搜索

[27807] 2020-09-17_AFL分析与实战

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-09-17_AFL分析与实战 A F L 分 析 与 实 战 原 创   h a c k e d b y l h   O P P O 安 全 应 急 响 应 中 心   2 0 2 0 - 0 9 - 1 7 以 上 文 章 由 作 者 【 h a c k e d b y l h 】 的 连 载 有 赏 投 稿 ， 共 有 五 篇 ， 本 文 为 第 三 篇 ； 也 欢 迎 广 大 朋 友 继 续 投 稿 ， 详 情 可 点 击 O S R C 重 金 征 集 文 稿 ！ ！ ！ 了 解 ~ ~ 温 馨 提 示 ： 建 议 投 稿 的 朋 友 尽 量 用 m a r k d o w n 格 式 ， 特 别 是 包 含 大 量 代 码 的 文 章 1 .   概 述 概 述 本 节 介 绍 A F L 的 实 现 原 理 ， 并 以 l i b r e d w g 为 例 介 绍 如 何 使 用 源 码 插 桩 模 式 和 q e m u 二 进 制 插 桩 模 式 进 行 F u z z 测 试 。 A F L 是 C o v e r a g e   G u i d e d   F u z z e r 的 代 表 ， A F L 通 过 在 编 译 时 插 桩 来 获 取 程 序 执 行 的 覆 盖 率 ， A F L 可 以 获 取 基 本 块 覆 盖 率 和 边 覆 盖 率 ， 下 图 所 示 是 一 个 函 数 的 流 程 图 ` A ,   B `   是 两 个 基 本 块 ，     ` A - > B `   则 是 一 条 边 表 示 程 序 从 A 基 本 块 执 行 到 了 B 基 本 块 ， 边 覆 盖 率 比 基 本 块 覆 盖 率 更 能 表 示 程 序 的 执 行 状 态 ， 所 以 一 般 也 推 荐 使 用 边 覆 盖 率 。
本 章 最 开 始 提 到 过 F u z z 的 速 度 和 样 本 集 是 F u z z 测 试 的 两 个 重 要 因 素 ， 而 A F L 的 实 现 机 制 很 好 的 改 进 了 这 两 个 问 题 。 具 体 而 言 ， A F L 的 f o r k s e r v e r 机 制 大 大 提 升 了 F u z z 的 测 试 速 度 ， 其 覆 盖 率 反 馈 机 制 则 让 A F L 能 够 自 动 化 的 生 成 一 个 质 量 比 较 高 的 样 本 集 。 下 面 我 们 先 简 单 地 介 绍 一 下 A F L 中 f o r k s e r v e r 的 实 现 机 制 A F L 通 过 源 码 插 桩 的 方 式 在 程 序 的 每 个 基 本 块 前 面 插 入   _ a f l _ m a y b e _ l o g   函 数 ， 当 执 行 第 一 个 基 本 块 时 会 启 动 f o r k s e r v e r ， a f l - f u z z 和 f o r k s e r v e r 之 间 通 过 管 道 通 信 ， 每 当 a f l - f u z z 生 成 一 个 测 试 用 例 ， 就 会 通 知 f o r k s e r v e r 去 f o r k 一 个 子 进 程 ， 然 后 子 进 程 会 从 f o r k s e r v e r 的 位 置 继 续 往 下 执 行 并 处 理 数 据 ， 而 f o r k s e r v e r 则 继 续 等 待 a f l - f u z z 的 请 求 ， 工 作 示 意 图 如 下 ： 通 过 插 桩 ， A F L 可 以 在 运 行 时 获 取 到 程 序 处 理 每 个 样 本 的 覆 盖 率 ， A F L 会 把 能 够 产 生 新 用 例 的 路 径 保 存 到 样 本 队 列 中 ， 这 样 随 着 F u z z i n g 的 进 行 ， A F L 会 得 到 一 个 质 量 比 较 高 的 样 本 集 。
2 . 源 码 插 桩 模 式 源 码 插 桩 模 式 下 面 介 绍 如 何 用 A F L 来 测 试 l i b r e d w g ,   首 先 我 们 需 要 用   a f l - g c c   把 库 给 编 译 出 来 如 果 是 c + + 程 序 则 加 上 用 a f l 来 编 译 软 件 时 会 打 印 出 编 译 完 后 会 在 s r c / . l i b s / 目 录 下 生 成 l i b r e d w g . s o ， 然 后 会 在   e x a m p l e s / . l i b s   生 成 d w g 2 s v g 2 。 