搜索

[27815] 2020-09-29_AFL-QBDI与AFL-Unicorn实战

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-09-29_AFL-QBDI与AFL-Unicorn实战 A F L - Q B D I 与 A F L - U n i c o r n 实 战 原 创   h a c k e d b y l h   O P P O 安 全 应 急 响 应 中 心   2 0 2 0 - 0 9 - 2 9 以 上 文 章 由 作 者 【 h a c k e d b y l h 】 的 连 载 有 赏 投 稿 ， 共 有 五 篇 ， 本 文 为 第 五 篇 ； 也 欢 迎 广 大 朋 友 继 续 投 稿 ， 详 情 可 点 击 O S R C 重 金 征 集 文 稿 ！ ！ ！ 了 解 ~ ~ 温 馨 提 示 ： 建 议 投 稿 的 朋 友 尽 量 用 m a r k d o w n 格 式 ， 特 别 是 包 含 大 量 代 码 的 文 章   概 述 概 述 本 节 首 先 以   w h a t s a p p   为 例 介 绍 如 何 使 用   A F L - Q B D I 模 式 来 测 试   A n d r o i d   N a t i v e 库 ， 并 介 绍   A F L - U n i c o r n   模 式 的 使 用 。   F u z z   A n d r o i d   N a t i v e 库 库 为 了 能 够 F u z z   A n d r o i d   N a t i v e 库 ， 笔 者 基 于 Q B D I 框 架 为 A F L p l u s p l u s 新 增 一 种 F u z z 模 式 ， 代 码 和 文 档 如 下 q b d i _ m o d e 的 工 作 方 式 是 在 t e m p l a t e . c p p 里 面 把 目 标 库 加 载 到 内 存 ， 然 后 设 置 好 被 测 函 数 需 要 的 参 数 ， 最 后 调 用 目 标 函 数 。 在 这 个 过 程 里 面 会 使 用 Q B D I 的 A P I 获 取 到 目 标 程 序 的 覆 盖 率 信 息 并 启 动 f o r k s e r v e r 和 A F L 通 信 ， 从 而 实 现 F u z z 。 本 节 以 W h a t s a p p 为 例 ， 介 绍 如 何 F u z z   A n d r o i d 的 N a t i v e 库 。 在 W h a t s a p p   A P K 中 的 l i b w h a t s a p p . s o 里 面 的 J a v a _ c o m _ w h a t s a p p _ M p 4 O p s _ m p 4 c h e c k 函 数 是 一 个 J N I 函 数 根 据 J N I 函 数 的 调 用 约 定 和 J a v a 层 的 参 数 信 息 可 以 发 现 该 函 数 的 参 数 类 型 大 概 为 J a v a _ c o m _ w h a t s a p p _ M p 4 O p s _ m p 4 c h e c k 函 数 最 终 会 把 文 件 路 径 转 换 成 C 字 符 串 并 传 入 s u b _ 7 9 C 7 0 函 数 ， 后 面 再 也 没 有 用 过 这 个 文 件 路 径 ， 那 么 这 个 函 数 应 该 就 是 实 际 处 理 文 件 的 函 数 ， 而 且 函 数 的 参 数 比 较 简 单 ， 那 么 我 们 就 可 以 直 接 去 F u z z 这 个 函 数 ， 修 改 t e m p l a t e . c p p 在 m a i n 函 数 里 面 获 取 到 s u b _ 7 9 C 7 0 函 数 的 地 址 然 后 修 改 f u z z _ f u n c ， 构 造 好 s u b _ 7 9 C 7 0 函 数 需 要 的 参 数 ， 然 后 调 用 它 。 h t t p s : / / g i t h u b . c o m / v a n h a u s e r - t h c / A F L p l u s p l u s / t r e e / m a s t e r / q b d i _ m o d e _ _ i n t 6 4   _ _ f a s t c a l l   J a v a _ c o m _ w h a t s a p p _ M p 4 O p s _ m p 4 c h e c k ( J N I E n v _   * a 1 ,   _ _ i n t 6 4   a 2 ,   _ _ i n t 6 4   a 3 ,   c h a r   a 4 ) { / /   转 换 U T F - 8 字 符 串 到   C   字 符 串     f p a t h   =   ( a 1 - > f u n c t i o n s - > G e t S t r i n g U T F C h a r s ) ( a 1 ,   v 5 ,   0 L L ) ;     c l o c k _ g e t t i m e ( 1 ,   & t p ) ; / /   目 标 函 数 ，   处 理 视 频 文 件     v 8   =   s u b _ 7 9 C 7 0 ( f p a t h ,   & t p ,   2   *   ( v 4   = =   0 ) ,   0 ) ; a 1 :   J N I E n v a 2 :   j o b j e c t a 3 :   文 件 路 径 a 4 :   一 个 b o o l 变 量 ， 为 0 或 者 1 v o i d   * o f f s e t _ f u n c   =   d l s y m ( h a n d l e ,   " J a v a _ c o m _ w h a t s a p p _ M p 4 O p s _ m p 4 c h e c k " ) ; i f   ( N U L L   = =   o f f s e t _ f u n c )   { p r i n t f ( " g e t p r o c a d d r e s s   e r r o r n " ) ; r e t u r n   1 ;     }     p _ t a r g e t _ f u n c   =   ( t a r g e t _ f u n c ) ( ( u n s i g n e d   c h a r   * ) o f f s e t _ f u n c   +   0 x 4 5 a f 0 ) ; p r i n t f ( " t a r g e t   f u n c t i o n   a d d r :   % x n " ,   p _ t a r g e t _ f u n c ) ; Q B D I _ N O I N L I N E   i n t   f u z z _ f u n c ( )   { i f   ( a f l _ s e t u p ( ) )   {   a f l _ f o r k s e r v e r ( ) ;   } u n s i g n e d   l o n g   l e n   =   0 ; c h a r   *                 d a t a   =   r e a d _ f i l e ( F P A T H ,   & l e n ) ; p r i n t f ( " I n   f u z z _ f u n c n " ) ; s t r u c t   t i m e s p e c   t p ;     c l o c k _ g e t t i m e ( 1 ,   & t p ) ;     p _ t a r g e t _ f u n c ( F P A T H ,   & t p ,   1 ) ; p r i n t f ( " e x e c u t e   p _ t a r g e t _ f u n c : % p n " ,   p _ t a r g e t _ f u n c ) ;
