연습 또 연습.

쉘코딩 (shellcoding) - (3)

범고래_1 — Wed, 8 Jun 2022 21:11:10 +0900

쉘코딩 하는 여러 방법 소개 시리즈 (3)

쉘코드 작성 후 바이너리로 만들고 실행할 때

/flag 읽는 쉘코드

// shellcode.S
#include <sys/syscall.h>
.intel_syntax noprefix
.global _start

.text
_start:

    /* open(file='/flag', oflag=0, mode=0) */
    /* push '/flag\x00' */
    push 0x67
    push 0x616c662f
    mov ebx, esp
    xor ecx, ecx
    xor edx, edx
    /* call open() */
    push SYS_open /* 5 */
    pop eax
    int 0x80

    /* read(fd='eax', buf='esp', nbytes=32) */
    mov ebx, eax
    mov ecx, esp
    push 0x30
    pop edx
    /* call read() */
    push 3 /* 3 */
    pop eax
    int 0x80
    
    /* write(fd=1, buf='esp', n=32) */
    push 1
    pop ebx
    mov ecx, esp
    push 0x30
    pop edx
    /* call write() */
    push SYS_write /* 4 */
    pop eax
    int 0x80

빌드 (x86)

gcc -c -o shellcode.o shellcode.S -m32
ld -m elf_i386 -o shellcode shellcode.o

실행

./shellcode

libssl install (libcrypto)

범고래_1 — Tue, 24 May 2022 15:46:54 +0900

x86

sudo dpkg --add-architecture i386
sudo apt update
sudo apt install libssl-dev:i386

x86-64

sudo apt update
sudo apt install libssl-dev

CLI에서 chrome driver 사용하기

범고래_1 — Tue, 17 May 2022 18:36:08 +0900

Ubuntu

sudo apt install chromium-chromedriver

Mac

brew tap homebrew/cask && brew cask install chromedriver

Reference

https://stackoverflow.com/questions/53330322/is-chrome-installation-needed-or-only-chromedriver-when-using-selenium/62449076#62449076

쉘코딩 (shellcoding) - (2)

범고래_1 — Fri, 25 Mar 2022 19:52:48 +0900

쉘코딩 하는 여러 방법 소개 시리즈 (2)

어셈 코딩하고 opcode만 뽑내는 법

아래 예시는 execve("/bin/sh", ["/bin/sh", 0], 0)

일단 쉘코딩

// gcc -m32 -c -o shellcode.o shellcode.S
#include <sys/syscall.h>

#define STRING  "/bin/sh"
#define STRLEN  7
#define ARGV0   (STRLEN+1)
#define ENVP    (ARGV0+4)

.intel_syntax noprefix
.text

.globl main
.type  main, @function

main:
  jmp     calladdr

popladdr:
  pop    esi                    /* esi points to STRING */
  mov    [ARGV0+esi],esi        /* set up argv[0] pointer to pathname */
  xor    eax,eax                /* get a 32-bit zero value */
  mov    [STRLEN + esi],al      /* null-terminate our string */
  mov    [ENVP + esi], eax      /* set up null envp */

  mov    al,SYS_execve          /* syscall number */
  mov    ebx,esi                /* arg 1: string pathname */
  lea    ecx,[ARGV0 + esi]      /* arg 2: argv */
  lea    edx,[ENVP + esi]       /* arg 3: envp */
  int    0x80                   /* execve("/bin/sh", ["/bin/sh", NULL], [NULL]) */

  xor    ebx,ebx                /* arg 1: 0 */
  mov    eax,ebx
  inc    eax                    /* exit(0) */
  /* mov+inc to avoid null byte */
  int    0x80                   /* invoke syscall */

calladdr:
  call    popladdr
  .string STRING

objcopy 사용해서 shellcode.bin으로 opcode 뽑기

#!/bin/bash
gcc -m32 -c -o shellcode.o shellcode.S
objcopy -S -O binary -j .text shellcode.o shellcode.bin
rm -rf shellcode.o

쉘코딩 (shellcoding) - (1)

범고래_1 — Fri, 25 Mar 2022 19:47:08 +0900

쉘코딩 하는 여러 방법 소개 시리즈 (1)

어셈 코딩하고 해당 코드를 실행하는 방법 소개

아래 예시는 argv[1] 문자열을 뒤집는 쉘코드

# main.s
# gcc -nostdlib main.s -m32
.intel_syntax noprefix
.global _start

.text
_start:
	push ebp
	mov ebp, esp

	# if (argc < 2) exit;
	cmp DWORD PTR [ebp+4], 2
	jl exit

	# length of argv[1] : esi
	mov esi, 0x0 # i = 0
loop:
	mov eax, DWORD PTR [ebp+0xc]
	add eax, esi
	add esi, 1
	cmp BYTE PTR[eax], 0
	jne loop
	sub esi, 1

