Estrutura do diretório:

• Dockerfile: Imagem para construir o ambiente vulnerável OpenSSH 9.1p1
• poc.py: Cliente PoC mínimo para acionar o double free durante a pré-autenticação

Pré-requisitos

Antes de realizar as seguintes operações neste diretório, garanta que:

• Docker instalado (no WSL2, recomenda-se usar Docker Desktop ou instalar Docker diretamente no WSL)
• Python 3 e pip instalados

1. Construção do Alvo (OpenSSH 9.1p1 no Docker)

1. Construir a imagem

   Execute no diretório atual:

   root@kitploit:~

   docker build -t sshd-9.1p1-vuln .
   

2. Iniciar o container

   root@kitploit:~

   docker run --rm -d --name sshd-vuln -p 2222:22 sshd-9.1p1-vuln
   

   Explicação:

   • --rm: Remove automaticamente após a saída do container
   • --name sshd-vuln: Nome do container
   • -p 2222:22: Mapeia a porta 22 do container para a porta 2222 do host

3. Confirmar o status de execução do sshd

   root@kitploit:~

   docker ps
   

   Você deve ver algo como:

   root@kitploit:~

   CONTAINER ID   IMAGE              COMMAND               STATUS          PORTS
   xxxxxx         sshd-9.1p1-vuln    "/usr/sbin/sshd -D…"  Up ...          0.0.0.0:2222->22/tcp
   

2. Uso do PoC do Atacante

1. Instalar dependências do PoC

Execute neste diretório:

2. Descrição do script PoC (poc.py)

poc.py usa paramiko.Transport para estabelecer ativamente uma conexão com o servidor SSH alvo e forjar um identificador de cliente durante a pré-autenticação, tentando acionar o double free.

Características principais:

• Alvo padrão: 127.0.0.1:2222 (ou seja, o container Docker local)
• Identificador de cliente padrão: SSH-2.0-PuTTY_Release_0.64
• Fornece argumentos de linha de comando simples:
  • -t/--target: IP alvo (padrão 127.0.0.1)
  • -p/--port: Porta alvo (padrão 2222)
  • -c/--client-id: Identificador de cliente SSH forjado
  • --timeout: Tempo limite (segundos)
  • -v/--verbose: Exibir informações detalhadas de erro

3. Executar o PoC

Garantindo que o container sshd-vuln esteja em execução, execute no diretório atual:

Ou especifique argumentos explicitamente:

Exemplo de saída esperada do cliente:

Explicação:

• O cliente reportar Authentication failed ou connection closed é um comportamento esperado, pois o processo filho de pré-autenticação do servidor pode travar ou fechar a conexão ativamente durante o processamento.

3. Resultados Esperados e Método de Verificação

1. Logs do servidor (container)

Após executar o PoC, verifique os logs do container no host:

Saída esperada semelhante a:

Onde:

• Invalid user: Devido ao PoC usar um nome de usuário vazio, o OpenSSH registrou uma tentativa de usuário inválido
• free(): double free detected in tcache 2: A glibc detectou um double free e finalizou o processo filho sshd atual. Este é exatamente o fenômeno de corrupção de memória/DoS que este experimento visa observar.

Nota: Para que esta linha seja visível, desabilitamos a sandbox seccomp durante a construção do OpenSSH (--with-sandbox=no), caso contrário, a sandbox poderia interceptar o comportamento anômalo antes do double free e finalizar o processo filho diretamente.

2. Natureza do Efeito

• Neste ambiente experimental, o PoC consegue acionar de forma estável o travamento do processo filho de pré-autenticação (DoS), resultando na falha da conexão SSH atual. O processo principal sshd continuará a criar novos processos filhos para conexões subsequentes.
• Como o processo filho de pré-autenticação é executado em um ambiente de baixo privilégio + chroot e existem múltiplos mecanismos de segurança por padrão, pesquisadores geralmente consideram que é extremamente difícil obter execução remota de código dependendo apenas deste double free.