编 译 完 成 后 要 能 够 执 行 被 测 程 序 需 要 先 把 l i b Q B D I . s o 放 到 安 卓 设 备 上 并 设 置 L D _ L I B R A R Y _ P A T H 为 l i b Q B D I . s o 和 l i b w h a t s a p p . s o 所 在 的 路 径 ， 因 为 l i b w h a t s a p p . s o 还 依 赖 一 些 A P K 里 面 的 库 。 确 保 程 序 能 够 正 常 执 行 后 下 面 用 A F L 去 F u z z 即 可 基 于 基 于 u n i c o r n 的 的 F u z z 前 言 前 言 u n i c o r n   是 一 模 拟 执 行 框 架 ， 该 框 架 可 以 模 拟 执 行 A r m ,   A r m 6 4   ( A r m v 8 ) ,   M 6 8 K ,   M i p s ,   S p a r c ,     X 8 6 等 指 令 集 的 程 序 。 u n i c o r n 基 于 q e m u 实 现 ， 与 q e m u 不 一 样 的 是 u n i c o r n 提 供 了 丰 富 的 接 口 ， 让 用 户 可 以 控 制 并 监 控 目 标 程 序 的 执 行 。 比 如 用 户 可 以 设 置 模 拟 环 境 中 的 寄 存 器 的 值 ， 映 射 内 存 以 及 设 置 内 存 的 值 等 ， 此 外 还 可 以 通 过 注 册 事 件 回 调 函 数 的 方 式 来 监 控 代 码 的 执 行 流 程 。 使 用 u n i c o r n 来 进 行 F u z z 的 场 景 主 要 是 测 试 一 些 难 以 正 常 执 行 的 程 序 中 的 一 些 关 键 的 代 码 片 段 ， 比 如 I O T 固 件 程 序 ， 内 核 及 T r u s t Z o n e 中 的 程 序 。 这 些 类 型 的 程 序 难 以 在 常 规 的 L i n u x 服 务 器 中 运 行 ， 于 是 我 们 可 以 通 过 u n i c o r n 来 模 拟 执 行 程 序 中 的 处 理 数 据 的 高 风 险 函 数 ， 实 现 程 序 的 局 部 F u z z 。 在 A F L p l u s p l u s 中 已 经 集 成 了 u n i c o r n 模 式 下 载 A F L p l u s p l u s 首 先 编 译 好 a f l - f u z z ， 然 后 进 入 u n i c o r n _ m o d e 目 录 ， 运 行 b u i l d _ u n i c o r n _ s u p p o r t . s h ， 就 会 下 载 并 编 译 专 门 为 A F L 定 制 的 u n i c o r n 。 下 面 以 几 个 例 子 为 例 来 介 绍 如 何 使 用 u n i c o r n 来 F u z z 程 序 。 x 8 6   d e m o o r n 本 节 的 被 测 程 序 是   ` p e r s i s t e n t _ t a r g e t _ x 8 6 _ 6 4 `   ， 这 是 一 个   x 6 4   的   E L F 可 执 行 文 件 ， 待 测 函 数 是   m a i n   函 数 p r i n t f ( " e x e c u t e   p _ t a r g e t _ f u n c : % p n " ,   p _ t a r g e t _ f u n c ) ; e x i t ( 0 ) ; r e t u r n   1 ; } #   f i n d   /   - n a m e   l i b w h a t s a p p . s o   2 > o / d a t a / a p p / c o m . w h a t s a p p - w M S O M e R w y d b z J J m i - G 1 w E w = = / l i b / x 8 6 _ 6 4 / l i b w h a t s a p p . s o #   l s   . / l i b Q B D I . s o . / l i b Q B D I . s o #   p w d / d a t a / l s l #   e x p o r t   L D _ L I B R A R Y _ P A T H = / d a t a / l s l : / d a t a / a p p / c o m . w h a t s a p p - w M S O M e R w y d b z J J m i - G 1 w E w = = / l i b / x 8 6 _ 6 4 / #   . / l o a d e r   / d a t a / a p p / c o m . w h a t s a p p - w M S O M e R w y d b z J J m i - G 1 w E w = = / l i b / x 8 6 _ 6 4 / l i b w h a t s a p p . s o   x x x . m p 4 t a r g e t   f u n c t i o n   a d d r :   7 e a f 9 c 7 0 I n   f u z z _ f u n c e x e c u t e   p _ t a r g e t _ f u n c : 0 x 7 0 2 f 7 e a f 9 c 7 0 . / a f l - f u z z   - i   m p 4 i n /   - o   m p 4 o u t   - m   5 0 0 0   - t   3 0 0 0   - p   e x p l o i t     - -   . / l o a d e r   / d a t a / a p p / c o m . w h a t s a p p - w M S O M e R w y d b z J J m i - G 1 w E w = = / l i b / x 8 6 _ 6 4 / l i b w h a t s a p p . s o   @ @ h t t p s : / / g i t h u b . c o m / v a n h a u s e r - t h c / A F L p l u s p l u s / t r e e / m a s t e r / u n i c o r n _ m o d e $   c d   u n i c o r n _ m o d e $   . / b u i l d _ u n i c o r n _ s u p p o r t . s h i n t   _ _ c d e c l   m a i n ( i n t   a r g c ,   c o n s t   c h a r   * * a r g v ,   c o n s t   c h a r   * * e n v p ) { s i z e _ t   v 4 ;   / /   r a x s i z e _ t   v 5 ;   / /   [ r s p + 2 0 h ]   [ r b p - 1 0 h ] c h a r   * s ;   / /   [ r s p + 2 8 h ]   [ r b p - 8 h ] i f   (   a r g c   < =   1   ) r e t u r n   - 1 ;     s   =   ( c h a r   * ) a r g v [ 1 ] ;
