Microsoft Word - UFuz3 분석.doc

Size: px

Start display at page:

Download "Microsoft Word - UFuz3 분석.doc"

근석 반
4 years ago
Views:

1 파일퍼저 UFuz3 분석 이용일 개요 UFuz3 는 eeye 에서공개한파일퍼저입니다. UFuz3 의기능분석및상세분석을통해, 퍼저는어떤모 습을갖추고있는지, 또한퍼저는내부적으로어떤방식으로동작하는지살펴보려고합니다. 1. 기능분석 UFuz3 는파일을파싱하는루틴내에 Integer Overflow 가존재하는지를검사합니다. 따라서퍼징의대 상이되는대상프로그램은데이터파일을입력으로받아야하는제한이있습니다. 다음은파일파싱루틴내에 Integer Overflow 가존재하는예제입니다. (UFuz3 도움말에있는예제소 스입니다. 정확히말해, 이소스는 Integer Overflow 를포함하고있다라고볼수없습니다.) #include <windows.h> #include <stdio.h> void subfunc(char *buf, DWORD len) { FILE char *fp; *mem; mem = malloc(32768); memcpy(mem, buf, len); // buffer overflow if ((fp = fopen(mem, "r"))) fclose(fp); free(mem);

2 } int APIENTRY WinMain( HINSTANCE hinstance, HINSTANCE hprevinstance, LPTSTR lpcmdline, int ncmdshow) { FILE char char *fp; buf[64000]; szfilename[512]; DWORD v; DWORD WCHAR dwargc; **lpszargv; lpszargv = CommandLineToArgvW(GetCommandLineW(),&(dwArgc)); if (dwargc==2){ memset(szfilename,0,sizeof(szfilename)); _snprintf(szfilename,sizeof(szfilename)-1,"%ws",lpszargv[1]); if ((fp=fopen(szfilename,"rb"))){ fread(buf, 1, sizeof(buf), fp); v=*((dword *)(buf+16)); // 파일시작 + 오프셋 0x10 위치의값을 // subfunc의두번째인자인 length로사용한다. subfunc(buf+4,v); fclose(fp); }else{ sprintf(buf,"can not open '%s'",szfilename); MessageBox(NULL,buf,"Error",MB_OK); } }else{ sprintf(buf,"invalud number of arguments (%d)",dwargc); MessageBox(NULL,buf,"Error",MB_OK); } return 0; } [ 소스 1] UFuz3 도움말예제소스 [ 소스 1] 은특정파일을오픈하고, 오픈한파일의시작으로부터 0x10 위치에있는더블워드값을

3 length 로활용합니다. 이때 length 의바운더리체크를하지않아, 할당된메모리의크기보다더많은 length 만큼의데이터를쓸수있는기회가발생합니다. 만약데이터파일이다음과같이조작되었다고가정해봅시다. ADDRESS A 0B 0C 0D 0E 0F ABCDEF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF aaaaaaaaaaaa aaaaaaaaaaaaaaaa 데이터파일의 0x10 0x13 까지는 length로활용되는부분인데, 0x 로조작되었습니다. 따라 서 바이트크기의메모리에 바이트만큼의파일데이터를쓰게될것이므로오버플로우가 발생할것입니다. * [ 소스 1] 은 UFuz3 의도움말에들어가있는예제소스인데, Integer Overflow 의예제로사용하기에는 적절하지않다고생각합니다. Integer Overflow 라는것은말그대로, Integer Variable 이수용할수있는 값의범위를초과하게되어예상하지못한결과를만들어내게되는것인데, Widthness overflow 나 Arithmetic Operation 의결과로써그원인이발생합니다. 하지만 [ 소스 1] 의경우에는, 어떤 Arithmetic Operation 의결과로서 Integer Variable 에오버플로우가발생하는것이아니라, 단순히 Boundary Checking 을하지않아서발생하는오버플로우라생각되어질수밖에없습니다. 하지만예제가부적절 하다고해서 UFuz3 가 Integer Overflow 를찾지못한다는것은아닙니다. UFuz3 는데이터파일의여러 랜덤한위치에 Integer Overflow 를일으킬만한값을적고, 대상프로그램을실행하여 Integer Overflow 를유도하고있습니다.

