eCapture(旁观者): eBPF を使用して CA 証明書なしで SSL/TLS テキスト コンテンツをキャプチャします。
重要
Linux/Android カーネル バージョン x86_64 4.18 以降、 aarch64 5.5以降をサポートします。 ROOT権限が必要です。 WindowsおよびmacOSシステムには対応しておりません。
導入
SSL/TLS プレーンテキスト キャプチャ、openssllibresslboringsslgnutlsnspr(nss) ライブラリをサポートします。
GoTLS 平文サポート go tls ライブラリ。golang 言語で記述された https/tls プログラムの暗号化通信を指します。
bash 監査、ホスト セキュリティ監査用の bash コマンドをキャプチャします。
mysql クエリ SQL 監査、mysqld 5.65.78.0、および mariadDB をサポートします。
はじめる
ダウンロード
ELFバイナリファイル
ヒント
Linux/Android x86_64/aarch64 をサポートします。
ELF zip ファイル リリースをダウンロードし、解凍し、コマンドsudo ecapture --helpで使用します。
Dockerイメージ
ヒント
Linux のみ。
# pull docker imagedocker pull gojue/ecapture:latest# rundocker run --rm --privileged=true --net=host -v ${HOST_PATH}:${CONTAINER_PATH} gojue/ecapture ARGS詳細については、「Docker Hub」を参照してください。
openssl テキスト コンテンツをキャプチャします。
sudo ecapture TLS
2024-09-15T11:51:31Z INF AppName="eCapture(旁观者)"2024-09-15T11:51:31Z INF HomePage=https://ecapture.cc
2024-09-15T11:51:31Z INF リポジトリ=https://github.com/gojue/ecapture
2024-09-15T11:51:31Z INF Author="CFC4N "2024-09-15T11:51:31Z INF description="eBPF を使用した CA 証明書なしの SSL/TLS プレーンテキストのキャプチャ。Linux でサポートされています。 /Android kernels for amd64/arm64."2024-09-15T11:51:31Z INF Version=linux_arm64:0.8.6-20240915-d87ae48:5.15.0-113-generic
2024-09-15T11:51:31Z INF リッスン=ローカルホスト:28256
2024-09-15T11:51:31Z INF eCapture 実行ログ logger=
2024-09-15T11:51:31Z INF キャプチャされたイベントを受け取るファイル ハンドラーeventCollector=
2024-09-15T11:51:31Z INF listen=localhost:28256
2024-09-15T11:51:31Z INF https サーバーを開始しています...HTTP インターフェイス経由で構成ファイルを更新できます。
2024-09-15T11:51:31Z WRN ========== モジュールを開始しています。 ==========
2024-09-15T11:51:31Z INF カーネル情報 = 5.15.152 Pid = 233698
2024-09-15T11:51:31Z INF BTF バイトコード モード: CORE。 btfモード=0
2024-09-15T11:51:31Z INF マスター キー キーロガーが設定されました。 eBPFProgramType=テキストキーロガー=
2024-09-15T11:51:31Z INF モジュールの初期化。 isReload=false moduleName=EBPFProbeOPENSSL
2024-09-15T11:51:31Z INF モジュール.Run()
2024-09-15T11:51:31Z WRN OpenSSL/BoringSSL バージョンが共有ライブラリ ファイルから見つかりません。デフォルト バージョンが使用されました OpenSSL Version=linux_default_3_0
2024-09-15T11:51:31Z INF フック masterKey 関数 ElfType=2 Functions=["SSL_get_wbio","SSL_in_before","SSL_do_handshake"] binrayPath=/usr/lib/aarch64-linux-gnu/libssl.so.3
2024-09-15T11:51:31Z INF はすべてのプロセスを対象としています。
2024-09-15T11:51:31Z INF はすべてのユーザーを対象としています。
2024-09-15T11:51:31Z INF setupManagers eBPFProgramType=Text
2024-09-15T11:51:31Z INF BPF バイトコード ファイルが一致しました。 bpfFileName=user/bytecode/openssl_3_0_0_kern_core.o
2024-09-15T11:51:32Z INF perfEventReader が作成したマップサイズ(MB)=4
2024-09-15T11:51:32Z INF perfEventReader が作成したマップサイズ(MB)=4
2024-09-15T11:51:32Z INF モジュールが正常に開始されました。 isReload=false moduleName=EBPFProbeOPENSSL
2024-09-15T11:51:53Z ??? UUID:233851_233851_curl_5_1_172.16.71.1:51837、名前:HTTP2Request、タイプ:2、長さ:304
フレームタイプ => 設定
フレームタイプ => WINDOW_UPDATE
フレームタイプ => ヘッダー
ヘッダー フィールド ":method" = "GET"ヘッダー フィールド ":path" = "/"ヘッダー フィールド ":scheme" = "https"ヘッダー フィールド ":authority" = "google.com"ヘッダー フィールド "user-agent" = 「curl/7.81.0」ヘッダーフィールド「accept」=「*/*」フレームタイプ=>設定
2024-09-15T11:51:53Z ??? UUID:233851_233851_curl_5_0_172.16.71.1:51837、名前:HTTP2Response、タイプ:4、長さ:1160
フレームタイプ => 設定
フレームタイプ => WINDOW_UPDATE
フレームタイプ => 設定
フレームタイプ => ヘッダー
ヘッダー フィールド ":status" = "301"ヘッダー フィールド "location" = "https://www.google.com/"ヘッダー フィールド "content-type" = "text/html; charset=UTF-8"ヘッダー フィールド " content-security-policy-report-only" = "object-src 'none';base-uri 'self';script-src 'nonce-qvZZ0XreBfeqRnUEV1WoYw' 'strict-dynamic' 'report-sample' 'unsafe-eval' ' unsafe-inline' https: http:;report-uri https://csp.withgoogle.com/csp/gws/other-hp"header field "date" = "Sun, 15 Sep 2024 11:51:52 GMT"headerフィールド "expires" = "火曜日、2024 年 10 月 15 日 11:51:52 GMT" ヘッダー フィールド "cache-control" = "public, max-age=2592000" ヘッダー フィールド "server" = "gws" ヘッダー フィールド "content-length " = "220"ヘッダー フィールド "x-xss-protection" = "0"ヘッダー フィールド "x-frame-options" = "SAMEORIGIN"ヘッダー フィールド "alt-svc" = "h3=":443"; ,h3-29=":443"; ma=2592000"フレームタイプ => PING
フレーム タイプ => DATA301 移動しました< BODY>301 移動
ドキュメントはここに移動しました。
