Security Review & Threat Model: CVE-2024-3094 (xz-utils / OpenSSH)

本仓库包含对关键漏洞 CVE-2024-3094（xz-utils 包中 liblzma 库的后门，通过 OpenSSH 进程导致 RCE）的分析结果。

在该项目框架下，准备了隔离的测试环境，开发了威胁模型并编写了自动化检查。

📂 项目结构

• Dockerfile — 环境构建脚本（Debian Bookworm），包含所有依赖项（OpenSSH, Python 3, venv, pytest, pwntools）。
• tests/ — 自动化测试目录（pytest）：
  • test_vulnerability.py / tests_vulnerability.py — SSH 功能集成测试以及用于验证后门检测系统行为的 Mock 测试。
• exploit/ — 概念验证（PoC）脚本，用于模拟攻击。
• docs/ — Markdown 格式的威胁模型和图。
• reports/ — 静态/动态分析结果报告。

🛠 环境准备与启动

所有测试和研究均在隔离的 Docker 容器中执行，以免危及主机系统。

1. 构建 Docker 镜像

镜像安装 SSH 服务器（密码为 root:screencast）并配置包含所有必需库的 Python 虚拟环境。

docker build -t cveanalysis:20243094 .

2. 启动容器

容器以后台模式运行。内部 SSH 端口（22）映射到主机端口 2222。

docker run -d -p 2222:22 --name cve-test cveanalysis:20243094

🧪 运行自动化测试（Pytest）

从主机执行以下命令以运行所有测试文件（test_vulnerability.py 和 tests_vulnerability.py）：

docker exec -it cve-test pytest -v tests/*

测试检查项：

• [CVE] 成功检测后门典型的时序异常（延迟 >0.5 秒），通过 Mock 模式实现。
• [CVE] 检查容器的“干净”（已修补）SSH 服务器上无异常。
• [Regression] 正确密码授权（root:screencast）。
• [Regression] 错误密码时访问被阻止。
• [Regression] 合法 SSH 连接建立速度。

💥 运行概念验证（PoC）

如果您想从主机测试 exploit/ 文件夹中的脚本（或手动通过 SSH 连接），请使用映射端口 2222：

# 手动登录示例
ssh [email protected] -p 2222
# 密码: screencast

# 运行 PoC 脚本示例（如果需要外部启动）
python3 exploit/PoC.py 127.0.0.1

🛑 停止和清理

分析完成后，停止并删除测试容器：

docker stop cve-test
docker rm cve-test