4 이제, 실제 [ 소스 1] 을컴파일한대상프로그램과데이터파일을가지고 UFuz3 를실행해보겠습니다. [ 그림 1] Ufuz3 GUI 실행첫화면 [ 그림 2] 퍼징옵션설정화면

5 다음은옵션설명입니다. 옵션이름 설명 Target Application 대상프로그램을지정합니다. Data File 대상프로그램이사용할데이터파일을지정합니다. Endian 워드인코딩방식을지정합니다. 보통대부분의윈도우어플리케이션 은 Little-Endian 방식을사용합니다. 하지만 Real-Player 와같은몇몇 어플리케이션은 Big-Endian 방식을사용합니다. Timeout 만약에어플리케이션이 Exception 을발생하지않을경우에, 강제로어 플리케이션을종료시켜야할것입니다. 지정한 Timeout 내에어플리케 이션이종료하지않으면, 강제로종료합니다. Threads Ufuz3 은멀티스레딩을지원합니다. Threads 에서지정한수만큼스레드 가생성되어, 분산적으로데이터파일을조작하여, 대상프로그램을검사합니다. Threads 옵션을잘활용하면, 좀더빠르게결과를도출해낼수있습니다. Start Offset 데이터파일의시작위치를지정합니다. Patterns 데이터파일에쓰여질패턴을지정합니다., 를사용해여러개의패턴 도지정가능합니다. Size Field Recognition Length 필드라고판단되지않는데이터파일영역은 skip 합니다. 보통 length 필드는 32 1E 과같이 0x00 을포함합니다. 따라서만약 이옵션을켜놓았다면, 데이터파일에서 0x00 을포함하지않는필드 는 Length 필드가아니라고판단하여 Skip 할것입니다.

[ 그림 3] Ufuz3 의퍼징결과 [ 그림 3] 의결과를해석해보겠습니다. Offset Value Address 설명 00000012 FFFF 0040153A 데이터파일오프셋 0x12 위치에 FFFF값을적고, 대상프로그램을실행했더니, 0x0040153A 위치에서예외가발생했다는의미입니다.

6 [ 그림 3] Ufuz3 의퍼징결과 [ 그림 3] 의결과를해석해보겠습니다. Offset Value Address 설명 FFFF A 데이터파일오프셋 0x12 위치에 FFFF값을적고, 대상프로그램을실행했더니, 0x A 위치에서예외가발생했다는의미입니다 FFFF C0 데이터파일오프셋 0x11 위치에 FFFF값을적고, 대상프로그램을실행했더니, 0x004016C0 위치에서예외가발생했다는의미입니다 FFFFFFFF A 데이터파일오프셋 0x10 위치에 FFFFFFFF값을적고, 대상프로그램을실행했더니, 0x A 위치에서예외가발생했다는의미입니다.

7 2. 상세분석 MS Windows 에서는프로그램을디버깅하기위한 Debugger API Set 을제공합니다. UFuz3 역시이러 한 Debugger API 를사용하여대상프로그램을실행하고, 예외가발생하는지를확인하고있습니다. UFuz3 은대상프로그램을디버그하기위해 CreateProcess 를사용해대상프로그램을실행합니다. 여 기서관심을가져야할파라미터는바로프로세스의생성옵션을지정하는 dwcreationflags 부분입니 다. dwcreationflags 중에서 DEBUG_PROCESS 플래그설명을살펴봅시다. (From MSDN) The calling thread starts and debugs the new process and all child processes created by the new process. It can receive all related debug events using the WaitForDebugEvent function. A process that uses DEBUG_PROCESS becomes the root of a debugging chain. This continues until another process in the chain is created with DEBUG_PROCESS. If this flag is combined with DEBUG_ONLY_THIS_PROCESS, the caller debugs only the new process, not any child processes. CreateProcess를호출한스레드는생성된프로세스와그자식프로세스까지모두디버그합니다. WaitForDebugEvent 함수를사용해디버그와관련된모든이벤트를받을수있습니다. DEBUG_ONLY_THIS_PROCESS와같이사용되면, 자식프로세스는제외하고오직생성된프로세스만디버그합니다. UFuz3 는아래와같이 DEBUG_PROCESS 플래그를사용하여 CreateProcess 를호출하는것을알수있 습니다..text: push ecx ; lpprocessinformation.text: lea edx, [esp+1d0h+startupinfo].text: push edx ; lpstartupinfo.text: a push eax ; lpcurrentdirectory.text: b push eax ; lpenvironment.text: c push 11h ; dwcreationflags.text: e push 1 ; binherithandles.text: push eax ; lpthreadattributes

