Skip to content
KitploitKITPLOIT
StrumentiExploitsBlog
Log in
Invia
StrumentiExploitsBlog
Invia

Strumenti di Hacking, PenTest e Cybersecurity per il tuo Arsenale di Sicurezza!

Kitploit è una directory di strumenti di hacking, cybersecurity e pentesting. Scopri gli ultimi aggiornamenti dei progetti per trovare vulnerabilità, analizzare sistemi, automatizzare i test e rafforzare la tua sicurezza.

FeedContattoPrivacy© 2026 Kitploit

Directory degli strumenti

Categorie

Vedi tutte le categorie
Loading categories
KOOBE-Guard — Modulo del kernel Linux che utilizza Kprobes per rilevare e neutralizzare gli exploit di double-free dell'heap relativi a CVE-2024-1086 tramite il tracciamento del divario temporale e la nullificazione attiva dei registri, con zero overhead di RAM. | Kitploit
Strumenti/GitHubGitHub/vedantk6403/koobe-guard
Strumenti DifensiviAnalisi delle VulnerabilitàRilevamento IntrusioniRilevamento di Anomalie
GitHubvedantk6403/koobe-guard

KOOBE-Guard

Modulo del kernel Linux che utilizza Kprobes per rilevare e neutralizzare gli exploit di double-free dell'heap relativi a CVE-2024-1086 tramite il tracciamento del divario temporale e la nullificazione attiva dei registri, con zero overhead di RAM.

Vedi Repository
342 mesi faNon ancora revisionato

Più Popolari

Vedi tutti →

Scopri gli strumenti più utilizzati dalla nostra community.

Esplora tutti gli strumenti

Sfoglia la nostra collezione di strumenti

Vedi tutti gli strumenti →
Condividi

KOOBE-Guard: Mitigazione Temporale Attiva delle Vulnerabilità Double-Free del Kernel

Autori: Vedant Karande e Kiran Kumari
Corso: Network & Systems Security (SIL7165) - Indian Institute of Technology Delhi

Panoramica

KOOBE-Guard è un sistema di prevenzione delle intrusioni (IPS) dinamico sviluppato come modulo kernel caricabile Linux (LKM) per mitigare attivamente le vulnerabilità catastrofiche basate su heap, prendendo di mira specificamente la vulnerabilità double-free CVE-2024-1086[cite: 1].

I moderni sistemi operativi si affidano implicitamente al fatto che i sottosistemi di memoria allocano e liberano la memoria senza errori[cite: 1]. Quando sottosistemi complessi come nf_tables del kernel Linux contengono errori logici, ciò può portare a una gestione impropria della memoria, consentendo a un attaccante non privilegiato di ottenere una escalation dei privilegi locali (LPE) tramite Heap Feng Shui e allocazioni sovrapposte[cite: 1]. KOOBE-Guard neutralizza tutto ciò passando da difese passive e pesanti basate su shadow memory a un tracciamento attivo in tempo reale dei gap temporali[cite: 1].

Architettura e Metodologia

Gli strumenti di mitigazione tradizionali come KASAN si basano su un'enorme mappatura della shadow memory, introducendo un overhead CPU del 200%-300% e un aumento catastrofico dell'utilizzo di RAM, rendendoli inutilizzabili in ambienti di produzione[cite: 1].

KOOBE-Guard intercetta l'exploit utilizzando la seguente metodologia:

  • Tracciamento attivo dei gap temporali: Le Kprobe vengono agganciate direttamente al percorso dell'allocatore kfree[cite: 1]. Il modulo registra il timestamp esatto in nanosecondi degli indirizzi di memoria liberati[cite: 1].
  • Identificazione dell'exploit: Il normale riciclo della memoria di sistema avviene nell'arco di decine di migliaia di nanosecondi, mentre CVE-2024-1086 si svolge istantaneamente[cite: 1]. KOOBE-Guard filtra questa firma dannosa utilizzando una soglia fortemente ottimizzata di 5.000 nanosecondi (5µs)[cite: 1].
  • Nullificazione attiva dei parametri: Quando rileva una firma temporale corrispondente a un ciclo di exploit, il modulo riscrive forzatamente i registri della CPU al volo (regs->di = 0) impostandoli a NULL[cite: 1]. Questo forza una sicura operazione kfree(NULL), prevenendo completamente la corruzione della freelist di SLUB[cite: 1].

Struttura del Repository

  • defense_module/: Contiene il codice sorgente del LKM KOOBE-Guard e i Makefile.
  • evaluation_scripts/: Script Bash (benchmark.sh, hit_rate.sh) utilizzati per test quantitativi con QEMU.
  • docs/: Report completi del progetto e slide delle presentazioni.
  • proofs/: Diagrammi dell'architettura di sistema, screenshot delle esecuzioni e grafici dei benchmark.
  • exploit_poc/: Submodule che collega il Proof-of-Concept armato per CVE-2024-1086 utilizzato per attivare lo stato di vulnerabilità.

Valutazione e Benchmark

Il framework è stato valutato rigorosamente in un laboratorio virtuale QEMU profondamente isolato e accelerato via hardware, con un kernel Linux 6.6.0 compilato su misura[cite: 1].

  • Tasso di intercettazione: Raggiunto un tasso di intercettazione del 100% per ogni ciclo di avvio pulito, neutralizzando completamente il double-free[cite: 1].
  • Overhead di memoria: Introdotto uno 0% di aumento misurabile della RAM; il sistema ha consumato 57MB di RAM sia con che senza il modulo di difesa attivo[cite: 1].
  • Latenza CPU: Imposto una penalità di latenza I/O eccezionalmente minima, elaborando le traversate del filesystem in 2,25 secondi rispetto a una baseline non protetta di 2,01 secondi[cite: 1].

Riconoscimenti e Attribuzioni

  • Sviluppo dell'exploit: L'exploit Proof-of-Concept (PoC) armato originale utilizzato per valutare l'efficacia difensiva del modulo KOOBE-Guard è stato scritto da Notselwyn. Il codice dell'exploit, invariato, è collegato come submodule nella directory exploit_poc. Visita il repository originale qui: Notselwyn/CVE-2024-1086.
  • Base di ricerca: Questo lavoro estende i concetti fondamentali del tool analitico originale KOOBE sviluppato da Chen et al. (USENIX 2020)[cite: 1].

Licenza

Questo progetto è concesso in licenza sotto la GPL-2.0 License. Vedere il file LICENSE per i dettagli.

Scarica lo strumento