🙄 🥓 🌖 आईबी में गतिशील बाइनरी इंस्ट्रूमेंटेशन 👩🏾‍🤝‍👨🏽 ✊🏽 👊🏾

सॉफ्टवेयर की जटिलता बढ़ रही है - कार्यक्रम अधिक गतिशील हो रहे हैं, और उनके व्यवहार को केवल निष्पादन की प्रक्रिया में मूल्यांकन किया जा सकता है। इस तरह के अनुप्रयोगों का सुरक्षा मूल्यांकन (कमजोरियों, अनिर्धारित सुविधाओं आदि की खोज) का संचालन करना अधिक कठिन है। केवल स्थैतिक विश्लेषण दृष्टिकोण का उपयोग करना असंभव हो जाता है, क्योंकि गतिशील रूप से उत्पन्न कोड के कारण हम विश्लेषण के दौरान कोड की पूर्ण कवरेज की गारंटी भी नहीं दे सकते हैं। गतिशील विश्लेषण विधियाँ बचाव में आती हैं।

डायनामिक बाइनरी इंस्ट्रूमेंटेशन (DBI) के रूप में एक ऐसी अद्भुत तकनीक है, जिसमें बाइनरी निष्पादन योग्य कोड में विश्लेषण (सामान्य मामले में) प्रक्रियाओं को सम्मिलित करना शामिल है। इस दृष्टिकोण का मुख्य आकर्षण इस तथ्य में निहित है कि विश्लेषण किए गए एप्लिकेशन के स्रोत कोड की कोई आवश्यकता नहीं है - यह सीधे बाइनरी फ़ाइल के साथ काम करता है।

इंस्ट्रूमेंटेशन अपने विश्लेषण के उद्देश्य के लिए अध्ययन के तहत कार्यक्रम को संशोधित करने की प्रक्रिया है। इंस्ट्रूमेंटेशन प्रक्रियाएं आमतौर पर अतिरिक्त कोड डालने के लिए जिम्मेदार होती हैं, जिन्हें केवल एक बार बुलाया जाता है जब आवश्यक घटना होती है और लक्ष्य कार्यक्रम को संशोधित किया जाता है। जोड़ा गया कोड एक विश्लेषण प्रक्रिया है। ये प्रक्रियाएं अध्ययन (लक्ष्य) कार्यक्रम के आवश्यक विश्लेषण, संशोधन और निगरानी को पूरा करने के लिए जिम्मेदार हैं और हर बार कोड के एक विशिष्ट भाग तक पहुंचने या कार्यक्रम में एक विशिष्ट घटना होने (एक प्रक्रिया बनाने, एक अपवाद बनाने, आदि) को कहा जाता है। एक बाइनरी एप्लिकेशन का इंस्ट्रूमेंटेशन कार्यक्रम की विभिन्न स्तर पर प्रदर्शन किया जा सकता है:
• निर्देश;
• आधार इकाई;
• पटरियों;
• प्रक्रियाओं;
• बाइनरी फ़ाइल के अनुभाग;
• द्विआधारी छवि।

नतीजतन, गतिशील बाइनरी इंस्ट्रूमेंटेशन के लिए विशेष ढांचे ऐसे उपकरण बनाने के लिए विकसित किए गए थे जो प्रोग्राम निष्पादन के दौरान काम करते हैं। उनकी मदद से बनाए जा सकने वाले उपकरणों को डायनामिक बाइनरी एनालिसर्स (डीबीए, डायनेमिक बाइनरी एनालिसिस) कहा जाता है।

सबसे लोकप्रिय चौखटों में से चार को प्रतिष्ठित किया जा सकता है: पिन , डायनमोआरआईओ, डायनेस्ट, और वेलग्रिंड । आप मेरी प्रस्तुति "DBI: Intro" से प्रत्येक पुस्तकालय के बारे में अधिक जान सकते हैं ZeroNights सम्मेलन से।

इस लेख में, मैं इंटेल की पिन लाइब्रेरी पर ध्यान देना चाहूंगा, जिसे हम अपने DSecRG अनुसंधान केंद्र की परियोजनाओं के हिस्से के रूप में सक्रिय रूप से उपयोग कर रहे हैं, और विचार करें कि इसका उपयोग उन समस्याओं को हल करने के लिए कैसे किया जा सकता है जो बिना स्रोत कोड के बाइनरी अनुप्रयोगों के साथ काम करते समय उत्पन्न होती हैं।

यह पुस्तकालय सक्रिय रूप से विकसित और रखरखाव किया जाता है। इसके आस-पास एक काफी बड़ा समुदाय विकसित हो गया है - पिनहेड , जहाँ आप पिन के बारे में किसी भी प्रश्न का उत्तर पा सकते हैं।

