CVE अनुसंधान और PoC प्रयोगशाला — Android सुरक्षा विश्लेषण

👨‍🏫 सलाहकार जानकारी

👤 छात्र जानकारी

📚 पाठ्यक्रम जानकारी

🚀 परियोजना सारांश और दायरा

यह परियोजना, İstinye विश्वविद्यालय के सूचना सुरक्षा प्रौद्योगिकी कार्यक्रम के पैठ परीक्षण (BGT006) पाठ्यक्रम के अंतिम असाइनमेंट के रूप में विकसित की गई है। परियोजना के दायरे में Android पारिस्थितिकी तंत्र को प्रभावित करने वाली 3 विभिन्न वर्तमान कमजोरियों (CVE-2024-0044, CVE-2024-43093, CVE-2024-23706) का गहन अध्ययन किया गया, एक पृथक प्रयोगशाला वातावरण स्थापित किया गया और साइबर जासूसी पद्धति से विश्लेषण किया गया।

🎯 हल की गई समस्या और परियोजना का उद्देश्य

पारंपरिक Android सुरक्षा विश्लेषण अक्सर केवल सैद्धांतिक दस्तावेज़ीकरण या स्थिर चित्रों तक सीमित होते हैं। यह परियोजना हमले और बचाव चक्र को कार्यशील कोड के साथ जोड़कर निम्नलिखित मूलभूत समस्याओं को हल करती है:

• कमजोरियों का लाइव विश्लेषण: CVE-2024-0044 जैसे महत्वपूर्ण विशेषाधिकार वृद्धि (LPE) दोषों के Android लॉग परत (logcat) पर पदचिन्हों को लाइव कैप्चर करता है।
• रेड टीम और ब्लू टीम सहसंबंध: लाल टीम शोषण उपकरण (exploit_sim.py) को नीली टीम लॉग निगरानी डिटेक्टर (detector.py) के साथ अंत-से-अंत जोड़कर एक पूर्ण हमला-बचाव प्रूफ ऑफ कॉन्सेप्ट (PoC) प्रस्तुत करता है।
• उत्पादीकृत सुरक्षा आउटपुट: पहचाने गए अलर्ट को SIEM मानकों के अनुसार तत्काल JSON/CSV रिपोर्ट में परिवर्तित करता है और केंद्रीय प्रदर्शन पैनल (डैशबोर्ड) में फीड करता है।

⚡ एक कमांड से चलने वाला PoC (हमला-पहचान सिमुलेशन)

परियोजना को क्लोन करने वाले किसी भी उपयोगकर्ता को सेकंडों में चलाकर आउटपुट देखने में सक्षम बनाने के लिए एक-कमांड PoC लांचर (run_poc.bat / run_poc.sh) जोड़े गए हैं। ये स्क्रिप्ट लाल टीम के शोषण कदमों का अनुकरण करती हैं और नीली टीम डिटेक्टर को अलर्ट उत्पन्न करके reports/detection_results.json फ़ाइल में लिखने में सक्षम बनाती हैं। विस्तृत चलाने के चरणों के लिए स्थापना और संचालन अनुभाग देखें।

📊 विश्लेषित कमजोरियों का सारांश तालिका

🔌 मध्यावधि मॉड्यूल (NetVanguard) एकीकरण

परियोजना के अंतर्गत विकसित src/detector.py एंडपॉइंट लॉग विश्लेषण एजेंट को मध्यावधि परियोजना के रूप में कार्यान्वित NetVanguard केंद्रीय विसंगति निगरानी और अलर्ट पैनल में एकीकृत किया गया है। एमुलेटर पर उत्पन्न महत्वपूर्ण कमजोरी हस्ताक्षर नेटवर्क के माध्यम से NetVanguard बैकएंड इंजन में स्थानांतरित किए जाते हैं, जिससे केंद्रीय निगरानी (SIEM) आर्किटेक्चर का अनुकरण होता है।

🕵️ लॉग विश्लेषण एजेंट (src/detector.py) कार्य वास्तुकला

कमजोरी पहचान एजेंट (src/detector.py), Android उपकरण पर किए गए शोषण गतिविधियों का पता लगाने के लिए डिज़ाइन किया गया हल्का (लाइटवेट) एंडपॉइंट लॉग निगरानी इंजन है।

मुख्य विशेषताएँ और कार्य मोड:

