CVE-2026-31431 Copy Fail: DFIR जाँच वॉकथ्रू

Copy Fail Linux कर्नेल भेद्यता (CVE-2026-31431) के लिए एक इंटरैक्टिव, चरण-दर-चरण फोरेंसिक जाँच वॉकथ्रू।

SIEM अलर्ट से लेकर पुष्ट निर्णय तक एक इंसिडेंट रिस्पॉन्स परिदृश्य के माध्यम से क्लिक करें, जिसमें वे कमांड होंगे जो एक विश्लेषक वास्तव में चलाएगा और हर चरण पर सरल भाषा में नोट्स।

लाइव डेमो

इसे लाइव आज़माएँ

चरणों के बीच जाने के लिए बाएँ और दाएँ तीर कुंजियों का उपयोग करें। प्रत्येक चरण को सीधे लिंक किया जा सकता है, उदाहरण के लिए #step-5 पेज कैश विश्लेषण पर जाता है।

भाषाएँ

यह गाइड अंग्रेज़ी और ग्रीक में उपलब्ध है। टाइटल बार में EN | ΕΛ बटन का उपयोग करें, या सीधे ग्रीक संस्करण खोलें: ledlight33.github.io/copyfail-dfir/?lang=el। चयन याद रखा जाता है, और ग्रीक ब्राउज़र डिफ़ॉल्ट रूप से ग्रीक में खुलता है।

केवल स्पष्टीकरणों का अनुवाद किया गया है (निर्देश, निष्कर्ष, नोट्स, प्रश्न, चेकलिस्ट और निर्णय)। कमांड, कोड और तकनीकी शब्द अंग्रेज़ी में ही रहते हैं।

Ελληνική έκδοση: ledlight33.github.io/copyfail-dfir/?lang=el

आप क्या देखेंगे

• प्रमाणीकरण लॉग जिनमें कोई एस्केलेशन ट्रेल नहीं है
• पहले मेमोरी अधिग्रहण, और RAM-केवल हमले के लिए साक्ष्य क्रम क्यों मायने रखता है
• लाइव इंटीग्रिटी जाँचें, और प्रभावित होस्ट पर वे वास्तव में क्या रिपोर्ट करती हैं
• एक कैश्ड-व्यू बनाम डिस्क-व्यू तुलना जो साबित करती है कि छेड़छाड़ केवल RAM में रहती है
• मेमोरी इमेज पर उपयोग किए गए वास्तविक Volatility 3 प्लगइन (linux.pagecache.Files, linux.pagecache.InodePages)
• ausearch के साथ ऑडिट ट्रेल पुनर्निर्माण, और strings के साथ पुनर्प्राप्त एक्सप्लॉइट ट्रेस
• स्कोपिंग और कंटेनमेंट, फिर डिटेक्शन, हार्डनिंग और संबंधित-बग पैनल के साथ एक निर्णय

यह क्यों मौजूद है

हर कोई भेद्यताओं के बारे में पोस्ट करता है। बहुत कम लोग दिखाते हैं कि उनकी जाँच कैसे करें।

Copy Fail एक पेज-कैश-केवल हमला है: डिस्क पर मौजूद फ़ाइल कभी संशोधित नहीं होती, इसलिए बंद किए गए सिस्टम की डिस्क इमेज साफ़ दिखती है। लाइव और मेमोरी विश्लेषण छेड़छाड़ दिखाते हैं। यह वॉकथ्रू दिखाता है कि एक DFIR विश्लेषक क्या देखेगा, किस क्रम में, और क्यों।

शुरुआती नोट्स

प्रत्येक चरण में एक वैकल्पिक नोट्स पैनल है (इसे टाइटल बार में टॉगल करें) जिसमें सरल शब्दों में एक स्पष्टीकरण, यह चरण क्यों मायने रखता है, एक सामान्य गलती, शब्दों की एक छोटी सूची, एक "स्वयं जाँचें" प्रश्न और स्रोतों के लिंक होते हैं।

अपने स्वयं के Linux की जाँच करें

वॉकथ्रू की अंतिम स्क्रीन में एक रीड-ओनली चेकलिस्ट है जिसे आप अपनी मशीन पर चला सकते हैं: कर्नेल संस्करण, क्या भेद्य मॉड्यूल लोड है, प्रत्येक setuid फ़ाइल की कैश्ड-बनाम-डिस्क तुलना, su पर एक पैकेज-मैनेजर जाँच, और कुछ लॉग ट्रेस। यह बताती है कि हिट का क्या मतलब है और आगे क्या करना है। इसे सीधे खोलें: ledlight33.github.io/copyfail-dfir/#step-8

कभी भी किसी ऐसी मशीन पर सार्वजनिक एक्सप्लॉइट चलाकर परीक्षण न करें जिसकी आप परवाह करते हैं। साफ़ परिणाम एक अच्छा संकेत है, प्रमाण नहीं, क्योंकि ज़हरीला पेज निकाल दिया जा सकता है या रीबूट पर खो सकता है।

यह कितना सटीक है

कंसोल आउटपुट उदाहरणात्मक है: PIDs, हैश, पते और टाइमस्टैम्प गढ़े गए हैं, और लंबी तालिकाएँ छोटी की गई हैं। कमांड, सिसकॉल नंबर, प्लगइन नाम और विकल्प, और हमले की यांत्रिकी को प्राथमिक स्रोतों (Theori PoC और Xint राइट-अप, NVD, CISA, Volatility 3 स्रोत, विक्रेता सलाहकार) के विरुद्ध जाँचा गया था। प्रत्येक चरण अपने स्रोतों को लिंक करता है, और निर्णय स्क्रीन उन सभी को सूचीबद्ध करती है।

दो बातें जानने योग्य हैं:

• चरण 4 में डायरेक्ट-रीड तुलना (dd iflag=direct) rfxn द्वारा वर्णित डुअल-पाथ विधि का अनुसरण करती है। इसे इस गाइड के लिए लैब में कैप्चर नहीं किया गया था, और डायरेक्ट I/O समर्थन फ़ाइलसिस्टम पर निर्भर करता है, इसलिए इसे अपने सिस्टम पर परखें।
• यह कथन कि लाइव इंटीग्रिटी टूल छेड़छाड़ किए गए पेज को देखते हैं जब तक वह कैश्ड रहता है, Linux पेज कैश के काम करने के तरीके और Xint तथा rfxn राइट-अप से निकलता है। कई द्वितीयक लेख इसके विपरीत दावा करते हैं।

कोई गलती मिली? कृपया एक issue खोलें।

तकनीक

React (CDN के माध्यम से) के साथ सिंगल-पेज HTML। कोई बिल्ड चरण नहीं, कोई निर्भरता नहीं: बस index.html खोलें।

संबंधित

🧪 Periodic Table of DFIR: डिजिटल फोरेंसिक्स और इंसिडेंट रिस्पॉन्स के लिए 118 टूल

निर्माता

Marino Bekios, MB Labs

linkedin.com/in/marbekios

मेरी वेबसाइट पर जाएँ

लाइसेंस

MIT - © 2026 Marino Bekios, MB Labs