Kerberos メカニズムは、さまざまなプロトコルメッセージを複号化するためのいくつかの DTrace プローブをサポートしています。リストについては、Kerberos 用の DTrace プローブを参照してください。DTrace により、特権ユーザーは暗号化されていない Kerberos やアプリケーションデータを容易に調査できるため、DTrace プローブには、ほかのプロトコルインスペクタに対する明確な優位性があります。
次の例は、Kerberos DTrace プローブで表示できる情報を示しています。
使用例 40 DTrace を使用した Kerberos メッセージの追跡次のスクリプトは、DTrace プローブを使用して、システムによって送受信された Kerberos メッセージに関する詳細情報を表示します。表示されるフィールドは、krb_message-recv および krb_message-send プローブに割り当てられた構造体に基づいていることに注意してください。詳細は、Kerberos DTrace プローブの定義を参照してください。
kerberos$target:::krb_message-recv { printf("<- krb message recved: %s\n", args[0]->krb_message_type); printf("<- krb message remote addr: %s\n", args[1]->kconn_remote); printf("<- krb message ports: local %d remote %d\n", args[1]->kconn_localport, args[1]->kconn_remoteport); printf("<- krb message protocol: %s transport: %s\n", args[1]->kconn_protocol, args[1]->kconn_type); } kerberos$target:::krb_message-send { printf("-> krb message sent: %s\n", args[0]->krb_message_type); printf("-> krb message remote addr: %s\n", args[1]->kconn_remote); printf("-> krb message ports: local %d remote %d\n", args[1]->kconn_localport, args[1]->kconn_remoteport); printf("-> krb message protocol: %s transport: %s\n", args[1]->kconn_protocol, args[1]->kconn_type); printf("\n"); } kerberos$target:::krb_error-read { printf("<- krb error code: %s\n", args[1]->kerror_error_code); printf("<- krb error client: %s server: %s\n", args[1]->kerror_client, args[1]->kerror_server); printf("<- krb error e-text: %s\n", args[1]->kerror_e_text); printf("\n"); }
前のスクリプトは、コマンド行から、または krb5kdc デーモンで呼び出すことができます。コマンド行から krb-dtrace.d という名前のスクリプトを呼び出す例を次に示します。このコマンドにより、Kerberos はメッセージを送受信するようになります。Kerberos DTrace プローブを含む Kerberos mech_krb5.so ライブラリを強制的にロードするために LD_NOLAZYLOAD=1 が必要であることに注意してください。
# LD_NOLAZYLOAD=1 dtrace -s ./krb\-dtrace.d -c kinit dtrace: script './krb-dtrace' matched 4 probes kinit: Client 'root@DEV.ORACLE.COM' not found in Kerberos database while g etting initial credentials dtrace: pid 3750 has exited CPU ID FUNCTION:NAME 2 74782 k5_trace_message_send:krb_message-send -> krb message sent: KR B_AS_REQ(10) -> krb message remote addr: 10.229.168.163 -> krb message ports: local 62029 remote 88 -> krb message protocol: ipv4 transport: udp 2 74781 k5_trace_message_recv:krb_message-recv <- krb message recved: KRB_ERROR(30) <- krb message remote addr: 10.229.168.163 <- krb message ports: local 62029 remote 88 <- krb message protocol: ipv4 transport: udp 2 74776 krb5_rd_error:krb_error-read <- krb error code: KDC_ERR_C_ PRINCIPAL_UNKNOWN(6) <- krb error client: root@DEV.ORACLE.COM server: krbtgt/DEV.ORACLE.COM@DEV .ORACLE.COM <- krb error e-text: CLIENT_NOT_FOUND
krb5kdc デーモンでこのスクリプトを使用するには、svc:/network/security/krb5kdc:default サービスを有効にしてオンラインにする必要があります。mech_krb5.so ライブラリによって krb5kdc デーモンがロードされるため、次のコマンドでは LD_NOLAZYLOAD=1 を使用していないことに注意してください。
# dtrace -s ./krb\-dtrace.d -p $(pgrep -x krb5kdc)使用例 41 DTrace を使用した Kerberos 事前認証タイプの表示
次の例は、クライアントによってどのような事前認証が選択されるかを示しています。最初の手順では、次のように DTrace スクリプトを作成します。
