eCapture(旁观者): захват текстового содержимого SSL/TLS без сертификата CA с использованием eBPF.
Важный
Поддерживает версии ядра Linux/Android x86_64 4.18 и выше, aarch64 5.5 и выше. Требуется ROOT-разрешение. Не поддерживает системы Windows и macOS.
Введение
Начиная
Содействие
Сборник
Введение
Захват открытого текста SSL/TLS, поддержка библиотек openssllibresslboringsslgnutlsnspr(nss).
Поддержка открытого текста GoTLS — библиотека go tls, которая относится к зашифрованной связи в программах https/tls, написанных на языке golang.
bash Audit, команда захвата bash для аудита безопасности хоста.
MySQL-запрос SQL-аудита, поддержка mysqld 5.65.78.0 и mariadDB.
Начиная
Скачать
Бинарный файл ELF
Кончик
поддержка Linux/Android x86_64/aarch64.
Загрузите zip-файл ELF, разархивируйте и используйте команду sudo ecapture --help .
Докер-образ
Кончик
Только Линукс.
# pull docker imagedocker pull gojue/ecapture:latest# rundocker run --rm --privileged=true --net=host -v ${HOST_PATH}:${CONTAINER_PATH} gojue/ecapture ARGS дополнительную информацию см. в Docker Hub.
Захват текстового содержимого openssl.
sudo ecapture tls
2024-09-15T11:51:31Z INF AppName="eCapture(旁观者)"2024-09-15T11:51:31Z INF HomePage=https://ecapture.cc
2024-09-15T11:51:31Z INF-репозиторий=https://github.com/gojue/ecapture
2024-09-15T11:51:31Z INF Author="CFC4N "2024-09-15T11:51:31Z INF Description="Захват открытого текста SSL/TLS без сертификата CA с использованием eBPF. Поддерживается в Linux /Ядра Android для amd64/arm64."2024-09-15T11:51:31Z INF Version=linux_arm64:0.8.6-20240915-d87ae48:5.15.0-113-generic
2024-09-15T11:51:31Z INF Listen=localhost:28256
2024-09-15T11:51:31Z INF eCapture запускает журналы регистрации =
2024-09-15T11:51:31Z INF обработчик файла, который получает захваченное событие eventCollector=
2024-09-15T11:51:31Z INF прослушивание = локальный хост: 28256
2024-09-15T11:51:31Z INF https-сервер запускается... Вы можете обновить файл конфигурации через интерфейс HTTP.
2024-09-15T11:51:31Z WRN ========== модуль запускается. ==========
2024-09-15T11:51:31Z Информация о ядре INF=5.15.152 Pid=233698
2024-09-15T11:51:31Z Режим байт-кода INF BTF: CORE. btfMode=0
2024-09-15T11:51:31Z Установлен кейлоггер INF с главным ключом. eBPFProgramType=Текстовый кейлоггер=
2024-09-15T11:51:31Z Инициализация модуля INF. isReload=false имя_модуля=EBPFProbeOPENSSL
2024-09-15T11:51:31Z Модуль INF.Выполнить()
2024-09-15T11:51:31Z WRN Версия OpenSSL/BoringSSL не найдена в файле общей библиотеки, используется версия по умолчанию OpenSSL Version=linux_default_3_0
2024-09-15T11:51:31Z Функция INF Hook masterKey ElfType=2 Functions=["SSL_get_wbio","SSL_in_before","SSL_do_handshake"] binrayPath=/usr/lib/aarch64-linux-gnu/libssl.so.3
2024-09-15T11:51:31Z INF нацелен на все процессы.
2024-09-15T11:51:31Z INF предназначен для всех пользователей.
2024-09-15T11:51:31Z INF setupManagers eBPFProgramType=Text
2024-09-15T11:51:31Z Файл байт-кода INF BPF соответствует. bpfFileName=пользователь/байт-код/openssl_3_0_0_kern_core.o
2024-09-15T11:51:32Z INF perfEventReader создал MapSize(MB)=4
2024-09-15T11:51:32Z INF perfEventReader создал MapSize(MB)=4
2024-09-15T11:51:32Z Модуль INF успешно запущен. isReload=false имя_модуля=EBPFProbeOPENSSL
2024-09-15T11:51:53З ??? UUID: 233851_233851_curl_5_1_172.16.71.1: 51837, имя: HTTP2Request, тип: 2, длина: 304
Тип кадра => НАСТРОЙКИ
Тип кадра => WINDOW_UPDATE
Тип кадра => ЗАГОЛОВКИ
поле заголовка ":method" = "GET"поле заголовка ":path" = "/"поле заголовка ":scheme" = "https"поле заголовка ":authority" = "google.com"поле заголовка "user-agent" = Поле заголовка "curl/7.81.0" "accept" = "*/*" Тип кадра => НАСТРОЙКИ
2024-09-15T11:51:53З ??? UUID: 233851_233851_curl_5_0_172.16.71.1:51837, Имя: HTTP2Response, Тип: 4, Длина: 1160
Тип кадра => НАСТРОЙКИ
Тип кадра => WINDOW_UPDATE
Тип кадра => НАСТРОЙКИ
Тип кадра => ЗАГОЛОВКИ
поле заголовка ":status" = "301"поле заголовка "location" = "https://www.google.com/"поле заголовка "content-type" = "text/html; charset=UTF-8"поле заголовка " content-security-policy-report-only" = "object-src 'none';base-uri 'self';script-src 'nonce-qvZZ0XreBfeqRnUEV1WoYw' 'strict-dynamic' 'report-sample' 'unsafe-eval' ' unsafe-inline' https: http:;report-uri https://csp.withgoogle.com/csp/gws/other-hp"header field "date" = "Sun, 15 сентября 2024 г., 11:51:52 GMT"header поле "expires" = "Вт, 15 октября 2024 г., 11:51:52 GMT"поле заголовка "cache-control" = "public, max-age=2592000"поле заголовка "server" = "gws"поле заголовка "content-length" " = "220"поле заголовка "x-xss-protection" = "0"поле заголовка "x-frame-options" = "SAMEORIGIN"поле заголовка "alt-svc" = "h3=":443"; ma=2592000; ,h3-29=":443"; ma=2592000"Тип кадра => PING
Тип кадра => DATA301 Перемещен< BODY>301 Перемещен
Документ перемещенсюда.
