Fuzzing zur Absturzsuche

Fuzzing bezeichnet das Senden fehlerhafter oder übergroßer Eingaben an ein Programm, um unerwartetes Verhalten, insbesondere Abstürze, auszulösen. Ein Absturz ist häufig ein Hinweis auf eine Speicherbeschädigungs-Sicherheitslücke.

Bei Pufferüberläufen besteht das erste Ziel darin, den Zielprozess zum Absturz zu bringen, damit wir wissen, dass ein Überlauf vorhanden ist.

Der klassische Ablauf beim Ausnutzen einer Schwachstelle ist:

• Durch Fuzzing das Programm zum Absturz bringen.
• Den genauen Offset bis zur Rücksprungadresse finden.
• EIP kontrollieren.
• Zu Shellcode umleiten.

Diese Lektion behandelt die ersten beiden Schritte.

Um Abstürze zu beobachten, hängen Sie einen Debugger (z. B. Immunity Debugger oder x64dbg unter Windows bzw. GDB unter Linux) an das Zielprogramm an.

Wenn das Programm abstürzt, zeigt der Debugger den Zustand der Register an, insbesondere von EIP. Dadurch lässt sich erkennen, ob wir die Rücksprungadresse überschrieben haben.

Ein einfacher Fuzzer sendet Zeichenketten mit zunehmender Länge, bis das Programm abstürzt. Häufig werden zunächst viele Zeichen 'A' (0x41) gesendet.

Wenn EIP nach dem Absturz 41414141 enthält, haben Sie die Kontrolle über die Rücksprungadresse bestätigt.

Wenn die Anwendung abstürzt und EIP 41414141 entspricht, hat der Überlauf die gespeicherte Rücksprungadresse erreicht.

Sie wissen jedoch noch nicht genau, wie viele Bytes vor EIP stehen. Wenn überall dasselbe Byte gesendet wird, zeigt das nur, dass EIP kontrollierbar ist, nicht aber, an welcher Position es sich befindet.

Um den exakten Offset zu finden, senden Sie statt ausschließlich 'A'-Zeichen ein eindeutiges, sich nicht wiederholendes Muster. Jedes 4-Byte-Fenster ist verschieden, sodass der in EIP landende Wert den Offset angibt.

Metasploit enthält dafür pattern_create.rb.

Notieren Sie nach dem Absturz mit dem Muster den Wert in EIP. Übergeben Sie ihn an pattern_offset.rb; das Tool gibt die exakte Anzahl der Bytes vor EIP zurück.

Dieser Offset entspricht der Größe des Auffüllbereichs vor den Bytes der Rücksprungadresse.

Überprüfen Sie ihn immer. Erstellen Sie eine Eingabe aus offset Bytes 'A', gefolgt von vier 'B'-Bytes (0x42). Wenn EIP zu 42424242 wird, ist der Offset exakt.

Diese Bestätigung verhindert, dass Sie später stundenlang einen Fehler debuggen, bei dem der Offset um wenige Bytes abweicht.

Nachdem Sie EIP kontrollieren, stellen Sie außerdem fest, worauf ESP im Moment des Absturzes zeigt. ESP zeigt normalerweise direkt hinter die überschriebenen Rücksprungadresse, in Ihren verbleibenden Puffer.

In diesem Bereich werden Sie später den Shellcode platzieren.

Zu den nützlichen Fuzzing- und Musterwerkzeugen gehören:

• Spike und boofuzz: Fuzzer für Netzwerkprotokolle.
• pattern_create / pattern_offset: ermitteln den EIP-Offset.
• mona.py in Immunity: automatisiert Aufgaben zu Mustern, Offsets und problematischen Zeichen.

Ein nützlicher Absturz muss reproduzierbar sein. Speichern Sie die exakte Eingabe, die ihn auslöst, und führen Sie sie aus einem sauberen Zustand erneut aus, um zu bestätigen, dass der Offset stabil ist.

Inkonsistente Abstürze bedeuten häufig, dass es sich nicht um einen sauberen Stacküberlauf handelt oder dass eine Bedingung (Zeitpunkt, Länge oder Inhalt) zwischen den Durchläufen variiert.

Rufen Sie sich in Erinnerung, warum ein zyklisches Muster besser ist als eine Zeichenkette aus identischen Bytes.

Sie wissen nun, wie Sie den Absturz-Offset finden:

• Fuzzing mit zunehmend größeren Eingaben löst einen Absturz aus; bestätigen Sie ihn mit 41414141 in EIP.
• Verwenden Sie ein zyklisches Muster mit pattern_create / pattern_offset, um den exakten Offset zu finden.
• Überprüfen Sie ihn mit Auffüllbytes plus vier 'B'-Bytes (42424242).
• Notieren Sie, worauf ESP zeigt, um später den Shellcode zu platzieren.

Als Nächstes übernehmen Sie EIP vollständig und leiten die Ausführung um.