# while (true) i--; if(i <= -1) break; write(1, &argv[1][i], 1)
write_one_char:
	mov eax, DWORD PTR [ebp+0xc]
	sub esi, 1
	cmp esi, -1
	jle exit
	add eax, esi

	# write(1, eax, 1)
	mov edx, 1
	mov ecx, eax
	mov ebx, 1
	mov eax, 4
	int 0x80 # write
	jmp write_one_char

# exit(0)
exit:
	mov ebx, 0x0
	mov eax, 0x1
	int 0x80 # exit

실행

$ ./a.out

AFL++ LTO mode

범고래_1 — Sat, 29 Jan 2022 21:46:10 +0900

AFL++에서 고오급 기능인 LTO 모드를 지원한다.

공식 문서에 따르면 LTO 모드를 사용하면 더 빠른 속도와 높은 커버리지를 가진다고 한다.

LTO 모드를 사용하기 위해서는 llvm 11 버전 이상을 사용해야 한다.

LTO 모드를 사용할 수 없으면 LLVM 모드를 사용하고, 이것도 불가능하면 GCC_PLUGIN 모드를 사용하고...

이런 식으로 점차 내려가게 된다. (https://github.com/AFLplusplus/AFLplusplus/blob/stable/docs/fuzzing_in_depth.md)

stable 버전인 13버전을 설치하고 LTO 모드를 사용해보자.

LLVM Install

다음 내용을 /etc/apt/sources.list.d에 적당히 추가해준다.

20.04(focal), 21.04(hirsute) 적당히 알맞게...

Focal (20.04) LTS - Last update : Fri, 28 Jan 2022 19:42:23 UTC / Revision: 20220128052849+ea05ee90596c
deb http://apt.llvm.org/focal/ llvm-toolchain-focal main
deb-src http://apt.llvm.org/focal/ llvm-toolchain-focal main
# 12
deb http://apt.llvm.org/focal/ llvm-toolchain-focal-12 main
deb-src http://apt.llvm.org/focal/ llvm-toolchain-focal-12 main
# 13
deb http://apt.llvm.org/focal/ llvm-toolchain-focal-13 main
deb-src http://apt.llvm.org/focal/ llvm-toolchain-focal-13 main

-------------------------------------------------

Hirsute (21.04) - Last update : Fri, 28 Jan 2022 22:19:17 UTC / Revision: 20220128083604+c2a961e414e0
deb http://apt.llvm.org/hirsute/ llvm-toolchain-hirsute main
deb-src http://apt.llvm.org/hirsute/ llvm-toolchain-hirsute main
# 12
deb http://apt.llvm.org/hirsute/ llvm-toolchain-hirsute-12 main
deb-src http://apt.llvm.org/hirsute/ llvm-toolchain-hirsute-12 main
# 13
deb http://apt.llvm.org/hirsute/ llvm-toolchain-hirsute-13 main
deb-src http://apt.llvm.org/hirsute/ llvm-toolchain-hirsute-13 main

Archive Signature

wget -O - https://apt.llvm.org/llvm-snapshot.gpg.key|sudo apt-key add -

sudo apt update

# LLVM
apt install libllvm-13-ocaml-dev libllvm13 llvm-13 llvm-13-dev llvm-13-doc llvm-13-examples llvm-13-runtime
# Clang and co
apt install clang-13 clang-tools-13 clang-13-doc libclang-common-13-dev libclang-13-dev libclang1-13 clang-format-13 python3-clang-13 clangd-13 clang-tidy-13
# libfuzzer
apt install libfuzzer-13-dev
# lldb
apt install lldb-13
# lld (linker)
apt install lld-13

apt install -y clang-13 clang-tools-13 libc++1-13 libc++-13-dev \
    libc++abi1-13 libc++abi-13-dev libclang1-13 libclang-13-dev \
    libclang-common-13-dev libclang-cpp13 libclang-cpp13-dev liblld-13 \
    liblld-13-dev liblldb-13 liblldb-13-dev libllvm13 libomp-13-dev \
    libomp5-13 lld-13 lldb-13 llvm-13 llvm-13-dev llvm-13-runtime llvm-13-tools

설치 확인

which llvm-config
llvm-config --version

PATH 설정

export PATH=/usr/lib/llvm-13/bin:$PATH

gcc plugin 설치

sudo apt install -y gcc-$(gcc --version|head -n1|sed 's/.* //'|sed 's/\..*//')-plugin-dev libstdc++-$(gcc --version|head -n1|sed 's/.* //'|sed 's/\..*//')-dev

AFL Build

apt install rustc cargo

git clone https://github.com/AFLplusplus/AFLplusplus
cd AFLplusplus
make source-only -j$(nproc)

make 옵션에 관한 상세한 사항은 여기서 참고.

qemu 모드를 쓰는게 아니면 source-only로 make해도 충분한 듯 하다.

make distrib은 모든 기능 빌드.

afl 관련 명령어를 편하게 쓰기 위해 path 추가. (굳이 make install 안 하고 이렇게 쓴다.)

export PATH=$PATH:/home/alkyne/AFLplusplus

Build Target Binary

이제 타겟 바이너리를 빌드할 때 afl-clang-lto, afl-clang-lto++로 빌드 하면 된다.

