Fuzzing pour provoquer des plantages

Le test par mutations consiste à envoyer à un programme des données malformées ou trop volumineuses afin de provoquer un comportement inattendu, notamment un plantage. Un plantage signale souvent un problème de corruption mémoire.

Pour les dépassements de tampon, le premier objectif est de faire planter la cible afin de confirmer l'existence d'un dépassement.

Le processus classique d'exploitation est le suivant :

• Tester par mutations pour faire planter le programme.
• Trouver le décalage exact jusqu'à l'adresse de retour.
• Contrôler EIP.
• Rediriger vers le code shell.

Cette leçon couvre les deux premières étapes.

Pour observer les plantages, attachez un débogueur (par exemple Immunity Debugger ou x64dbg sous Windows, ou GDB sous Linux) à la cible.

Lorsque le programme plante, le débogueur affiche l'état des registres, en particulier EIP, ce qui permet de déterminer si nous avons écrasé l'adresse de retour.

Un testeur rudimentaire envoie des chaînes de plus en plus longues jusqu'au plantage du programme. Un point de départ courant consiste à envoyer de nombreux caractères « A » (0x41).

Si EIP affiche 41414141 après le plantage, vous avez confirmé que vous contrôlez l'adresse de retour.

Lorsque l'application plante et qu'EIP vaut 41414141, le dépassement a atteint l'adresse de retour sauvegardée.

Mais vous ne savez pas encore exactement combien d'octets précèdent EIP. Envoyer toujours le même octet indique que vous contrôlez EIP, mais pas où il se trouve.

Pour trouver le décalage précis, envoyez un motif unique et non répétitif au lieu de caractères « A » répétés. Chaque fenêtre de 4 octets est distincte, de sorte que la valeur arrivée dans EIP identifie le décalage.

Metasploit fournit pattern_create.rb à cet effet.

Après le plantage provoqué par le motif, notez la valeur présente dans EIP. Donnez-la à pattern_offset.rb, qui renvoie le nombre exact d'octets précédant EIP.

Ce décalage correspond à la taille du remplissage placé avant les octets de l'adresse de retour.

Vérifiez toujours le résultat. Construisez une entrée composée de offset octets « A », suivis de quatre octets « B » (0x42). Si EIP devient 42424242, le décalage est exact.

Cette confirmation vous évite de perdre des heures à rechercher plus tard une erreur de quelques octets.

Après avoir contrôlé EIP, notez également vers quelle zone pointe ESP au moment du plantage. ESP pointe généralement juste après l'adresse de retour écrasée, dans la partie restante de votre tampon.

C'est à cet endroit que vous placerez plus tard le code shell.

Parmi les outils utiles pour les tests par mutations et les motifs figurent :

• Spike et boofuzz : testeurs par mutations de protocoles réseau.
• pattern_create / pattern_offset : localisent le décalage d'EIP.
• mona.py dans Immunity : automatise les tâches liées aux motifs, aux décalages et aux caractères interdits.

Un plantage utile doit être reproductible. Enregistrez les données exactes qui le déclenchent, puis recommencez depuis un état propre afin de confirmer que le décalage reste stable.

Des plantages incohérents signifient souvent que le problème n'est pas un dépassement de pile net, ou qu'une condition (le moment, la longueur ou le contenu) varie d'une exécution à l'autre.

Rappelez-vous pourquoi un motif cyclique est plus efficace qu'une chaîne d'octets identiques.

Vous savez maintenant trouver le décalage du plantage :

• Testez par mutations avec des données de taille croissante pour provoquer un plantage ; confirmez-le avec 41414141 dans EIP.
• Utilisez un motif cyclique avec pattern_create / pattern_offset pour trouver le décalage exact.
• Vérifiez avec le remplissage suivi de quatre octets « B » (42424242).
• Notez vers quelle zone pointe ESP pour placer ultérieurement le code shell.

Ensuite, vous contrôlerez entièrement EIP et redirigerez l'exécution.