搜索

[6605] 2020-03-30_IOT设备漏洞挖掘-MIPS指令集逆向技巧

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-17
2020-03-30_IOT设备漏洞挖掘-MIPS指令集逆向技巧 I O T   设 备 漏 洞 挖 掘 - M I P S   指 令 集 逆 向 技 巧 E 安 全   2 0 2 0 - 0 3 - 3 0 以 下 文 章 来 源 于 安 恒 信 息 安 全 研 究 院   ， 作 者 海 特 实 验 室 x x x k k k @ 海 特 实 验 室 M I P S   反 汇 编 工 具 反 汇 编 工 具 I D A   无 法 直 接 反 汇 编   m i p s   代 码 ， 但 是 有 两 个 插 件 可 以 辅 助 我 们 进 行 伪 代 码 的 生 成 。 I D A 插 件 之 插 件 之 r e t d e c 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / a v a s t / r e t d e c 安 装 过 程 较 为 简 单 ， 可 以 参 考 网 上 的 相 关 教 程 ， 不 在 此 赘 述 了 ， 以 下 是 两 张 分 析 时 候 的 截 图 ， 第 一 张 是 分 析 过 程 中 的 截 图 ， 第 二 张 是 分 析 的 结 果 。 安 恒 信 息 安 全 研 究 院 安 恒 信 息 安 全 研 究 院   . 一 群 技 术 宅
G h i d r a G h i d r a 是 由 美 国 国 家 安 全 局 （ N S A ） 研 究 部 门 开 发 的 软 件 逆 向 工 程 （ S R E ） 套 件 ， 是 一 个 软 件 逆 向 工 程 （ S R E ） 框 架 ， 包 括 一 套 功 能 齐 全 的 高 端 软 件 分 析 工 具 ， 使 用 户 能 够 在 各 种 平 台 上 分 析 编 译 后 的 代 码 ， 包 括 W i n d o w s 、 M a c   O S 和 L i n u x 。 功 能 包 括 反 汇 编 ， 汇 编 ， 反 编 译 ， 绘 图 和 脚 本 ， 以 及 数 百 个 其 他 功 能 。 G h i d r a 支 持 各 种 处 理 器 指 令 集 和 可 执 行 格 式 ， 可 以 在 用 户 交 互 模 式 和 自 动 模 式 下 运 行 。 用 户 还 可 以 使 用 公 开 的 A P I 开 发 自 己 的 G h i d r a 插 件 和 脚 本 。 总 之 这 个 一 个 功 能 非 常 强 大 的 反 汇 编 工 具 ， 基 于   j a v a   开 发 ， 可 以 反 汇 编 很 多 种 的 汇 编 代 码 类 型 。 而 我 们 使 用 这 个 工 具 的 目 的 就 是 因 为 这 个 工 具 可 以 帮 助 我 们 生 成   m i p s   的 伪   C   代 码 。 从 而 方 便 我 们 进 行 代 码 逆 向 。 有 一 款 G h r i d a 的 插 件 比 较 适 用 于 习 惯 于 用 I D A 的 同 学 ， 会 把 G h r i d a 里 面 的 快 捷 键 映 射 成 I D A 里 面 的 快 捷 键 ， 这 样 用 起 来 就 好 多 了 。 插 件 地 址 ： 插 件 的 安 装 方 法 较 为 简 单 ， 依 照 说 明 即 可 。 实 现 了 包 括 x 、 g 等 I D A 中 快 捷 键 功 能 。 另 外 ， 需 要 主 要 ， 在 使 用 G h r i d a 分 析 M I P S 的 时 候 ， P L T 和 G O T 的 时 候 经 常 会 出 现 问 题 ， 如 图 所 示 ： h t t p s : / / g i t h u b . c o m / e n o v e l l a / i d a 2 g h i d r a - k b
如 果 你 需 要 定 位 G O T 表 ， 还 是 需 要 使 用 I D A 查 找 更 为 直 观 方 便 。 敏 感 函 数 定 位 敏 感 函 数 定 位 我 们 在 逆 向 分 析 一 个   m i p s   指 令 集 架 构 的 二 进 制 程 序 时 ， 可 以 使 用 敏 感 函 数 定 位 的 方 法 ， 快 速 定 位 敏 感 函 数 ， 如   s y s t e m 、 s p r i n t f 、 s t r c p y   等 命 令 执 行 和 容 易 发 生 栈 溢 出 的 函 数 。 常 见 敏 感 函 数 类 别 常 见 敏 感 函 数 类 别 内 存 类 型 的 敏 感 函 数 内 存 类 型 的 敏 感 函 数 栈 溢 出 敏 感 函 数 在   M I P S   指 令 集 中 ， 特 别 是 智 能 设 备 ， 一 般 来 说 栈 溢 出 漏 洞 较 为 常 见 ， 也 是 比 较 容 易 利 用 的 一 类 漏 洞 ， 发 生 栈 溢 出 可 能 的 函 数 有 s t r c p y ， s p r i n t f ， s n p r i n t ,   s t r c h r   等 。 1 ）   s t r c p y   类 函 数 如 下 所 示 ， 直 接 从   h t t p   数 据 包 参 数 中 的 数 据 内 容 ， 直 接 复 制 到 栈 上 ， 没 有 经 过 任 何 的 判 断 与 处 理 ， 因 此 可 以 通 过 栈 溢 出 越 界 的 b u f f e r   覆 盖 当 前 函 数 的 返 回 地 址 ， 可 以 进 一 步 利 用   R O P   技 术 来 获 取 目 标 程 序 的   s h e l l 。 s t r c p y ( s t a c k ,   b u f _ f r o m _ h t t p ) ;
