搜索

[13755] 2019-02-14_AngrAEG：堆溢出之Exploit自动生成

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-02-14_AngrAEG：堆溢出之Exploit自动生成 A n g r   A E G ： 堆 溢 出 之 E x p l o i t 自 动 生 成 x i a o h a n 0 x 0 0   F r e e B u f   2 0 1 9 - 0 2 - 1 4 本 文 主 要 介 绍 如 何 基 于 本 文 主 要 介 绍 如 何 基 于   A n g r   进 行 漏 洞 挖 掘 ， 并 自 动 生 成 进 行 漏 洞 挖 掘 ， 并 自 动 生 成   E x p l o i t 。 对 于 。 对 于   E x p l o i t   的 自 动 生 成 问 题 ， 也 被 称 为 的 自 动 生 成 问 题 ， 也 被 称 为 A E G （ （ A u t o m a t i c   E x p l o i t   G e n e r a t i o n ） ， 其 中 包 含 漏 洞 挖 掘 、 ） ， 其 中 包 含 漏 洞 挖 掘 、 C r a s h 分 析 、 约 束 条 件 构 造 、 约 束 求 解 、 分 析 、 约 束 条 件 构 造 、 约 束 求 解 、 E x p l o i t 生 成 等 环 节 ， 下 文 通 过 符 号 执 行 实 现 对 二 进 制 程 序 的 自 动 化 漏 洞 挖 掘 及 利 用 ， 并 展 示 完 整 的 生 成 等 环 节 ， 下 文 通 过 符 号 执 行 实 现 对 二 进 制 程 序 的 自 动 化 漏 洞 挖 掘 及 利 用 ， 并 展 示 完 整 的   A E G   过 程 。 文 中 过 程 。 文 中 所 分 析 的 漏 洞 程 序 为 所 分 析 的 漏 洞 程 序 为   I n s o m n i ` H a c k   2 0 1 6   题 目 之 一 。 下 载 地 址 ， 其 中 包 含 漏 洞 程 序 源 码 题 目 之 一 。 下 载 地 址 ， 其 中 包 含 漏 洞 程 序 源 码   d e m o b i n . c 、 编 译 后 的 、 编 译 后 的 可 执 行 程 序 可 执 行 程 序   d e m o b i n   以 及 以 及   A n g r   脚 本 脚 本   s o l v e r . p y 。 。   0 x 0 0   漏 洞 原 理 漏 洞 原 理 1 、 源 码 分 析 、 源 码 分 析 首 先 查 看 源 码   d e m o _ b i n . c ， 存 在 一 处 堆 溢 出 漏 洞 ， 关 键 点 如 下 ： 1 ）   c o m p o n e n t _ n a m e [ 1 2 8 ]     大 于   c o m p o n e n t - > n a m e [ 3 2 ] ； 2 ）   i n i t i a l i z a c o m p o n e n t (   c h a r   * c m p n a e m )   函 数 中 ， 在 赋 值 时 未 检 查 缓 冲 区 大 小 ； 3 ）   调 用   d o _ s o m e t h i n g ( )   时 ， 产 生   C r a s h 。
2 、 、 G D B   调 试 调 试 分 析 过 程 序 源 码 后 ， 利 用   G D B   动 态 调 试   d e m o b i n ， 以 触 发   C r a s h 。 首 先 通 过   r 2   查 看   i n i t i a l i z a c o m p o n e n t (   c h a r * c m p _ n a e m )   所 对 应 的 汇 编 代 码 。
分 析 后 可 知 ， 结 构 体   c o m p o n e n t   大 小 为   3 6   字 节 ， 其 中   c o m p o n e n t - > n a m e [ 3 2 ]   占 用   3 2   字 节 ， 随 后   4   字 节 为 函 数 指 针 ， 因 此 构 造   P o C   为   " A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A B B B B " 。 利 用   G D B   加 载   d e m o b i n   并 输 入   P o C ， 在   i n i t i a l i z a c o m p o n e n t (   c h a r   * c m p _ n a e m )   函 数 中 ， 调 用   m a l l o c ( )     之 后 设 置 断 点 。 查 看 此 时   m a l l o c ( )     所 分 配 的 内 存 情 况 。
继 续 调 试 ， 单 步 至   i n i t i a l i z a c o m p o n e n t (   c h a r   * c m p n a e m )   函 数 返 回 ， 查 看 此 时 内 存 情 况 。 可 见   c m p   在 堆 上 的 地 址 为 “ 0 x 8 0 4 b 4 1 0 ” ， 而   c m p - > d o _ s o m e t h i n g ( 1 )   所 对 应 的 地 址   “ 0 x 8 0 4 b 4 3 0 ”   此 刻 已 被   “ x 4 2 x 4 2 x 4 2 x 4 2 ”   所 覆 盖 ， 如 下 图 所 示 。
当 程 序 执 行 至   c m p - > d o _ s o m e t h i n g ( 1 )   时 触 发   S e g m e n t a t i o n   f a u l t ， 此 时   E I P   为   “ x 4 2 x 4 2 x 4 2 x 4 2 ” ， 表 明 程 序 的 控 制 流 已 被 劫 持 。
