MSMQ भेद्यता प्रूफ ऑफ कॉन्सेप्ट

इस रिपॉजिटरी में एक रेडी-टू-रन प्रूफ ऑफ कॉन्सेप्ट है जो TCP पोर्ट 1801 पर सुनने वाली Microsoft Message Queuing को लक्षित करता है। यह कार्य मूल प्रोजेक्ट की सामग्री पर आधारित है और उसका उपयोग करता है:
https://github.com/leongxudong/MSMQ-Vulnerability

यह रिपॉजिटरी उस प्रोजेक्ट द्वारा प्रदान किए गए बाइनरी आर्टिफैक्ट्स का उपयोग करती है। PoC में शामिल और संदर्भित बाइनरी फ़ाइलें हैं:

1. establish_connection.bin
2. connection_parameters.bin
3. user_message.bin

विवरण

यह PoC, पोर्ट 1801 पर लक्षित होस्ट को MSMQ प्रोटोकॉल फ्रेम का एक क्रम भेजकर CVE 2023 21554 में वर्णित स्थिति को पुन: प्रस्तुत करने का प्रयास करता है। PoC स्क्रिप्ट केवल नेटवर्क-स्तरीय गतिविधि करती हैं और कोई पोस्ट-एक्सप्लॉइटेशन कार्रवाई नहीं करती हैं। यह प्रोजेक्ट केवल एक पृथक लैब वातावरण में विश्लेषण और रक्षात्मक सत्यापन के लिए है।

शामिल फ़ाइलें

1. CVE-2023-21554.py — मूल PoC स्क्रिप्ट जो तीनों बाइनरी ब्लॉब्स को क्रम में भेजती है
2. CVE-2023-21554.py — हमलावर-पक्ष सहायक स्क्रिप्ट जो प्रतिक्रियाओं, हेक्सडंप, टाइमस्टैम्प और सॉकेट-स्तरीय त्रुटियों को लॉग करती है। अधिक उपयोगी हमलावर-पक्ष साक्ष्य प्राप्त करने के लिए इस स्क्रिप्ट का उपयोग करें
3. establish_connection.bin — मूल रिपॉजिटरी से बाइनरी स्टेज एक पेलोड
4. connection_parameters.bin — मूल रिपॉजिटरी से बाइनरी स्टेज दो पेलोड
5. user_message.bin — मूल रिपॉजिटरी से बाइनरी स्टेज तीन पेलोड
6. README.md — यह फ़ाइल

पूर्वापेक्षाएँ

1. आपके हमलावर होस्ट पर Python 3 स्थापित हो
2. लक्षित होस्ट पोर्ट 1801 तक नेटवर्क पहुंच और उस होस्ट का परीक्षण करने की स्पष्ट अनुमति
3. लक्षित वर्चुअल मशीन का स्नैपशॉट ताकि आप परीक्षण के बाद परिवर्तनों को पूर्ववत कर सकें
4. सत्यापन के लिए साक्ष्य कैप्चर करने के उपकरण (उदाहरण के लिए Wireshark या tcpdump) और Windows के लिए Sysinternals procdump

लैब वातावरण में PoC कैसे चलाएँ

1. तीनों बाइनरी फ़ाइलों को PoC स्क्रिप्ट के समान फ़ोल्डर में रखें

2. लक्षित IP पता सेट करने के लिए PoC स्क्रिप्ट या CVE-2023-21554.py को संपादित करें

3. अपने हमलावर मशीन पर लक्षित IP और पोर्ट के लिए नेटवर्क कैप्चर प्रारंभ करें। एक अलग शेल में उदाहरण कमांड (IP को अपने लक्ष्य से बदलें):

   sudo tcpdump -i eth0 host 10.0.2.15 and port 1801 -w msmq_test.pcap

4. टाइमस्टैम्प्ड लॉग और हेक्सडंप प्राप्त करने के लिए उन्नत जाँच स्क्रिप्ट चलाएँ

   python3 CVE-2023-21554.py

5. विश्लेषण के लिए PoC आउटपुट और नेटवर्क कैप्चर फ़ाइल सहेजें

कैसे पहचानें कि PoC सफल रहा

1. हमलावर पक्ष के संकेतक

1. CVE-2023-21554.py पेलोड चरण के तुरंत बाद connection_reset या orderly_close की रिपोर्ट करता है (ये सहायक द्वारा मुद्रित स्पष्ट स्थितियाँ हैं)।
2. PoC को लक्ष्य से एक गैर-तुच्छ प्रतिक्रिया प्राप्त होती है (छोटे, असामान्य प्रतिक्रिया बाइट्स)। उस प्रतिक्रिया को तुलना के लिए सहेजें और हेक्सडंप करें।
3. नेटवर्क कैप्चर एक्सप्लॉइट पैकेट के तुरंत बाद TCP रीसेट (RST) या अन्य असामान्य समाप्ति दिखाता है।

2. लक्ष्य पक्ष के संकेतक

1. परीक्षण के समय Message Queuing सेवा प्रक्रिया mqsvc.exe क्रैश हो जाती है या पुनः प्रारंभ होती है।
2. Windows Event Viewer में Application या System इवेंट होते हैं जो एक्सेस उल्लंघन या फॉल्टिंग एप्लिकेशन नाम mqsvc.exe का संदर्भ देते हैं।
3. परीक्षण के समय कैप्चर किया गया procdump mqsvc प्रक्रिया में एक अपवाद दिखाता है।