cat krbtrace.d kerberos$target:::krb_message-recv { printf("<- krb message recved: %s\n", args[0]->krb_message_type); printf("<- krb message remote addr: %s\n", args[1]->kconn_remote); printf("<- krb message ports: local %d remote %d\n", args[1]->kconn_localport, args[1]->kconn_remoteport); printf("<- krb message protocol: %s transport: %s\n", args[1]->kconn_protocol, args[1]->kconn_type); } kerberos$target:::krb_message-send { printf("-> krb message sent: %s\n", args[0]->krb_message_type); printf("-> krb message remote addr: %s\n", args[1]->kconn_remote); printf("-> krb message ports: local %d remote %d\n", args[1]->kconn_localport, args[1]->kconn_remoteport); printf("-> krb message protocol: %s transport: %s\n", args[1]->kconn_protocol, args[1]->kconn_type); printf("\n"); } kerberos$target:::krb_kdc_req-make { printf("-> krb kdc_req make msg type: %s\n", args[0]->krb_message_type); printf("-> krb kdc_req make pre-auths: %s\n", args[1]->kdcreq_padata_types); printf("-> krb kdc_req make auth data: %s\n", args[1]->kdcreq_authorization_data); printf("-> krb kdc_req make client: %s server: %s\n", args[1]->kdcreq_client, args[1]->kdcreq_server ); } kerberos$target:::krb_kdc_req-read { /* printf("<- krb kdc_req msg type: %s\n", args[0]->krb_message_type); */ printf("<- krb kdc_req client: %s server: %s\n", args[1]->kdcreq_client, args[1]->kdcreq_server ); printf("\n"); } kerberos$target:::krb_kdc_rep-read { /* printf("<- krb kdc_rep msg type: %s\n", args[0]->krb_message_type); */ printf("<- krb kdc_rep client: %s server: %s\n", args[1]->kdcrep_client, args[1]->kdcrep_enc_server ); printf("\n"); } kerberos$target:::krb_ap_req-make { printf("-> krb ap_req make server: %s client: %s\n", args[2]->kticket_server, args[2]->kticket_enc_client ); } kerberos$target:::krb_error-read { printf("<- krb error code: %s\n", args[1]->kerror_error_code); printf("<- krb error client: %s server: %s\n", args[1]->kerror_client, args[1]->kerror_server); printf("<- krb error e-text: %s\n", args[1]->kerror_e_text); printf("\n"); }
次に、次のコマンドを入力することによって、Kerberos システム上で特権ユーザーとして krbtrace.d スクリプトを実行します。
# LD_BIND_NOW=1 dtrace -qs krbtrace.d -c "kinit -k" . . -> krb kdc_req make pre-auths: FX_COOKIE(133) ENC_TIMESTAMP(2) REQ_ENC_PA_REP(149)
出力に事前認証のタイプが表示されます。事前認証のさまざまなタイプの詳細は、RFC 4120 を参照してください。
使用例 42 DTrace を使用した Kerberos のエラーメッセージのダンプ# dtrace -n 'krb_error-make { printf("\n{"); printf("\n\tctime = %Y", (uint64_t)(args[1]->kerror_ctime * 1000000000)); printf("\n\tcusec = %d", args[1]->kerror_cusec); printf("\n\tstime = %Y", (uint64_t)(args[1]->kerror_stime * 1000000000)); printf("\n\tsusec = %d", args[1]->kerror_susec); printf("\n\terror_code = %s", args[1]->kerror_error_code); printf("\n\tclient = %s", args[1]->kerror_client); printf("\n\tserver = %s", args[1]->kerror_server); printf("\n\te_text = %s", args[1]->kerror_e_text); printf("\n\te_data = %s", ""); printf("\n}"); }' dtrace: description 'krb_error-make ' matched 1 probe CPU ID FUNCTION:NAME 0 78307 krb5_mk_error:krb_error-make { ctime = 2012 May 10 12:10:20 cusec = 0 stime = 2012 May 10 12:10:20 susec = 319090 error_code = KDC_ERR_C_PRINCIPAL_UNKNOWN(6) client = testuser@EXAMPLE.COM server = krbtgt/EXAMPLE.COM@EXAMPLE.COM e_text = CLIENT_NOT_FOUND e_data = }使用例 43 DTrace を使用した SSH サーバーのサービスチケットの表示
