alej6/masscybercenter-mentorship-project-استغلال CVE-2023-2825 على VM
يوثّق هذا المستودع رحلتي ومخرجاتي خلال برنامج الإرشاد في مركز MassCyber Center. كلّفنا هذا البرنامج بإكمال مشروع في الأمن السيبراني ثم تقديمه في فعالية عرض حضره متخصصون في الأمن السيبراني. كان الهدف من هذا المشروع هو بناء جهاز افتراضي وكسره وتأمينه وإدارته. وتحديدًا، كان هدفي استغلال ثغرة معروفة في GitLab وهي CVE-2023-2825 لفهم نقاط الضعف الأمنية وتنفيذ استراتيجيات التخفيف.
لبناء الجهاز الافتراضي، استخدمت VirtualBox، وهو منتج قوي للمحاكاة الافتراضية يعمل على معماريتي x86 وAMD64/Intel64.
إعداد البيئة:
تم تثبيت GitLab الإصدار 16.0.0 على الجهاز الافتراضي، وهو متأثر بثغرة CVE-2023-2825، وهي ثغرة تسمح للمستخدمين غير الموثَّقين بقراءة ملفات عشوائية على الخادم من خلال استغلال خلل في اجتياز المسار (path traversal). بعد إجراء بحث موسّع، وجدت استغلالًا متاحًا للعموم على GitHub هنا: Occamsec لثغرة CVE-2023-2825.
في هذا المشروع، قمت بتخصيص الاستغلال عن طريق تعديل كود Python الأصلي للسماح بإدخال المستخدم في وقت التشغيل، وتنفيذ معالجة الأخطاء لجعل السكربت أكثر تفاعلية ومتانة. فيما يلي الخطوات التي اتبعتها لتنفيذ وتشغيل الاستغلال على الجهاز الافتراضي المعرّض للثغرة:
من أجل تأمين الجهاز الافتراضي، قمت بالتحديث إلى أحدث إصدار تصحيحي من GitLab، وهو 17.5.1. فيما يلي بعض الخطوات التي اتبعتها للقيام بذلك:
gitlab-rake gitlab:env:info
sudo gitlab-backup create
sudo apt-get update
sudo apt-get install gitlab-ee
sudo gitlab-ctl restart
gitlab-rake gitlab:env:info
لإدارة الجهاز الافتراضي بفعالية، نفّذت عدة إجراءات لضمان إدارة آمنة وفعالة. تضمنت هذه الإجراءات تقييد الوصول الإداري، وتطبيق التحديثات المنتظمة، واتباع أفضل الممارسات لإدارة الأنظمة:
getent group sudo كان هذا المشروع تجربة تعليمية مذهلة أتاحت لي التعمق في دورة حياة الجهاز الافتراضي — من البناء واستغلال الثغرات إلى التأمين والإدارة. من خلال استغلال CVE-2022-2825، اكتسبت رؤى قيّمة حول تحديد التهديدات الأمنية الواقعية والتخفيف منها. عززت عملية تأمين الجهاز الافتراضي أهمية الصيانة الاستباقية للنظام والبقاء على اطلاع بأحدث التصحيحات وأفضل الممارسات.
من خلال هذا البرنامج الإرشادي، صقلت مهاراتي في:
بشكل عام، عززت هذه التجربة قدراتي التقنية وعمّقت فهمي للأمن السيبراني. كما أكدت الدور الحاسم لليقظة والتعلم المستمر في حماية الأنظمة من التهديدات المتطورة.
أنا ممتن للتوجيه الذي قدمه برنامج الإرشاد في MassCyber Center، وأتطلع إلى تطبيق هذه المهارات في التحديات المستقبلية في مجال الأمن السيبراني.