सक्रिय रूप से डीबीआई ऐसे शांत सुरक्षा अनुसंधान केंद्रों का उपयोग करता है जैसे कि इम्युनिटी, ज़ेनॉमिक्स, रैपिड 7, सोर्सफायर वीआरटी, सेसिनेमा, आदि। डीबीआई का ज्ञान पहले से ही सॉफ्टवेयर सुरक्षा का मूल्यांकन करने और कारनामे विकसित करने में विशेषज्ञों की आवश्यकताओं में से एक के रूप में सामना किया गया है। मेटास्प्लोइट डेवलपमेंट टीम में एक्सप्लॉइट इंजीनियर नौकरी की रिक्ति से आवश्यकताओं का एक उदाहरण है:

पिन के साथ काम करने के एक उदाहरण के रूप में, शैडो स्टैक के कार्यान्वयन पर विचार करें, जिसका सार प्रोग्राम रिटर्न एड्रेस का अपना स्टैक बनाना है। इसके लिए धन्यवाद, स्टैक पर बफर ओवरफ्लो की पहचान तब की जा सकती है जब रिटर्न एड्रेस ओवरराइट हो जाता है। इस तरह के उपकरण का एल्गोरिथ्म बहुत सरल है: प्रत्येक फ़ंक्शन को कॉल करने से पहले, हम शैडो स्टैक में रिटर्न एड्रेस को याद करते हैं, और फ़ंक्शन से बाहर निकलने से पहले, हम शैडो स्टैक में संग्रहीत मान के साथ रिटर्न एड्रेस की तुलना करते हैं।

#include <stdio.h> #include "pin.H" #include <stack> typedef struct { ADDRINT address; ADDRINT value; } pAddr; // Shadow Stack stack<pAddr> protect; FILE * logfile; //-------------------------------------------------------------------------------------- VOID Fini(INT32 code, VOID *v) { fclose(logfile); } //-------------------------------------------------------------------------------------- VOID RtnEntry(ADDRINT esp, ADDRINT addr) { pAddr tmp; tmp.address = esp; tmp.value = *((ADDRINT *)esp); //     Shadow Stack protect.push(tmp); } //-------------------------------------------------------------------------------------- VOID RtnExit(ADDRINT esp, ADDRINT addr) { //    Shadow Stack if (protect.empty()) { fprintf(logfile, "WARNING! protection list empty\n"); return; } pAddr orig = protect.top(); ADDRINT cur_val = (*((ADDRINT *)orig.address)); //       Shadow Stack if (orig.value != cur_val) { fprintf(logfile, "Overwrite at: %x old value: %x, new value: %x\n", orig.address, orig.value, cur_val ); } //      Shadow Stack protect.pop(); } //-------------------------------------------------------------------------------------- //     VOID Routine(RTN rtn, VOID *v) { RTN_Open(rtn); SEC sec = RTN_Sec(rtn); IMG img = SEC_Img(sec); if ( IMG_IsMainExecutable(img) && (SEC_Name(sec) == ".text") ) { // ,     (RtnEntry) RTN_InsertCall(rtn, IPOINT_BEFORE,(AFUNPTR)RtnEntry, IARG_REG_VALUE, REG_ESP, IARG_INST_PTR, IARG_END); // ,     (RtnExit) RTN_InsertCall(rtn, IPOINT_AFTER ,(AFUNPTR)RtnExit, IARG_REG_VALUE, REG_ESP, IARG_INST_PTR, IARG_END); } RTN_Close(rtn); } //-------------------------------------------------------------------------------------- INT32 Usage() { PIN_ERROR( "This Pintool logs function return addresses in main module and reports modifications\n" + KNOB_BASE::StringKnobSummary() + "\n"); return -1; } //-------------------------------------------------------------------------------------- int main(int argc, char *argv[]) { //    PIN_InitSymbols(); //   PIN if (PIN_Init(argc, argv)) { return Usage(); } //  - logfile = fopen("protection.out", "w"); //  ,      RTN_AddInstrumentFunction(Routine, 0); //   ,       PIN_AddFiniFunction(Fini, 0); //  PIN_StartProgram(); return 0; }

आलेखीय रूप से, इस उपकरण के कार्य को निम्नानुसार दर्शाया जा सकता है:

आप सही तरीके से देख सकते हैं कि यह टूल केवल रिटर्न एड्रेस को दोबारा लिखने पर काम करेगा और रिटर्न एड्रेस के सामने डेटा को नष्ट करने पर कुछ भी नोटिस नहीं करेगा। किसी फ़ंक्शन के अंदर डेटा भ्रष्टाचार को नोटिस करने के लिए, आपको / RTC परिवार से एक ध्वज के साथ एक कार्यक्रम संकलित करने की आवश्यकता है, लेकिन यहां, सबसे पहले, आपको अध्ययन के तहत आवेदन का स्रोत कोड होना चाहिए, और दूसरी बात, एक नियम के रूप में, कार्यक्रम इसके विमोचन में जाते हैं, क्योंकि यह बहुत है कार्यक्रम के प्रदर्शन को प्रभावित करता है।