1. लचीला लॉग इनपुट (3 अलग-अलग मोड):
   • लाइव ADB Logcat स्ट्रीम: एमुलेटर से सीधे adb connect कमांड से जुड़कर डिवाइस लॉग को लाइव मॉनिटर करता है।
   • पाइपलाइन / स्टडिन मोड: adb logcat | python src/detector.py आर्किटेक्चर के साथ अन्य CLI टूल्स से पाइप किया जा सकता है।
   • फ़ाइल ट्रैकिंग (Tail -f): पहले से सहेजी गई लॉग फ़ाइलों (.log) को गतिशील रूप से पंक्ति दर पंक्ति मॉनिटर करता है।
   • फ़ॉलबैक (मैन्युअल इनपुट): यदि सिस्टम में ADB या लॉग फ़ाइल स्थापित नहीं है, तो परीक्षण उद्देश्यों के लिए मैन्युअल रूप से दर्ज की गई लॉग पंक्तियों को फ़िल्टर करता है (लाइव सिमुलेशन मॉड्यूल)।
2. नियम-आधारित हस्ताक्षर मिलान:
   • .env फ़ाइल में DETECTION_KEYWORDS वेरिएबल से फीड होता है।
   • Android Runtime क्रैश (SIGSEGV), पैकेज इंस्टॉलेशन त्रुटियाँ (SIGABRT) और क्रैश होने वाले सुरक्षित ऐप्स (Process has died) जैसे महत्वपूर्ण शोषण हस्ताक्षरों को पकड़ने पर तुरंत टर्मिनल और लॉग में [TEHLIKE - ALARM] उत्पन्न करता है।

🛠️ उपयोग की गई प्रौद्योगिकियाँ

📂 परियोजना निर्देशिका संरचना

Android-rce-analizi/
├── .github/
│   └── workflows/
│       └── detector_test.yml  # GitHub Actions (CI/CD) स्वचालित परीक्षण कॉन्फ़िगरेशन
├── .gitattributes             # GitHub भाषा आँकड़े और फ़ाइल विशेषता कॉन्फ़िगरेशन
├── README.md                  # परियोजना मुख्य दस्तावेज़
├── ROADMAP.md                 # परियोजना रोडमैप (चरण 0-5)
├── start_dashboard.bat        # Windows के लिए वेब डैशबोर्ड लांचर
├── start_dashboard.sh         # macOS/Linux के लिए वेब डैशबोर्ड लांचर
├── run_poc.bat                # Windows के लिए एक क्लिक PoC सिम्युलेटर
├── run_poc.sh                 # macOS/Linux के लिए एक क्लिक PoC सिम्युलेटर
├── .gitignore                 # Git द्वारा अनदेखा की गई फ़ाइलें
├── .env.example               # पर्यावरण चर टेम्पलेट
├── Dockerfile                 # Docker कॉन्फ़िगरेशन
├── docker-compose.yml         # बहु-कंटेनर कॉन्फ़िगरेशन
├── LICENSE                    # लाइसेंस फ़ाइल
├── mitigation/                # कमजोरी शमन और पैच फ़ाइलें
│   ├── cve_2024_0044_patch.diff
│   ├── cve_2024_23706_mitigation.md
│   └── cve_2024_43093_mitigation.md
├── src/                       # स्रोत कोड
│   ├── detector.py            # एंडपॉइंट लॉग विश्लेषण एजेंट (रीयल-टाइम पहचान इंजन)
│   ├── exploit_sim.py         # रेड टीम कमजोरी शोषण सिम्युलेटर
│   └── test_detector.py       # एजेंट के लिए स्वचालित यूनिट परीक्षण
├── reports/                   # अनुकरणित स्कैन और पहचान रिपोर्ट
│   ├── nessus_scan.csv        # अनुकरणित Nessus कमजोरी स्कैन आउटपुट
│   └── detection_results.json # पहचान इंजन द्वारा तुरंत सहेजे गए लॉग आउटपुट
├── web/                       # वेब डैशबोर्ड इंटरफ़ेस
│   ├── index.html             # मुख्य डैशबोर्ड HTML फ़ाइल
│   ├── css/style.css          # इंटरफ़ेस शैलियाँ
│   └── js/main.js             # इंटरफ़ेस डायनामिक्स और टर्मिनल सिम्युलेटर
├── docs/                      # दस्तावेज़ीकरण
│   ├── assets/                # चित्र और मीडिया फ़ाइलें (डेमो GIF सहित)
│   ├── modules/               # मॉड्यूल दस्तावेज़
│   ├── references/            # संदर्भ स्रोत
│   └── research/              # गहन अनुसंधान दस्तावेज़
│       ├── 01_zafiyet_analizi.md
│       ├── 02_teknik_mekanizma.md
│       ├── 03_saldirgan_perspektifi.md
│       ├── cve_2024_23706.md
│       ├── cve_2024_43093.md
│       ├── detector_test_output.md  # परीक्षण रिपोर्ट आउटपुट
│       └── final_rapor.md           # पाठ्यक्रम सबमिशन अंतिम रिपोर्ट
└── honeypot/                  # हनीपॉट पर्यावरण फ़ाइलें (एमुलेटर स्थापना गाइड)

