CVE-2026-43284（Dirty Frag）——Linux 内核漏洞研究

概述

本仓库记录了一个完整的防御性安全研究项目，重点关注 CVE-2026-43284（Dirty Frag），这是一个影响 XFRM/IPsec 网络子系统的 Linux 内核漏洞。

本项目的目标不是将该漏洞武器化，而是理解其工作原理、在受控实验室环境中安全地复现它、分析 Linux 内核源代码、研究安全补丁，并构建可供安全专业人员使用的实用检测与应急响应技术。

该项目将 Linux 内核研究、网络、SOC 运营、检测工程和应急响应整合为一个实用的综合项目。

项目目标

创建此项目旨在：

• 理解 Linux 网络子系统。
• 学习 Linux 内核内部机制。
• 研究内核中的数据包处理流程。
• 分析 Dirty Frag 的根本原因。
• 对比存在漏洞与已修补的源代码。
• 构建安全、可复现的研究实验室。
• 使用 auditd、Splunk 和 Wazuh 开发检测规则。
• 执行威胁狩猎。
• 实践应急响应。
• 将攻击者行为映射到 MITRE ATT&CK。
• 产出对 VAPT、SOC、DFIR 和 Linux 管理员有用的文档。

关于 CVE-2026-43284

Dirty Frag 是位于 XFRM/IPsec 网络子系统中的一个 Linux 内核漏洞。

本仓库并非简单地复现概念验证（PoC），而是侧重于理解：

• 该漏洞为何存在。
• 涉及哪些内核组件。
• 数据包如何在网络协议栈中流转。
• 写时复制（Copy-on-Write）保护为何失效。
• Linux 开发者如何修复该问题。
• 防御者如何检测可疑活动。
• 应急响应人员应如何调查受影响的系统。

展示的技能

本项目展示了以下方面的实践经验：

• Linux 管理
• Linux 内核研究
• 源代码分析
• Git 与补丁分析
• 网络
• IPsec / XFRM
• Docker
• 检测工程
• SIEM
• Splunk
• Wazuh
• auditd
• 威胁狩猎
• 应急响应
• MITRE ATT&CK
• 技术文档

仓库结构

.
├── README.md
│
├── Lab
│   ├── 01-Environment.md
│   ├── 02-Docker-Setup.md
│   ├── 03-Recon-Scanning.md
│   ├── 04-Exploitation.md
│   ├── 05-Network-Configuration.md
│   ├── 06-Attacker-Does.md
│
├── Research
│   ├── 01-Kernel-Version.md
│   ├── 02-Source-Code-Notes.md
|   └── 03.Detection-Engineering.md
│
│
└── references

学习路线图

文档设计为按以下顺序阅读。

阶段 1 – 搭建实验室

学习如何使用 Docker 准备 Linux 研究环境，并配置一个可复现的实验室。

主题包括：

• 环境准备
• Docker
• 网络
• 内核源代码
• 内核编译

阶段 2 – 研究

研究 Linux 内核本身。

主题包括：

• 内核版本分析
• Linux 源代码树
• XFRM 子系统
• sk_buff
• 写时复制（Copy-on-Write）
• 源代码分析
• 补丁对比

阶段 3 – 检测工程

学习防御者如何检测与 Dirty Frag 相关的可疑活动。

主题包括：

• auditd
• Splunk
• Wazuh
• Linux 审计框架
• SIEM 关联
• 检测规则
• 调查工作流

阶段 4 – 威胁狩猎

主动搜索入侵指标（IoC）。

主题包括：

• 日志关联
• 进程执行
• 内核模块活动
• 认证事件
• 文件完整性
• 网络活动

实验室环境

研究在隔离的实验室环境中进行。

示例组件包括：

• Kali Linux（研究工作站）
• Ubuntu Linux
• Docker
• Linux 内核源代码
• Git
• Python
• auditd
• Splunk
• Wazuh

本次研究未使用任何生产系统。

使用的工具

目标受众

本仓库适用于：

• SOC 分析师
• 检测工程师
• 威胁狩猎人员
• 应急响应人员
• Linux 管理员
• 安全研究人员
• VAPT 工程师
• 学习 Linux 安全的学生

本仓库不涵盖的内容

本项目专注于防御性安全研究。

它不提供：

• 攻击性利用指南
• 恶意载荷
• 武器化的概念验证
• 攻击生产系统的说明

目标是提升对 Linux 内核安全的理解，并增强防御能力。

参考资料

• Linux 内核文档
• Linux XFRM 文档
• MITRE ATT&CK
• 厂商安全公告
• 官方 CVE 记录

许可证

本项目以 MIT 许可证发布。

致谢

感谢：

• Linux 内核开发者
• 负责任地披露该漏洞的安全研究人员
• 开源安全社区