KeePass Master Password Extraction via Memory Dump
Diese Anleitung beschreibt, wie mithilfe eines Speicher-Dumps und eines speziell entwickelten Tools ein KeePass-Master-Passwort extrahiert werden kann. Grundlage ist eine bekannte Schwachstelle (CVE-2023-32784), bei der eingetippte Zeichen im Speicher rekonstruiert werden können.
Betroffene Versionen:
KeePass 2.00 bis 2.53.x – inklusive 2.53.1, getestet unter Windows und Linux .
Nicht betroffen:
KeePass ab 2.54
KeePassXC, KeePass 1.x und mobile Clients
Background: CVE-2023-32784
KeePass speichert bei jeder Eingabe eines Zeichens temporär den Zwischenstand des Passworts im Speicher. Für das Passwort Password entstehen so u.a. diese Fragmente im Speicher:
•a
••s
•••s
••••w
•••••o
••••••r
•••••••d
Ein Proof-of-Concept (PoC) Tool scannt ein Speicherabbild nach diesen Mustern und schlägt mögliche Passwörter vor.
Schritt 1: KeePass Dump erstellen (unter Windows)
Öffne den Task-Manager
Rechtsklick auf KeePass-Prozess → „Abbilddatei erstellen“
Die Dump-Datei wird z. B. unter %TEMP% gespeichert
Übertrage sie mit scp oder USB auf dein Linux-System
Schritt 2: .NET SDK 7.0 unter Linux installieren
Prüfe die Installation:
Schritt 3: Tool zur Passwortextraktion ausführen
Beispielausgabe:
Falls zusätzlich eine Liste aller möglichen Kombinationen generiert werden soll:
Schritt 4: KeePass-Datenbank öffnen mit kpcli
Installation
Nutzung
Wenn dgrød med fløde nicht funktioniert, ist es wahrscheinlich ein Tippfehler – durch logische Korrektur des Ergebnisses (z. B. aus Google „rødgrød med fløde“) lässt sich das Passwort oft erraten.
Navigieren und anzeigen:
Du kannst daraus z. B. PuTTY-kompatible SSH-Keys extrahieren.
Fazit
Diese Methode zeigt, wie gefährlich unsicheres Memory Handling bei Passwortfeldern ist. Der Angriff ist realistisch in Post-Exploitation-Szenarien und kann zur vollständigen Kompromittierung führen. Tools wie kpcli helfen bei der Validierung und Analyse der gewonnenen Zugangsdaten.
Verwende diese Methode ausschließlich in autorisierten Testumgebungen!