freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

rp-bf:一款Windows下辅助进行ROP gadgets搜索的Rust库
2024-01-12 12:04:50

关于rp-bf

rp-bf是一款Windows下辅助进行ROP gadgets搜索的Rust库,该工具可以通过模拟Windows用户模式下的崩溃转储来爆破枚举ROP gadgets。

在很多系统安全测试场景中,研究人员成功劫持控制流后,通常需要将堆栈数据转移到他们所能够控制的内存区域中,以便执行ROP链。但是在劫持控制流时,找到合适的部分很大程度取决于研究人员对CPU上下文场景的控制。那么为了劫持具备任意值的控制流,我们需要找到合适的地址,但这个地址的寻找过程又非常的麻烦,需要涉及到各种地址值、代码指针、堆栈和汇编指令。

为了解决上述问题,rp-bf便应运而生,该工具能够有效地解决上述问题,并通过ROP gadgets搜索来辅助广大研究人员完成ROP链的执行。

依赖组件配置

在使用该工具之前,我们首先需要手动配置好bochscpu模拟器,它也是rp-bf的主要依赖组件。具体的配置方法如下:

1、点击【这里】下载对应操作系统平台的bochscpu组件版本;

2、使用下列命令克隆bochscpu项目代码:

git clone https://github.com/yrp604/bochscpu.git

3、将项目中的lib和bochs目录提取到解压后的bochscpu根目录;

4、使用下列命令验证bochscpu是否构建成功:

cargo build --release

工具下载

广大研究人员可以直接使用下列命令将rp-bf项目源码克隆至本地:

git clone https://github.com/0vercl0k/rp-bf.rs.git

然后切换到项目目录下,并使用cargo build命令完成代码构建:

cargo build --release

工具运行机制

rp-bf能够从根据一个进程快照来模拟目标代码,并能够迭代快照中找到的每一个内存区域,然后将其传递给用户模块。接下来,研究人员就可以用这个地址来执行其他的安全测试了:

pub trait Finder {

    fn pre(&mut self, emu: &mut Emu, candidate: u64) -> Result<()>;

    fn post(&mut self, emu: &Emu) -> Result<bool>;

}

工具使用

获取一个快照

该工具的使用方法适用于所有的操作系统和体系架构,但我们的使用样例会以Windows/Intel为例。

我们可以直接使用Windows调试器生成快照,在Windbg中运行你的目标,然后在所需状态下的所需位置生成崩溃转储(.dump/ma)即可。

搜索算法

rp-bf能够遍历崩溃转储中找到的所有内存区域,然后在模拟器中重新创建相同的执行环境。接下来,它会调用用户的pre条件,并持续执行,直到模拟器退出。此时,工具会调用post条件来让用户决定目标区域是否合适,模拟器的状态(即内存和CPU上下文)将被不断恢复和刷新。

pub fn explore(opts: &Opts, finder: &mut dyn Finder, ui: &mut dyn ui::Ui) -> Result<Vec<Candidate>> {

    // ...

    for (mem_address, mem_block) in dump.mem_blocks() {

        // ...

        'outer: for candidate in mem_block.range.start..mem_block.range.end {

            // ...

            // Invoke the `pre` callback to set-up state.

            trace!("Trying out {candidate:#x}");

            finder.pre(&mut emu, candidate)?;

 

            // Run the emulation with the candidate.

            let (res, stats) = emu.run()?;

            how_many_total += 1;

 

            // We found a candidate if it lead to a crash & the `post` condition

            // returned `true`.

            let crashed = matches!(res, TestcaseResult::Crash);

            let found_candidate = crashed && finder.post(&emu)?;

            

            // ...

            emu.restore()?;

            // ...

