被动式SSH

被动式SSH标志

被动式SSH是一个开源框架，由扫描器和服务器组成，用于存储和查找每个主机（IPv4/IPv6/洋葱地址）的SSH密钥和指纹。

密钥材料以及指纹和主机信息存储在一个快速查找数据库中。该系统提供了SSH密钥的历史视图，同时还可以查看在不同IP地址上重复使用的常见密钥材料。

相关论文：用于网络威胁情报的SSH密钥材料的主动和被动收集。

特点

简单的SSH扫描器
将密钥材料存储在Redis数据库中的服务器
简单的REST API，可通过SSH指纹（包括hassh）或主机（IPv4、IPv6或洋葱地址）进行查找
SSH横幅和SSH指纹的统计信息

服务器要求

Python >= 3.6
Redis > 5.0
tornado

扫描器要求

Python >= 3.6
D4 paramiko
pysocks（扫描Tor隐藏服务时需要）

安装

./install.sh

安装Redis和所有Python依赖项。
所有Python 3代码将安装在虚拟环境（PSSHENV）中。

Tor代理

SSH扫描器可以与Tor代理一起使用，以扫描主机或隐藏服务。

如果要扫描Tor隐藏服务，别忘了安装Tor代理：sudo apt-get install tor -y

运行

启动Redis和tornado服务器：

./LAUNCH -l

手动扫描

包含一个SSH扫描器，用于扫描小型网络或内部基础设施。

. ./PSSHENV/bin/activate
cd bin/

# 扫描一个主机
./ssh_scan.py -t <host: 10.0.0.12>

# 扫描网络范围
./ssh_scan.py -r <network range: 10.0.0.0/8>

API

提供API以查询被动式SSH服务器。

默认情况下，被动式SSH的tornado服务器运行在8500端口。

curl http://localhost:8500/banners

端点

`/stats`

返回服务器统计信息：

SSH横幅数量
扫描的主机数量：
- ip
- onion
按类型统计的指纹数量

`/banners`

返回按得分排序的所有横幅

`/banner/hosts/<banner>`

按横幅获取主机：

横幅
主机列表

`/keys/types`

返回所有密钥类型列表

`/host/ssh/<host>`

返回主机SSH元数据：

首次发现时间
最后发现时间
端口
横幅列表
指纹列表

`/host/history/<host>`

返回主机的SSH历史记录

`/fingerprints`

返回按得分排序的所有指纹

`/fingerprint/all/<fingerprint>`

按指纹获取主机：

首次发现时间
最后发现时间
密钥类型
密钥base64编码
指纹
主机列表

`/fingerprint/type/<key_type>/<fingerprint>`

按密钥类型和指纹获取主机：

首次发现时间
最后发现时间
密钥类型
密钥base64编码
指纹
主机列表

`/hasshs`

返回按得分排序的所有hassh

`/hassh/hosts/<hassh>`

按hassh获取主机：

hassh
主机列表
kexinit

现有的被动式SSH数据库

CIRCL被动式SSH - 如果您是FIRST.org、TF-CSIRT、CNW网络的CSIRT成员或经过审核的安全研究人员，可以申请访问。

许可证

该软件是根据GNU Affero通用公共许可证第3版发布的自由软件/开源软件。

引用

如果您想引用本工作，可以使用以下格式：用于网络威胁情报的SSH密钥材料的主动和被动收集

@article{dulaunoy2022active,
  title={Active and Passive Collection of SSH key material for cyber threat intelligence},
  author={Dulaunoy, Alexandre and Huynen, Jean-Louis and Thirion, Aurelien},
  journal={Digital Threats: Research and Practice (DTRAP)},
  volume={3},
  number={3},
  pages={1--5},
  year={2022},
  publisher={ACM New York, NY}
}