Fuzzing untuk Menemukan Crash

Fuzzing adalah pengiriman input yang cacat atau terlalu besar ke program untuk memicu perilaku tak terduga, terutama keruntuhan. Keruntuhan sering menandakan adanya bug korupsi memori.

Untuk luapan buffer, tujuan pertama adalah membuat target mengalami keruntuhan agar kita tahu bahwa luapan memang ada.

Alur kerja eksploitasi klasik adalah:

• Melakukan fuzz untuk membuat program mengalami keruntuhan.
• Menemukan offset tepat ke alamat pengembalian.
• Mengendalikan EIP.
• Mengalihkan eksekusi ke kode shell.

Pelajaran ini membahas dua langkah pertama.

Untuk mengamati keruntuhan, pasang debugger (seperti Immunity Debugger atau x64dbg di Windows, atau GDB di Linux) ke target.

Saat program mengalami keruntuhan, debugger menampilkan keadaan register, terutama EIP, yang menunjukkan apakah kita menimpa alamat pengembalian.

Fuzzer sederhana mengirim string yang ukurannya terus bertambah sampai program mengalami keruntuhan. Titik awal yang umum adalah mengirim banyak karakter 'A' (0x41).

Jika EIP menampilkan 41414141 setelah keruntuhan, Anda telah memastikan kendali atas alamat pengembalian.

Saat aplikasi mengalami keruntuhan dan EIP sama dengan 41414141, luapan telah mencapai alamat pengembalian yang tersimpan.

Namun, Anda belum mengetahui secara tepat berapa banyak bita yang mendahului EIP. Mengirim bita yang semuanya sama memberi tahu bahwa EIP dapat dikendalikan, bukan letaknya.

Untuk menemukan offset yang tepat, kirim pola unik yang tidak berulang, bukan semua 'A'. Setiap jendela 4 bita berbeda, sehingga nilai yang masuk ke EIP menunjukkan offsetnya.

Metasploit menyediakan pattern_create.rb untuk keperluan ini.

Setelah keruntuhan terjadi dengan pola tersebut, catat nilai di EIP. Masukkan nilai itu ke pattern_offset.rb, dan alat tersebut akan mengembalikan jumlah bita tepat sebelum EIP.

Offset ini adalah ukuran padding sebelum bita alamat pengembalian.

Selalu lakukan verifikasi. Buat input yang terdiri atas offset bita 'A', diikuti empat bita 'B' (0x42). Jika EIP menjadi 42424242, offsetnya tepat.

Konfirmasi ini mencegah Anda membuang waktu berjam-jam untuk men-debug kesalahan selisih beberapa bita nantinya.

Setelah mengendalikan EIP, catat juga ke mana ESP menunjuk saat keruntuhan terjadi. ESP biasanya menunjuk tepat setelah alamat pengembalian yang ditimpa, ke bagian buffer Anda yang tersisa.

Ruang itulah yang nantinya akan digunakan untuk menempatkan kode shell.

Alat fuzzing dan pola yang berguna antara lain:

• Spike dan boofuzz: fuzzer protokol jaringan.
• pattern_create / pattern_offset: menemukan offset EIP.
• mona.py di Immunity: mengotomatiskan tugas pola, offset, dan karakter terlarang.

Keruntuhan yang berguna harus dapat direproduksi. Simpan input persis yang memicunya, lalu jalankan kembali dari keadaan bersih untuk memastikan offsetnya tetap stabil.

Keruntuhan yang tidak konsisten sering berarti bug tersebut bukan luapan stack yang jelas, atau ada kondisi (waktu, panjang, isi) yang berubah di antara eksekusi.

Ingat kembali alasan pola siklik lebih baik daripada string yang terdiri atas bita identik.

Sekarang Anda tahu cara menemukan offset keruntuhan:

• Melakukan fuzz dengan input yang terus membesar untuk memicu keruntuhan; konfirmasi dengan 41414141 di EIP.
• Gunakan pola siklik dengan pattern_create / pattern_offset untuk menemukan offset tepat.
• Verifikasi dengan padding + empat bita 'B' (42424242).
• Catat ke mana ESP menunjuk untuk penempatan kode shell nantinya.

Berikutnya Anda akan mengendalikan EIP sepenuhnya dan mengalihkan eksekusi.