إثبات المفهوم لثغرة MSMQ

يحتوي هذا المستودع على إثبات مفهوم جاهز للتشغيل يستهدف خدمة Microsoft Message Queuing التي تستمع على منفذ TCP 1801. يعتمد هذا العمل على مواد من المشروع الأصلي على
https://github.com/leongxudong/MSMQ-Vulnerability

يستخدم هذا المستودع القطع الأثرية الثنائية المقدمة من ذلك المشروع. الملفات الثنائية المضمنة والمشار إليها بواسطة PoC هي:

1. establish_connection.bin
2. connection_parameters.bin
3. user_message.bin

الوصف

يحاول هذا PoC إعادة إنتاج الحالة الموصوفة في CVE 2023 21554 عن طريق إرسال سلسلة من إطارات بروتوكول MSMQ إلى مضيف هدف على المنفذ 1801. تقوم نصوص PoC فقط بنشاط على مستوى الشبكة ولا تقوم بأي إجراءات بعد الاستغلال. هذا المشروع مخصص للتحليل والتحقق الدفاعي في بيئة مختبرية معزولة فقط.

الملفات المضمنة

1. CVE-2023-21554.py — نص PoC الأصلي الذي يرسل الكتل الثلاث الثنائية بالتسلسل
2. CVE-2023-21554.py — نص مساعد من جانب المهاجم يسجل الردود، وتفريغات سداسية عشرية، والطوابع الزمنية، وأخطاء مستوى المقبس. استخدم هذا النص للحصول على أدلة أكثر فائدة من جانب المهاجم
3. establish_connection.bin — حمولة المرحلة الأولى الثنائية من المستودع الأصلي
4. connection_parameters.bin — حمولة المرحلة الثانية الثنائية من المستودع الأصلي
5. user_message.bin — حمولة المرحلة الثالثة الثنائية من المستودع الأصلي
6. README.md — هذا الملف

المتطلبات الأساسية

1. تثبيت Python 3 على مضيف المهاجم الخاص بك
2. وصول شبكي إلى منفذ المضيف الهدف 1801 وتصريح صريح لاختبار ذلك المضيف
3. لقطة من الجهاز الظاهري الهدف حتى تتمكن من التراجع عن التغييرات بعد الاختبار
4. أدوات لالتقاط الأدلة للتحقق (مثل Wireshark أو tcpdump) و Sysinternals procdump لنظام Windows

كيفية تشغيل PoC في بيئة مختبرية

1. ضع الملفات الثنائية الثلاثة في نفس المجلد الذي يحتوي على نص PoC

2. قم بتحرير نص PoC أو CVE-2023-21554.py لتعيين عنوان IP الهدف

3. ابدأ التقاط الشبكة على جهاز المهاجم الخاص بك لعنوان IP والمنفذ الهدف. مثال الأمر في شل منفصلة (استبدل IP بهدفك):

   sudo tcpdump -i eth0 host 10.0.2.15 and port 1801 -w msmq_test.pcap

4. قم بتشغيل نص التحقق المحسن للحصول على سجلات مختومة بزمن وتفريغات سداسية عشرية

   python3 CVE-2023-21554.py

5. احفظ مخرجات PoC وملف التقاط الشبكة للتحليل

كيفية معرفة ما إذا كان PoC قد نجح

1. مؤشرات جانب المهاجم

1. يبلغ CVE-2023-21554.py عن connection_reset أو orderly_close فورًا بعد مرحلة حمولة (هذه حالات صريحة يطبعها المساعد).
2. يتلقى PoC ردًا غير بسيط من الهدف (بايتات رد صغيرة غير عادية). احفظ هذا الرد وقم بتفريغه سداسيًا للمقارنة.
3. يظهر التقاط الشبكة إعادة تعيين TCP (RST) أو إنهاء غير طبيعي آخر فورًا بعد حزم الاستغلال.

2. مؤشرات جانب الهدف

1. تتعطل أو يعاد تشغيل عملية خدمة Message Queuing mqsvc.exe في وقت الاختبار.
2. يحتوي Windows Event Viewer على أحداث Application أو System تشير إلى انتهاك وصول أو اسم تطبيق متعطل mqsvc.exe.
3. يظهر procdump ملتقط في وقت الاختبار استثناءً في عملية mqsvc.

