搜索

[682] 2019-05-09_CodeAlchemist：用于在JavasScript引擎中查找漏洞的代码生成工具

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-16
2019-05-09_CodeAlchemist：用于在JavasScript引擎中查找漏洞的代码生成工具 C o d e A l c h e m i s t ： 用 于 在 J a v a s S c r i p t 引 擎 中 查 找 漏 洞 的 代 码 生 成 工 具 A r k T e a m   2 0 1 9 - 0 5 - 0 9 作 者 ： { f r 4 n k } @ A r k T e a m 原 文 作 者 ： H y u n g S e o k   H a n 、 D o n g H y e o n   O h 、 S a n g   K i l   C h a 原 文 标 题 ： C o d e A l c h e m i s t :   S e m a n t i c s - A w a r e   C o d e   G e n e r a t i o n   t o   F i n d   V u l n e r a b i l i t i e s   i n   J a v a S c r i p t   E n g i n e s 原 文 会 议 ： 2 0 1 9   N D S S   J a v a S c r i p t （ J S ） 引 擎 已 日 益 成 为 现 代 W e b 浏 览 器 的 核 心 组 件 ， 鉴 于 针 对 其 构 建 漏 洞 利 用 的 过 程 较 为 灵 活 ， J S   引 擎 逐 渐 成 为 一 个 对 攻 击 者 有 吸 引 力 的 目 标 。 目 前 最 先 进 的 用 于 查 找   J S   引 擎 漏 洞 的 模 糊 器 主 要 集 中 在 基 于 预 定 义 的 上 下 文 无 关 语 法 或 训 练 的 概 率 语 言 模 型 生 成 语 法 上 正 确 的 测 试 用 例 。 然 而 ， 语 法 上 正 确 的   J S   语 句 在 运 行 时 通 常 在 语 义 上 无 效 。 本 文 提 出 了 一 种 新 的 测 试 用 例 生 成 算 法 ， 实 现 了 模 糊 测 试 工 具 C o d e A l c h e m i s t 。 该 工 具 可 以 生 成 任 意 的 J a v a S c r i p t 代 码 片 段 ， 这 些 代 码 片 段 在 语 义 和 语 法 上 都 是 正 确 的 ， 并 且 它 有 效 地 产 生 了 可 以 导 致   J S   引 擎 崩 溃 的 测 试 用 例 。 最 后 ， 作 者 基 于 该 工 具 发 现 了 数 个 最 新 版 本   J S   引 擎 的 漏 洞 ， 并 向 供 应 商 报 告 了 这 些 漏 洞 。 为 了 生 成 在 语 法 和 语 义 上 都 有 效 的   J S   代 码 片 段 ， 作 者 提 出 了 基 于 语 义 感 知 的 代 码 块 组 合 技 术 （ s e m a n t i c - a w a r e a s s e m b l y ） ， 这 是 一 种 用 于   J S   引 擎 模 糊 测 试 的 新 型 测 试 用 例 生 成 算 法 。 该 方 法 最 关 键 的 部 分 是 将   J S 代 码 作 为   s e e d s   ， 将 其 拆 分 成 可 组 合 的 构 建 块 （ 代 码 块 ） ， 每 个 代 码 块 都 代 表 了 一 个 有 效 的   J S   抽 象 语 法 树 。 同 时 也 要 为   每 个 代 码 块 标 记 出 一 个 组 合 约 束 条 件 ， 这 是 将 代 码 块 与 其 他 代 码 块 互 连 时 要 遵 循 的 一 组 规 则 。 具 体 而 言 ， 组 合 约 束 条 件 包 含 两 种 ： 先 决 条 件 和 后 置 条 件 。 先 决 条 件 是 一 组 变 量 及 其 类 型 ， 需 要 预 先 定 义 这 些 符 号 从 而 可 以 在 没 有 运 行 时 错 误 的 情 况 下 执 行 代 码 块 。 后 置 条 件 描 述 了 在 代 码 块 的 末 尾 定 义 了 哪 种 变 量 ， 并 在 后 面 可 被 其 他 代 码 块 使 用 。 从 一 个 小 代 码 块 开 始 ， 语 义 感 知 组 合 技 术 通 过 反 复 合 并 不 同 代 码 块 来 进 行 扩 展 。 图   1   C o d e A l c h e m i s t   架 构 图 文 中 提 出 了 模 糊 测 试 工 具   C o d e A l c h e m i s t   的 体 系 架 构 （ 如 图   1 ） ， 它 将 一 组   J S   s e e d s   文 件 、 一 组 用 户 可 配 置 的 参 数 作 为 输 入 测 试 目 标   J S   引 擎 ， 并 输 出 在 引 擎 中 的 一 组 错 误 。 其 主 要 包 含 三 个 部 分 ： S e e d   P a r s e r   模 块 将   J S   s e e d s   分 解 为 不 同 的 代 码 块 ， C o n s t r a i n t   a n a l y z e r   模 块 为 每 个 代 码 块 推 断 出 其 组 合 约 束 条 件 ， E n g i n e   f u z z e r   则 根 据 组 件 约 束 条 件 池 中 的 代 码 块 ， 生 成 测 试 用 例 并 针 对 目 标   J S   引 擎 执 行 生 成 的 测 试 用 例 。 如 果 引 擎 崩 溃 ， 它 会 在 文 件 系 统 上 存 储 相 应 的 测 试 用 例 。
算 法 1   代 码 生 成 算 法 其 中 代 码 生 成 算 法 如 算 法   1 ， 其 中   i m a x   表 示 生 成 算 法 的 最 大 迭 代 轮 数 ， p b l k 代 表 重 新 生 成 代 码 块 的 概 率 ， i b l k 表 示 生 成 块 的 最 大 迭 代 轮 数 ， d m a x 则 代 表 冲 组 合 块 的 最 大 嵌 套 层 数 。 表   1   截 至   2 0 1 8   年   7   月   1 0   日 最 新   J S   引 擎 上 发 现 的 程 序 崩 溃 次 数 作 者 对 工 具 进 行 了 实 验 评 估 ， 评 估 角 度 包 含 了 可 用 的 测 试 用 例 数 量 、 造 成 程 序 崩 溃 的 错 误 数 量 以 及 与   j s f u n f u z z 、 I F u z z e r   经 典 工 具 的 效 果 对 比 。 最 终 效 果 对 比 如 表 1 所 示 。 表   2   C o d e A l c h e m i s t   发 现 的   b u g 最 后 ， 在 证 明 了   C o d e A l c h e m i s t   可 以 有 效 地 在 受 控 环 境 中 查 找 J S 引 擎 中 的 错 误 基 础 上 ， 作 者 在 使 用 的 同 一 台 服 务 器 上 针 对 最 新 的   J S   引 擎 也 运 行 了   C o d e A l c h e m i s t ， 并 使 用 各 种 不 同 的 参 数 测 试 大 约 一 周 ， 共 发 现   1 9   个 程 序 错 误 ， 其 中 1 1 个 可 被 进 一 步 利 用 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理