2 ） s p r i n t f 类 ， 如 果 格 式 化 中 有 “ % s ” 格 式 化 字 符 串 ， 同 时 没 有 对 输 入 的 数 据 进 行 长 度 判 断 的 话 ， 则 也 有 可 能 造 成 栈 溢 出 漏 洞 。 3 )   s n p r i n t f 类 ， s n p r i n t f   的 返 回 值 是 输 入 的 长 度 ， 而 不 是 输 出 的 长 度 ， 因 此 下 面 的 代 码 则 有 可 能 存 在 漏 洞 ， 大 致 的 利 用 原 理 因 为 ， 第 一 个 s n p r i n f 返 回 值 是 输 入 的 长 度 ， 一 般 输 入 的 长 度 大 于 s i z e o f ( s t a c k ) ， 则 第 二 个   s n p r i n t f   的   s i z e   则 变 为 负 数 ， s n p r i n t f   的 大 小 是 无 符 号 的 ， 因 此 变 成 了 一 个 超 大 的 s i z e ， 导 致 第 二 个 可 以 用 来 覆 盖 返 回 地 址 。 值 得 注 意 的 是 ， 这 样 类 型 的   o v e r f l o w   还 可 以 用 来 b y p a s s   c a n a r y 。 4 ）   s t r c h r 类 ， 如 下 所 示 ， 乍 一 看 好 像 使 用 了 s t r n c p y 规 定 了 复 制 的 长 度 ， 但 仔 细 看 就 会 发 现 ， 复 制 的 长 度 也 是 由 输 入 的 字 符 串 来 决 定 的 ， 因 此 直 接 在 ？ 前 面 输 入 超 长 的 字 符 即 可 实 现 o v e r f l o w 如 ： 。 只 要   Q U R T Y _ S T R I N G   够 长 就 可 以 导 致 栈 溢 出 。 注 入 类 型 的 敏 感 函 数 （ 逻 辑 ） 注 入 类 型 的 敏 感 函 数 （ 逻 辑 ） 注 入 类 型 的 漏 洞 相 对 来 说 就 简 单 很 多 ， 只 要 看 数 据 流 的 处 理 流 程 ， 确 定 输 入 能 否 控 制 敏 感 函 数 即 可 。 常 见 的 敏 感 函 数 如 s y s t e m 、 p o p e n 、 e x e c 、 e x e c v e 等 ， 在 注 入 类 型 漏 洞 中 ， 对 于 过 滤 的 关 键 词 绕 过 是 比 较 关 键 的 ， 例 如 没 有 空 格 的 时 候 可 以 使 用   $ I F S 进 行 绕 过 。 也 可 以 通 过 一 些 编 码 比 如 x x d ， b a s e 6 4 等 。 常 常 I D A 自 动 定 位 敏 感 函 数 插 件 自 动 定 位 敏 感 函 数 插 件 这 里 推 荐 一 个 比 较 方 便 定 位 二 进 制 程 序 敏 感 函 数 的   p y t h o n   插 件 ： M i p s A d u i t ， 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / g i a n t b r a n c h / m i p s A u d i t 该 工 具 是 一 个   M I P S   静 态 汇 编 审 计 辅 助 脚 本 ， 通 过 敏 感 函 数 回 溯 的 方 法 ， 可 以 较 方 便 的 审 计 出   C   语 言 中 的 危 险 函 数 。 插 件 的 安 装 方 法 插 件 的 安 装 方 法 在   I D A   - >   f i l e   - >   S c r i p t   F i l e   中 加 载 即 可 ， 加 载 完 成 后 会 在 控 制 台 中 输 出 相 应 的 信 息 。 点 击 相 应 的 地 址 就 可 以 跳 转 过 去 ， 对 应 的 位 置 会 被 高 亮 显 示 ： s p r i n t f ( s t a c k ,   " % s " ,   b u f _ f r o m _ h t t p ) ; i n t   l e f t   =   s n p r i n t f ( s t a c k ,   s i z e o f ( s t a c k ) , " % s " ,   b u f _ f r o m _ h t t p 1 ) ; s n p r i n t f ( s t a c k + l e f t ,   s i z e o f ( s t a c k ) - l e f t ,   " % s " ,   b u f _ f r o m _ h t t p 2 ) ; c h a r   * q u e r y   =   s t r c h r ( u r l ,   ' ? ' ) ; s t r n c p y ( s t a c k ,   u r l ,   q u e y   -   u r l   - 1 ) ; i n d e x . p h p a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a ? a = 1
使 用 使 用 I D A   P y t h o n   自 带 函 数 来 定 位 敏 感 函 数 自 带 函 数 来 定 位 敏 感 函 数 I D A P y t h o n   自 带 很 多 的   A P I ， 可 以 使 用 这 这 些   A P I   函 数 来 辅 助 我 们 进 行 函 数 的 定 位 。 如 ， 定 位 出 调 用   s p r i n t f   函 数 的 地 址 列 表 的 代 码 ： -   可 以 直 接 在   I D A   中 ， F i l e   - >   S c r i p t   c o m m a n d . . .   的 输 入 框 中 输 入 这 些 代 码 ， 点 击   r u n   就 可 以 执 行 ： s p r i n t f _ l i s t   =   s e t ( ) f o r   l o c , n a m e   i n   N a m e s ( ) :         i f   " s p r i n t f "   = =   n a m e :                 f o r   a d d r   i n   X r e f s T o ( l o c ) :                                                                                       #   列 出 调 用   s p r i n t f   的 函 数 地 址                                 s p r i n t f _ l i s t . a d d ( G e t F u n c t i o n N a m e ( a d d r . f r m ) ) p r i n t ( " n n " ) p r i n t ( s p r i n t f _ l i s t )                               #   打 印 输 出