函 数 的 主 要 逻 辑 是 解 析   a r g v [ 1 ] ， 当 输 入 的 数 据 符 合 一 定 的 格 式 时 会 修 改   a r g v [ 1 ] ， 为 了 演 示 这 里 设 置 a r g v [ 1 ] 为 不 可 写 的 内 存 ， 所 以 我 们 的 目 标 是 让 A F L 进 入 写   a r g v [ 1 ] 的 路 径 ， 进 而 导 致 c r a s h 。 下 面 看 看 F u z z 该 函 数 的 u n i c o r n 适 配 代 码 -   首 先 从 命 令 行 参 数 中 获 取 输 入 文 件 的 路 径 ， 后 面 程 序 会 从 文 件 中 读 取 数 据 ， 然 后 将 数 据 设 置 到 u n i c o r n 虚 拟 机 中 交 给 目 标 代 码 去 处 理 。 -   然 后 使 用 u c _ o p e n 创 建 一 个 u n i c o r n 实 例 ，   架 构 是   x 8 6 ( U C _ A R C H _ X 8 6 ) ,   6 4 位 ( U C _ M O D E _ 6 4 ) 。 紧 接 着 把 目 标 二 进 制 程 序 ( p e r s i s t e n t _ t a r g e t _ x 8 6 _ 6 4 ) 映 射 到 u n i c o r n 内 存 中 然 后 设 置 R I P 为 m a i n 函 数 的 地 址 ， 分 配 一 块 内 存 给 栈 使 用 ， 具 体 的 方 式 是 将 分 配 到 的 内 存 的 地 址 设 置 为   R S P 。     v 5   =   s t r l e n ( a r g v [ 1 ] ) ; i f   (   v 5   < =   0 x 1 3   ) r e t u r n   - 2 ; w h i l e   (   1   )     {         v 4   =   v 5 - - ; i f   (   ! v 4   ) b r e a k ; i f   (   v 5   < =   0 x 1 1   & &   v 5   >   2   & &   v 5   < =   0 x 1 1   )             s [ v 5 ]   =   s [ v 5   +   1 ] ;     / /   s   不 可 写     } i f   (   * s   >   1 6   & &   * s   < =   3 1   )     {         s [ 1 ] ;         s [ 2 ] ;     } r e t u r n   0 ; } i n t   m a i n ( i n t   a r g c ,   c h a r   * * a r g v ,   c h a r   * * e n v p )   { b o o l   t r a c i n g   =   f a l s e ; / /   首 先 获 取 输 入 文 件 的 参 数 c h a r   * f i l e n a m e   =   a r g v [ 1 ] ; i f   ( a r g c   >   2   & &   ! s t r c m p ( a r g v [ 1 ] ,   " - t " ) )   {                 t r a c i n g   =   t r u e ;                 f i l e n a m e   =   a r g v [ 2 ] ;         } / /   创 建 一 个 u n i c o r n 实 例 ，   架 构 是   x 8 6 ( U C _ A R C H _ X 8 6 ) ,   6 4 位 ( U C _ M O D E _ 6 4 )         e r r   =   u c _ o p e n ( U C _ A R C H _ X 8 6 ,   U C _ M O D E _ 6 4 ,   & u c ) ; i f   ( e r r )   { p r i n t f ( " F a i l e d   o n   u c _ o p e n ( )   w i t h   e r r o r   r e t u r n e d :   % u   ( % s ) n " ,                                 e r r ,   u c _ s t r e r r o r ( e r r ) ) ; r e t u r n   - 1 ;         } / /   首 先 读 取 二 进 制 程 序 到 内 存         o f f _ t   l e n   =   a f l _ m m a p _ f i l e ( B I N A R Y _ F I L E ,   & f i l e _ c o n t e n t s ) ; / /   在 u n i c o r n 中 映 射 内 存         m e m _ m a p _ c h e c k e d ( u c ,   B A S E _ A D D R E S S ,   l e n ,   U C _ P R O T _ A L L ) ; / /   最 后 将 文 件 的 内 容 写 入 刚 刚 映 射 的 内 存 i f   ( u c _ m e m _ w r i t e ( u c ,   B A S E _ A D D R E S S ,   f i l e _ c o n t e n t s ,   l e n )   ! =   U C _ E R R _ O K )   {                 p r i n t f ( " E r r o r   w r i t i n g   t o   C O D E n " ) ;         } / /   释 放 h o s t 的 内 存         m u n m a p ( f i l e _ c o n t e n t s ,   l e n ) ; u i n t 6 4 _ t   s t a r t _ a d d r e s s   =   C O D E _ A D D R E S S ;   / /   m a i n   函 数 的 地 址 u i n t 6 4 _ t   e n d _ a d d r e s s   =   E N D _ A D D R E S S ;   / /   m a i n 函 数 的 最 后 一 条 指 令 / /   设 置   R I P   寄 存 器 的 值         u c _ r e g _ w r i t e ( u c ,   U C _ X 8 6 _ R E G _ R I P ,   & s t a r t _ a d d r e s s ) ;   / /   a d d r e s s   o f   e n t r y   p o i n t   o f   m a i n ( )