व्यावहारिक Wireshark चरण और फ़िल्टर कॉपी-पेस्ट रेडी

प्रत्येक फ़िल्टर के लिए <TARGET> को अपने लक्षित IP से बदलें।

हमलावर और लक्ष्य के बीच MSMQ पोर्ट पर सभी ट्रैफ़िक दिखाएँ: ip.addr == <TARGET> && tcp.port == 1801

केवल सर्वर-उत्पन्न TCP RST दिखाएँ: ip.src == <TARGET> && tcp.port == 1801 && tcp.flags.reset == 1

वे पैकेट दिखाएँ जिनमें एप्लिकेशन डेटा हो (गैर-रिक्त TCP पेलोड): ip.addr == <TARGET> && tcp.port == 1801 && tcp.len > 0

शून्य-लंबाई वाले सेगमेंट या FIN दिखाएँ: ip.addr == <TARGET> && tcp.port == 1801 && (tcp.len == 0 || tcp.flags.fin == 1)

रीट्रांसमिशन और TCP विसंगतियाँ दिखाएँ: tcp.analysis.retransmission || tcp.analysis.fast_retransmission || tcp.analysis.duplicate_ack

सर्वर प्रतिक्रिया बाइट्स निकालने के चरण (कच्चा हेक्सडंप)

1. पैकेट सूची फलक में रुचि के सर्वर पैकेट का पता लगाएँ। छोटे tcp.len मान या RST से ठीक पहले वाले पैकेट को देखें।
2. पैकेट पर राइट-क्लिक करें → Follow → TCP Stream।
3. Follow TCP Stream संवाद में Show data as: Raw चुनें और फिर सटीक बाइट्स निर्यात करने के लिए Save As चुनें।
4. वैकल्पिक रूप से, पैकेट चुनें और Packet Bytes फलक से बाइट्स कॉपी करें। कच्चे बाइट्स/हेक्सडंप को साक्ष्य के रूप में सहेजें (उदाहरण के लिए server_reply.hex)।

रीसेट लक्ष्य से आया या मिडलबॉक्स से — कैसे पहचानें

1. पुष्टि करें कि RST का Source IP लक्ष्य से मेल खाता है। यदि ऐसा है, तो यह दृढ़ता से संकेत करता है कि लक्षित होस्ट या उसका कर्नेल सॉकेट बंद कर दिया।
2. यदि RST स्रोत एक अलग ऑन-पाथ डिवाइस है, तो यह आमतौर पर संकेत करता है कि मिडलबॉक्स या फ़ायरवॉल ने कनेक्शन गिरा दिया। TTL अंतर और इंटरफ़ेस IP निदान में सहायता कर सकते हैं।

समय सहसंबंध (महत्वपूर्ण)

1. एक्सप्लॉइट पैकेट और सर्वर प्रतिक्रिया के बीच टाइमस्टैम्प अंतर नोट करें। क्रैश या अचानक RST आमतौर पर आपत्तिजनक पैकेट के दसियों से सैकड़ों मिलीसेकंड के भीतर होते हैं। इन समयों को अपने साक्ष्य के भाग के रूप में दर्ज करें।

तुलनात्मक परीक्षण

1. ज्ञात-पैच किए गए होस्ट के विरुद्ध समान अनुक्रम कैप्चर करें और RST, FIN या छोटी सर्वर प्रतिक्रियाओं की उपस्थिति या अनुपस्थिति की तुलना करें। अंतर आपके निष्कर्ष को मजबूत करते हैं।

साक्ष्य संग्रह चेकलिस्ट

1. CVE-2023-21554.py से पूर्ण stdout लॉग को एक टेक्स्ट फ़ाइल में सहेजें
2. नेटवर्क कैप्चर फ़ाइल सहेजें (उदाहरण के लिए msmq_test.pcap)
3. Event Viewer से Application और System इवेंट निर्यात करें जो परीक्षण समय से संबंधित हों
4. यदि उपलब्ध हो, तो procdump का उपयोग करके mqsvc.exe का क्रैश डंप कैप्चर करें और विश्लेषण के लिए सहेजें

सुरक्षा और कानूनी नोटिस

यह कोड लक्षित होस्ट पर सेवा क्रैश और अस्थिरता पैदा कर सकता है। इसे उन सिस्टमों के विरुद्ध न चलाएँ जिनके स्वामी आप नहीं हैं या जिनके परीक्षण की आपके पास स्पष्ट अनुमति नहीं है। हमेशा एक पृथक लैब वातावरण में परीक्षण करें और परीक्षण चलाने से पहले VM स्नैपशॉट लें। मूल कार्य का श्रेय अपस्ट्रीम प्रोजेक्ट को जाता है:
https://github.com/leongxudong/MSMQ-Vulnerability

श्रेय

यह रिपॉजिटरी मूल प्रोजेक्ट से व्युत्पन्न है:
https://github.com/leongxudong/MSMQ-Vulnerability

योगदान

यदि आप डिटेक्शन सहायक या साक्ष्य संग्रह स्क्रिप्ट जोड़ते हैं तो कृपया उनका दस्तावेजीकरण करें और सुरक्षित लैब उपयोग के निर्देश शामिल करें।

संपर्क और आगे पढ़ें

मूल संदर्भ और बाइनरी आर्टिफैक्ट्स के लिए ऊपर दिए गए लिंक पर अपस्ट्रीम रिपॉजिटरी देखें। रक्षात्मक मार्गदर्शन के लिए CVE 2023 21554 के बारे में विक्रेता सलाह और प्रकाशित राइटअप देखें।