezado "user-agent" = "curl/7.81.0"campo de encabezado "accept" = "*/*"Tipo de marco => CONFIGURACIÓN
2024-09-15T11:51:53Z??? UUID:233851_233851_curl_5_0_172.16.71.1:51837, Nombre:HTTP2Response, Tipo:4, Longitud:1160
Tipo de marco => AJUSTES
Tipo de marco => WINDOW_UPDATE
Tipo de marco => AJUSTES
Tipo de marco => ENCABEZADOS
campo de encabezado ":status" = "301"campo de encabezado "ubicación" = "https://www.google.com/"campo de encabezado "content-type" = "text/html; charset=UTF-8"campo de encabezado " content-security-policy-report-only" = "object-src 'none';base-uri 'self';script-src 'nonce-qvZZ0XreBfeqRnUEV1WoYw' 'strict-dynamic' 'report-sample' 'unsafe-eval' ' unsafe-inline' https: http:;report-uri https://csp.withgoogle.com/csp/gws/other-hp"header field "date" = "domingo, 15 de septiembre de 2024 11:51:52 GMT"header campo "expires" = "Martes, 15 de octubre de 2024 11:51:52 GMT"campo de encabezado "cache-control" = "public, max-age=2592000"campo de encabezado "server" = "gws"campo de encabezado "longitud del contenido " = "220"campo de encabezado "x-xss-protection" = "0"campo de encabezado "x-frame-options" = "SAMEORIGIN"campo de encabezado "alt-svc" = "h3=":443" ma=2592000; ,h3-29=":443"; ma=2592000"Tipo de trama => PING
Tipo de trama => DATOS301 movido< BODY>301 Movido
El documento se ha movidoaquí.