CC=afl-clang-lto CXX=afl-clang-lto++ LD=afl-ld-lto RANLIB=llvm-ranlib AR=llvm-ar ./configure --disable-shared --enable-lto
make -j$(nproc)

(만약 오류가 나면 AFL_LLVM_MAP_ADDR 값을 바꿔주거나 unset하자.)

빌드하면 이런식으로 mode : LLVM-LTO-PCGUARD가 찍히게 된다.

Fuzzing

Fuzzing 하는 방법은 똑같다.

afl-fuzz -m none -t 200 -i ../input -o ../output -M Main_vim -- ../../src/vim -u NONE -i NONE -n -X -Z -e -s -S @@ -c ":qa!"

References :

- https://github.com/AFLplusplus/AFLplusplus/blob/stable/instrumentation/README.lto.md

- https://cpuu.postype.com/post/11671863

- https://apt.llvm.org/

- https://aflplus.plus/building/

Acknowledgement

Special thanks to pwnstar.

Valgrind

범고래_1 — Thu, 27 Jan 2022 12:59:32 +0900

ASAN과 더불어 메모리 릭이나 access violation 확인할 때 유용하다.

Install

git clone git://sourceware.org/git/valgrind.git
cd valgrind
./autogen.sh
./configure
make

Binary build

CFLAGS="-g" CXXFLAGS="-g" LDFLAGS="-g" ./configure
make

Run

./vg-in-place -s ./executable

AFL++

범고래_1 — Thu, 27 Jan 2022 11:33:42 +0900

https://twitter.com/aflplusplus/status/1486278871318159364

AFL++ 4.00c 버전이 나왔다.

기존 AFL 2.52b, 2.57b 버전보다 훨훨훨씬 좋다.

무엇보다도 속도가 매우 빠르다.

Install

git clone https://github.com/AFLplusplus/AFLplusplus
cd AFLplusplus
make

afl-gcc,afl-g++, afl-clang, afl-clang-fast, afl-clang-fast++ 등등....

전부 afl-cc를 가리키고 있다.

CC랑 CXX 설정시 전부 이걸로 하면 된다.

Build

CC=[AFLplusplus_DIR]/afl-cc CXX=[AFLplusplus_DIR]/afl-cc ./configure
make

ASAN

export AFL_USE_ASAN=1
CC=[AFLplusplus_DIR]/afl-cc CXX=[AFLplusplus_DIR]/afl-cc CFLAGS="-fsanitize=address -g" CXXFLAGS="-fsanitize=address -g" LDFLAGS="-fsanitize=address -g" ./configure
make

환경변수 PATH 설정해놓으면 afl-whatsup, afl-cmin, afl-fuzz 등 툴 쓰기 편하다.

export PATH=$PATH:/home/alkyne/AFLplusplus

AFL Parallel fuzzing

범고래_1 — Mon, 24 Jan 2022 12:44:36 +0900

AFL은 단일 코어로 돌기 때문에, 멀티 코어로 퍼징하려면 각 코어마다 노드를 실행시켜야 한다.

한 개의 main 노드와 여러 개의 secondary 노드로 구성하면 된다.

각 노드는 주기적으로 싱크 디렉토리를 스캔하며, 재밌어 보이는 테스트 케이스를 자기 퍼저로 가져와 퍼징한다.

퍼포먼스 이유로 main 노드만이 큐를 싱크 시키며, secondary 노드들은 main 노드로 부터 싱크를 받아온다.

한번의 main 노드가 도는 동안 secondary 노드는 여려번의 cycle을 수행한다.

* 큐에 있는 모든 input이 퍼징될 때까지 반복하는 것이 하나의 cycle이다.

Main node

-M 옵션으로 main 노드 실행

afl-fuzz -i input -o output -M Main_fuzzer -- ./src/vim -u NONE -i NONE -n -X -Z -e -m -s -S @@ -c ":qa!"