🔬 विश्लेषण और सिमुलेशन पद्धति

परियोजना के अंतर्गत कमजोरी विश्लेषण और बचाव सिमुलेशन 4 मूलभूत चरणों वाले साइबर सुरक्षा चक्र के माध्यम से संबोधित किए गए हैं:

graph TD
    A["1. Zafiyet Analizi & Statik İnceleme"] --> B["2. İzole Lab Ortamı Kurulumu"]
    B --> C["3. İstismar Simülasyonu & Dinamik Loglama"]
    C --> D["4. Korelasyon & Görsel Dashboard"]

1. स्थिर और सैद्धांतिक विश्लेषण: AOSP (Android ओपन सोर्स प्रोजेक्ट) स्रोत कोड का अध्ययन करके UID मिलान, SQLite डेटाबेस एक्सेस प्रतिबंध और पैकेज इंस्टॉलेशन तंत्र में तार्किक त्रुटियाँ निर्धारित की गईं।
2. पृथक प्रयोगशाला वातावरण: Android एमुलेटर (API 33-34) और हनीपॉट कॉन्फ़िगरेशन को Docker कंटेनरों के साथ पृथक पैठ परीक्षण नेटवर्क में रखा गया।
3. गतिशील लॉगिंग और पहचान: कमजोरियों के ट्रिगर होने पर उत्पन्न क्रैश और बाईपास निशान (SIGSEGV आदि) को src/detector.py कमजोरी पहचान एजेंट द्वारा फ़िल्टर करके पकड़ा गया।
4. डैशबोर्ड विज़ुअलाइज़ेशन: एकत्रित डेटा को प्रशासकों और विश्लेषकों के लिए समझने योग्य जोखिम मैट्रिक्स, हमला श्रृंखला ग्राफ़ और लाइव टर्मिनल सिमुलेशन से समृद्ध करके web/ इंटरफ़ेस में स्थानांतरित किया गया।

स्थापना और संचालन

पूर्वापेक्षाएँ

• Python 3.8+
• Android SDK (API Level 33-34)
• Docker & Docker Compose
• ADB (Android Debug Bridge)

1. चरण: तैयारी

# 1. Repoyu klonlayın ve dizine gidin
git clone https://github.com/bfurkanyildiz/Android-rce-analizi.git
cd Android-rce-analizi

# 2. Ortam değişkenlerini hazırlayın (.env olmadan varsayılan ayarlar kullanılır)
cp .env.example .env

2. चरण: संचालन विकल्प

🚀 विकल्प A: एक क्लिक PoC सिमुलेशन (सबसे तेज़ विधि)

बिना किसी स्थापना या एमुलेटर सेटिंग के, हमला और पहचान तंत्र को अंत-से-अंत परीक्षण करने के लिए:

• Windows (डबल क्लिक या CMD):
  root@kitploit:~

  run_poc.bat
  

• macOS / Linux (टर्मिनल):
  root@kitploit:~

  bash run_poc.sh
  

🕵️ विकल्प B: मैन्युअल लाइव ADB मोड

Android एमुलेटर खुला होने पर रीयल-टाइम लॉगकैट कैप्चर करने के लिए:

# एजेंट प्रारंभ करें (ADB के माध्यम से लाइव लॉग सुनना शुरू करता है)
python src/detector.py

# एक अलग टर्मिनल से हमला सिम्युलेटर ट्रिगर करें
python src/exploit_sim.py

🐳 विकल्प C: Docker के साथ कंटेनर मोड

सभी निर्भरताओं को पृथक Docker कंटेनर में प्रारंभ करने के लिए:

docker-compose up -d

3. चरण: स्वचालित परीक्षण चलाना

सॉफ़्टवेयर गुणवत्ता और CI/CD मानकों का परीक्षण करने के लिए:

python -m unittest src/test_detector.py

🖥️ वेब डैशबोर्ड इंटरफ़ेस

परियोजना को क्लोन (git clone) करने वाला कोई भी उपयोगकर्ता, विश्लेषण रिपोर्ट और टर्मिनल सिमुलेशन युक्त समृद्ध वेब इंटरफ़ेस को अपने स्थानीय सिस्टम पर आसानी से चला सकता है।

