搜索

[4633] 2017-12-13_漏洞检测神器XDiFF给你，拿走不谢！

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2017-12-13_漏洞检测神器XDiFF给你，拿走不谢！ 漏 洞 检 测 神 器 X D i F F 给 你 ， 拿 走 不 谢 ！ 原 创   E 安 全   E 安 全   2 0 1 7 - 1 2 - 1 3 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 2 月 1 3 日 讯 ， 网 络 安 全 公 司 I O A c t i v e 高 级 安 全 顾 问 费 尔 南 多 · 阿 纳 博 迪 上 周 在 欧 洲 2 0 1 7 黑 帽 大 会 上 发 布 的 一 项 研 究 结 果 显 示 ， 几 款 目 前 热 门 的 编 程 语 言 中 存 在 漏 洞 ， 可 允 许 黑 客 入 侵 这 些 语 言 构 建 的 应 用 程 序 。 阿 纳 博 迪 使 用 模 糊 测 试 （ F u z z i n g ） 技 术 分 析 了 几 个 热 门 编 程 语 言 ， 包 括 J a v a S c r i p t 、 P e r l 、 P H P 、 P y t h o n 和 R u b y 。 模 糊 测 试   （ F u z z i n g ， F u z z   t e s t i n g ） 是 一 种 软 件 测 试 技 术 ， 其 核 心 思 想 是 自 动 或 半 自 动 化 生 成 随 机 数 据 输 入 到 一 个 程 序 中 ， 并 监 控 程 序 异 常 ， 如 崩 溃 ， 断 言 ( a s s e r t i o n ) 失 败 ， 以 发 现 可 能 的 程 序 错 误 ， 比 如 内 存 泄 漏 。 模 糊 测 试 常 常 用 于 检 测 软 件 或 计 算 机 系 统 的 安 全 漏 洞 。 这 项 研 究 背 后 的 想 法 是 ， 安 全 开 发 的 应 用 程 序 也 可 能 受 底 层 编 程 语 言 的 漏 洞 所 影 响 。 谷 歌 专 家 曾 使 用 F u z z i n g 技 术 发 现 热 门 软 件 O p e n S S L 和 L i n u x 组 件 中 存 在 的 许 多 漏 洞 。 阿 纳 博 迪 利 用 F u z z i n g 技 术 测 试 的 编 程 语 言 如 下 图 ：
阿 纳 博 迪 开 发 了 一 款 专 门 测 试 编 程 语 言 结 构 的 自 定 义 差 异 化 模 糊 测 试 工 具 “ X D i F F ” （ E x t e n d e d   D i f f e r e n t i a l   F u z z i n g   F r a m e w o r k ， 扩 展 性 差 异 化 模 糊 测 试 框 架 ） 。 这 名 研 究 人 员 将 X D i F F 发 布 在 开 源 G i t H u b 上 ， 链 接 见 ：   h t t p s : / / g i t h u b . c o m / I O A c t i v e / X D i F F 阿 纳 博 迪 确 定 了 这 些 编 程 语 言 的 大 多 数 基 本 功 能 ， 并 利 用 X D i F F   F u z z e r 进 行 测 试 。 阿 纳 博 迪 在 研 究 论 文 中 写 到 ， 执 行 之 前 ， X D i F F 会 在 函 数 和 P a y l o a d 之 间 执 行 置 换 （ P e r m u t a t i o n ） ， 从 而 生 成 所 有 可 能 的 测 试 用 例 。 测 试 用 例 此 时 将 编 程 语 言 的 一 个 函 数 与 不 同 的 P a y l o a d 组 合 。 阿 纳 博 迪 解 释 称 ， 发 现 漏 洞 完 全 取 决 于 选 择 正 确 的 输 入 。 在 这 项 测 试 中 ， 不 到 3 0 个 原 始 值 （ 例 如 数 字 、 字 母 等 ） 与 特 殊 P a y l o a d 组 合 。 这 些 特 殊 的 P a y l o a d 经 过 定 义 ， 以 帮 助 识 别 软 件 何 时 试 图 访 问 外 部 资 源 。 阿 纳 博 迪 经 过 分 析 发 现 这 些 编 程 语 言 中 存 在 的 漏 洞 如 下 ： P y t h o n 包 含 用 于 O S 命 令 执 行 的 未 公 开 方 法 和 本 地 环 境 变 量 。 P e r l 包 含 像 e v   a l   ( ) 那 样 执 行 代 码 的 t y p e m a p s 函 数 。 N o d e J S 输 出 可 能 会 暴 露 部 分 文 件 内 容 的 错 误 信 息 。 J R u b y 会 在 非 远 程 代 码 执 行 功 能 上 加 载 并 执 行 远 程 代 码 。 P H P 常 量 名 称 能 被 用 来 执 行 远 程 命 名 。
阿 纳 博 迪 指 出 ， 这 些 漏 洞 可 能 是 因 为 错 误 所 致 ， 也 可 能 是 试 图 简 化 软 件 开 发 带 来 的 结 果 。 这 些 漏 洞 最 终 会 使 受 影 响 解 释 器 解 析 的 常 规 应 用 程 序 受 到 影 响 。 攻 击 者 可 利 用 这 些 漏 洞 攻 击 安 全 性 最 高 的 应 用 程 序 。 阿 纳 博 迪 表 示 ， 软 件 开 发 人 员 可 能 会 不 知 不 觉 地 将 代 码 添 加 到 应 用 程 序 中 ， 而 这 些 代 码 可 能 会 以 设 计 人 员 未 预 见 的 方 式 被 利 用 。 一 些 行 为 可 能 会 给 安 全 开 发 的 应 用 程 序 带 来 风 险 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 8 3 5 7 0 1 6 3 0 . s h t m l 推 荐 阅 读 ： 知 名 银 行 A p p 被 曝 漏 洞 ， 上 千 万 用 户 面 临 密 码 盗 窃 风 险 一 次 P O C 漏 洞 利 用 代 码 公 布 引 发 的 “ 血 案 ” 数 百 万 P C 和 服 务 器 受 I n t e l 管 理 引 擎 漏 洞 影 响 分 享 ？ 不 分 享 ？ 手 握 漏 洞 好 纠 结 ！ 漏 洞 收 割 机 现 b u g ， 谷 歌 自 己 都 惊 了 ！ 中 国 网 络 安 全 漏 洞 披 露 效 率 远 超 美 国 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理