Çökmeler için Bulanıklaştırma

Fuzz testi, beklenmeyen davranışları, özellikle çökmeleri tetiklemek için bir programa hatalı biçimlendirilmiş veya aşırı büyük girdiler göndermektir. Bir çökme çoğu zaman bellek bozulması hatasına işaret eder.

Arabellek taşmalarında ilk amaç, taşmanın var olduğunu anlamak için hedefin çökmesini sağlamaktır.

Klasik istismar iş akışı şöyledir:

• Programı çökertmek için fuzz testi uygulayın.
• Dönüş adresine olan kesin uzaklığı bulun.
• EIP'yi denetleyin.
• Kabuk koduna yönlendirin.

Bu ders ilk iki adımı kapsar.

Çökmeleri gözlemlemek için hedefe bir hata ayıklayıcı (Windows'ta Immunity Debugger veya x64dbg, Linux'ta GDB gibi) bağlayın.

Program çöktüğünde hata ayıklayıcı, özellikle dönüş adresinin üzerine yazıp yazmadığımızı gösteren EIP başta olmak üzere yazmaçların durumunu gösterir.

Basit bir fuzz aracı, program çökene kadar giderek büyüyen dizeler gönderir. Yaygın bir başlangıç noktası, çok sayıda 'A' karakteri (0x41) göndermektir.

Çökmeden sonra EIP 41414141 değerini gösteriyorsa dönüş adresini denetleyebildiğiniz doğrulanmıştır.

Uygulama çöktüğünde ve EIP 41414141'e eşit olduğunda taşma, kaydedilmiş dönüş adresine ulaşmıştır.

Ancak EIP'den önce tam olarak kaç bayt bulunduğunu henüz bilmiyorsunuz. Aynı baytın tamamını göndermek EIP'nin denetlenebildiğini, nerede bulunduğunu değil, gösterir.

Kesin uzaklığı bulmak için tüm 'A' karakterleri yerine tekrarlanmayan benzersiz bir desen gönderin. Her 4 baytlık pencere farklı olduğundan EIP'ye ulaşan değer uzaklığı belirler.

Metasploit bunun için pattern_create.rb aracını sağlar.

Desenle çökme oluşturduktan sonra EIP'deki değeri not edin. Bu değeri pattern_offset.rb'ye verin; araç EIP'den önceki kesin bayt sayısını döndürür.

Bu uzaklık, dönüş adresi baytlarından önceki dolgu verinizin boyutudur.

Her zaman doğrulama yapın. offset bayt uzunluğunda 'A' karakterlerinden ve ardından dört 'B' baytından (0x42) oluşan bir girdi hazırlayın. EIP 42424242 değerine dönüşürse uzaklık kesindir.

Bu doğrulama, daha sonra birkaç baytlık bir hatayı ayıklarken saatlerinizin boşa gitmesini önler.

EIP'yi denetledikten sonra, çökme anında ESP'nin nereye işaret ettiğini de not edin. ESP genellikle üzerine yazılmış dönüş adresinin hemen sonrasını, yani arabelleğinizin kalan kısmını gösterir.

Daha sonra kabuk kodunu yerleştireceğiniz alan burasıdır.

Yararlı fuzz testi ve desen araçları şunlardır:

• Spike ve boofuzz: ağ iletişim kuralı fuzz araçlarıdır.
• pattern_create / pattern_offset: EIP uzaklığını bulur.
• Immunity içindeki mona.py: desen, uzaklık ve hatalı karakter görevlerini otomatikleştirir.

Yararlı bir çökme tekrarlanabilir olmalıdır. Çökmeyi tetikleyen tam girdiyi kaydedin ve uzaklığın sabit olduğunu doğrulamak için temiz bir durumdan yeniden çalıştırın.

Tutarsız çökmeler çoğu zaman hatanın temiz bir yığın taşması olmadığı veya bazı koşulların (zamanlama, uzunluk, içerik) çalıştırmalar arasında değiştiği anlamına gelir.

Döngüsel bir desenin neden aynı baytlardan oluşan bir dizeden daha iyi olduğunu hatırlayın.

Artık çökme uzaklığını nasıl bulacağınızı biliyorsunuz:

• Çökmeyi tetiklemek için büyüyen girdilerle fuzz testi uygulayın; EIP'deki 41414141 ile doğrulayın.
• Kesin uzaklığı bulmak için pattern_create / pattern_offset ile bir döngüsel desen kullanın.
• Dolgudan sonra dört 'B' baytı (42424242) ekleyerek doğrulayın.
• Daha sonra kabuk kodunu yerleştirmek için ESP'nin nereye işaret ettiğini not edin.

Sonraki adımda EIP'yi tamamen denetleyecek ve yürütmeyi yönlendireceksiniz.