# LD_PRELOAD_32=/usr/lib/gss/mech_krb5.so.1 dtrace -q -n ' kerberos$target:::krb_kdc_req-make { printf("kdcreq_server: %s",args[1]->kdcreq_server); }' -c "ssh local@four.example.com" -o dtrace.out Last login: Wed Sep 10 10:10:20 2014 Oracle Solaris 11 X86 July 2014 $ ^D # cat dtrace.out kdcreq_server: host/four.example.com@EXAMPLE.COM使用例 44 DTrace を使用した、初期 TGT のリクエスト時に使用できない KDC のアドレスとポートの表示
# LD_BIND_NOW=1 dtrace -q -n ' kerberos$target:::krb_message-send { printf("%s:%d\n",args[1]->kconn_remote, args[1]->kconn_remoteport) }' -c "kinit local4" 10.10.10.14:88 10.10.10.14:750 10.10.10.14:88 10.10.10.14:750 10.10.10.14:88 10.10.10.14:750 kinit(v5): Cannot contact any KDC for realm 'EXAMPLE.COM' while getting initial credentials使用例 45 DTrace を使用した Kerberos 主体からのリクエストの表示
# LD_BIND_NOW=1 dtrace -qs /opt/kdebug/mykdtrace.d \ -c 'kadmin -p kdc/admin -w test123 -q listprincs' Authenticating as principal kdc/admin with password. krb kdc_req msg type: KRB_AS_REQ(10) krb kdc_req make client: kdc/admin@TEST.NET server: kadmin/interop1.example.com@TEST.NET krb message sent: KRB_AS_REQ(10) krb message recved: KRB_ERROR(30) Err code: KDC_ERR_PREAUTH_REQUIRED(25) Err msg client: kdc/admin@TEST.NET server: kadmin/interop1.example.com@TEST.NET Err e-text: NEEDED_PREAUTH krb kdc_req msg type: KRB_AS_REQ(10) krb kdc_req make client: kdc/admin@TEST.NET server: kadmin/interop1.example.com@TEST.NET krb message sent: KRB_AS_REQ(10) krb message recved: KRB_AS_REP(11) kadmin: Database error! Required KADM5 principal missing while initializing kadmin interface krb kdc_req msg type: KRB_AS_REQ(10) krb kdc_req make client: kdc/admin@TEST.NET server: kadmin/interop2.example.com@TEST.NET krb message sent: KRB_AS_REQ(10) krb message recved: KRB_ERROR(30) Err code: KDC_ERR_S_PRINCIPAL_UNKNOWN(7) Err msg client: kdc/admin@TEST.NET server: kadmin/interop2.example.com@TEST.NET Err e-text: SERVER_NOT_FOUND krb kdc_req msg type: KRB_AS_REQ(10) krb kdc_req make client: kdc/admin@TEST.NET server: kadmin/interop2.example.com@TEST.NET
次のスクリプトは、前の出力を生成するために使用されました。
kerberos$target:::krb_message-recv { printf("krb message recved: %s\n", args[0]->krb_message_type); } kerberos$target:::krb_message-send { printf("krb message sent: %s\n", args[0]->krb_message_type); } kerberos$target:::krb_kdc_req-make { printf("krb kdc_req msg type: %s\n", args[0]->krb_message_type); printf("krb kdc_req make client: %s server: %s\n", args[1]->kdcreq_client, args[1]->kdcreq_server ); } kerberos$target:::krb_ap_req-make { printf("krb ap_req make server: %s client: %s\n", args[2]->kticket_server, args[2]->kticket_enc_client ); } kerberos$target:::krb_error-read { printf("Err code: %s\n", args[1]->kerror_error_code); printf("Err msg client: %s server: %s\n", args[1]->kerror_client, args[1]->kerror_server); printf("Err e-text: %s\n", args[1]->kerror_e_text); }