搜索

[16304] 2021-01-10_如何对二进制代码进行定向模糊测试以扫描用后释放漏洞

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2021-01-10_如何对二进制代码进行定向模糊测试以扫描用后释放漏洞 如 何 对 二 进 制 代 码 进 行 定 向 模 糊 测 试 以 扫 描 用 后 释 放 漏 洞 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 1 - 1 0 写 在 前 面 的 话 写 在 前 面 的 话 定 向 灰 盒 模 糊 测 试 （ D G F ） 类 似 A F L G o ， 旨 在 对 预 先 选 择 的 潜 在 易 受 攻 击 的 目 标 位 置 执 行 压 力 测 试 ， 应 用 于 不 同 的 安 全 场 景 ： （ 1 ） 漏 洞 复 现 ； （ 2 ） 补 丁 测 试 ； （ 3 ） 静 态 分 析 报 告 验 证 ； 近 期 ， 研 究 人 员 也 做 了 很 多 工 作 ， 有 效 地 提 高 了 定 向 模 糊 测 试 的 有 效 性 和 效 率 。 为 此 ， 我 们 开 发 出 了 U A F u z z ， 它 是 一 个 在 二 进 制 代 码 级 别 上 专 门 针 对 用 后 释 放 漏 洞 （ U A F ） 的 定 向 模 糊 测 试 工 具 。 该 工 具 可 以 通 过 仔 细 调 整 定 向 模 糊 测 试 的 关 键 组 件 来 满 足 这 个 类 型 漏 洞 的 特 定 特 性 。 在 释 放 堆 元 素 之 后 ， 如 果 再 次 使 用 堆 元 素 时 便 会 触 发 用 后 释 放 漏 洞 。 大 家 都 知 道 ， 检 测 U A F 漏 洞 是 比 较 困 难 且 复 杂 的 ， 因 为 P o C 输 入 需 要 在 同 一 内 存 位 置 触 发 三 个 事 件 序 列 （ 分 配 、 释 放 和 使 用 ） ， 这 里 涉 及 到 目 标 程 序 的 多 个 功 能 。 总 体 而 言 ， U A F u z z 的 工 作 流 与 定 向 模 糊 测 试 工 具 相 似 ， 并 且 对 模 糊 测 试 过 程 的 相 关 数 据 进 行 了 高 亮 处 理 ， 以 橙 色 高 亮 显 示 。 该 工 具 能 够 对 所 有 与 内 存 相 关 的 U A F 事 件 进 行 完 整 的 堆 栈 跟 踪 。 与 现 有 的 可 独 立 选 择 目 标 的 一 般 定 向 方 法 不 同 ， 我 们 考 虑 了 目 标 之 间 的 关 系 来 提 高 方 向 性 。 首 先 ， U A F u z z 的 静 态 预 计 算 在 二 进 制 级 别 上 很 快 。 其 次 ， 我 们 引 入 了 新 的 排 序 感 知 输 入 指 标 ， 以 引 导 模 糊 测 试 器 在 运 行 时 朝 着 正 确 的 方 向 走 下 去 。 最 后 ， 我 们 只 对 覆 盖 预 期 跟 踪 中 所 有 目 标 的 潜 在 输 入 进 行 分 类 ， 并 对 不 太 可 能 触 发 漏 洞 的 输 入 进 行 预 过 滤 。 工 具 安 装 工 具 安 装
首 先 ， 我 们 需 要 在 本 地 主 机 上 安 装 好 I D A   P r o   v 6 . 9 （ 3 2 位 ） 和 P y t h o n   v 2 . 7 ， 之 后 我 们 还 会 添 加 针 对 更 多 开 源 代 码 反 汇 编 工 具 的 支 持 ， 比 如 说 R a d a r e 等 等 。 除 此 之 外 ， 我 们 还 需 要 使 用 G r a p h - E a s y   v 0 . 7 . 6 来 转 换 I D A 的 调 用 图 。 在 本 地 主 机 安 装 V a l g r i n d 分 析 工 具 、 二 进 制 源 码 分 析 框 架 B I N S E C 和 基 于 覆 盖 引 导 的 灰 盒 模 糊 测 试 工 具 A F L   v 2 . 5 2 b 。 我 们 的 工 具 测 试 环 境 为 U b u n t u   1 6 . 0 4 （ 6 4 位 ） ， 安 装 配 置 代 码 如 下 ： 代 码 结 构 代 码 结 构 我 们 的 模 糊 测 试 工 具 基 于 Q E M U 模 式 的 A F L   v 2 . 5 2 b 实 现 ， 以 实 现 针 对 轻 量 级 静 态 分 析 的 模 糊 测 试 。 我 们 当 前 使 用 I D A P r o   v 6 . 9 来 提 取 目 标 代 码 的 控 制 流 图 以 及 调 用 图 。 #   I n s t a l l   O c a m l   a n d   p r e r e q u i s i t e   p a c k a g e s   f o r   B I N S E C   v i a   O P A M s u d o   a p t   u p d a t e s u d o   a p t   i n s t a l l   o c a m l   o c a m l - n a t i v e - c o m p i l e r s   c a m l p 4 - e x t r a   o p a m o p a m   i n i t o p a m   s w i t c h   4 . 0 5 . 0 o p a m   i n s t a l l   m e r l i n   o c p - i n d e n t   c a m l - m o d e   t u a r e g   m e n h i r   o c a m l g r a p h   o c a m l f i n d   p i q i   z m q . 5 . 0 . 0   z a r i t h   l l v m . 6 . 0 . 0 #   I n s t a l l   P y t h o n ' s   p a c k a g e s s u d o   p i p   i n s t a l l   n e t w o r k x   p y d o t #   C h e c k o u t   s o u r c e   c o d e g i t   c l o n e   h t t p s : / / g i t h u b . c o m / s t r o n g c o u r a g e / u a f u z z . g i t #   E n v i r o n m e n t   v a r i a b l e s e x p o r t   I D A _ P A T H   =   / p a t h / t o / i d a - 6 . 9 / i d a q e x p o r t   G R A P H _ E A S Y _ P A T H = / p a t h / t o / g r a p h - e a s y c d   u a f u z z ;   e x p o r t   U A F U Z Z _ P A T H = ` p w d ` #   C o m p i l e   s o u r c e   c o d e . / s c r i p t s / b u i l d . s h   u a f u z z #   H e l p   f o r   I D A / U A F u z z   i n t e r f a c e . / b i n s e c / s r c / b i n s e c   - i d a - h e l p . / b i n s e c / s r c / b i n s e c   - u a f u z z - h e l p u a f u z z
应 用 场 景 一 ： 漏 洞 复 现 我 们 先 用 一 个 简 单 的 U A F 漏 洞 举 个 例 子 。 针 对 这 个 漏 洞 ， 无 论 是 A F L - Q E M U ， 甚 至 是 带 有 源 代 码 级 目 标 的 定 向 模 糊 测 试 工 具 A F L G o 都 无 法 在 6 小 时 内 检 测 到 它 ， 而 U A F u z z 可 以 在 V a l g r i n d 的 帮 助 下 在 几 分 钟 内 检 测 到 它 。 对 于 真 实 场 景 ， 我 们 还 需 要 使 用 U A F 模 糊 化 基 准 进 行 评 估 。 V a l g r i n d 获 得 的 这 个 U A F   漏 洞 的 堆 栈 跟 踪 如 下 ： u a f u z z ├ ─ ─   b i n s e c / s r c │       └ ─ ─   i d a :   a   p l u g i n   t o   i m p o r t   a n d   p r o c e s s   I D A ' s   C F G s   a n d   c a l l   g r a p h │       └ ─ ─   u a f u z z :   f u z z i n g   c o d e │       │       └ ─ ─   a f l - 2 . 5 2 b :   c o r e   f u z z i n g   b u i l t   o n   t o p   o f   A F L - Q E M U │       │       └ ─ ─   u a f u z z _ * . m l ( i ) :   a   p l u g i n   t o   c o m p u t e   s t a t i c   i n f o r m a t i o n   a n d   c o m m u n i c a t e   w i t h   A F L - Q E M U └ ─ ─   s c r i p t s :   s o m e   s c r i p t s   f o r   b u i l d i n