anonymous?

Prerequisite Windbg IDA Pro Windbg: target load target은 HncAppShield.dll 라이브러리인데, 이 라이브러리를 사용하는 exe 파일을 로드한다. HncAppShield.dll 라이브러리가 사용자에게 파일 내용 보여주기 전 악성 페이로드 등을 확인하는 기능을 하기 때문에, HwpViewer.exe에서 로드할 것이라고 생각하고 Windbg를 사용해서 HwpViewer.exe를 디버깅해보기로 했다. File → Open Executable로 HwpViewer.exe를 로드한다. Windbg: target dll base lm m !lmi Windbg에서 두 명령어로 base를 구할 수 있는데, !lmi 명령어가 더 보기 쉽다. target function o..

ANALYSIS/Fuzzing 2022. 7. 8. 15:59

Prerequisite WinAFL → 설치 과정 참고 Windbg Windows SDK에 windbg가 포함되어 있으므로, Windows SDK를 설치한다. Debugging Tools for Windows 만 선택해서 설치 IDA target 내 함수를 확인하고 offset 확인 위해 사용 target 선정 한글에는 security module인 HncAppShield가 있다. HncAppShield는 파일 내용을 파싱해서 사용자에게 문서 내용을 보여주기 전에 .hwp 파일을 스캔해서 파일 내 악성 페이로드가 있는지 확인한다. 이 module을 fuzzing target으로 잡았다. target 설치 HncAppShield.dll 파일이 있는 프로그램을 설치하면 된다. https://www.hanco..

ANALYSIS/Fuzzing 2022. 7. 8. 15:38

WinAFL AFL은 Windows를 지원하지 않는다. 따라서 AFL을 fork 해서 Windows에서 AFL과 다른 instrumentation approach로 fuzzing이 가능하도록 WinAFL이 개발되었다. Environment Windows 10 64bit VM Prerequisite Windows 10 VM cmake installer로 설치 후 재부팅하여 cmake 실행 시 아래와 같이 보이면 된다. DynamoRIO DynamoRIO 폴더 내 bin32\ 경로에 drrun.exe 등 사용 가능한 명령어가 있음 Visual Studio Visual Studio Cross Tool Command Prompt로 harness 등 컴파일 위해 필요 Download WinAFL WinAFL gi..

ANALYSIS/Fuzzing 2022. 7. 8. 15:17

dact download wget tar -xvf dact-0.8.42.tar.gz cd dact-0.8.42/ build target CC=$HOME/AFL/afl-gcc ./configure make Create Input echo hello > hello.txt ./dact hello.txt mkdir input mv hello.txt.dct input/ core 파일 생성 afl이 dact이 죽었는지 안 죽었는지 알 수 있음 Run AFL Fuzzer $ ~/AFL/afl-fuzz -i input -o output -- ./dact -dcf -i [TESTCASE_INPUT_DIR] -o [OUTPUT_DIR] -- [TARGET BINARY] [BINARY_PARAMS] Output crash ..

ANALYSIS/Fuzzing 2022. 6. 28. 12:20

dependency 설치 sudo apt-get update sudo apt-get install -y build-essential python3-dev automake cmake git flex bison libglib2.0-dev libpixman-1-dev python3-setuptools # try to install llvm 12 and install the distro default if that fails sudo apt-get install -y lld-12 llvm-12 llvm-12-dev clang-12 || sudo apt-get install -y lld llvm llvm-dev clang sudo apt-get install -y gcc-$(gcc --version|head -n..

ANALYSIS/Fuzzing 2022. 6. 28. 12:16

AFL 설치 $ git clone $ cd AFL $ AFL_USE_ASAN=1 # ASAN 사용 위해 make clean all 전 진행 $ make # compile AFL $ sudo make install ASAN 사용 llvm mode에서 컴파일 시 clang-fast 사용할 수 있고, afl-clang-fast++,afl-clang-fast로 컴파일 시 컴파일 단계에서 코드를 삽입(ASAN) target recompile 방법 afl-gcc 또는 afl-g++ 이용하여 target을 compile 한다. llvm mode로 afl-clang-fast 사용 가능하고, 이외에도 compile 방법은 여러가지가 있음 ASAN 사용 시 많은 정보가 나오는 대신 퍼징 시 성능 저하는 있기 때문에 llv..

ANALYSIS/Fuzzing 2022. 6. 28. 12:14

Environment Ubuntu 20.04.4 LTS Goal find a crash/PoC for CVE-2019-13288 in XPDF 3.02 Vulnerability Info: CVE-2018-13288 Parser.cc 내 Parser:getObj() 함수에서 crafted 파일 통해 infinite recursion 발생시켜서 원격 공격자는 이것으로 DoS 공격이 가능함 각 호출된 함수는 스택 내 stack frame을 할당하는데, infinite recursion으로 재귀적으로 호출되면 스택 메모리가 고갈되고 프로그램 crash로 이어질 수 있음 Xpdf build sudo apt install -y build-essential gcc # dependency wget tar -xvzf x..

ANALYSIS/Fuzzing 2022. 6. 27. 23:34