الاختبار العشوائي بحثًا عن الأعطال

يتمثل Fuzzing في إرسال إدخال مشوه أو كبير الحجم إلى برنامج لتحفيز سلوك غير متوقع، وخاصةً حالات الانهيار. وغالبًا ما يشير الانهيار إلى وجود خطأ في تلف الذاكرة.

في حالات تجاوز سعة المخزن المؤقت، يتمثل الهدف الأول في جعل الهدف ينهار، للتأكد من وجود تجاوز للسعة.

يتكون سير العمل التقليدي للاستغلال من الخطوات التالية:

• استخدم Fuzz لإسقاط البرنامج.
• اعثر على الإزاحة الدقيقة إلى عنوان العودة.
• تحكم في EIP.
• أعد التوجيه إلى shellcode.

يتناول هذا الدرس الخطوتين الأوليين.

لمراقبة حالات الانهيار، أرفق مصحح أخطاء، مثل Immunity Debugger أو x64dbg على Windows، أو GDB على Linux، بالهدف.

عندما ينهار البرنامج، يعرض مصحح الأخطاء حالة السجلات، وخاصةً EIP، الذي يوضح ما إذا كنا قد كتبنا فوق عنوان العودة.

يرسل مختبر Fuzzing بسيط سلاسل نصية متزايدة الطول حتى ينهار البرنامج. ومن نقاط البداية الشائعة إرسال عدد كبير من المحارف 'A' ‏(0x41).

إذا عرض EIP القيمة 41414141 بعد الانهيار، فقد أكدت قدرتك على التحكم في عنوان العودة.

عندما ينهار التطبيق وتساوي قيمة EIP 41414141، فهذا يعني أن التجاوز وصل إلى عنوان العودة المحفوظ.

لكنكم لا تعرفون بعد عدد البايتات التي تسبق EIP بالضبط. فإرسال البايت نفسه بالكامل يخبركم بأن EIP قابل للتحكم، لكنه لا يحدد موضعه.

للعثور على الإزاحة الدقيقة، أرسل نمطًا فريدًا غير متكرر بدلًا من إرسال محارف 'A' فقط. تكون كل نافذة من 4 بايتات مميزة، ولذلك تحدد القيمة التي تصل إلى EIP الإزاحة.

يوفر Metasploit الأداة pattern_create.rb.

بعد حدوث الانهيار باستخدام النمط، دوّن القيمة الموجودة في EIP. مررها إلى pattern_offset.rb، وستعيد الأداة العدد الدقيق للبايتات التي تسبق EIP.

تمثل هذه الإزاحة حجم الحشو الذي يسبق بايتات عنوان العودة.

تحقق دائمًا من النتيجة. أنشئ إدخالًا يتكون من offset بايتات من 'A' متبوعة بأربع بايتات من 'B' ‏(0x42). إذا أصبحت قيمة EIP هي 42424242، فالإزاحة دقيقة.

يمنع هذا التأكيد إضاعة ساعات في تصحيح خطأ ناتج عن زيادة أو نقص بضعة بايتات لاحقًا.

بعد التحكم في EIP، دوّن أيضًا الموضع الذي يشير إليه ESP لحظة الانهيار. فعادةً ما يشير ESP إلى الموضع الذي يلي عنوان العودة الذي تمت الكتابة فوقه، داخل المخزن المؤقت المتبقي.

ستضع shellcode لاحقًا في تلك المساحة.

تشمل أدوات Fuzzing والأنماط المفيدة ما يلي:

• Spike وboofuzz: مختبرات Fuzzing لبروتوكولات الشبكة.
• pattern_create / pattern_offset: تحديد إزاحة EIP.
• mona.py في Immunity: أتمتة مهام النمط والإزاحة والمحارف غير الصالحة.

يجب أن يكون الانهيار المفيد قابلًا لإعادة الإنتاج. احفظ الإدخال الدقيق الذي يسببه، ثم أعد تشغيله من حالة نظيفة للتأكد من ثبات الإزاحة.

غالبًا ما تعني حالات الانهيار غير المتسقة أن الخطأ ليس تجاوزًا نظيفًا لسعة المكدس، أو أن أحد الشروط، مثل التوقيت أو الطول أو المحتوى، يتغير بين عمليات التشغيل.

تذكّر سبب تفوق النمط الدوري على سلسلة من البايتات المتطابقة.

أصبحت الآن تعرف كيفية العثور على إزاحة الانهيار:

• استخدم Fuzz مع إدخال متزايد الحجم لتحفيز الانهيار؛ وأكد ذلك بظهور 41414141 في EIP.
• استخدم نمطًا دوريًا مع pattern_create / pattern_offset للعثور على الإزاحة الدقيقة.
• تحقق باستخدام الحشو متبوعًا بأربع بايتات من 'B' ‏(42424242).
• دوّن الموضع الذي يشير إليه ESP لاستخدامه لاحقًا في وضع shellcode.

ستتحكم في الخطوة التالية تحكمًا كاملًا في EIP، ثم تعيد توجيه التنفيذ.