Exploit for alg_check

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-PROFESSIONAL-SLACKER-ALG_CHECK
## ⚠️ महत्वपूर्ण अस्वीकरण: संरचनात्मक हार्डनिंग जोखिम

यह टूल कर्नेल मॉड्यूल को भौतिक रूप से नाम बदलकर और उन्हें मेमोरी से हटाकर **CVE-2026-31431** को कम करने के लिए **स्ट्रक्चरल ब्लॉकिंग** लागू करता है। उपयोग से पहले, कृपया निम्नलिखित आर्किटेक्चरल जोखिमों से अवगत रहें:

  * **कर्नेल अपडेट अस्थिरता** : हार्डनिंग प्रभाव **अस्थायी** होते हैं। एक कर्नेल अपडेट नए `/lib/modules/` निर्देशिका के अंतर्गत नए, कमजोर मॉड्यूल तैनात करेगा, जिससे पिछला अवरोध अप्रभावी हो जाएगा।
  * **कार्यात्मक दुष्प्रभाव** : `AF_ALG` (कर्नेल क्रिप्टो API) को अक्षम करने से कुछ विशिष्ट एप्लिकेशन या सेवाएं टूट सकती हैं जो कर्नेल-स्तरीय हार्डवेयर त्वरण पर निर्भर करती हैं (जैसे, विशेष VPN, डिस्क एन्क्रिप्शन उपयोगिताएँ, या कस्टम सुरक्षा उपकरण)।
  * **शमन बनाम पैचिंग** : यह एक **वर्कअराउंड** है, स्थायी पैच नहीं। इसका उद्देश्य तब तक अंतर को पाटना है जब तक कि वितरण-प्रदत्त पैच किया हुआ कर्नेल उपलब्ध न हो जाए।



**अपने जोखिम पर उपयोग करें।** `solution.sh` चलाने के बाद हमेशा अपने सिस्टम के महत्वपूर्ण कार्यों को सत्यापित करें।

# SSIA - सिस्टम स्ट्रक्चरल इंटीग्रिटी ऑडिट

लिनक्स कर्नेल क्रिप्टो API (`AF_ALG`) के माध्यम से LPE (लोकल प्रिविलेज एस्केलेशन) वैक्टर की खोज, निदान और रोकथाम के लिए एक टूल किट।

## ⚠️ महत्वपूर्ण अस्वीकरण: संरचनात्मक हार्डनिंग जोखिम

यह टूल कर्नेल मॉड्यूल का नाम बदलकर और उन्हें मेमोरी से हटाकर CVE-2026-31431 को संबोधित करने के लिए **स्ट्रक्चरल ब्लॉकिंग** का उपयोग करता है। मुख्य आर्किटेक्चरल जोखिमों में शामिल हैं:

  * **कर्नेल अपडेट अस्थिरता** : प्रभाव अस्थायी होते हैं। एक कर्नेल अपडेट नई `/lib/modules/` निर्देशिका के अंतर्गत नए कमजोर मॉड्यूल तैनात करता है, जिससे पिछला अवरोध अप्रभावी हो जाता है।
  * **कार्यात्मक दुष्प्रभाव** : AF_ALG को अक्षम करने से कर्नेल-स्तरीय हार्डवेयर त्वरण पर निर्भर सेवाएं बाधित हो सकती हैं, जैसे विशेष VPN, डिस्क एन्क्रिप्शन उपयोगिताएँ, या कस्टम सुरक्षा उपकरण।
  * **शमन बनाम पैचिंग** : यह एक **वर्कअराउंड है, स्थायी पैच नहीं** जो पैच किए गए कर्नेल उपलब्ध होने तक एक पुल के रूप में कार्य करने के लिए है।



अपने जोखिम पर उपयोग करें।

## अवलोकन

यह रिपॉजिटरी दो स्क्रिप्ट प्रदान करती है जो `AF_ALG` (`socket(38, 5, 0)`) के माध्यम से विशेषाधिकार एस्केलेशन हमलों के खिलाफ **निदान → रोकथाम → सत्यापन** वर्कफ़्लो बनाती हैं:

  * **`check.sh`** — बहु-परत सुरक्षा स्थिति ऑडिट (बिना विशेषाधिकार के चलता है)
  * **`solution.sh`** — मेमोरी से AF_ALG मॉड्यूल को बलपूर्वक हटाता है + भौतिक मॉड्यूल फ़ाइलों की जाँच करता है (रूट आवश्यक)
  * **`restore.sh`** — AF_ALG मॉड्यूल को पुनः लोड करता है और सिस्टम को solution.sh से पहले की स्थिति में पुनर्स्थापित करता है (रूट आवश्यक)



## जाँच

## उपयोग

### ऑडिट (बिना विशेषाधिकार के)

root@kitploit:~
    
    
    ./check.sh
    

### रोकथाम (रूट आवश्यक)

root@kitploit:~
    
    
    sudo ./solution.sh
    

### पुनर्स्थापना (रूट आवश्यक)

root@kitploit:~
    
    
    sudo ./restore.sh
    

## पुनर्स्थापना

`restore.sh` AF_ALG कर्नेल मॉड्यूल (`af_alg`, `algif_rng`, `algif_aead`, `algif_skcipher`, `algif_hash`) को पुनः लोड करके `solution.sh` के प्रभावों को उलट देता है। यदि भौतिक मॉड्यूल फ़ाइल (`af_alg.ko.xz`) का नाम बदला गया था या हटा दिया गया था, तो स्क्रिप्ट आपको चेतावनी देगी और मॉड्यूल लोड करने का प्रयास करने से पहले मैन्युअल पुनर्स्थापना के लिए संकेत देगी।

## ⚠️ चेतावनी

**एक लाइव सिस्टम पर`solution.sh` चलाना जो सक्रिय रूप से AF_ALG का उपयोग करता है (जैसे, IPsec, dm-crypt/LUKS, या किसी भी हार्डवेयर क्रिप्टो ऑफलोड वाला सिस्टम) तुरंत सभी कर्नेल क्रिप्टो संचालन को तोड़ देगा।** इसमें शामिल है:

  * IPsec VPN कनेक्शन और WireGuard
  * डिस्क एन्क्रिप्शन (LUKS/dm-crypt)
  * कर्नेल-समर्थित क्रिप्टो का उपयोग करने वाला TLS समापन
  * `algif_*` सॉकेट इंटरफेस पर निर्भर कोई भी कंटेनर या एप्लिकेशन



स्क्रिप्ट AF_ALG कर्नेल मॉड्यूल को बलपूर्वक अनलोड करती है। रीबूट होने तक कर्नेल क्रिप्टो संचालन विफल रहेंगे। यह स्क्रिप्ट **केवल एयर-गैप्ड, गैर-उत्पादन, या डिस्पोजेबल सिस्टम** के लिए परीक्षण और विश्लेषण उद्देश्यों के लिए है। इसे उत्पादन या महत्वपूर्ण बुनियादी ढांचे पर न चलाएं।

## आवश्यकताएँ

  * Linux (कोई भी वितरण)
  * `check.sh` को POSIX शेल और `/proc`/`/sys` के अलावा कोई निर्भरता की आवश्यकता नहीं है
  * `solution.sh` को रूट विशेषाधिकारों की आवश्यकता है
  * `restore.sh` को रूट विशेषाधिकारों की आवश्यकता है
  * `af_alg_block.so` को `/etc/ld.so.preload` के माध्यम से स्थापित करने के लिए रूट विशेषाधिकारों की आवश्यकता है



## WSL2 नोट्स

इस POC का परीक्षण WSL2 पर किया गया है। निम्नलिखित से अवगत रहें:

  * **WSL2 रीबूट पर सभी स्थिति रीसेट करता है (`wsl --shutdown`)**। इसमें `solution.sh` से कर्नेल मॉड्यूल स्थिति परिवर्तन, फ़ाइल नाम परिवर्तन, `check.sh` परिणाम, और इस रिपॉजिटरी में कोई भी स्थानीय फ़ाइल संशोधन शामिल है।
  * WSL2 पर स्थायी हार्डनिंग के लिए, `.wslconfig`, `/etc/wsl.conf`, या एक ऑटो-स्टार्ट स्क्रिप्ट (जैसे, `/etc/rc.local`) को अलग से कॉन्फ़िगर करने पर विचार करें।
  * WSL2 परीक्षण और सत्यापन उद्देश्यों के लिए उपयुक्त है लेकिन **उत्पादन उपयोग या स्थायी सुरक्षा शमन के लिए नहीं** ।



## शमन

AF_ALG हमले वेक्टर को निश्चित रूप से बंद करने के लिए:

  1. **कर्नेल मॉड्यूल को ब्लैकलिस्ट करें** (सबसे विश्वसनीय):

root@kitploit:~
         
         echo "blacklist af_alg" | sudo tee /etc/modprobe.d/af_alg-blacklist.conf
         

या भौतिक फ़ाइल का नाम बदलें:

root@kitploit:~
         
         sudo mv /lib/modules/$(uname -r)/kernel/crypto/af_alg.ko.xz \
                 /lib/modules/$(uname -r)/kernel/crypto/af_alg.ko.xz.bak
         

  2. **sysctl के माध्यम से AF_ALG अक्षम करें** :

root@kitploit:~
         
         sudo sysctl -w net.core.af_alg_disabled=1
         

  3. **SELinux / AppArmor नीति के माध्यम से AF_ALG सॉकेट निर्माण को ब्लॉक करें**

  4. **अविशेषाधिकार प्राप्त उपयोगकर्ता नेमस्पेस अक्षम करें** (कंटेनर वातावरण):

root@kitploit:~
         
         sudo sysctl -w kernel.unprivileged_userns_clone=0
         

  5. **`LD_PRELOAD` के माध्यम से `socket()` syscall पर AF_ALG ब्लॉक करें** (WSL2 वर्कअराउंड):

root@kitploit:~
         
         # सिस्टम-व्यापी स्थापित करें (रूट आवश्यक)
         echo /absolute/path/to/af_alg_block.so | sudo tee -a /etc/ld.so.preload
         

रिपॉजिटरी में एक पूर्व-निर्मित साझा लाइब्रेरी (`af_alg_block.so`) शामिल है। यह  को इंटरसेप्ट करता है और जब डोमेन  (38) होता है तो  लौटाता है। अन्य सभी सॉकेट कॉल वास्तविक कार्यान्वयन में अपरिवर्तित पास होते हैं।




## लाइसेंस

MIT