डैशबोर्ड पूर्वावलोकन (डेमो)

इंटरफ़ेस देखने के लिए आप निम्नलिखित में से कोई एक विधि उपयोग कर सकते हैं:

1. स्वचालित लांचर स्क्रिप्ट्स (अनुशंसित)

स्थानीय HTTP सर्वर को पृष्ठभूमि में प्रारंभ करके इंटरफ़ेस को आपके डिफ़ॉल्ट ब्राउज़र में स्वचालित रूप से खोलने के लिए अपने ऑपरेटिंग सिस्टम के अनुसार कमांड चलाएँ:

• Windows (PowerShell / CMD): परियोजना मुख्य निर्देशिका में start_dashboard.bat फ़ाइल पर डबल-क्लिक करें, या टर्मिनल से निम्न कमांड चलाएँ:
  root@kitploit:~

  start_dashboard.bat
  

• macOS / Linux (Bash): टर्मिनल से सीधे प्रारंभ करने के लिए (चलाने की अनुमति की आवश्यकता नहीं):
  root@kitploit:~

  bash start_dashboard.sh
  

  या फ़ाइल को निष्पादन योग्य बनाकर:
  root@kitploit:~

  chmod +x start_dashboard.sh
  ./start_dashboard.sh
  

2. ऑफ़लाइन (सर्वर रहित) संचालन

बिना किसी स्थानीय सर्वर के सीधे चलाने के लिए:

1. web/ निर्देशिका में जाएँ।
2. index.html फ़ाइल पर डबल-क्लिक करें ताकि वह आपके ब्राउज़र में सीधे खुल जाए।

3. मैन्युअल सर्वर से प्रारंभ करना

यदि आप Python सर्वर को मैन्युअल रूप से प्रारंभ करना चाहते हैं:

python -m http.server 8080

फिर अपने ब्राउज़र में http://localhost:8080/web/index.html पर जाएँ।

🔄 CI/CD और स्वचालित सुरक्षा/गुणवत्ता स्कैन

हमारी परियोजना साइबर सुरक्षा मानकों के अनुरूप सॉफ़्टवेयर इंजीनियरिंग (DevSecOps) सिद्धांतों के साथ प्रबंधित की जाती है। रिपॉजिटरी में प्रत्येक पुश या पुल रिक्वेस्ट पर GitHub Actions निम्नलिखित कार्यप्रवाह (पाइपलाइन) चलाता है:

1. बहु-ऑपरेटिंग सिस्टम समर्थन (मैट्रिक्स बिल्ड): एजेंट के कोड का परीक्षण ubuntu-latest और windows-latest दोनों प्रणालियों पर किया जाता है ताकि क्रॉस-प्लेटफ़ॉर्म संगतता सुनिश्चित हो सके।
2. स्थिर कोड विश्लेषण (लिंटर): flake8 टूल के साथ Python लेखन मानकों (PEP 8) का निरीक्षण किया जाता है।
3. स्थिर सुरक्षा विश्लेषण (बैंडिट स्कैन): bandit टूल के साथ कोड में संभावित महत्वपूर्ण कमजोरी पैटर्न स्वचालित रूप से स्कैन किए जाते हैं (सभी गलत-सकारात्मक स्थितियों को साइबर सुरक्षा मानकों में # nosec से चिह्नित किया गया है)।
4. पाइपलाइन एकीकरण परीक्षण: exploit_sim.py | detector.py पाइपलाइन चलाकर अंत-से-अंत शोषण-पहचान चक्र का अनुकरण किया जाता है।
5. रिपोर्ट आउटपुट (आर्टिफैक्ट्स): सफलतापूर्वक चलने वाले PoC के परिणामस्वरूप उत्पन्न detection_results.json स्वचालित रूप से ज़िप फ़ाइल के रूप में Actions आउटपुट में अपलोड किया जाता है।

PoC टर्मिनल आउटपुट पूर्वावलोकन:

⚠️ कानूनी चेतावनी

यह परियोजना केवल शैक्षणिक और शैक्षिक उद्देश्यों के लिए है। सभी परीक्षण नियंत्रित प्रयोगशाला वातावरण में, पृथक वर्चुअल मशीनों पर किए जाते हैं। वास्तविक उपकरणों या तृतीय-पक्ष प्रणालियों पर कोई भी हमला प्रयास अवैध है और इस परियोजना के दायरे से बाहर है।

📄 लाइसेंस

यह परियोजना GNU General Public License v3.0 के तहत लाइसेंस प्राप्त है।