डर्टीक्लोन

डर्टीक्लोन C में लिखा गया एक डायग्नोस्टिक, प्रूफ-ऑफ-कॉन्सेप्ट लोकल प्रिविलेज एस्केलेशन टूल है। यह स्रोत में CVE-2026-43503 के रूप में वर्णित कर्नेल/XFRM-संबंधित शोषण पथ को लक्षित करता है और केवल नियंत्रित वातावरण में अधिकृत सुरक्षा अनुसंधान के लिए है।

अवलोकन

इस रिपॉजिटरी में शामिल है:

• dirtyclone.c – पूर्ण शोषण कार्यान्वयन
• README.md – उपयोग और वातावरण मार्गदर्शन

वर्तमान कार्यान्वयन निम्नलिखित उच्च-स्तरीय कदम उठाता है:

• पृथक उपयोगकर्ता और नेटवर्क नेमस्पेस बनाता है,
• लूपबैक नेटवर्किंग और XFRM/IPsec स्थिति/नीतियां कॉन्फ़िगर करता है,
• AES-CBC एन्क्रिप्शन का उपयोग करके ESP पेलोड बनाता है,
• TEE-आधारित UDP पथ और रॉ IP फॉलबैक के माध्यम से डिलीवरी का प्रयास करता है,
• लक्ष्य SUID बाइनरी के पेज कैश को पैच किए जाने की प्रतीक्षा करता है,
• यदि पेज कैश संशोधित होता है तो लक्ष्य बाइनरी को निष्पादित करता है।

महत्वपूर्ण सूचना

यह उपकरण केवल अधिकृत सुरक्षा परीक्षण के लिए है। स्पष्ट अनुमति के बिना सिस्टम पर इसे चलाना अवैध हो सकता है और सिस्टम अखंडता को प्रभावित कर सकता है।

निर्माण

पहले आवश्यक OpenSSL डेवलपमेंट पैकेज स्थापित करें:

# Debian/Ubuntu
sudo apt-get install libssl-dev

# Fedora
sudo dnf install openssl-devel

# Arch Linux
sudo pacman -S openssl

फिर बाइनरी संकलित करें:

gcc -o dirtyclone dirtyclone.c -lcrypto -Wall -O2

उपयोग

प्रोग्राम को इस प्रकार चलाएं:

./dirtyclone

वैकल्पिक तर्क:

./dirtyclone -q    # quiet mode
./dirtyclone -v    # verbose mode (default)
./dirtyclone -h    # show help

प्रोग्राम क्या करता है

रनटाइम पर प्रोग्राम:

1. एक बैनर प्रिंट करता है और जांचता है कि क्या वह पहले से ही रूट के रूप में चल रहा है;
2. कर्नेल और आर्किटेक्चर विवरण सत्यापित करता है और रिपोर्ट करता है कि सिस्टम कमजोर रेंज से मेल खाता है या नहीं;
3. नेमस्पेस और लूपबैक नेटवर्किंग सेट करता है;
4. XFRM स्थिति/नीतियां कॉन्फ़िगर करता है और TEE नेटफिल्टर नियम जोड़ने का प्रयास करता है;
5. लक्ष्य SUID बाइनरी को मेमोरी में मैप करता है और मूल बनाम अपेक्षित बाइट्स का PoC सारांश प्रिंट करता है;
6. UDP+TEE या रॉ IP फॉलबैक का उपयोग करके ESP पैकेट भेजता है;
7. पेज कैश में इंजेक्टेड बाइट्स दिखने की प्रतीक्षा करता है और फिर लक्ष्य बाइनरी को निष्पादित करने का प्रयास करता है।

डर्टीक्लोन कैसे काम करता है

शोषण एक सरल विचार पर बनाया गया है: प्रोग्राम एक क्राफ्टेड ESP/XFRM पेलोड तैयार करता है जो कर्नेल को मेमोरी के पेज-कैश-समर्थित क्षेत्र में डेटा डिक्रिप्ट करने का कारण बनता है, फिर जांचता है कि लक्ष्य SUID बाइनरी में बाइट्स बदले हैं या नहीं।

व्यावहारिक रूप में, प्रोग्राम निम्नलिखित क्रियाएं करता है:

• एक लक्ष्य फ़ाइल, /usr/bin/su, की पहचान करता है और इसे मेमोरी में मैप करता है;
• शेलकोड बाइट्स और आवश्यक ESP मेटाडेटा वाला एक छोटा पेलोड तैयार करता है;
• पेलोड को AES-CBC से एन्क्रिप्ट करता है ताकि इसे XFRM/ESP पथ में फीड किया जा सके;
• TEE-सहायता प्राप्त UDP या रॉ IP फॉलबैक का उपयोग करके स्थानीय नेटवर्क स्टैक के माध्यम से पैकेट भेजता है;
• अपेक्षित बाइट्स दिखने के लिए मैप किए गए क्षेत्र की निगरानी करता है;
• यदि बाइट्स दिखते हैं, तो यह मानता है कि शोषण पथ ने पेज कैश को बदल दिया है और पैच किए गए लक्ष्य पथ को निष्पादित करता है।

यह एक प्रूफ-ऑफ-कॉन्सेप्ट प्रवाह है, न कि सामान्य-उद्देश्य प्रिविलेज एस्केलेशन फ्रेमवर्क। इसका उद्देश्य शोषण तंत्र को प्रदर्शित करना और यह सत्यापित करने में मदद करना है कि लक्ष्य कर्नेल अभी भी कमजोर व्यवहार को उजागर करता है या नहीं।

डमी कार्यान्वयन उदाहरण

निम्नलिखित सरलीकृत उदाहरण उच्च स्तर पर समान अवधारणा दिखाता है:

#include <stdio.h>
#include <string.h>

static int dummy_exploit(unsigned char *target_bytes) {
    unsigned char expected[] = {0x31, 0x0f, 0x05};
    memcpy(target_bytes, expected, sizeof(expected));
    return 0;
}

int main(void) {
    unsigned char target[16] = {0};
    dummy_exploit(target);
    printf("Patched bytes: %02x %02x %02x\n", target[0], target[1], target[2]);
    return 0;
}

वास्तविक परियोजना उसी सिद्धांत का उपयोग करती है, लेकिन यह पेलोड को ESP/XFRM-शैली पैकेट के रूप में पैकेज करती है और साधारण मेमोरी कॉपी के बजाय नेटवर्किंग स्टैक के माध्यम से कर्नेल पथ को संचालित करती है।

शोषण वॉकथ्रू

1. सेटअप चरण

   • प्रोग्राम प्रक्रिया पर्यावरण को अलग करने के लिए नेमस्पेस बनाता है;
   • यह लूपबैक नेटवर्किंग कॉन्फ़िगर करता है ताकि पैकेट स्थानीय रहें।

2. XFRM तैयारी

   • शोषण XFRM स्थितियां और नीतियां जोड़ता है जो कर्नेल को बताती हैं कि ESP ट्रैफ़िक को कैसे प्रोसेस करना है;
   • यह एक TEE नियम स्थापित करने का भी प्रयास करता है ताकि ट्रैफ़िक को नियोजित पथ के माध्यम से पुनर्निर्देशित किया जा सके।

3. पेलोड निर्माण

   • कोड शेलकोड-शैली बाइट्स वाला एक छोटा प्लेनटेक्स्ट पेलोड बनाता है;
   • पेलोड को स्थिर परीक्षण कुंजी का उपयोग करके AES-CBC के साथ एन्क्रिप्ट किया जाता है।

4. डिलीवरी चरण

   • प्रोग्राम निर्मित ESP पैकेट को UDP या रॉ IP पर भेजता है;
   • कर्नेल पैकेट को प्रोसेस करता है और, कमजोर सिस्टम पर, डिक्रिप्ट किए गए डेटा को लक्ष्य बाइनरी के पेज कैश क्षेत्र में वापस लिखता है।

5. सत्यापन और निष्पादन

   • कोड लक्ष्य फ़ाइल के बाइट्स देखता है और जांचता है कि क्या वे अपेक्षित शेलकोड बाइट्स से मेल खाते हैं;
   • यदि वे मेल खाते हैं, तो यह लक्ष्य बाइनरी को निष्पादित करने और नियंत्रण को इंजेक्टेड पेलोड पथ को सौंपने का प्रयास करता है।

तकनीकी विवरण

कार्यान्वयन में शामिल है:

• पेज-कैश परिवर्तनों की प्रतीक्षा करते समय अनुकूली पुनर्प्रयास तर्क,
• atexit और सिग्नल हैंडलर के माध्यम से पंजीकृत सफाई दिनचर्या,
• fork/execvp-आधारित सुरक्षित कमांड निष्पादन,
• OpenSSL EVP APIs का उपयोग करके AES-CBC एन्क्रिप्शन,
• x86_64 और AArch64 के लिए आर्किटेक्चर-जागरूक शेलकोड,
• TEE-सहायता प्राप्त UDP और रॉ IP परिवहन दोनों के लिए दोहरा डिलीवरी तर्क।

पूर्वापेक्षाएँ

स्रोत एक Linux वातावरण की अपेक्षा करता है जिसमें:

• GCC या Clang,
• OpenSSL डेवलपमेंट हेडर और लाइब्रेरीज़,
• सिस्टम पर ip, iptables, और modprobe उपलब्ध हों,
• /usr/bin/su पर एक लक्ष्य बाइनरी,
• एक कर्नेल जो वर्णित शोषण पथ के प्रति कमजोर हो सकता है।

अपेक्षित व्यवहार

प्रोग्राम एक डायग्नोस्टिक PoC सारांश दिखाने का इरादा रखता है और फिर या तो:

• सफलतापूर्वक पेज कैश को पैच करता है और लक्ष्य बाइनरी को निष्पादित करता है, या
• स्वच्छ रूप से विफल होता है यदि कर्नेल पैच किया गया है या शोषण पथ उपलब्ध नहीं है।

यदि शोषण ट्रिगर नहीं होता है, तो प्रोग्राम एक स्पष्ट संदेश प्रिंट करता है जो सुझाव देता है कि कर्नेल संभवतः पैच किया गया है।

सुरक्षा और नैतिकता

इस परियोजना का उपयोग केवल तब करें जब:

• आप लक्ष्य सिस्टम के मालिक हों,
• आपके पास इसका परीक्षण करने की स्पष्ट अनुमति हो,
• आप एक लैब या पृथक वातावरण में काम कर रहे हों।

इस कोड को कभी भी उत्पादन सिस्टम या उन सिस्टम पर न चलाएं जिनका आकलन करने की आपके पास अनुमति नहीं है।

लाइसेंस और लेखकत्व

स्रोत हेडर लेखक को MrAashish0x1 (gl1tch0x1) के रूप में पहचानता है। रिपॉजिटरी में एक अलग लाइसेंस फ़ाइल शामिल नहीं है, इसलिए कोड को उत्पादन सॉफ़्टवेयर के बजाय शोध सामग्री के रूप में माना जाना चाहिए।