heartbleed-vulnerability-exploitation
الوصف
تحقيق عملي في ثغرة Heartbleed (CVE-2014-0160).
الملخص
يوثّق هذا المختبر تحقيقًا عمليًا في ثغرة Heartbleed، وهي خلل حرج في تنفيذ OpenSSL لامتداد TLS heartbeat. كان الهدف هو فهم كيفية عمل الثغرة على مستوى البروتوكول واستغلالها في بيئة مُتحكَّم بها لملاحظة تأثيرها، مع ممارسة مهارات ذات صلة مباشرة بتحليل SOC (تقييم الثغرات وتحليل التأثير).
الهدف
- فهم السبب الجذري لـ Heartbleed (التحقق غير الصحيح من الحدود في امتداد heartbeat الخاص بـ OpenSSL).
- تحديد خدمة OpenSSL مصابة باستخدام أدوات الاستطلاع والفحص.
- استغلال الثغرة في بيئة مختبر مُتحكَّم بها لملاحظة تسريب البيانات.
- توثيق استراتيجيات المعالجة من منظور SOC/المحلل.
البيئة والأدوات
- الهدف: خادم ويب مصاب (nginx 1.15.7 على المنفذ 443) يعمل بإصدار OpenSSL قديم، جهاز افتراضي معزول في المختبر.
- جهاز المهاجم/المحلل: بيئة تحليل قائمة على linux.
- الأدوات المستخدمة:
nmap - تعداد الخدمات واكتشاف الثغرات.
Metasploit - وحدة auxiliary/scanner/ssl/openssl_heartbleed للاستغلال.
المنهجية
1. الاستطلاع
- تشغيل فحص كامل لمنافذ TCP مع اكتشاف الخدمة/الإصدار (nmap -sS -vv -p-p -A )
- تحديد المنافذ المفتوحة: 22 (SSH)، 111 (rpcbind)، 443 (SSL/HTTP).
- تحديد بصمة المنفذ 443 بأنه يعمل بـ ngix 1.15.7 عبر SSL/TLS (مرشح لـ OpenSSL قديم)
2. تحديد الثغرة
- تشغيل (nmap -sV --script vuln ) لفحص جميع الخدمات المكتشفة مقابل نصوص الثغرات المعروفة.
- تأكيد أن الهدف مصاب بـ Heartbleed عبر نص NSE الخاص بـ ssl-heartbleed، وتم تصنيفه كمخاطر عالية.
3. الاستغلال
- تشغيل إطار عمل metasploit (msfconsole) وتحديد الوحدة ذات الصلة باستخدام (search heartbleed).
- اختيار auxiliary/scanner/ssl/openssl_heartbleed ومراجعة خيارات الوحدة.
- تكوين RHOSTS، وRPORT 443، وverbose true، ثم تشغيل الوحدة.
- أرسلت الوحدة طلب TLS heartbeat مشوّهًا والتقطت استجابة الخادم المفرطة الحجم، مما سرّب ذاكرة العملية المجاورة.
النتائج
- تم تأكيد إصابة الهدف (nginx 1.15.7، المنفذ 443) بـ CVE-2014-0160 عبر كل من نص ssl-heartbleed الخاص بـ nmap وماسح openssl_heartbleed الخاص بـ Metasploit.
- نجح الاستغلال في تسريب ذاكرة heap من الخادم، وأعاد سلاسل نصية قابلة للطباعة إلى جانب بيانات ثنائية.
- احتوت الذاكرة المسرّبة على أجزاء من جسم طلب HTTP سابق، بما في ذلك معاملات "user_name, user_email, and user_message" مما يدل على أن Heartbleed يمكن أن يكشف بيانات طبقة التطبيق التي تصادف وجودها في الذاكرة المجاورة.
- لم تكن هناك حاجة إلى مصادقة لاستغلال الثغرة، مما يجعلها قابلة للاستغلال من قبل أي مهاجم مجاور للشبكة.
المعالجة
- ترقية OpenSSL إلى إصدار مُرقَّع.
- إبطال وإعادة إصدار أي شهادات SSL/مفاتيح خاصة قد تكون تعرضت للكشف قبل الترقيع.
- فرض إعادة تعيين كلمات المرور للحسابات التي كانت جلساتها نشطة خلال النافذة الزمنية للثغرة.
- تعطيل امتداد heartbeat بالكامل إذا لم يكن الترقيع ممكنًا على الفور.
المهارات المُثبتة
- فحص المنافذ بنطاق كامل وتعداد الخدمات (nmap).
- فحص الثغرات باستخدام نصوص NSE (vuln، ssl-heartbleed)
- تكوين وتنفيذ وحدة الاستغلال في إطار عمل Metasploit.
- تحليل السبب الجذري لثغرة تتعلق بسلامة الذاكرة.
- إعداد التقارير الأمنية وتخطيط المعالجة.
المراجع
l1lf1ng3r/heartbleed-vulnerability-exploitation
