بحث تجاوز المصادقة AS2 في CrushFTP

⚠️ هام: تم إصلاح هذه الثغرة بواسطة CrushFTP اعتبارًا من نوفمبر 2025. يُنشر هذا البحث لأغراض تعليمية ودفاعية فقط.

📝 ملاحظة: يعتمد هذا البحث على أنماط ثغرات مشابهة لـ CVE-2025-54309. قد يختلف رقم CVE الدقيق. هذا بحث أمني مستقل أُجري في بيئة مختبر منزلي محكومة.

حول هذا البحث

يوثق هذا المستودع ثغرة حرجة في تجاوز المصادقة في خوادم CrushFTP تتيح الوصول الإداري الكامل من خلال التلاعب برؤوس AS2 (بيان التطبيق 2). لا تتطلب الثغرة أي مصادقة ويمكن استغلالها بطلب HTTP واحد.

النقاط الرئيسية:

• أُجري البحث في مختبر منزلي مرخص (مارس - يوليو 2025)
• تم إخطار البائع (أغسطس 2025) - لم يتم تلقي رد
• تم الإصلاح بواسطة CrushFTP (نوفمبر 2025)
• الإفصاح العام (ديسمبر 2025)
• نُشر لأغراض تعليمية ودفاعية

الباحث: SmileyFace101 (@SmileyFace101)

🔍 تفاصيل الثغرة

ملخص تقني

تثق واجهة CrushFTP الويب برؤوس بروتوكول AS2 بشكل غير صحيح دون التحقق المناسب. يفترض الخادم أن طلبات AS2 قد تمت مصادقتها مسبقًا ويتجاوز إجراءات المصادقة العادية.

التفاصيل الرئيسية

• المنتج: خادم CrushFTP
• المكون: وحدة مصادقة AS2
• CVSS المقدر: 9.8 (حرج)
• متجه الهجوم: التلاعب برأس HTTP
• التعقيد: منخفض - طلب HTTP واحد
• المصادقة: غير مطلوبة
• التأثير: اختراق النظام بالكامل
• CVE ذو الصلة: مشابه لـ CVE-2025-54309

الإصدارات المختبرة

إصدارات CrushFTP المعرضة للخطر (مؤكدة في المختبر):

• CrushFTP 10.x (مختبر على فرع 10.5.x)
• CrushFTP 11.x (مختبر على فرع 11.1.x)

الإصدارات المصححة:

• CrushFTP 10.7.0+ (مصحح نوفمبر 2025)
• CrushFTP 11.2.0+ (مصحح نوفمبر 2025)

بيئة المختبر:

• نظام التشغيل: لينكس (Ubuntu 22.04 LTS)
• البنية التحتية للاختبار: شبكة مختبر منزلي معزولة
• لم يتم اختبار أي أنظمة إنتاج

متجه الهجوم

X-DMZ-Proxy: disabled
X-AS2-Version: 1.0
User-Agent: AS2Server/1.0

مثال (بيئة المختبر):

curl -H "X-DMZ-Proxy: disabled" \
     -H "X-AS2-Version: 1.0" \
     -H "User-Agent: AS2Server/1.0" \
     "http://10.0.100.50/WebInterface/admin/index.html"

ملاحظة: استخدم فقط على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها.

اكتشاف حرج

أثناء الاستغلال، اكتشفنا علاقة رياضية في توليد ملفات تعريف الارتباط للجلسة تجعل الاستغلال موثوقًا بنسبة 100٪:

CrushAuth Structure: [TIMESTAMP]_[SESSION_ID]
currentAuth = آخر 4 أحرف من SESSION_ID
c2f parameter = نفس قيمة currentAuth

� ما ستجده هنا

🔧 أدوات الاستغلال

• نصوص PoC كاملة مع إدارة الجلسة
• اختبار مستهدف لنقاط النهاية عالية القيمة
• استغلال تكيفي باستراتيجيات متعددة

🔍 الكشف والدفاع

• قواعد IDS/IPS (Snort و Suricata)
• نصوص تحليل السجلات لكشف مؤشرات الاختراق
• تواقيع الشبكة للمراقبة

📖 التوثيق

• تحليل تقني - تفصيل كامل للثغرة
• منهجية الاستغلال - سلسلة الهجوم خطوة بخطوة
• إدارة الجلسة - النمط الرياضي المكتشف
• تحليل JavaScript - هندسة عكسية لرمز العميل

📊 تقييم التأثير

قدرات ما بعد الاستغلال

✅ تعداد كامل للخادم والمستخدمين
✅ إنشاء وتعديل حسابات المستخدمين
✅ الوصول إلى نظام الملفات وتصفحه
✅ تنفيذ الأوامر عبر واجهة telnet
✅ جدولة المهام بامتيازات النظام
✅ الوصول إلى مفاتيح PGP والشهادات
✅ تعديل التكوين الإداري

🛡️ التخفيف والمعالجة

إجراءات فورية (حرجة)

1. تحديث CrushFTP إلى أحدث إصدار فورًا
2. تعطيل وظيفة AS2 إذا لم تكن مطلوبة
3. تنفيذ قواعد WAF لحظر رؤوس AS2 من مصادر غير موثوقة
4. إعادة تعيين جميع بيانات اعتماد الإدارة على خوادم CrushFTP
5. تمكين المصادقة متعددة العوامل للوحات الإدارية

تنفيذ الكشف

انظر دليل detection/ لـ:

• تواقيع IDS/IPS (Snort, Suricata)
• استعلامات تحليل السجلات
• تواقيع حركة مرور الشبكة
• قواعد كشف الشذوذ السلوكي