यह भी कहा जा सकता है कि / GS ध्वज एक समान कार्य करता है, रिटर्न एड्रेस से पहले एक विशेष कुकी मान को जोड़ने और फ़ंक्शन से बाहर निकलने से पहले इस मान की जाँच करता है। लेकिन यह ध्वज सभी कार्यक्रमों में उपयोग नहीं किया जाता है और कभी-कभी साधारण ऑपरेशन से स्टैक में बफर अतिप्रवाह की रक्षा करने में सक्षम नहीं होता है।

उदाहरण के लिए, func_bof () फ़ंक्शन में, असुरक्षित strcpy () फ़ंक्शन को कहा जाता है, जिसके इनपुट मापदंडों को किसी भी तरह से फ़िल्टर नहीं किया जाता है, जो स्टैक पर बफर अतिप्रवाह की ओर जाता है। नतीजतन, फ़ंक्शन पैरामीटर (वेरिएबल बी), कुकी (यदि कोई हो), रिटर्न एड्रेस ओवरराइट किया जाता है। लेकिन कुकी चेक तुरंत काम नहीं करेगा, क्योंकि प्रोग्राम अभी तक func_bof () फ़ंक्शन के अंत तक नहीं पहुंचा है, जिसके परिणामस्वरूप rewritten वेरिएबल b, महत्वपूर्ण_func () फ़ंक्शन में जाता है, जहां यह नेतृत्व कर सकता है, उदाहरण के लिए, पूर्णांक ओवरफ़्लो या अन्य डेटा को नकारात्मक रूप से प्रभावित करने के लिए। आगे बढ़ें, जिसके परिणामस्वरूप यह कार्यक्रम समस्या की वास्तविक जगह से दूर हो जाएगा। उपरोक्त कोड के सबसे सरल संशोधन का उपयोग करते हुए, आप चाइल्ड फ़ंक्शंस (चलो इसे होमवर्क के रूप में छोड़ते हैं) यहां तक कि फ़ंक्शन के रिटर्न पते की जांच कर सकते हैं, जिससे हम महत्वपूर्ण_फुनक () कॉल करने से पहले इस समस्या की पहचान कर सकेंगे।

और अंत में, मैं पिन का उपयोग करके कार्यान्वित दिलचस्प सार्वजनिक सुरक्षा परियोजनाओं की एक सूची दूंगा:
- शेलकोड डम्पर - मानक शेलकोड का एक डम्पर, जिसका सिद्धांत स्टैक या हीप के नियंत्रण के हस्तांतरण पर आधारित है।
- मोफ्लो-मिटिगेशन एक प्रोटोटाइप है जो आरओपी शेलकोड और जेआईटी शेलकोड की पहचान करता है।
- कोड-कवरेज-विश्लेषण-उपकरण - कोड कवरेज विश्लेषक।
- RunTracer - एक प्रोग्राम के नियंत्रण प्रवाह को ट्रैक करने के लिए उपकरणों का एक सेट।
- Kerckhoffs - कार्यक्रमों में क्रिप्टोग्राफिक प्राइमेटिक्स की अर्ध-स्वचालित पहचान के लिए एक उपकरण।
- VERA - कार्यक्रम को देखने के लिए एक उपकरण।
- ट्रिपोक्स - मैलवेयर पैकर विश्लेषक।
- गोपनीयता स्कोप - महत्वपूर्ण जानकारी के लीक का पता लगाने के लिए एक उपकरण।
- टार्टेटिनटूल - दुर्भावनापूर्ण कोड के विश्लेषण के लिए उपकरणों का एक सेट।

आईडीए प्रो डिस्सेम्बलर के साथ पिन टूल्स के परिणामों को एकीकृत करने के बहुत दिलचस्प कार्यान्वयन हैं, जो एक विज़ुअलाइज़र की भूमिका निभाता है:
- डिफकोव - रिकॉर्डिंग के लिए उपकरणों का एक सेट कार्यक्रम के बुनियादी ब्लॉकों को पूरा किया।
- रनटाइम-ट्रेसर - रजिस्टर मान और प्रोसेस्ड मेमोरी सेक्शन के साथ प्रोग्राम एक्जीक्यूशन ट्रेस बनाता है।

यह पिन का उपयोग करके कार्यान्वित सुरक्षा परियोजनाओं की पूरी सूची नहीं है, लेकिन यह मुझे लगता है कि यह आपके पिंटोल उपकरण बनाने के लिए पर्याप्त होगा।

मैं सूचना सुरक्षा के लिए डीबीआई / पिन में रुचि रखने वाले हर व्यक्ति को कार्यशाला में "सुरक्षा पेशेवरों के लिए बाइनरी इंस्ट्रूमेंटेशन" पर ध्यान देने की सलाह देता हूं ( स्लाइड , उदाहरण ) इंटेल से मेरे अच्छे दोस्त गैल डिस्किन से। मैं भाग्यशाली था कि इस कोर्स में भी मेरा हाथ था। इसे हैकर सम्मेलनों जैसे ब्लैकहैट, डेफ़कॉन और हैकलु में पढ़ा गया है।

आईबी में गतिशील बाइनरी इंस्ट्रूमेंटेशन

More articles: