Laboratorio per l'analisi e lo sfruttamento del CVE-2025-5548
Scopo del documento: Riflettere sulle conoscenze acquisite durante la distribuzione del laboratorio, dettagliare il processo di sfruttamento del CVE-2025-5548 e delineare i prossimi passi verso la ricerca di vulnerabilità sconosciute (0-day).
Nel corso di questo modulo, ho constatato che sviluppare un exploit è un lavoro di precisione chirurgica. Non si tratta di lanciare scanner automatici per vedere cosa salta fuori, ma di capire come il computer elabora le informazioni al di sotto.
Ho imparato che il ciclo di lavoro reale si basa su tre pilastri: osservare (analizzando il codice del programma staticamente con strumenti come Ghidra per cercare funzioni pericolose), interagire (usando debugger come Immunity Debugger per vedere la memoria in tempo reale) e manipolare (iniettando dati fino a far perdere al programma il controllo del suo flusso normale).
Per mettere alla prova la teoria, ho preparato una macchina virtuale Windows 11 con Python 3 e strumenti di analisi. L'obiettivo che ho scelto è stato un server FTP che si è rivelato vulnerabile nel suo comando NOOP. Invece di dettagliare ogni strumento separatamente, ecco come li ho usati nel mio processo di attacco:
Provocando il collasso: Ho iniziato programmando un fuzzer in Python. La mia idea era inviare raffiche di testo sempre più lunghe al server. Raggiungendo i 400 byte, sono riuscito a bloccare il server. Avevo trovato un buffer overflow.
Prendendo il controllo (Sequestrando l'EIP): Il passo successivo era scoprire il punto esatto in cui la memoria traboccava per poter controllare quale istruzione il processore avrebbe eseguito dopo (il registro EIP). Usando il plugin Mona.py, ho scoperto che la distanza esatta era di 246 byte.
Pulendo il percorso: Mi sono imbattuto in un problema: il server tagliava il mio codice se includeva certi caratteri (come il newline \x0a o il byte nullo \x00). Ho dovuto inviare sequenze di byte e guardare la memoria del debugger più e più volte fino a confermare quali fossero tutti i "caratteri cattivi" per poterli evitare.
Il colpo finale: Avevo bisogno di un modo per far saltare il programma alla zona di memoria dove avrei nascosto il mio virus. Ho trovato un'istruzione JMP ESP all'interno del codice dell'FTP stesso. Ho preso quell'indirizzo, ho generato il mio payload finale con Metasploit e, lanciandolo, sono riuscito a far aprire alla mia macchina attaccante una console remota con controllo totale sul Windows vittima.
Sfruttare questo programma è stato molto didattico, ma sono consapevole che è un ambiente preparato. Nel mondo reale, i sistemi moderni hanno scudi di sicurezza complessi. Per riuscire a scoprire bug che nessuno conosce (0-day) in futuro, ho chiaro che devo evolvere la mia tecnica:
Dimenticare il fuzzing di base: Inviare "Aes" non serve più nel software moderno. Dovrò imparare a usare fuzzer avanzati che capiscano come è strutturato un file o un protocollo di rete, per poter ingannare gli strati più profondi del programma.
Studiare le patch di sicurezza: Una tecnica che trovo affascinante è il Patch Diffing. Consiste nel prendere un aggiornamento di Windows o di un programma, confrontarlo con la versione precedente e vedere esattamente quali righe di codice sono state cancellate o aggiunte dagli sviluppatori. Molte volte, questo ti "svela" dove si trovava il bug prima che diventasse pubblico.
Lottare contro le mitigazioni: Dovrò imparare tecniche come ROP (Return-Oriented Programming) per far sì che i miei exploit funzionino anche quando i computer moderni proibiscono l'esecuzione di codice in certe zone della memoria.
La lezione più preziosa che porto via da questo laboratorio è che la pazienza e il dettaglio sono tutto.
Un singolo byte calcolato male nell'offset, o un carattere proibito che dimentichi di filtrare, fa fallire l'intero exploit e il programma si chiude semplicemente. Gli strumenti e gli script preconfezionati aiutano molto, ma capire le fondamenta (come sono organizzati lo stack, l'ESP e l'EIP) è l'unica cosa che ti permette di riparare il tuo codice quando le cose non funzionano al primo colpo.