下 面 设 置 m a i n 函 数 的 参 数 。 代 码 逻 辑 如 下 首 先 映 射 一 块 I N P U T _ S I Z E _ M A X 大 小 的 内 存 到 I N P U T _ L O C A T I O N （ 0 x 1 0 0 0 0 ） 地 址 ， 然 后 我 们 在 I N P U T _ L O C A T I O N 出 设 置 a r g v ， 其 结 构 如 下 I N P U T _ L O C A T I O N 开 始 8 字 节 为 a r g v [ 0 ] ， m i a n 函 数 中 没 有 使 用 到 ， 这 里 保 持   N U L L   不 变 。 I N P U T _ L O C A T I O N   +   8 开 始 8 字 节 为 a r g v [ 1 ] ， 保 存 的 是   I N P U T _ L O C A T I O N   +   1 6   ， 因 此 a r g v [ 1 ] 的 数 据 保 存 到 I N P U T _ L O C A T I O N   +   1 6 。 此 时 m a i n 函 数 还 不 能 正 常 执 行 结 束 ， 因 为 目 前 函 数 中 使 用 了 _ s t r l e n 这 个 库 函 数 ， 而 我 们 刚 才 只 把 可 执 行 程 序 映 射 到 了 内 存 里 面 ， 所 以 这 里 执 行   0 1 0 1 1 6 B   这 条 指 令 时 会 异 常 。 本 节 的 解 决 方 案 是 使 用   u n i c o r n   的 h o o k 机 制 来   h o o k   这 条 指 令 ， 有 我 们 来 实 现   s t r l e n   这 个 函 数 调 用 。 h o o k _ s t r l e n 的 代 码 如 下 / /   映 射 一 块 可 读 、 可 写 的 内 存 用 来 当 作 栈         m e m _ m a p _ c h e c k e d ( u c ,   S T A C K _ A D D R E S S   -   S T A C K _ S I Z E ,   S T A C K _ S I Z E ,   U C _ P R O T _ R E A D   |   U C _ P R O T _ W R I T E ) ; / /   将   R S P   设 置 为 刚 刚 分 配 到 的 内 存 地 址 u i n t 6 4 _ t   s t a c k _ v a l   =   S T A C K _ A D D R E S S ;         u c _ r e g _ w r i t e ( u c ,   U C _ X 8 6 _ R E G _ R S P ,   & s t a c k _ v a l ) ; / /   映 射 一 块 内 存 用 来 存 放 输 入 数 据 ，   I N P U T _ L O C A T I O N   为   0 x 1 0 0 0 0         m e m _ m a p _ c h e c k e d ( u c ,   I N P U T _ L O C A T I O N ,   I N P U T _ S I Z E _ M A X ,   U C _ P R O T _ R E A D ) ; / /   往 I N P U T _ L O C A T I O N + 8 处 存 放 一 个 指 针 ， 用 作 a r g v [ 1 ]         u c _ m e m _ w r i t e ( u c ,   I N P U T _ L O C A T I O N   +   8 ,   " x 1 6 x 0 0 x 0 1 " ,   3 ) ; / /   设 置   a r g v   为   I N P U T _ L O C A T I O N ，   a r g c 为 2         u c _ r e g _ w r i t e ( u c ,   U C _ X 8 6 _ R E G _ R S I ,   & I N P U T _ L O C A T I O N ) ;   / /   a r g v         u c _ r e g _ w r i t e ( u c ,   U C _ X 8 6 _ R E G _ R D I ,   & E M U L A T E D _ A R G C ) ;     / /   a r g c   = =   2 I N P U T _ L O C A T I O N   +   0 ： N U L L ，   a r g v [ 0 ] I N P U T _ L O C A T I O N   +   8 :   I N P U T _ L O C A T I O N   +   1 6 ，   a r g v [ 1 ] I N P U T _ L O C A T I O N   +   1 6 ： 存 放   a r g v [ 1 ]   的 数 据 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 0 1 1 6 8                                   m o v           r d i ,   r a x                 ;   s . t e x t : 0 0 0 0 0 0 0 0 0 0 1 0 1 1 6 B                                   c a l l         _ s t r l e n . t e x t : 0 0 0 0 0 0 0 0 0 0 1 0 1 1 7 0                                   m o v           [ r b p + v a r _ 1 0 ] ,   r a x / /   A d d   o u r   s t r l e n   h o o k   ( f o r   t h i s   s p e c i f i c   t e s t c a s e   o n l y ) i n t   s t r l e n _ h o o k _ p o s   =   B A S E _ A D D R E S S   +   0 x 1 1 6 b ; u c _ h o o k   s t r l e n _ h o o k ; u c _ h o o k _ a d d ( u c ,   & s t r l e n _ h o o k ,   U C _ H O O K _ C O D E ,   h o o k _ s t r l e n ,   N U L L ,   s t r l e n _ h o o k _ p o s ,   s t r l e n _ h o o k _ p o s ) ; s t a t i c   v o i d   h o o k _ s t r l e n ( u c _ e n g i n e   * u c ,   u i n t 6 4 _ t   a d d r e s s ,   u i n t 3 2 _ t   s i z e ,   v o i d   * u s e r _ d a t a )   {         u i n t 6 4 _ t   a d d r ;           u i n t 3 2 _ t   c o u n t   =   0 ;         c h a r   c   =   0 ; / /   首 先 获 取   s t r l e n   的 入 参         u c _ r e g _ r e a d ( u c ,   U C _ X 8 6 _ R E G _ R D I ,   & a d d r ) ; w h i l e ( 1 )         {     / /   读 一 个 字 节                 u c _ e r r   r e t   =   u c _ m e m _ r e a d ( u c ,   a d d r ,   & c ,   1 ) ; i f ( r e t   ! =   U C _ E R R _ O K )                 { b r e a k ;                 } / /   搜 索 字 符 串 的 结 尾 i f ( c   = =   ' x 0 0 ' )                 { b r e a k ;                         }                 a d d r + + ; c o u n t + + ;
代 码 逻 辑 很 简 单 ， 首 先 模 拟 s t r l e n 的 工 作 流 程 来 获 取 字 符 串 的 长 度 ， 然 后 通 过 修 改 R A X 来 设 置 s t r l e n 的 返 回 值 ， 最 后 通 过 修 改 R I P 寄 存 器 来 忽 略 这 条 指 令 的 执 行 。 最 后 使 用 u c _ a f l _ f u z z 来 启 动 F u z z 下 面 看 看 p l a c e _ i n p u t _ c a l l b a c k 函 数 的 实 现 ， 该 函 数 在 每 次 测 试 开 始 前 调 用 ， 作 用 是 将 A F L 生 成 的 变 异 数 据 ， 按 照 被 测 函 数 的 需 求 ， 喂 给 被 测 函 数 去 处 理 。 c o u n t + + ;         }         p r i n t f ( " s t r l e n   r e t :   % d n " ,   c o u n t ) ; / /   通 过 修 改   R A X   来 设 置 s t r l e n 的 返 回 值         u c _ r e g _ w r i t e ( u c ,   U C _ X 8 6 _ R E G _ R A X ,   & c o u n t ) ; / /   通 过 修 改   R I P   来 忽 略   c a l l   _ s t r l e n   指 令 的 执 行         u i n t 6 4 _ t   n e x t _ a d d r   =   a d d r e s s   +   s i z e ;           u c _ r e g _ w r i t e ( u c ,   U C _ X 8 6 _ R E G _ R I P ,   & n e x t _ a d d r ) ; }         u c _ a f l _ r e t   a f l _ r e t   =   u c _ a f l _ f u z z (                 u c ,   / /   u n i c o r n 实 例                 f i l e n a m e ,   / /   输 入 文 件 ， 每 一 轮 F u z z 时 u c _ a f l _ f u z z 里 面 会 读 取 文 件 内 容 到 h o s t 的 内 存                 p l a c e _ i n p u t _ c a l l b a c k ,   / /   一 个 回 调 函 数 ， 用 于 把 刚 刚 读 入 的 文 件 内 容 设 置 成 目 标 程 序 获 取 数 据                 & e n d _ a d d r e s s ,   / /   结 束 地 址 数 组 1 ,     / /   结 束 地 址 数 组 的 长 度                 c r a s h _ h a n d l e r ,   / /   用 于 在 c r a s h 时 或 者 每 次 此 时 完 成 后 调 用 f a l s e ,   / /   如 果 为 t r u e 每 次 测 试 结 束 都 会 调 用 该 函 数 来 判 断 是 否 发 生 了 c r a s h . 1 ,   / /   指 定 执 行 多 少 次 后 才 新 f o r k 进 程 ， 类 比 A F L 的 p e r s i s t e n t 模 式 ， 为 1 的 话 表 示 每 次 都 f o r k 新 进 程 来 测 试 N U L L   / /   a d d i t i o n a l   d a t a   p o i n t e r         ) ; s w i t c h ( a f l _ r e t )   { c a s e   U C _ A F L _ R E T _ E R R O R : p r i n t f ( " E r r o r   s t a r t i n g   t o   f u z z " ) ; r e t u r n   - 3 ; b r e a k ; c a s e   U C _ A F L _ R E T _ N O _ A F L : p r i n t f ( " N o   A F L   a t t a c h e d   -   W e   a r e   d o n e   w i t h   a   s i n g l e   r u n . " ) ; b r e a k ; d e f a u l t : b r e a k ;         } s t a t i c   b o o l   p l a c e _ i n p u t _ c a l l b a c k (         u c _ e n g i n e   * u c ,   c h a r   * i n p u t ,   s i z e _ t   i n p u t _ l e n ,   u i n t 3 2 _ t   p e r s i s t e n t _ r o u n d ,   v o i d   * d a t a ) { / /   如 果 数 据 太 长 ， 返 回 f a l s e ， 表 示 忽 略 这 个 测 试 用 例 i f   ( i n p u t _ l e n   <   1   | |   i n p u t _ l e n   > =   I N P U T _ S I Z E _ M A X   -   I N P U T _ O F F S E T )   { r e t u r n   f a l s e ;         } / / 设 置 寄 存 器 状 态 ， 因 为 如 果 是 p e r s i s t e n t 模 式 的 话 需 要 重 复 执 行 同 一 个 函 数 ， 所 以 参 数 和   R I P ,   R S P 需 要 设 置         u c _ r e g _ w r i t e ( u c ,   U C _ X 8 6 _ R E G _ R I P ,   & C O D E _ A D D R E S S ) ;         u c _ r e g _ w r i t e ( u c ,   U C _ X 8 6 _ R E G _ R S I ,   & I N P U T _ L O C A T I O N ) ;         u c _ r e g _ w r i t e ( u c ,   U C _ X 8 6 _ R E G _ R D I ,   & E M U L A T E D _ A R G C ) ;         u c _ r e g _ w r i t e ( u c ,   U C _ X 8 6 _ R E G _ R S P ,   & S T A C K _ A D D R E S S ) ; / /   设 置 末 尾 为   x 0 0         i n p u t [ i n p u t _ l e n - 1 ]   =   ' 0 ' ; / /   设 置 测 试 数 据 到   u n i c o r n 中         u c _ m e m _ w r i t e ( u c ,   I N P U T _ L O C A T I O N   +   I N P U T _ O F F S E T ,   i n p u t ,   i n p u t _ l e n ) ; / /   返 回   t r u e 表 示 用 例 已 经 设 置 完 毕 ， 可 以 开 始 测 试
编 译 的 话 将 文 件 拷 贝 到   A F L p l u s p l u s 的 u n i c o r n _ m o d e / s a m p l e s / c 目 录 ， 然 后 执 行 编 译 完 后 使 用 a f l - f u z z 开 始 F u z z i n g 参 考 m i p s   w i t h   e l f   l o a d e r 上 一 节 的 被 测 函 数 中 使 用 l i b c 的 s t r l e n 函 数 ， 由 于 我 们 没 有 把 l i b c . s o 加 载 到 内 存 ， 所 以 我 们 的 处 理 方 式 是 h o o k 调 用 s t r l e n 函 数 的 地 方 ， 由 我 们 在 h o s t 端 模 拟 s t r l e n 的 行 为 ， 然 后 设 置 函 数 返 回 值 ， 最 后 跳 过 调 用 s t r l e n 的 指 令 的 执 行 。 本 节 介 绍 另 外 一 种 处 理 方 式 ， 即 自 己 实 现 一 个 e l f   l o a d e r ， 把 e l f 文 件 和 它 的 依 赖 库 一 起 加 载 到 内 存 中 ， 并 做 好 符 号 重 定 位 ， 本 节 代 码 主 要 由 u n i F u z z e r 项 目 修 改 而 来 。 首 先 我 们 看 看 被 测 程 序 ，   m a i n 函 数 的 逻 辑 比 较 简 单 ， 就 是 从 文 件 中 读 取 数 据 ， 然 后 传 给   v u l n   函 数 去 处 理 。 v u l n 函 数 模 拟 了 堆 溢 出 漏 洞 和 栈 溢 出 漏 洞 ， 函 数 入 参 就 是 一 个 内 存 指 针 。 / /   返 回   t r u e 表 示 用 例 已 经 设 置 完 毕 ， 可 以 开 始 测 试 r e t u r n   t r u e ; } $   c d   A F L p l u s p l u s / u n i c o r n _ m o d e / s a m p l e s / c $   c c   - w   - I . . / . . / u n i c o r n a f l / i n c l u d e   - g   - g   - c   h a r n e s s . c $   c c   - L . . / . . / u n i c o r n a f l   h a r n e s s . o   . . / . . / u n i c o r n a f l / l i b u n i c o r n a f l . a   - L . . / . . / u n i c o r n a f l   - l p t h r e a d   - l m   - g   - l r t   - o   h a r n e s s ~ / A F L p l u s p l u s / a f l - f u z z   - U     - i   i n   - o   o u t   - -   . / h a r n e s s   @ @ h t t p s : / / g i t h u b . c o m / v a n h a u s e r - t h c / A F L p l u s p l u s / b l o b / m a s t e r / u n i c o r n _ m o d e / s a m p l e s / c / h a r n e s s . c h t t p s : / / g i t h u b . c o m / P A G a l a x y L a b / u n i F u z z e r
下 面 我 们 看 看 适 配 代 码 怎 么 写 的 l o a d E L F 加 载 好 二 进 制 后 会 返 回 一 个   u n i c o r n 实 例 ， 接 下 来 就 是 初 始 化 函 数 运 行 需 要 内 存 状 态 和 参 数 ， 最 后 使 用 开 始 测 试 。 初 始 化 内 存 的 代 码 如 下 ， u c _ m e m _ m a p _ p t r 函 数 的 作 用 是 将 h o s t 的 内 存 和 u n i c o r n 中 的 内 存 建 立 起 映 射 关 系 ， 之 后 我 们 就 可 以 直 接 操 纵 h o s t 的 内 存 来 实 现 修 改 u n i c o r n 中 的 内 存 。 i n t   m a i n ( i n t   a r g c ,   c h a r   * * a r g v )   { c h a r   * t a r g e t   =   g e t e n v ( " U F _ T A R G E T " ) ;     / /   主 程 序 的 路 径 c h a r   * p r e l o a d   =   g e t e n v ( " U F _ P R E L O A D " ) ;   / /   p r e l o a d 的 路 径 c h a r   * l i b P a t h   =   g e t e n v ( " U F _ L I B P A T H " ) ;   / /   库 搜 索 路 径 ， 下 面 加 载   t a r g e t   会 在 l i b P a t h 中 搜 索 库 / /   数 据 输 入 文 件 ， 用 于 接 收   A F L   生 成 的 变 异 数 据 c h a r *   f i l e n a m e   =   a r g v [ 1 ] ; / /   加 载   t a r g e t   和   p r e l o a d ， 并 且 处 理 好 符 号 重 定 位         u c   =   l o a d E L F ( t a r g e t ,   p r e l o a d ,   l i b P a t h ) ; / /   初 始 化 一 些 内 存         u c _ i n i t _ m e m ( u c ) ;         u c _ a f l _ r e t   a f l _ r e t   =   u c _ a f l _ f u z z (                 u c ,   / /   T h e   u n i c o r n   i n s t a n c e   w e   p r e p a r e d                 f i l e n a m e ,   / /   F i l e n a m e   o f   t h e   i n p u t   t o   p r o c e s s .   I n   A F L   t h i s   i s   u s u a l l y   t h e   ' @ @ '   p l a c e h o l d e r ,   o u t s i d e   i t ' s   a n y   i n p u t   f i l e .                 p l a c e _ i n p u t _ c a l l b a c k ,   / /   C a l l b a c k   t h a t   p l a c e s   t h e   i n p u t   ( a u t o m a t i c a l l y   l o a d e d   f r o m   t h e   f i l e   a t   f i l e n a m e )   i n   t h e   u n i c o r n i n s t a n c e                 & E N D ,   / /   W h e r e   t o   e x i t   ( t h i s   i s   a n   a r r a y ) 1 ,     / /   C o u n t   o f   e n d   a d d r e s s e s                 c r a s h _ h a n d l e r ,   / /   O p t i o n a l   c a l b a c k   t o   r u n   a f t e r   e a c h   e x e c t r u e ,   / /   t r u e ,   i f   t h