运 行 完 成 之 后 的 结 果 使 用   p r i n t   函 数 输 出 之 后 ， 会 打 印 在   O u t p u t   w i n d o w   中 ： 这 些 输 出 的 地 址 就 是 引 用 了   s p r i n t f   方 法 的 函 数 ， 同 样 双 击 函 数 名 可 以 直 接 跳 转 到 相 应 的 地 址 。 读 者 可 以 在 自 行 在 语 句 下 加 入 其 他 过 滤 语 句 ， 以 达 到 更 准 确 定 制 自 己 想 要 的 功 能 。 如 这 里 想 要 排 除   s y t e m   敏 感 函 数 第 一 个 参 数 为   . d a t a   段 中 的 字 符 ， 且 不 包 含   % s   字 符 的 话 （ 说 明 格 式 化 参 数 不 可 控 ） ， 如 我 们 需 要 排 除 这 种 情 况 ： 那 么 ， 条 件 可 以 写 成 这 样 ： f o r   a d d r   i n   X r e f s T o ( l o c ) : s y s t e m ( " r m   - f   / t m p / a u t h _ e n g i n e e r " ) ; s y s t e m _ l i s t   =   s e t ( ) f o r   l o c , n a m e   i n   N a m e s ( ) :         i f   " s y s t e m "   = =   n a m e :                 f o r   a d d r   i n   X r e f s T o ( l o c ) :                                                                                         #   列 出 调 用   s y s t e m   的 函 数 地 址                                 s y s t e m _ l i s t . a d d ( a d d r . f r m ) p r i n t ( " n n " ) s y s t e m _ a r g s _ l i s t   =   s e t ( ) f o r   a d d r   i n   s y s t e m _ l i s t :         a r g 2 _ a d d r   =   0         a r g 2 _ a d d r   =   R f i r s t B ( a d d r )               #   获 取 对   a 0   语 句 赋 值 的 语 句         a r g 2 _ s t r   =   G e t S t r i n g ( D w o r d ( G e t O p e r a n d V a l u e ( a r g 2 _ a d d r , 1 ) ) )                                                                 #   获 取   a 0   参 数 的 值 的 字 符 串         t r y :                 i f   " % s "   n o t   i n   a r g 2 _ s t r :
得 到 的 结 果 也 更 精 确 一 些 ： 关 于 我 们 关 于 我 们                 i f   " % s "   n o t   i n   a r g 2 _ s t r :                         s y s t e m _ a r g s _ l i s t . a d d ( a d d r )     #   排 除 这 种 情 况                 e l s e :                         p a s s         e x c e p t :                 p a s s r e s u l t _ l i s t   =   s y s t e m _ l i s t - s y s t e m _ a r g s _ l i s t     #   取 差 集 ， 得 到 最 终 结 果 f o r   a d d r   i n   r e s u l t _ l i s t :         p r i n t ( h e x ( a d d r ) )
注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 百 万 O p e n W r t 网 络 设 备 遭 受 影 响   研 究 人 员 披 露 严 重 R C E 漏 洞 美 国 纽 约 州 要 求 域 名 注 册 商 严 打 冠 状 病 毒 诈 骗 网 站 伊 朗 冠 状 病 毒 检 测 A p p 饱 受 质 疑     美 国 强 行 将 其 下 架 W i n d o w s 严 重 蠕 虫 漏 洞 将 破 坏 全 球 的 商 业 网 络 ！ 国 泰 航 空 被 处 以 I C O 5 0 万 英 镑 最 高 罚 款   因 数 据 泄 露 长 达 四 年 之 久 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容
喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理