خطوات Wireshark العملية ومرشحات جاهزة للنسخ واللصق

استبدل <TARGET> بعنوان IP الهدف الخاص بك لكل مرشح.

عرض كل حركة المرور بين المهاجم والهدف على منفذ MSMQ: ip.addr == <TARGET> && tcp.port == 1801

عرض فقط إعادة تعيين TCP القادمة من الخادم: ip.src == <TARGET> && tcp.port == 1801 && tcp.flags.reset == 1

عرض الحزم التي تحتوي على بيانات تطبيق (حمولات TCP غير فارغة): ip.addr == <TARGET> && tcp.port == 1801 && tcp.len > 0

عرض القطع ذات الطول الصفري أو FIN: ip.addr == <TARGET> && tcp.port == 1801 && (tcp.len == 0 || tcp.flags.fin == 1)

عرض إعادة الإرسال والشذوذ في TCP: tcp.analysis.retransmission || tcp.analysis.fast_retransmission || tcp.analysis.duplicate_ack

خطوات استخراج بايتات رد الخادم (تفريغ سداسي خام)

1. حدد موقع حزمة الخادم المعنية في جزء قائمة الحزم. ابحث عن قيم tcp.len صغيرة أو الحزمة التي تسبق RST مباشرة.
2. انقر بزر الماوس الأيمن على الحزمة → Follow → TCP Stream.
3. في مربع حوار Follow TCP Stream، اختر Show data as: Raw ثم Save As لتصدير البايتات الدقيقة.
4. بدلاً من ذلك، حدد الحزمة وانسخ البايتات من جزء Packet Bytes. احفظ البايتات/التفريغ السداسي الخام كدليل (على سبيل المثال server_reply.hex).

كيفية معرفة ما إذا كانت إعادة التعيين جاءت من الهدف مقابل وسيط

1. تأكد من أن Source IP لـ RST يطابق الهدف. إذا كان الأمر كذلك، فهذا يشير بقوة إلى أن المضيف الهدف أو نواته أغلق المقبس.
2. إذا كان مصدر RST جهازًا مختلفًا على المسار، فهذا يشير عادةً إلى أن وسيطًا أو جدارًا ناريًا أسقط الاتصال بدلاً من ذلك. يمكن أن تساعد اختلافات TTL وعناوين IP للواجهات في التشخيص.

ارتباط التوقيت (مهم)

1. لاحظ فرق الطابع الزمني بين حزمة الاستغلال ورد فعل الخادم. تحدث الأعطال أو RSTs المفاجئة عادةً في غضون عشرات إلى مئات المللي ثانية بعد الحزمة المخالفة. سجل هذه الأوقات كجزء من أدلتك.

اختبار مقارن

1. التقط نفس التسلسل ضد مضيف معروف بتطبيق التصحيح وقارن وجود أو غياب RST أو FIN أو ردود الخادم القصيرة. الاختلافات تعزز استنتاجك.

قائمة التحقق لجمع الأدلة

1. احفظ سجل stdout الكامل من CVE-2023-21554.py إلى ملف نصي
2. احفظ ملف التقاط الشبكة (على سبيل المثال msmq_test.pcap)
3. قم بتصدير أحداث Application و System من Event Viewer التي تتوافق مع وقت الاختبار
4. إذا كان متاحًا، التقط تفريغ عطل لـ mqsvc.exe باستخدام procdump واحفظه للتحليل

إشعار السلامة والقانوني

قد يتسبب هذا الكود في تعطل الخدمة وعدم الاستقرار على المضيفين الهدف. لا تقم بتشغيله ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها. اختبر دائمًا في بيئة مختبرية معزولة وخذ لقطة من VM قبل تشغيل الاختبارات. يُنسب العمل الأصلي إلى المشروع الأساسي على:
https://github.com/leongxudong/MSMQ-Vulnerability

الإسناد

هذا المستودع مشتق من المشروع الأصلي على:
https://github.com/leongxudong/MSMQ-Vulnerability

المساهمة

إذا أضفت مساعدات كشف أو نصوص جمع أدلة، يرجى توثيقها وتضمين تعليمات للاستخدام المخبري الآمن

الاتصال والمزيد من القراءة

ارجع إلى المستودع الأساسي على الرابط أعلاه للحصول على السياق الأصلي والقطع الأثرية الثنائية. للحصول على إرشادات دفاعية، استشر تنبيهات البائع والكتابات المنشورة حول CVE 2023 21554