Secondary Node

-S 옵션으로 secondary 노드 여러개 실행

afl-fuzz -i input -o output -S fuzzer01 -- ./src/vim -u NONE -i NONE -n -X -Z -e -m -s -S @@ -c ":qa!"
afl-fuzz -i input -o output -S fuzzer02 -- ./src/vim -u NONE -i NONE -n -X -Z -e -m -s -S @@ -c ":qa!"
afl-fuzz -i input -o output -S fuzzer03 -- ./src/vim -u NONE -i NONE -n -X -Z -e -m -s -S @@ -c ":qa!"

이렇게 하면 총 4개 코어로 퍼징을 하게 된다.

Monitor

퍼저들이 잘 돌아가고 있는지 afl-whatsup으로 확인

새 path를 찾지 못 하면 퍼징을 멈추면 된다.

afl-whatsup [-s] output

크래시 몽땅 확인

#!/bin/sh

for file in ~/fuzzing/fuzzing/output/Main_vim/crashes/*; do
echo $file >> resMain
timeout 4 ~/fuzzing/vim-asan/src -u NONE -i NONE -n -X -Z -e -m -s -S $file -c ":qa!" 2>> resMain
done

for file in ~/fuzzing/fuzzing/output/fuzzer01/crashes/*; do
echo $file >> res1
timeout 4 ~/fuzzing/vim-asan/src -u NONE -i NONE -n -X -Z -e -m -s -S $file -c ":qa!" 2>> res1
done

for file in ~/fuzzing/fuzzing/output/fuzzer02/crashes/*; do
echo $file >> res2
timeout 4 ~/fuzzing/vim-asan/src -u NONE -i NONE -n -X -Z -e -m -s -S $file -c ":qa!" 2>> res2
done

for file in ~/fuzzing/fuzzing/output/fuzzer03/crashes/*; do
echo $file >> res3
timeout 4 ~/fuzzing/vim-asan/src -u NONE -i NONE -n -X -Z -e -m -s -S $file -c ":qa!" 2>> res3
done

for file in ~/fuzzing/fuzzing/output/fuzzer04/crashes/*; do
echo $file >> res4
timeout 4 ~/fuzzing/vim-asan/src -u NONE -i NONE -n -X -Z -e -m -s -S $file -c ":qa!" 2>> res4
done

for file in ~/fuzzing/fuzzing/output/fuzzer05/crashes/*; do
echo $file >> res5
timeout 4 ~/fuzzing/vim-asan/src -u NONE -i NONE -n -X -Z -e -m -s -S $file -c ":qa!" 2>> res5
done

for file in ~/fuzzing/fuzzing/output/fuzzer06/crashes/*; do
echo $file >> res6
timeout 4 ~/fuzzing/vim-asan/src -u NONE -i NONE -n -X -Z -e -m -s -S $file -c ":qa!" 2>> res6
done

for file in ~/fuzzing/fuzzing/output/fuzzer07/crashes/*; do
echo $file >> res7
timeout 4 ~/fuzzing/vim-asan/src -u NONE -i NONE -n -X -Z -e -m -s -S $file -c ":qa!" 2>> res7
done

References :

https://d0ngr0thy.tistory.com/127

https://aflplus.plus/docs/parallel_fuzzing/

https://github.com/AFLplusplus/AFLplusplus/blob/stable/docs/fuzzing_in_depth.md

AFL Fuzzing

범고래_1 — Mon, 24 Jan 2022 02:42:42 +0900

Install AFL

wget http://lcamtuf.coredump.cx/afl/releases/afl-latest.tgz
tar -xvf afl-latest.tgz
cd afl-2.52b
make

# for afl-clang-fast and afl-clang-fast++
cd llvm_mode
make

# or
sudo apt install afl++

From git

git clone https://github.com/google/AFL
cd AFL
make
cd llvm_mode
make

Build target binary with afl-gcc

CC=[AFL_DIR]/afl-2.52b/afl-gcc CXX=[AFL_DIR]/afl-2.52b/afl-g++ ./configure

ASAN

export AFL_USE_ASAN=1

CC=[AFL_DIR]/afl-2.52b/afl-clang-fast CXX=[AFL_DIR]/afl-2.52b/afl-clang-fast++ CFLAGS="-fsanitize=address -g" CXXFLAGS="-fsanitize=address -g" LDFLAGS="-fsanitize=address -g" ./configure

export PATH=/usr/lib/llvm-10/bin:$PATH

Fuzzing

afl-fuzz -i input -o output -- ./src/vim -u NONE -i NONE -n -X -Z -e -m -s -S @@ -c ":qa!"

stdin fuzzing은 -f 옵션으로 파일 지정하면 된다.

-m none 옵션을 주면 메모리 제한 해제

Reproduce and check crashes

for file in output/crashes/*;do
echo Input: $file >> crash.log
./vim -u NONE -i NONE -S $file -c :qa! 2>> crash.log
done