d w g 2 s v g 2 是 一 个 示 例 程 序 用 于 解 析 一 个 d w g 文 件 ，   d w g 2 s v g 2 依 赖 l i b r e d w g . s o ， 为 了 能 够 正 常 运 行 该 程 序 ， 我 们 先 需 要 设 置 环 境 变 量 ， 添 加 库 路 径 到 系 统 搜 索 路 径 中 当 程 序 能 够 正 常 运 行 后 ， 就 可 以 使 用 a f l - f u z z 来 开 始 F u z z 了 ， F u z z 的 命 令 如 下 其 中 C C = / p a t h / o f / a f l / a f l - g c c   . / c o n f i g u r e C X X = / p a t h / o f / a f l / a f l - g + + ~ / w o r k p l a c e / l i b r e d w g - 0 . 9 . 2 4 2 5 / e x a m p l e s / . l i b s $   l d d   d w g 2 s v g 2           l i n u x - v d s o . s o . 1   = >     ( 0 x 0 0 0 0 7 f f e 0 e 7 e b 0 0 0 )         l i b r e d w g . s o . 0   = >   n o t   f o u n d         l i b m . s o . 6   = >   / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b m . s o . 6   ( 0 x 0 0 0 0 7 f 8 4 b 6 7 3 9 0 0 0 )         l i b c . s o . 6   = >   / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b c . s o . 6   ( 0 x 0 0 0 0 7 f 8 4 b 6 3 6 f 0 0 0 )         / l i b 6 4 / l d - l i n u x - x 8 6 - 6 4 . s o . 2   ( 0 x 0 0 0 0 7 f 8 4 b 6 a 4 2 0 0 0 ) e x p o r t   L D _ L I B R A R Y _ P A T H = / p a t h / o f / l i b r e d w g / s r c / . l i b s / / p a t h / o f / a f l / a f l - f u z z   - i   i n /   - o   o u t   - -   . / d w g 2 s v g 2   @ @ i n :   存 放 初 始 用 例 o u t :   存 放 a f l 测 试 过 程 中 的 输 出 @ @ :   文 件 路 径 的 占 位 符 ， a f l   f u z z 时 会 用 样 本 的 路 径 替 换 @ @ ,   被 测 程 序 会 读 取 文 件 然 后 处 理 数 据
一 次 F u z z i n g 的 结 果 如 下 3 . 二 进 制 插 桩 二 进 制 插 桩 A F L 还 可 以 通 过 q e m u 在 L i n u x 下 F u z z 二 进 制 程 序 ， 使 用 q e m u 执 行 一 个 程 序 时 ， q e m u 会 从 被 执 行 程 序 的 入 口 点 开 始 对 基 本 块 翻 译 并 执 行 ， 为 了 提 升 效 率 ， q e m u 还 会 把 翻 译 出 来 的 基 本 块 存 放 到   c a c h e   中 ， 当   q e m u   要 执 行 一 个 基 本 块 时 首 先 判 断 基 本 块 是 否 在   c a c h e   中 ， 如 果 在   c a c h e   中 则 直 接 执 行 基 本 块 ， 否 则 会 翻 译 基 本 块 并 执 行 。 A F L   的   q e m u   模 式 的 实 现 机 制 是 在 执 行 基 本 块 的 和 翻 译 基 本 块 的 前 面 增 加 一 些 代 码 来 获 取 代 码 覆 盖 率 以 及 启 动 f o r k s e r v e r 。 本 节 将 介 绍 如 何 利 用 A F L   q e m u 模 式 来 F u z z   l i b r e d w g 这 个 库 ， 通 过 查 看 源 码 发 现 了 一 个 数 据 处 理 的 接 口 这 个 接 口 会 读 取 一 个 d w g 文 件 ， 然 后 把 解 析 文 件 的 结 果 存 放 到 d w g 里 面 。 为 了 F u z z 该 接 口 ， 首 先 我 们 要 先 用 d l o p e n 把 l i b r e d w g . s o 这 个 库 加 载 到 内 存 中 ， 然 后 通 过 d l s y m 获 取 d w g _ r e a d _ f i l e 函 数 的 地 址 ， 最 后 我 们 传 入 文 件 路 径 调 用 目 标 函 数 。 @ @ :   文 件 路 径 的 占 位 符 ， a f l   f u z z 时 会 用 样 本 的 路 径 替 换 @ @ ,   被 测 程 序 会 读 取 文 件 然 后 处 理 数 据 / * *   d w g _ r e a d _ f i l e   *   r e t u r n s   0   o n   s u c c e s s .   *   *   e v e r y t h i n g   i n   d w g   i s   c l e a r e d   *   a n d   t h e n   e i t h e r   r e a d   f r o m   d a t ,   o r   s e t   t o   a   d e f a u l t .   * / E X P O R T   i n t d w g _ r e a d _ f i l e   ( c o n s t   c h a r   * r e s t r i c t   f i l e n a m e ,   D w g _ D a t a   * r e s t r i c t   d w g ) t y p e d e f   i n t   ( * d w g _ r e a d _ f i l e ) ( c h a r   * f i l e n a m e ,   D w g _ D a t a   * d w g ) ; d w g _ r e a d _ f i l e   p _ d w g _ r e a d _ f i l e   =   N U L L ; i n t   m a i n ( i n t   a r g c ,   c h a r * *   a r g v )
然 后 我 们 把 程 序 编 出 来 A F L   q e m u 模 式 下 默 认 会 在 可 执 行 程 序 的 入 口 点 出 初 始 化 f o r k   s e r v e r 并 开 始 插 桩 基 本 块 ， 我 们 可 以 通 过 环 境 变 量 来 控 制 A F L 的 f o r k   s e r v e r 的 初 始 化 位 置 以 及 基 本 块 插 桩 的 范 围 。 首 先 我 们 直 接 运 行 A F L 来 f u z z 看 看 ，   执 行 的 命 令 如 下 F u z z 一 段 时 间 后 发 现 A F L 一 条 新 路 径 也 没 有 发 现 ， 这 是 很 不 正 常 的 通 过 分 析 A F L 的 源 码 ， 发 现 是 A F L 在 记 录 程 序 的 执 行 路 径 时 ， 最 多 只 记 录 M A P _ S I Z E 条 边 。 i n t   m a i n ( i n t   a r g c ,   c h a r * *   a r g v ) {         v o i d   * h a n d l e ;         D w g _ D a t a   d w g ;         h a n d l e   =   d l o p e n ( " . / l i b r e d w g . s o " ,   R T L D _ L A Z Y ) ;         p r i n t f ( " l o a d e r   m a i n   a d d r e s s : % p n " ,   m a i n ) ;         s t r u c t   l i n k _ m a p   * l m   =   ( s t r u c t   l i n k _ m a p * ) h a n d l e ;         p r i n t f ( " b a s e : % p n " ,   l m - > l _ a d d r ) ;         p _ d w g _ r e a d _ f i l e   =   d l s y m ( h a n d l e ,   " d w g _ r e a d _ f i l e " ) ;         p r i n t f ( " p _ d w g _ r e a d _ f i l e : % p n " ,   p _ d w g _ r e a d _ f i l e ) ;                 p _ d w g _ r e a d _ f i l e ( a r g v [ 1 ] ,   & d w g ) ;                 d l c l o s e ( h a n d l e ) ;         r e t u r n   E X I T _ S U C C E S S ; } g c c   p a r s e . c   - l p n g   - L   . l i b s /   - o   p a r s e ~ / w o r k p l a c e / A F L p l u s p l u s / a f l - f u z z   - Q   - i   i n /   - o   o u t p u t   - -   . / l o a d e r   @ @ u n s i g n e d   i n t   a f l _ i n s t _ r m s   =   M A P _ S I Z E ;
当 执 行 到 被 测 库 l i b r e d w g . s o 时 ， 记 录 的 执 行 边 的 数 量 已 经 达 到 了 最 大 值 ， 导 致 l i b r e d w g . s o 里 面 的 执 行 路 径 没 有 被 记 录 ， 所 以 程 序 的 每 次 执 行 都 会 得 到 一 样 的 覆 盖 率 记 录 ， 这 也 就 是 A F L 一 直 没 有 发 现 新 路 径 的 原 因 。 为 了 解 决 这 个 问 题 ， 我 们 可 以 通 过 环 境 变 量 来 让 A F L 只 记 录 l i b r e d w g . s o 里 面 的 执 行 路 径 。 A F L _ C O D E _ S T A R T 和 A F L _ C O D E _ E N D 分 别 表 示 要 插 桩 的 起 始 位 置 和 结 束 位 置 ， 在 这 里 分 别 表 示 l i b r e d w g . s o 模 块 在 内 存 中 代 码 段 的 起 始 地 址 。 为 了 定 位 这 个 地 址 ， 首 先 我 们 使 用 a f l - q e m u - t r a c e 来 看 一 下 l i b r e d w g . s o 模 块 和 l o a d e r 可 执 行 文 件 的 加 载 基 地 址 。 可 以 看 到 l i b r e d w g . s o 的 加 载 基 地 址 为 0 x 4 0 0 1 0 1 9 0 0 0 ， l o a d e r 可 执 行 文 件 的 加 载 基 地 址 为 0 x 4 0 0 0 0 0 ， 然 后 用 I D A 就 可 以 定 位 代 码 段 的 起 始 地 址 了 。 设 置 环 境 变 量 后 再 次 运 行 a f l - f u z z ， 可 以 发 现 A F L 发 现 很 多 新 路 径 不 过 目 前 的 测 试 速 度 很 慢 ， 速 度 慢 的 主 要 原 因 是 默 认 情 况 下 A F L 会 在 程 序 执 行 的 第 一 条 指 令 前 启 动 f o r k s e r v e r ， 这 会 导 致 每 次 F u z z 时 程 序 都 需 要 用 d l o p e n 加 载 l i b r e d w g . s o ， 这 个 过 程 的 开 销 比 较 大 。 为 了 提 升 测 试 速 度 ， 我 们 可 以 使 用 A F L _ E N T R Y P O I N T 来 指 定 程 序 初 始 化 f o r k s e r v e r 的 位 置 ， 我 们 可 以 设 置 在 d l o p e n 之 后 才 启 动 f o r k s e r v e r ， 这 样 在 之 后 的 F u z z 过 程 中 不 需 要 执 行 d l o p e n 了 。 一 般 而 言 f o r k s e r v e r 初 始 化 的 位 置 越 后 越 好 ， 不 过 f o r k s e r v e r 初 始 化 的 位 置 必 须 要 在 打 开 输 入 文 件 之 前 。 值 得 注 意 的 是 在 q e m u 中 是 按 控 制 转 移 指 令 来 切 分 基 本 块 ， 比 如 c a l l ,   j m p 指 令 。 在 I D A 中 查 看 汇 编 代 码 可 以 找 到 0 x 4 0 0 7 E 5 是 最 靠 近 文 件 打 开 函 数 （ d w g _ r e a d _ f i l e ） 的 基 本 块 ， 当 我 们 设 置 A F L _ E N T R Y P O I N T 为 这 个 基 本 块 的 地 址 时 ， 在 F u z z 开 始 时 会 在 e x p o r t   A F L _ C O D E _ S T A R T = 0 x 4 0 0 1 0 5 a 7 b 0 e x p o r t   A F L _ C O D E _ E N D = 0 x 4 0 0 1 4 2 c 3 8 d $   ~ / w o r k p l a c e / A F L p l u s p l u s / a f l - q e m u - t r a c e   . / l o a d e r l o a d e r   m a i n   a d d r e s s : 0 x 4 0 0 7 3 6 b a s e : 0 x 4 0 0 1 0 1 9 0 0 0 p _ d w g _ r e a d _ f i l e : 0 x 4 0 0 1 0 d b 5 b 0 . t e x t : 0 0 0 0 0 0 0 0 0 0 4 0 0 7 E 