إجراءات أمنية طويلة الأمد

• تنفيذ المصادقة متعددة العوامل
• تجزئة الشبكة لواجهات الإدارة
• تقييمات أمنية منتظمة
• تطبيق مبدأ أقل الامتيازات

📈 الكشف والطب الشرعي

تواقيع حركة مرور HTTP

X-DMZ-Proxy: disabled
X-AS2-Version: 1.0
User-Agent: AS2Server/1.0

مؤشرات الشبكة

• استجابات HTTP كبيرة (19KB+) من نقاط نهاية إدارية بدون مصادقة
• طلبات POST إلى /WebInterface/function/ مع رؤوس AS2
• الوصول إلى لوحة الإدارة دون تسجيل دخول مسبق
• أنماط حركة مرور غير عادية لخوادم CrushFTP

تحليل السجلات

# سجلات خادم الويب
grep -E "(X-DMZ-Proxy|X-AS2-Version|AS2Server)" /var/log/nginx/access.log

# سجلات تطبيق CrushFTP
grep -E "(WebInterface/admin|WebInterface/function)" crushftp.log

📚 محتويات المستودع

.
├── README.md                          # هذا الملف - نظرة عامة واستخدام
├── docs/
│   └── TECHNICAL_ANALYSIS.md         # غوص تقني كامل
├── exploits/
│   ├── enhanced_session_exploit.sh   # استغلال كامل مع إدارة الجلسة
│   ├── targeted_exploitation.sh      # اختبار نقاط النهاية عالية القيمة
│   └── adaptive_exploitation.sh      # نهج متعدد الاستراتيجيات
└── detection/
    ├── snort_rules.txt               # تواقيع IDS/IPS (Snort)
    ├── suricata_rules.txt            # تواقيع IDS/IPS (Suricata)
    └── log_analysis.sh               # تحليل السجلات وكشف مؤشرات الاختراق

بداية سريعة

1. اقرأ الوثائق:

   • ابدأ بملف README هذا للحصول على نظرة عامة
   • انظر TECHNICAL_ANALYSIS.md للحصول على تفاصيل تقنية عميقة

2. اختبر في مختبرك:

   root@kitploit:~

   # تأكد من أنك تملك النظام المستهدف!
   ./exploits/enhanced_session_exploit.sh 10.0.100.50
   

3. نشر الكشف:

   • انسخ قواعد IDS إلى Snort/Suricata الخاص بك
   • قم بتشغيل نص تحليل السجلات على سجلات خادم الويب الخاص بك

🔬 نتائج البحث

الإنجازات التقنية الرئيسية

✅ اكتشاف وتوثيق تجاوز مصادقة AS2 بالكامل
✅ تحديد وحل متطلب توليد ملفات تعريف الارتباط الحرج للجلسة
✅ هندسة عكسية للعلاقة الرياضية في إدارة الجلسة
✅ تطوير منهجية استغلال على مرحلتين
✅ إنشاء نمط استغلال موثوق بنسبة 100%
✅ تحديد وتحليل متجهات RCE متعددة
✅ إجراء تحليل كامل لشفرة مصدر JavaScript

نقاط نهاية CrushFTP المتأثرة

• /WebInterface/admin/index.html - لوحة الإدارة الرئيسية
• /WebInterface/admin/telnet.html - واجهة Telnet
• /WebInterface/Jobs/index.html - إدارة المهام
• /WebInterface/UserManager/index.html - إدارة المستخدمين
• /WebInterface/PGP/index.html - إدارة مفاتيح PGP
• /WebInterface/function/ - معالج الوظائف الإدارية

🔗 المراجع

• الموقع الرسمي لـ CrushFTP
• حاسبة CVSS 3.1
• CWE-287: مصادقة غير صحيحة
• ورقة الغش الخاصة بالمصادقة من OWASP

👤 المؤلف

المؤلف: SmileyFace101
GitHub: @SmileyFace101
فترة البحث: مارس - يوليو 2025 (مختبر منزلي)
الإفصاح العام: 6 ديسمبر 2025

⚖️ إشعار قانوني وأخلاقي

هذا البحث لأغراض تعليمية ودفاعية فقط.

✅ الاستخدام المصرح به:

• البحث الأمني والتعليم
• الدفاع عن أنظمتك الخاصة
• اختبار الاختراق المصرح به
• فهم أنماط الهجوم

❌ المحظور:

• الوصول غير المصرح به للنظام
• اختبار الأنظمة دون إذن
• الاستخدام الخبيث
• أي نشاط غير قانوني

باستخدام هذا البحث، فإنك توافق على:

1. استخدامه فقط على الأنظمة التي تملكها أو لديك إذن كتابي لاختبارها
2. الامتثال لجميع القوانين واللوائح المعمول بها
3. ممارسة الإفصاح المسؤول
4. تحمل المسؤولية الكاملة عن أفعالك

إخلاء المسؤولية: المؤلف غير مسؤول عن سوء الاستخدام. الوصول غير المصرح به إلى الكمبيوتر غير قانوني.

📄 الترخيص

رخصة MIT - انظر ملف LICENSE للتفاصيل.

آخر تحديث: 6 ديسمبر 2025
تقييم المخاطر: حرج - يتطلب التصحيح والتخفيف الفوري

آخر تحديث: 6 ديسمبر 2025
المؤلف: SmileyFace101
تم إجراء البحث: مارس - يوليو 2025 في بيئة مختبر مرخصة