通 过 以 上 简 要 分 析 可 知 ， d e m o _ b i n   中 存 在 堆 溢 出 漏 洞 ， 可 导 致 控 制 流 劫 持 。 在 此 基 础 上 ， 下 文 主 要 介 绍 如 何 通 过 A n g r   实 现 对 该 漏 洞 的 自 动 化 挖 掘 以 及 利 用 。 0 x 0 1   A n g r   A E G     完 整 的   A E G   过 程 ， 在 逻 辑 上 大 致 可 分 为 以 下 几 个 环 节 ： 1 ）   漏 洞 挖 掘 ， A n g r   主 要 采 用 带 有 前 置 约 束 及 路 径 选 择 策 略 的 符 号 执 行 ； 2 ）   崩 溃 现 场 分 析 ： E I P   状 态 、 内 存 布 局 ；
3 ）   约 束 条 件 构 造 ； 4 ）   约 束 求 解 ， E x p l o i t   生 成 ； 1 、 漏 洞 挖 掘 、 漏 洞 挖 掘     在 本 例 中 ， 主 要 是 针 对 控 制 流 劫 持 漏 洞 的 挖 掘 。 利 用 符 号 执 行 检 测 控 制 流 劫 持 ， 关 键 在 于   E I P ， 若   E I P   完 全 被 符 号 变 量 所 覆 盖 ， 则 代 表 着 控 制 流 可 以 被 劫 持 ， 此 时   A n g r   会 抛 出   u n c o n s t r a i n e d   状 态 。 s o l v e . p y   中   6 5   ~   8 4   行 ， 通 过 搜 索 二 进 制 程 序 的 状 态 空 间 以 实 现 漏 洞 挖 掘 。 由 于   d e m o _ b i n . c   中 的 漏 洞 逻 辑 较 为 简 单 ， 因 此 在 挖 掘 过 程 中 并 未 加 入 复 杂 的 前 置 约 束 以 缓 解 路 径 爆 炸 ， 也 未 采 用 额 外 的 路 径 搜 索 策 略 ， 仅 使 用 S i m u l a t i o n M a n a g e r   的   s t e p ( )   方 法 ， 循 环 执 行 ， 直 到 出 现   u n c o n s t r a i n e d   状 态 。 注 意 ， 在 设 置   S i m u l a t i o n M a n a g e r ( )   时 ， s a v e _ u n c o n s t r a i n e d   必 须 设 置 为   T r u e 。
2 、 崩 溃 现 场 分 析 、 崩 溃 现 场 分 析 脚 本 运 行 不 久 后 ， 便 会 触 发   u n c o n s t r a i n e d   状 态 ， 此 时 需 要 对 崩 溃 现 场 进 行 分 析 ， 以 判 定   u n c o n s t r a i n e d   状 态 的 可 利 用 性 。 1 )   E I P   可 控 性 分 析 可 控 性 分 析 s o l v e . p y   中 使 用   f u l l y s y m b o l i c ( )   方 法 检 查   E I P   中 符 号 变 量 的 数 量 。 其 中   s t a t e . a r c h . b i t s   代 表 系 统 字 长 （ T h e   n u m b e r o f   b i t s   i n   a   w o r d ） ， s t a t e . s o l v e r . s y m b o l i c ( )   用 以 判 断 输 入 数 据 是 否 为 符 号 变 量 ， 该 方 法 在 . / a n g r / s t a t e p l u g i n s / s o l v e r . p y   中 实 现 ：
当   E I P   完 全 被 符 号 变 量 覆 盖 时 ， 代 表 控 制 流 已 被 劫 持 ， 此 时 堆 及   E I P   状 态 如 下 ：     在 实 际 调 试 过 程 中 ， 会 出 现 多 次   u n c o n s t r a i n e d   状 态 ， 但 前 若 干 次 符 号 变 量 均 未 能 完 全 覆 盖   E I P ， 因 此 并 不 能 利 用 。 最 终   E I P   被 符 号 变 量 完 全 覆 盖 时 ， 其 内 容 如 下 ：
2 ） 内 存 布 局 分 析 ） 内 存 布 局 分 析 在 触 发 控 制 流 劫 持 后 ， 需 要 分 析 当 前 状 态 下 内 存 中 符 号 变 量 的 分 布 情 况 。 s o l v e . p y   中 的   f i n d s y m b o l i c b u f f e r ( )   实 现 相 关 功 能 ， 主 要 包 括 查 找 符 号 输 入 、 追 踪 符 号 变 量 两 个 部 分 。 ( 1 )   查 找 符 号 输 入 A n g r   在 处 理   s c a n f   的 输 入 数 据 时 ， 采 用   s t r e a m s   模 式 。 默 认 情 况 下 ， s t d i n 、 s t d o u t 、 s t d e r r   均 采 用 该 模 式 。 s t a t e . p o s i x . s t d i n   为 输 入 程 序 的 全 部 符 号 变 量 ， 调 试 结 果 如 下 ： ( 2 )   追 踪 符 号 变 量 通 过   s t a t e . s o l v e r . g e t v a r i a b l e s ( )   追 踪 内 存 中 的 符 号 变 量 。 该 函 数 位 于   . / a n g r / s t a t e p l u g i n s / s o l v e r . p y   中 ， 返 回 结 果 如 下 :
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理