การทำ fuzz เพื่อค้นหาการล่ม

ฟัซซิง คือการส่งข้อมูลนำเข้าที่ผิดรูปแบบหรือมีขนาดใหญ่เกินไปให้โปรแกรม เพื่อกระตุ้นพฤติกรรมที่ไม่คาดคิด โดยเฉพาะการหยุดทำงาน การหยุดทำงานมักบ่งชี้ถึงข้อบกพร่องที่ทำให้หน่วยความจำเสียหาย

สำหรับบัฟเฟอร์โอเวอร์โฟลว์ เป้าหมายแรกคือทำให้เป้าหมายหยุดทำงาน เพื่อยืนยันว่ามีโอเวอร์โฟลว์อยู่

ขั้นตอนการโจมตีแบบคลาสสิกมีดังนี้:

• ทำฟัซเพื่อทำให้โปรแกรมหยุดทำงาน
• ค้นหาออฟเซ็ตที่แน่นอนไปยังแอดเดรสย้อนกลับ
• ควบคุม EIP
• เปลี่ยนเส้นทางไปยังเชลล์โค้ด

บทเรียนนี้ครอบคลุมสองขั้นตอนแรก

หากต้องการสังเกตการหยุดทำงาน ให้แนบตัวดีบัก (เช่น Immunity Debugger หรือ x64dbg บน Windows หรือ GDB บน Linux) เข้ากับเป้าหมาย

เมื่อโปรแกรมหยุดทำงาน ตัวดีบักจะแสดงสถานะของเรจิสเตอร์ โดยเฉพาะ EIP ซึ่งเผยให้เห็นว่าเราเขียนทับแอดเดรสย้อนกลับแล้วหรือไม่

ฟัซเซอร์อย่างง่ายจะส่งสตริงที่มีขนาดเพิ่มขึ้นเรื่อย ๆ จนกว่าโปรแกรมจะหยุดทำงาน จุดเริ่มต้นที่ใช้กันทั่วไปคือการส่งอักขระ 'A' จำนวนมาก (0x41)

หาก EIP แสดง 41414141 หลังการหยุดทำงาน แสดงว่าคุณยืนยันการควบคุมแอดเดรสย้อนกลับได้แล้ว

เมื่อแอปพลิเคชันหยุดทำงานและ EIP เท่ากับ 41414141 โอเวอร์โฟลว์ได้ไปถึงแอดเดรสย้อนกลับที่บันทึกไว้แล้ว

แต่คุณยังไม่ทราบว่ามีไบต์กี่ไบต์อยู่ก่อน EIP อย่างแน่ชัด การส่งไบต์เดียวกันทั้งหมดบอกได้เพียงว่าควบคุม EIP ได้ ไม่ได้บอกตำแหน่งของ EIP

หากต้องการหาออฟเซ็ตที่แม่นยำ ให้ส่งรูปแบบเฉพาะที่ไม่ซ้ำกันแทนการส่ง 'A' ทั้งหมด หน้าต่างขนาด 4 ไบต์แต่ละหน้าต่างจะแตกต่างกัน ดังนั้นค่าที่ไปอยู่ใน EIP จึงระบุออฟเซ็ตได้

Metasploit มี pattern_create.rb มาให้สำหรับงานนี้

หลังจากหยุดทำงานด้วยรูปแบบดังกล่าว ให้จดค่าที่อยู่ใน EIP แล้วส่งค่าให้ pattern_offset.rb ซึ่งจะคืนจำนวนไบต์ที่แน่นอนก่อนถึง EIP

ออฟเซ็ตนี้คือขนาดของข้อมูลเติมก่อนหน้าไบต์ของแอดเดรสย้อนกลับ

โปรดตรวจสอบเสมอ สร้างข้อมูลนำเข้าที่มีไบต์ 'A' จำนวน offset ไบต์ ตามด้วยไบต์ 'B' สี่ไบต์ (0x42) หาก EIP กลายเป็น 42424242 แสดงว่าออฟเซ็ตถูกต้อง

การยืนยันนี้ช่วยป้องกันการเสียเวลาหลายชั่วโมงไปกับการแก้ไขข้อผิดพลาดที่คลาดเคลื่อนไปไม่กี่ไบต์ในภายหลัง

หลังจากควบคุม EIP แล้ว ให้สังเกตด้วยว่า ESP ชี้ไปที่ใดในขณะที่เกิดการหยุดทำงาน โดยปกติ ESP จะชี้ไปถัดจากแอดเดรสย้อนกลับที่ถูกเขียนทับ เข้าไปยังบัฟเฟอร์ส่วนที่เหลือของคุณ

พื้นที่นั้นคือบริเวณที่คุณจะวางเชลล์โค้ดในภายหลัง

เครื่องมือฟัซซิงและเครื่องมือสร้างรูปแบบที่มีประโยชน์ ได้แก่:

• Spike และ boofuzz: เครื่องมือฟัซโปรโตคอลเครือข่าย
• pattern_create / pattern_offset: ใช้ระบุตำแหน่งออฟเซ็ตของ EIP
• mona.py ใน Immunity: ทำงานรูปแบบ ออฟเซ็ต และอักขระต้องห้ามโดยอัตโนมัติ

การหยุดทำงานที่มีประโยชน์ต้องทำซ้ำได้ ให้บันทึกข้อมูลนำเข้าที่ทำให้เกิดปัญหาไว้อย่างครบถ้วน และเรียกใช้ใหม่จากสถานะสะอาดเพื่อยืนยันว่าออฟเซ็ตคงที่

การหยุดทำงานที่ไม่สม่ำเสมอมักหมายความว่าข้อบกพร่องไม่ใช่สแตกโอเวอร์โฟลว์ที่ชัดเจน หรือมีเงื่อนไขบางอย่าง (จังหวะเวลา ความยาว เนื้อหา) เปลี่ยนแปลงไปในแต่ละครั้งที่เรียกใช้

ลองทบทวนว่าเหตุใดรูปแบบวนซ้ำจึงดีกว่าสตริงที่ประกอบด้วยไบต์เหมือนกันทั้งหมด

ขณะนี้คุณทราบวิธีค้นหาออฟเซ็ตที่ทำให้โปรแกรมหยุดทำงานแล้ว:

• ทำฟัซด้วยข้อมูลนำเข้าที่เพิ่มขึ้นเพื่อกระตุ้นการหยุดทำงาน และยืนยันด้วย 41414141 ใน EIP
• ใช้รูปแบบวนซ้ำร่วมกับ pattern_create / pattern_offset เพื่อค้นหาออฟเซ็ตที่แน่นอน
• ตรวจสอบด้วยข้อมูลเติมและไบต์ 'B' สี่ไบต์ (42424242)
• สังเกตว่า ESP ชี้ไปที่ใดเพื่อใช้วางเชลล์โค้ดในภายหลัง

ถัดไปคุณจะควบคุม EIP ได้อย่างสมบูรณ์และเปลี่ยนเส้นทางการทำงาน