g   a n d   b u g   t r i a g i n g #   R u n   A F L - Q E M U $ U A F U Z Z _ P A T H / t e s t s / e x a m p l e . s h   a f l q e m u   3 6 0 #   R u n   A F L G o   g i v e n   t a r g e t s   a t   s o u r c e - l e v e l $ U A F U Z Z _ P A T H / t e s t s / e x a m p l e . s h   a f l g o   3 6 0 #   R u n   U A F u z z $ U A F U Z Z _ P A T H / t e s t s / e x a m p l e . s h   u a f u z z   3 6 0   $ U A F U Z Z _ P A T H / t e s t s / e x a m p l e / e x a m p l e . v a l g r i n d #   C h e c k o u t   t h e   b e n c h m a r k g i t   c l o n e   h t t p s : / / g i t h u b . c o m / s t r o n g c o u r a g e / u a f b e n c h . g i t c d   u a f b e n c h ;   e x p o r t   U A F B E N C H _ P A T H = ` p w d ` / /   s t a c k   t r a c e   f o r   t h e   b a d   U s e         = = 5 3 5 8 = =   I n v a l i d   r e a d   o f   s i z e   1         = = 5 3 5 8 = =         a t   0 x 4 0 A 9 3 9 3 :   v f p r i n t f   ( v f p r i n t f . c : 1 6 3 2 )         = = 5 3 5 8 = =         b y   0 x 4 0 A 9 6 8 0 :   b u f f e r e d _ v f p r i n t f   ( v f p r i n t f . c : 2 3 2 0 )         = = 5 3 5 8 = =         b y   0 x 4 0 A 7 2 E 0 :   v f p r i n t f   ( v f p r i n t f . c : 1 2 9 3 ) [ 6 ]   = = 5 3 5 8 = =         b y   0 x 8 0 A B 8 8 1 :   e r r o r   ( e l f c o m m . c : 4 3 ) [ 5 ]   = = 5 3 5 8 = =         b y   0 x 8 0 8 6 2 1 7 :   p r o c e s s _ a r c h i v e   ( r e a d e l f . c : 1 9 4 0 9 )
应 用 场 景 二 ： 补 丁 测 试 应 用 场 景 二 ： 补 丁 测 试 我 们 使 用 G N U 补 丁 的 C V E - 2 0 1 8 - 6 9 5 2 来 说 明 产 生 不 同 漏 洞 触 发 输 入 以 支 持 漏 洞 修 复 过 程 的 重 要 性 。 这 个 G N U 补 丁 中 存 在 一 个 双 重 释 放 漏 洞 ， 不 过 开 发 人 员 已 经 在 9 c 9 8 6 3 5 中 修 复 了 该 漏 洞 。 但 是 ， 通 过 使 用 C V E - 2 0 1 8 - 6 9 5 2 的 堆 栈 跟 踪 ， U A F u z z 发 现 了 最 新 版 本 2 . 7 . 6 （ c o m m i t   7 6 e 7 7 5 8 ） 中 仍 然 存 在 问 题 。 总 的 来 说 ， 我 们 使 用 现 有 缺 陷 的 P o C 输 入 和 模 糊 语 料 库 中 的 有 效 文 件 作 为 高 质 量 的 种 子 。 应 用 场 景 三 ： 静 态 分 析 报 告 验 证 应 用 场 景 三 ： 静 态 分 析 报 告 验 证 一 种 可 能 的 混 合 方 法 是 将 U A F u z z 与 G U E B 相 结 合 ， G U E B 是 唯 一 使 用 O c a m l 并 针 对 U A F 漏 洞 编 写 的 二 进 制 级 静 态 分 析 器 。 然 而 ， G U E B 会 产 生 许 多 误 报 ， 并 且 目 前 无 法 正 确 处 理 复 杂 的 二 进 制 文 件 。 因 此 ， 我 们 目 前 对 G U E B 进 行 改 进 ， 并 将 其 整 合 到 B I N S E C 中 ， 然 后 使 用 G U E B 报 告 中 提 取 的 目 标 来 指 导 U A F u z z 。 项 目 地 址 项 目 地 址 U A F u z z ： 【 阅 读 原 文 下 载 】 【 阅 读 原 文 下 载 】 [ 1 ]   = = 5 3 5 8 = =         b y   0 x 8 0 8 6 8 E A :   p r o c e s s _ f i l e   ( r e a d e l f . c : 1 9 5 8 8 ) [ 0 ]   = = 5 3 5 8 = =         b y   0 x 8 0 8 6 B 0 1 :   m a i n   ( r e a d e l f . c : 1 9 6 6 4 )         / /   s t a c k   t r a c e   f o r   t h e   F r e e         = = 5 3 5 8 = =     A d d r e s s   0 x 4 2 2 1 d c 0   i s   0   b y t e s   i n s i d e   a   b l o c k   o f   s i z e   8 0   f r e e ' d         = = 5 3 5 8 = =         a t   0 x 4 0 2 D 3 5 8 :   f r e e   ( i n   / u s r / l i b / v a l g r i n d / v g p r e l o a d _ m e m c h e c k - x 8 6 - l i n u x . s o ) [ 4 ]   = = 5 3 5 8 = =         b y   0 x 8 0 8 6 6 4 7 :   p r o c e s s _ a r c h i v e   ( r e a d e l f . c : 1 9 5 2 4 ) [ 1 ]   = = 5 3 5 8 = =         b y   0 x 8 0 8 6 8 E A :   p r o c e s s _ f i l e   ( r e a d e l f . c : 1 9 5 8 8 ) [ 0 ]   = = 5 3 5 8 = =         b y   0 x 8 0 8 6 B 0 1 :   m a i n   ( r e a d e l f . c : 1 9 6 6 4 )         / /   s t a c k   t r a c e   f o r   t h e   A l l o c         = = 5 3 5 8 = =     B l o c k   w a s   a l l o c ' d   a t         = = 5 3 5 8 = =         a t   0 x 4 0 2 C 1 7 C :   m a l l o c   ( i n   / u s r / l i b / v a l g r i n d / v g p r e l o a d _ m e m c h e c k - x 8 6 - l i n u x . s o ) [ 3 ]   = = 5 3 5 8 = =         b y   0 x 8 0 A D 9 7 E :   m a k e _ q u a l i f i e d _ n a m e   ( e l f c o m m . c : 9 0 6 ) [ 2 ]   = = 5 3 5 8 = =         b y   0 x 8 0 8 6 3 5 0 :   p r o c e s s _ a r c h i v e   ( r e a d e l f . c : 1 9 4 3 5 ) [ 1 ]   = = 5 3 5 8 = =         b y   0 x 8 0 8 6 8 E A :   p r o c e s s _ f i l e   ( r e a d e l f . c : 1 9 5 8 8 ) [ 0 ]   = = 5 3 5 8 = =         b y   0 x 8 0 8 6 B 0 1 :   m a i n   ( r e a d e l f . c : 1 9 6 6 4 ) #   F u z z   p a t c h e d   v e r s i o n   o f   C V E - 2 0 1 8 - 6 9 5 2 $ U A F B E N C H _ P A T H / C V E - 2 0 1 9 - 2 0 6 3 3 . s h   u a f u z z   3 6 0   $ U A F B E N C H _ P A T H / v a l g r i n d / C V E - 2 0 1 8 - 6 9 5 2 . v a l g r i n d
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理