CVE-2026-30784-rustdesk-poc

CVE-2026-30784: PoC لتضخيم حركة المرور في RustDesk hbbs وتحليل PCAP

النتائج الرئيسية

النتيجة الرئيسية: فرض المصادقة المستندة إلى المفتاح (-k _) لا يمنع هجوم التضخيم هذا، لأن استجابة التضخيم تُطلق خلال مرحلة المصافحة/الاختبار الأولية غير الموثّقة.

موقع ملف PCAP

التقاط الحزم مخزّن في:

data/attack_only.pcap.gz

سياق التقاط PCAP وتفاصيله

⚠️ ملاحظة مهمة بشأن التقاط الحزم: > لمنع استخدام الخادم مرة أخرى كمضخم نشط في هجوم شبكة بوتنت موزعة، تم إيقاف خدمة rustdesk-server (hbbs)+(hbbr) تمامًا قبل/أثناء التقاط الحزم.

نظرًا لأن الخدمة كانت معطلة للتخفيف من التضخيم الصادر المستمر، فإن ملف PCAP المقدم (data/attack_only.pcap.gz) يحتوي على حركة مرور واردة فقط. حتى بدون استجابات الخادم، تُظهر المتجهات الواردة بوضوح النية الخبيثة والبصمة الهيكلية للهجوم:

• الفيضان الوارد فقط: نظرًا لأن hbbs كان متوقفًا، لا توجد حركة استجابة تضخيم صادرة مقابلة في هذا التتبع المحدد. كان هذا إجراءً متعمدًا لحماية الضحايا من جهات خارجية.
• نمط مميز وثابت: حزم UDP الواردة التي تصل إلى المنفذ 21116 تُظهر نمط حمولة موحدًا للغاية وسهل التعرف عليه (يظهر كسلسلة شبيهة بـ Base64 مميزة تبدأ بعلامات محددة مثل szpontnet...).
• الحفاظ على الأدلة: يخدم هذا الالتقاط فقط كدليل جنائي لمرحلة الفحص والفيضان غير الموثّقة التي تؤدي إلى سلوك التضخيم عندما تكون الخدمة نشطة.