0                                   c a l l         _ p r i n t f . t e x t : 0 0 0 0 0 0 0 0 0 0 4 0 0 7 E 5                                   m o v           r a x ,   c s : p _ d w g _ r e a d _ f i l e . t e x t : 0 0 0 0 0 0 0 0 0 0 4 0 0 7 E C                                   m o v           r d x ,   [ r b p + v a r _ F A 0 ] . t e x t : 0 0 0 0 0 0 0 0 0 0 4 0 0 7 F 3                                   a d d           r d x ,   8 . t e x t : 0 0 0 0 0 0 0 0 0 0 4 0 0 7 F 7                                   m o v           r d x ,   [ r d x ] . t e x t : 0 0 0 0 0 0 0 0 0 0 4 0 0 7 F A                                   l e a           r c x ,   [ r b p + v a r _ F 8 0 ] . t e x t : 0 0 0 0 0 0 0 0 0 0 4 0 0 8 0 1                                   m o v           r s i ,   r c x . t e x t : 0 0 0 0 0 0 0 0 0 0 4 0 0 8 0 4                                   m o v           r d i ,   r d x . t e x t : 0 0 0 0 0 0 0 0 0 0 4 0 0 8 0 7                                   c a l l         r a x   ;   调 用   d w g _ r e a d _ f i l e  
A F L _ E N T R Y P O I N T 启 动 f o r k s e r v e r ， 在 之 后 的 每 次 F u z z 时 ， 程 序 都 会 从 A F L _ E N T R Y P O I N T 处 开 始 往 下 执 行 ， 这 样 A F L _ E N T R Y P O I N T 前 的 d l o p e n 代 码 就 只 会 执 行 一 次 ， 大 大 节 省 了 时 间 ， 设 置 环 境 变 量 如 下 执 行 截 图 如 下 ， 可 以 看 到 执 行 速 度 得 到 了 很 大 的 提 升 ， 达 到 了 1 4 9 . 9   次 每 秒 使 用 内 存 磁 盘 也 可 以 提 升 速 度 ， L i n u x 下 创 建 内 存 磁 盘 的 命 令 如 下 执 行 命 令 后 会 在 / m n t / r a m d i s k 挂 载 内 存 磁 盘 ， 把 初 始 数 据 拷 贝 到 / m n t / r a m d i s k / i n / 中 后 启 动 A F L 即 可 ☆ ☆   E N D   ☆ ☆ 连 载 文 章 连 载 文 章 e x p o r t   A F L _ E N T R Y P O I N T = 0 x 4 0 0 7 E 5 s u d o   m k d i r   / m n t / r a m d i s k s u d o   m o u n t     - t   t m p f s   - o   s i z e = 5 0 0 m     t m p f s   / m n t / r a m d i s k ~ / w o r k p l a c e / A F L p l u s p l u s / a f l - f u z z   - t   2 0 0     - Q   - i   / m n t / r a m d i s k / i n /   - o   / m n t / r a m d i s k / o u t     - -   . / l o a d e r   @ @
F u z z 技 术 综 述 与 文 件 F u z z 协 议 F u z z 技 术 最 新 动 态 最 新 动 态 O S R C   2 周 年 第 二 弹 — — 第 五 次 奖 励 升 级 （ 不 点 后 悔 ！ ！ ！ 不 点 后 悔 ！ ！ ！ ） O P P O 开 发 者 大 会 - 安 全 论 坛 了 解 一 下
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理