anonymous?

Introduction 1. MCU 펌웨어 동적 분석 위한 기존 연구 방향들 1) harware-in-the-loop 실제 하드웨어를 사용해서 지원하지 않는 주변장치를 지원하게 하는 방법으로, 큰 스케일의 동적 분석에 부적절하다. 2) abstraction-base approach HALucinator는 HAL(Hardware Abstraction Layer) API를 펌웨어에 매칭시켜서 교체하는 방식을 사용한다.표준화가 필요하고 custom SoC에는 적용 불가능하다. 3) full-system emulation 실제 하드웨어 없이 펌웨어 전체를 에뮬레이트하는 방법으로, high fidelity를 가진다. P2IM는 주변장치에 적절한 응답을 찾기 위해 전문가 기반 휴리스틱 방법과 알지 못하는 주변장치의..

ANALYSIS/Paper Review 2022. 8. 25. 15:16

Binary 정보 $ file FUck_binary FUck_binary: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=583997ea22be0b90670780cb91b36de37e1100d2, not stripped Setting shared library를 로드할 수 없다고 오류가 뜬다. 임의로 shared library를 만들어서 오류를 해결한다. shared library 파일 내용 (fake_getflag.c) #include #include char *flag = "EKO{..

SYSTEM HACKING/CTF, etc 2022. 7. 16. 17:39

Prerequisite Windbg IDA Pro Windbg: target load target은 HncAppShield.dll 라이브러리인데, 이 라이브러리를 사용하는 exe 파일을 로드한다. HncAppShield.dll 라이브러리가 사용자에게 파일 내용 보여주기 전 악성 페이로드 등을 확인하는 기능을 하기 때문에, HwpViewer.exe에서 로드할 것이라고 생각하고 Windbg를 사용해서 HwpViewer.exe를 디버깅해보기로 했다. File → Open Executable로 HwpViewer.exe를 로드한다. Windbg: target dll base lm m !lmi Windbg에서 두 명령어로 base를 구할 수 있는데, !lmi 명령어가 더 보기 쉽다. target function o..

ANALYSIS/Fuzzing 2022. 7. 8. 15:59

Prerequisite WinAFL → 설치 과정 참고 Windbg Windows SDK에 windbg가 포함되어 있으므로, Windows SDK를 설치한다. Debugging Tools for Windows 만 선택해서 설치 IDA target 내 함수를 확인하고 offset 확인 위해 사용 target 선정 한글에는 security module인 HncAppShield가 있다. HncAppShield는 파일 내용을 파싱해서 사용자에게 문서 내용을 보여주기 전에 .hwp 파일을 스캔해서 파일 내 악성 페이로드가 있는지 확인한다. 이 module을 fuzzing target으로 잡았다. target 설치 HncAppShield.dll 파일이 있는 프로그램을 설치하면 된다. https://www.hanco..

ANALYSIS/Fuzzing 2022. 7. 8. 15:38

WinAFL AFL은 Windows를 지원하지 않는다. 따라서 AFL을 fork 해서 Windows에서 AFL과 다른 instrumentation approach로 fuzzing이 가능하도록 WinAFL이 개발되었다. Environment Windows 10 64bit VM Prerequisite Windows 10 VM cmake installer로 설치 후 재부팅하여 cmake 실행 시 아래와 같이 보이면 된다. DynamoRIO DynamoRIO 폴더 내 bin32\ 경로에 drrun.exe 등 사용 가능한 명령어가 있음 Visual Studio Visual Studio Cross Tool Command Prompt로 harness 등 컴파일 위해 필요 Download WinAFL WinAFL gi..

ANALYSIS/Fuzzing 2022. 7. 8. 15:17

dact download wget tar -xvf dact-0.8.42.tar.gz cd dact-0.8.42/ build target CC=$HOME/AFL/afl-gcc ./configure make Create Input echo hello > hello.txt ./dact hello.txt mkdir input mv hello.txt.dct input/ core 파일 생성 afl이 dact이 죽었는지 안 죽었는지 알 수 있음 Run AFL Fuzzer $ ~/AFL/afl-fuzz -i input -o output -- ./dact -dcf -i [TESTCASE_INPUT_DIR] -o [OUTPUT_DIR] -- [TARGET BINARY] [BINARY_PARAMS] Output crash ..