        }

    }

}

从用户模式Windows崩溃转储模拟代码

该工具所使用的模拟器都使用了bochscpu库的Bochs CPU模拟器。为了在Bochs中重新创建执行环境,rp-bf将构建页面表以重新创建用户模式转储中可用的相同虚拟环境。

编写一个Finder模块

Finder模块需要提供一个pre方法和一个post方法:

pub trait Finder {

    fn pre(&mut self, emu: &mut Emu, candidate: u64) -> anyhow::Result<()>;

    fn post(&mut self, emu: &Emu) -> anyhow::Result<bool>;

}

pre方法接收一个指向模拟器的可变引用,以及候选内存区域,我们可以在运行时环境中的某个位置“注入”候选区域。它能够将寄存器设置为候选值,或者将其写入内存中的某个位置:

impl Finder for Pwn2OwnMiami2022_2 {

    fn pre(&mut self, emu: &mut Emu, candidate: u64) -> Result<()> {

        // Here, we continue where we left off after the gadget found in |miami1|,

        // where we went from constrained arbitrary call, to unconstrained arbitrary

        // call. At this point, we want to pivot the stack to our heap chunk.

        //

        // ```

        // (1de8.1f6c): Access violation - code c0000005 (first/second chance not available)

        // For analysis of this file, run !analyze -v

        // mfc140u!_guard_dispatch_icall_nop:

        // 00007ffd`57427190 ffe0            jmp     rax {deadbeef`baadc0de}

        //

        // 0:011> dqs @rcx

        // 00000000`1970bf00  00000001`400aed08 GenBroker64+0xaed08

        // 00000000`1970bf08  bbbbbbbb`bbbbbbbb

        // 00000000`1970bf10  deadbeef`baadc0de <-- this is where @rax comes from

        // 00000000`1970bf18  61616161`61616161

        // ```

        self.rcx_before = emu.rcx();

 

        // Fix-up @rax with the candidate address.

        emu.set_rax(candidate);

 

        // Fix-up the buffer, where the address of the candidate would be if we were

        // executing it after |miami1|.

        let size_of_u64 = std::mem::size_of::<u64>() as u64;

        let second_qword = size_of_u64 * 2;

        emu.virt_write(Gva::from(self.rcx_before + second_qword), &candidate)?;

 

        // Overwrite the buffer we control with the `MARKER_PAGE_ADDR`. Skip the first 3

        // qwords, because the first and third ones are already used to hijack flow

        // and the second we skip it as it makes things easier.

        for qword_idx in 3..18 {

            let byte_idx = qword_idx * size_of_u64;

            emu.virt_write(

                Gva::from(self.rcx_before + byte_idx),

                &MARKER_PAGE_ADDR.u64(),

            )?;

        }

 

        Ok(())

    }

    // ...

}

模拟完成后便会调用post方法,我们可以在这里找到你想要的内容,即堆栈数据和可控制的@rip值等数据,这里还允许我们指定需要实现的特定需求:

impl Finder for Pwn2OwnMiami2022_2 {

    // ...

    fn post(&mut self, emu: &Emu) -> Result<bool> {

        // Let's check if we pivoted into our buffer AND that we also are able to

        // start a ROP chain.

        let wanted_landing_start = self.rcx_before + 0x18;

        let wanted_landing_end = self.rcx_before + 0x90;

        let pivoted = has_stack_pivoted_in_range(emu, wanted_landing_start..=wanted_landing_end);

 

        let mask = 0xffffffff_ffff0000;

        let rip = emu.rip();

        let rip_has_marker = (rip & mask) == (MARKER_PAGE_ADDR.u64() & mask);

        let is_interesting = pivoted && rip_has_marker;

 

        Ok(is_interesting)

    }

}

post方法返回值之后,模拟器会恢复内存和CPU寄存器,并继续寻找下一个候选区域。

工具运行演示

许可证协议

本项目的开发与发布遵循MIT开源许可证协议。

项目地址

rp-bf:【GitHub传送门

参考资料

https://doar-e.github.io/blog/2023/05/05/competing-in-pwn2own-ics-2022-miami-exploiting-a-zero-click-remote-memory-corruption-in-iconics-genesis64/#hijacking-control-flow-roping-to-get-arbitrary-native-code-execution

https://github.com/yrp604/bochscpu

# ROP # Rust # ropgadgets # Windows系统安全
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录