e   o p t i o n a l   c a l l b a c k   s h o u l d   b e   r u n   a l s o   f o r   n o n - c r a s h e s 1 0 0 0 0 0 0 ,   / /   F o r   p e r s i s t e n t   m o d e :   H o w   m a n y   r o u n d s   t o   r u n N U L L   / /   a d d i t i o n a l   d a t a   p o i n t e r         ) ; s w i t c h ( a f l _ r e t )   { c a s e   U C _ A F L _ R E T _ E R R O R : p r i n t f ( " E r r o r   s t a r t i n g   t o   f u z z n " ) ; r e t u r n   - 3 ; b r e a k ; c a s e   U C _ A F L _ R E T _ N O _ A F L : p r i n t f ( " N o   A F L   a t t a c h e d   -   W e   a r e   d o n e   w i t h   a   s i n g l e   r u n . n " ) ; b r e a k ; d e f a u l t : b r e a k ;         } i n t   u c _ i n i t _ m e m ( u c _ e n g i n e   * u c )   { / /   分 配 内 存 用 于   h e a p           h e a p B a s e   =   m m a p ( N U L L ,   H E A P _ S I Z E ,   P R O T _ R E A D | P R O T _ W R I T E ,   M A P _ P R I V A T E | M A P _ A N O N Y M O U S | M A P _ 3 2 B I T ,   - 1 ,   0 ) ; i f ( u c _ m e m _ m a p _ p t r ( u c ,   h e a p B a s e ,   H E A P _ S I Z E ,   U C _ P R O T _ R E A D   |   U C _ P R O T _ W R I T E ,   h e a p B a s e )   ! =   U C _ E R R _ O K )   { f p r i n t f ( s t d e r r ,   " u c   m a p p i n g   h e a p   f a i l e d n " ) ; r e t u r n   1 ;
p l a c e _ i n p u t _ c a l l b a c k 函 数 的 逻 辑 也 很 简 单 ， 就 是 设 置 寄 存 器 的 值 ， 然 后 将 A F L 传 过 来 的 测 试 数 据 设 置 到 u n i c o r n 中 。 编 译 命 令         } / /   分 配 内 存 用 于 栈         s t a c k T o p   =   m m a p ( N U L L ,   S T A C K _ S I Z E ,   P R O T _ R E A D | P R O T _ W R I T E ,   M A P _ P R I V A T E | M A P _ A N O N Y M O U S | M A P _ 3 2 B I T ,   - 1 ,   0 ) ; i f ( u c _ m e m _ m a p _ p t r ( u c ,   s t a c k T o p ,   S T A C K _ S I Z E ,   U C _ P R O T _ R E A D   |   U C _ P R O T _ W R I T E ,   s t a c k T o p )   ! =   U C _ E R R _ O K )   { f p r i n t f ( s t d e r r ,   " u c   m a p p i n g   s t a c k   f a i l e d n " ) ; r e t u r n   1 ;         } / /   分 配 空 间 ， 用 于 存 放   A F L   测 试 数 据 ， 最 终 会 被 目 标 函 数 处 理         d a t a A d d r   =   m m a p ( N U L L ,   D A T A _ S I Z E ,   P R O T _ R E A D | P R O T _ W R I T E ,   M A P _ P R I V A T E | M A P _ A N O N Y M O U S | M A P _ 3 2 B I T ,   - 1 ,   0 ) ; i f ( u c _ m e m _ m a p _ p t r ( u c ,   d a t a A d d r ,   D A T A _ S I Z E ,   U C _ P R O T _ R E A D   |   U C _ P R O T _ W R I T E ,   d a t a A d d r )   ! =   U C _ E R R _ O K )   { f p r i n t f ( s t d e r r ,   " u c   m a p p i n g   d a t a   f a i l e d n " ) ; r e t u r n   1 ;         } r e t u r n   0 ; } s t a t i c   b o o l   p l a c e _ i n p u t _ c a l l b a c k (         u c _ e n g i n e   * u c ,   c h a r   * i n p u t ,   s i z e _ t   i n p u t _ l e n ,   u i n t 3 2 _ t   p e r s i s t e n t _ r o u n d ,   v o i d   * d a t a ) { i f ( i n p u t _ l e n   <   0 )         { r e t u r n   f a l s e ;         } i f ( i n p u t _ l e n   >   2 5 5 )         {                 i n p u t _ l e n   =   2 5 5 ;         } / /   设 置 寄 存 器 的 值 ， 包 括 栈 寄 存 器 S P ,   参 数 寄 存 器 A 0 ， P C 、 R A 、 T 9 等 u i n t 3 2 _ t   r e g ;         r e g   =   s t a c k T o p + S T A C K _ S I Z E   -   0 x 2 0 0 ;         u c _ r e g _ w r i t e ( u c ,   U C _ M I P S _ R E G _ S P ,   & r e g ) ;         r e g   =   d a t a A d d r ;         u c _ r e g _ w r i t e ( u c ,   U C _ M I P S _ R E G _ A 0 ,   & r e g ) ;         r e g   =   S T A R T ;         u c _ r e g _ w r i t e ( u c ,   U C _ M I P S _ R E G _ T 9 ,   & r e g ) ;         r e g   =   R A ;         u c _ r e g _ w r i t e ( u c ,   U C _ M I P S _ R E G _ R A ,   & r e g ) ;         u c _ r e g _ w r i t e ( u c ,   U C _ M I P S _ R E G _ P C ,   & S T A R T ) ; / /   设 置   d e m o - l i b c p r e l o a d . s o   里 面 的 h e a p B o u n d a r y G O T ，   用 于 子 实 现 的 m a l l o c 使 用         * h e a p B o u n d a r y G O T   =   h e a p B a s e ; / /   拷 贝 A F L 的 测 试 数 据 到   u n i c o r n m e m c p y ( d a t a A d d r ,   i n p u t ,   i n p u t _ l e n ) ; r e t u r n   t r u e ; } g c c   - D U F _ D E B U G     t e s t . c   - w   - I . . / . . / u n i c o r n a f l / i n c l u d e   - g   - I e l f L o a d e r   e l f L o a d e r / e l f L o a d e r . c   e l f L o a d e r / a r m . c   e l f L o a d e r / i 3 8 6 . c   e l f L o a d e r / m i p s . c   e l f L o a d e r / d l - h a s h . c   - L . . / . . / u n i c o r n a f l   - l p t h r e a d   - g   - l r t     . . / . . / u n i c o r n a f l / l i b u n i c o r n a f l . a   - l m   - o   t e s t
编 译 完 执 行 A F L 的 命 令 参 考 总 结 总 结 本 章 介 绍 了 各 种 F u z z 技 术 并 介 绍 了 一 些 优 化 F u z z 测 试 的 方 法 ， 为 了 能 够 熟 练 使 用 各 种 F u z z 技 术 ， 读 者 需 要 多 实 践 并 且 要 多 看 看 F u z z 工 具 的 源 代 码 。 F u z z 测 试 并 不 是 单 纯 的 启 动 F u z z 工 具 让 F u z z 工 具 执 行 就 可 以 的 ， 在 F u z z 的 过 程 中 测 试 人 员 需 要 不 断 地 查 看 F u z z 的 状 态 ， 一 般 而 言 F u z z 的 流 程 如 下 1 .   确 定 并 分 析 F u z z 目 标 。 2 .   初 步 运 行 F u z z 工 具 保 证 能 够 正 常 开 始 F u z z 。 3 .   收 集 大 量 初 始 用 例 并 对 初 始 用 例 去 重 。 4 .   用 去 重 后 的 初 始 用 例 开 始 F u z z 。 5 .   在 F u z z 过 程 中 当 代 码 覆 盖 率 长 时 间 没 有 增 长 时 ， 人 工 介 入 分 析 代 码 覆 盖 率 ， 想 办 法 提 升 代 码 覆 盖 率 。 6 .   对 发 现 的 C r a s h 去 重 。 最 后 祝 读 者 能 够 挖 到 更 多 的 漏 洞 。 ☆ ☆   E N D   ☆ ☆ 连 载 文 章 连 载 文 章 F u z z 技 术 综 述 与 文 件 F u z z 协 议 F u z z 技 术 A F L 分 析 与 实 战 A F L 分 析 与 实 战 最 新 动 态 最 新 动 态 O S R C   2 周 年 第 二 弹 — — 第 五 次 奖 励 升 级 O P P O 互 联 网 D e v S e c O p s 实 践 g c c   - D U F _ D E B U G     t e s t . c   - w   - I . . / . . / u n i c o r n a f l / i n c l u d e   - g   - I e l f L o a d e r   e l f L o a d e r / e l f L o a d e r . c   e l f L o a d e r / a r m . c   e l f L o a d e r / i 3 8 6 . c   e l f L o a d e r / m i p s . c   e l f L o a d e r / d l - h a s h . c   - L . . / . . / u n i c o r n a f l   - l p t h r e a d   - g   - l r t     . . / . . / u n i c o r n a f l / l i b u n i c o r n a f l . a   - l m   - o   t e s t U F _ T A R G E T = / h o m e / h a c 4 2 5 / A F L p l u s p l u s / u n i c o r n _ m o d e / s a m p l e s / c / d e m o - v u l n   U F _ P R E L O A D = / h o m e / h a c 4 2 5 / A F L p l u s p l u s / u n i c o r n _ m o d e / s a m p l e s / c / d e m o - l i b c p r e l o a d . s o   U F _ L I B P A T H = / u s r / m i p s e l - l i n u x - g n u / l i b /   . / t e s t   i n i t . t x t U F _ T A R G E T = / h o m e / h a c 4 2 5 / A F L p l u s p l u s / u n i c o r n _ m o d e / s a m p l e s / c / d e m o - v u l n   U F _ P R E L O A D = / h o m e / h a c 4 2 5 / A F L p l u s p l u s / u n i c o r n _ m o d e / s a m p l e s / c / d e m o - l i b c p r e l o a d . s o   U F _ L I B P A T H = / u s r / m i p s e l - l i n u x - g n u / l i b /   ~ / A F L p l u s p l u s / a f l - f u z z   - U     - i   i n   - o   o u t   - -   . / t e s t   @ @ h t t p : / / g a l a x y l a b . c o m . c n / % e 5 % 9 f % b a % e 4 % b a % 8 e u n i c o r n % e 5 % 9 2 % 8 c l i b f u z z e r % e 7 % 9 a % 8 4 % e 6 % a 8 % a 1 % e 6 % 8 b % 9 f % e 6 % 8 9 % a 7 % e 8 % a 1 % 8 c f u z z i n g /

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理