ANALYSIS/Fuzzing 2022. 6. 28. 12:20

dependency 설치 sudo apt-get update sudo apt-get install -y build-essential python3-dev automake cmake git flex bison libglib2.0-dev libpixman-1-dev python3-setuptools # try to install llvm 12 and install the distro default if that fails sudo apt-get install -y lld-12 llvm-12 llvm-12-dev clang-12 || sudo apt-get install -y lld llvm llvm-dev clang sudo apt-get install -y gcc-$(gcc --version|head -n..

ANALYSIS/Fuzzing 2022. 6. 28. 12:16

AFL 설치 $ git clone $ cd AFL $ AFL_USE_ASAN=1 # ASAN 사용 위해 make clean all 전 진행 $ make # compile AFL $ sudo make install ASAN 사용 llvm mode에서 컴파일 시 clang-fast 사용할 수 있고, afl-clang-fast++,afl-clang-fast로 컴파일 시 컴파일 단계에서 코드를 삽입(ASAN) target recompile 방법 afl-gcc 또는 afl-g++ 이용하여 target을 compile 한다. llvm mode로 afl-clang-fast 사용 가능하고, 이외에도 compile 방법은 여러가지가 있음 ASAN 사용 시 많은 정보가 나오는 대신 퍼징 시 성능 저하는 있기 때문에 llv..

ANALYSIS/Fuzzing 2022. 6. 28. 12:14

Environment Ubuntu 20.04.4 LTS Goal find a crash/PoC for CVE-2019-13288 in XPDF 3.02 Vulnerability Info: CVE-2018-13288 Parser.cc 내 Parser:getObj() 함수에서 crafted 파일 통해 infinite recursion 발생시켜서 원격 공격자는 이것으로 DoS 공격이 가능함 각 호출된 함수는 스택 내 stack frame을 할당하는데, infinite recursion으로 재귀적으로 호출되면 스택 메모리가 고갈되고 프로그램 crash로 이어질 수 있음 Xpdf build sudo apt install -y build-essential gcc # dependency wget tar -xvzf x..

ANALYSIS/Fuzzing 2022. 6. 27. 23:34

Paper https://www.usenix.org/system/files/woot20-paper-fioraldi.pdf Abstract state-of-the-art fuzzing 연구를 포함한 오픈소스 도구인 AFL++ 제안함 Introduction fuzzing에서의 어려움 fuzzing 기술들은 독립적으로 개발되어서 결합해서 사용하는 과정이 오래걸리고 fuzzing 기능 결합이 어려움 개발한 도구 평가가 어려움 앞선 fuzzing에서의 어려움 해결 위해 확장 가능한 API 제안 새로운 newline이 될 AFL++ 제안 연구자들은 이미 AFL++에 구현된 state-of-the-art 특징들을 통해 그들이 제안한 특징들을 비교하여 평가할 수 있음 연구에 사용하기 쉬운 특징들 제공 coverage-..

ANALYSIS/Paper Review 2022. 6. 27. 23:14

파일 정보 $ file 08_angr_constraints 08_angr_constraints: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 3.2.0, BuildID[sha1]=d53f4be8c8a8535398c061131666b583f07c6b19, not stripped 코드 분석 main() int __cdecl main(int argc, const char **argv, const char **envp) { signed int i; // [esp+Ch] [ebp-Ch] password = 'WISO'; dword_804A..

SYSTEM HACKING/CTF, etc 2022. 5. 15. 13:59

PAPER https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=7546500 ABSTRACT 이 논문에서는 여러 분석 기술들을 구현한 바이너리 분석 프레임워크를 제안한다. 제안한 바이너리 분석 프레임워크가 효율적인 바이너리 취약점 분석 기술임을 평가하기 위해 DARPA에서 생성한 데이터셋을 통해 평가한다. 이 프레임워크는 오픈소스이다. 1. INTRODUCTION 바이너리 분석의 중요성 interpreted 언어도 바이너리 프로그램에 의해 인터프리트 되었거나, JIT(Just-In-Time)으로 바이너리 코드로 컴파일 되었다. OS나 성능이 중요한 애플리케이션은 여전히 바이너리 코드로 컴파일 되는 언어(C, C++ 등)로 작성된다. IoT는 자원이 제약된..

ANALYSIS/Paper Review 2022. 5. 15. 09:00