Фаззинг для поиска сбоев

Фаззинг — это отправка программе искажённых или слишком больших входных данных для вызова неожиданного поведения, особенно сбоев. Сбой часто указывает на ошибку, связанную с повреждением памяти.

При переполнении буфера первая цель — вызвать сбой целевой программы, чтобы убедиться в наличии переполнения.

Классический порядок эксплуатации таков:

• Выполнить фаззинг, чтобы вызвать сбой программы.
• Найти точное смещение до адреса возврата.
• Получить управление EIP.
• Перенаправить выполнение на шелл-код.

В этом уроке рассматриваются первые два шага.

Чтобы наблюдать сбои, подключите отладчик (например, Immunity Debugger или x64dbg в Windows либо GDB в Linux) к целевой программе.

Когда программа завершается сбоем, отладчик показывает состояние регистров, особенно EIP, что позволяет определить, перезаписали ли Вы адрес возврата.

Простой фаззер отправляет строки всё большей длины, пока программа не завершится сбоем. Обычно начинают с отправки множества символов «A» (0x41).

Если после сбоя EIP содержит 41414141, Вы подтвердили возможность управления адресом возврата.

Когда приложение завершается сбоем и EIP равен 41414141, переполнение достигло сохранённого адреса возврата.

Однако Вы ещё не знаете, сколько именно байтов находится перед EIP. Отправка одинакового байта показывает, что EIP можно контролировать, но не показывает его положение.

Чтобы найти точное смещение, отправьте уникальный неповторяющийся шаблон вместо одних только «A». Каждое 4-байтовое окно отличается от остальных, поэтому значение, попавшее в EIP, определяет смещение.

Metasploit поставляется с инструментом pattern_create.rb для этой цели.

После сбоя с шаблоном запишите значение в EIP. Передайте его инструменту pattern_offset.rb, и он вернёт точное число байтов перед EIP.

Это смещение равно размеру заполнения перед байтами адреса возврата.

Всегда выполняйте проверку. Сформируйте входные данные из offset байтов «A», за которыми следуют четыре байта «B» (0x42). Если EIP станет равен 42424242, смещение определено точно.

Такая проверка поможет не тратить часы на последующую отладку ошибки, вызванной смещением на несколько байтов.

Получив управление EIP, также запишите, куда указывает ESP в момент сбоя. Обычно ESP указывает сразу за перезаписанным адресом возврата — в оставшуюся часть Вашего буфера.

Именно там Вы позже разместите шелл-код.

К полезным инструментам для фаззинга и работы с шаблонами относятся:

• Spike и boofuzz: фаззеры сетевых протоколов.
• pattern_create / pattern_offset: поиск смещения EIP.
• mona.py в Immunity: автоматизация работы с шаблонами, смещением и недопустимыми символами.

Полезный сбой должен быть воспроизводимым. Сохраните точные входные данные, которые его вызывают, и повторите запуск из чистого состояния, чтобы подтвердить стабильность смещения.

Непредсказуемые сбои часто означают, что ошибка не является обычным переполнением стека или что некоторое условие (время, длина, содержимое) меняется между запусками.

Вспомните, почему циклический шаблон лучше строки из одинаковых байтов.

Теперь Вы знаете, как найти смещение сбоя:

• Выполните фаззинг с увеличивающимися входными данными, чтобы вызвать сбой; подтвердите его появлением 41414141 в EIP.
• Используйте циклический шаблон с pattern_create / pattern_offset, чтобы найти точное смещение.
• Проверьте результат с помощью заполнения и четырёх байтов «B» (42424242).
• Запишите, куда указывает ESP, чтобы позже разместить шелл-код.

Далее Вы полностью получите управление EIP и перенаправите выполнение.