هندسة الكشف وأبحاث الثغرات - CVE-2011-2523 (vsftpd 2.3.4)

مشروع هندسة توقيعات كشف انطلاقًا من CVE: بحث في ثغرة معلنة، وبناء بصمة تعريفية تحدّدها خارجيًا، والتحقق من جودة الكشف مقابل أهداف مخبرية حقيقية.

لماذا هذا المشروع موجود

معظم ملفات أعمال أبحاث الثغرات تتوقف عند «لقد استغليت X». هذا المشروع مبني حول سؤال مختلف، أقرب إلى ما يطرحه هندسة الكشف فعليًا:

بمجرد الإفصاح عن ثغرة CVE، كيف يمكنك تحديدًا موثوقًا — خارجيًا، وعلى نطاق واسع، ودون استغلال أي شيء — أيّ الأصول الموجّهة للإنترنت تشغّل التقنية المعرّضة للخطر فعلًا؟

يوثّق هذا المستودع سير العمل الكامل لثغرة CVE حقيقية واحدة: CVE-2011-2523، الباب الخلفي في vsftpd 2.3.4. ينتقل من أبحاث الثغرة عبر تصميم البصمة، وهندسة سكربت الكشف، والتحقق مقابل أهداف مخبرية حيّة — مبني عمدًا كـكشف وليس استغلالًا.

كيف يرتبط هذا بهندسة الكشف / أعمال أبحاث الثغرات

المنهجية

CVE Disclosure  →  Research & Version Analysis  →  Fingerprint Design
      →  Detection Script  →  Validation (TP/FP/FN review)  →  Evidence Output

1. البحث — تحديد CVE-2011-2523 (الباب الخلفي في vsftpd 2.3.4): إصدارة من vsftpd ملوّثة بحصان طروادة وُزِّعت في نافذة زمنية مدتها ~72 ساعة في 2011، وتُفعَّل بنمط تسجيل دخول محدد، وتمنح شلًا عن بُعد.
2. تصميم البصمة — يعلن vsftpd عن إصداره الدقيق في بانر الترحيب 220 الخاص بـ FTP. هذا البانر هو سطح البصمة — لا حاجة لمصادقة أو استغلال لقراءته.
3. سكربت الكشف — يتصل fingerprint_vsftpd_cve_2011_2523.py، ويلتقط البانر، ويطابقه عبر regex مع التوقيع المعروف بأنه معرّض للخطر، ويصنّف النتيجة.
4. التحقق — تشغيله مقابل هدف Metasploitable2 معروف بأنه معرّض للخطر (يؤكد إيجابية حقيقية) ومنفذ مغلق/مُصفّى (يؤكد أن السكربت يُبلغ بشكل صحيح بـ undetermined بدلًا من سلبية كاذبة).
5. مخرجات الأدلة — JSON منظم لكل نتيجة (host، port، banner، verdict، reason، مرجع CVE، timestamp) — مصمم ليندرج في خط أنابيب نتائج أكبر بدلًا من طباعة لمرة واحدة.

لقطات الشاشة — السكربت وتشغيل التحقق

أعد تسمية ملفات لقطات الشاشة لتطابق ذلك، أو حدّث هذه المسارات، بعد رفعها إلى /screenshots.

تفاصيل إضافية من التشغيل:

Detail Detail Detail Detail

الاستخدام

# Single target
python3 fingerprint_vsftpd_cve_2011_2523.py --target 192.168.56.101

# Batch — multiple hosts, evidence-style JSON output
python3 fingerprint_vsftpd_cve_2011_2523.py --targets-file targets.json \
    --output evidence/vsftpd_fingerprint_findings.json

مثال على المخرجات:

{
  "scan_type": "vsftpd_2.3.4_backdoor_fingerprint",
  "cve": "CVE-2011-2523",
  "total_targets": 1,
  "vulnerable_count": 1,
  "findings": [
    {
      "host": "192.168.56.101",
      "port": 21,
      "banner": "220 (vsFTPd 2.3.4)",
      "verdict": "vulnerable",
      "reason": "Banner matches known vulnerable signature (vsftpd 2.3.4)"
    }
  ]
}

ملخص التحقق

هذا التقسيم الثلاثي هو جوهر مراقبة جودة الكشف في المشروع: الكاشف الساذج يدمج «تعذّر الفحص» و«تم الفحص وهو نظيف» في نفس النتيجة، وهذا بالضبط كيف تختبئ السلبيات الكاذبة في منطق الكشف الإنتاجي.

بنية المستودع

.
├── fingerprint_vsftpd_cve_2011_2523.py
├── docs/
│   └── CVE-RESEARCH.md
├── evidence/
│   └── vsftpd_fingerprint_findings.json
├── screenshots/
│   └── (script + validation run screenshots)
└── README.md

خارطة الطريق

• إضافة وحدات بصمة لثغرات CVE إضافية معلنة (توسيعًا لما بعد vsftpd)
• إضافة تعداد بمساعدة Nmap NSE كخطوة اكتشاف تسبق البصمة
• إضافة وحدة بصمة تستند إلى HTTP/TLS (تحديد تقنيات الويب، وليس خدمات البانر فقط)
• إضافة اختبارات انحدار آلية للإيجابيات الكاذبة/السلبيات الكاذبة

زوار المستودع

المؤلف

BASSEY SOLOMON HENRY

مهندس أمن سيبراني | مهندس كشف | باحث ثغرات | فريق أرجواني (Purple Team) | SIEM | أمن المؤسسات

مركّز على خط أنابيب البحث-إلى-الكشف: نقل ثغرة CVE مكشوفة من النشرة الأمنية إلى بصمة عاملة ومُتحقَّق منها، قادرة على تحديد التقنية المعرّضة للخطر خارجيًا وعلى نطاق واسع — مبنية على عمل مخبري هجومي ودفاعي عملي وليس على النظرية وحدها.

تواصل معي

الفلسفة الشخصية

«الثغرة ليست خطرًا حقيقيًا حتى تتمكن من إثبات، على نطاق واسع، أيّ الأنظمة مصابة بها فعليًا. البحث يخبرك بما هو ممكن — هندسة الكشف تخبرك بما هو حقيقي.»

— Bassey Solomon Henry