8 .text: push eax ; lpprocessattributes.text: push esi ; lpcommandline.text: push eax ; lpapplicationname.text: mov [esp+1f4h+lparam], eax.text: mov [esp+3ch], eax.text: c mov [esp+40h], eax.text: mov [esp+44h], eax.text: mov [esp+1f4h+startupinfo.cb], 44h.text: F call ds:createprocessa 앞서언급했듯이, 디버그이벤트를통지받기위해, WaitForDebugEvent API 를사용한다고하였습니다. UFuz3도 WaitForDebugEvent API를사용할것입니다. 한번살펴봅시다..text: mov ecx, dwmilliseconds.text: mov esi, ds:waitfordebugevent.text: e add esp, 0Ch.text: push ecx ; dwmilliseconds.text: lea edx, [esp+1d0h+dwprocessid].text: push edx ; lpdebugevent.text: call esi ; WaitForDebugEvent WaitForDebugEvent 의프로토타입은다음과같습니다. 즉, 지정한 dwmilliseconds 만큼디버그이벤트 를기다리는동안에디버그이벤트가발생하면, lpdebugevent 에디버그이벤트관련정보를채우고, 리턴하는것입니다. 만약에지정한 dwmilliseconds 내에디버그이벤트가발생하지않았거나, 예기치 못한에러가발생했다면 WaitForDebugEvent 는 zero 를리턴하고, 지정한시간내에디버그이벤트가 발생했다면 nonzero 를리턴합니다. BOOL WINAPI WaitForDebugEvent( out LPDEBUG_EVENT lpdebugevent, in DWORD dwmilliseconds);

9 여기서추론해볼수있는부분은, 1) dwmilliseconds 부분에는우리가 UFuz3 실행시에옵션으로지정했던 Timeout 값이들어갈것이다. 2) 만약 WaitForDebugEvent 가 zero 를리턴했다면, 지정한 Timeout 동안에아무런이벤트가발생하지 않았다는의미이며, 이는곧예외가발생하지않았음을의미한다. 따라서프로세스를강제로종료해야 할것이다. 3) 만약 WaitForDebugEvent 가 nonzero 를리턴했다면, 지정한 Timeout 동안에디버그이벤트가발생했 다는것을의미한다. 따라서디버그이벤트의내용을살펴, 그것이예외와관련된이벤트였다면, 대상 프로그램에서예외가발생했다는것을의미하며이것은 UFuz3 가원하던결과이다. 따라서이러한결 과를저장한다. 우선 1) 부터확인해보겠습니다. UFuz3 의퍼징옵션중 Timeout 값을 1000msec 로지정하고, 퍼징을실행한후디버거를통해 WaitForDebugEvent 의파라미터를확인해봅니다. 다음은 ollydbg 에서확인한모습입니다. 추론한대로 우리가지정한 Timeout 퍼징옵션이그대로 WaitForDebugEvent 에서사용되는것을알수있습니다. 다음은 3) 을확인해보겠습니다. WaitForDebugEvent 에서 nonzero 를리턴했다면, WaitForDebugEvent 의 첫번째파라미터 (DEBUG_EVENT 구조체타입 ) 는유효한값이들어가있을것입니다. 다음은 DEBUG_EVENT 구조체의정의입니다. typedef struct _DEBUG_EVENT { DWORD dwdebugeventcode; DWORD dwprocessid; DWORD dwthreadid; union { EXCEPTION_DEBUG_INFO Exception;

10 CREATE_THREAD_DEBUG_INFO CreateThread; CREATE_PROCESS_DEBUG_INFO CreateProcessInfo; EXIT_THREAD_DEBUG_INFO ExitThread; EXIT_PROCESS_DEBUG_INFO ExitProcess; LOAD_DLL_DEBUG_INFO LoadDll; UNLOAD_DLL_DEBUG_INFO UnloadDll; OUTPUT_DEBUG_STRING_INFO DebugString; RIP_INFO RipInfo; } u; } DEBUG_EVENT, *LPDEBUG_EVENT; DEBUG_EVENT의 dwdebugeventcode 멤버는이름에서알수있듯이, 디버그이벤트가무엇인지를알 려주는 ID 입니다. UFuz3 가관심을가지는디버그이벤트는예외가발생한경우겠죠. 따라서 UFuz3 는 dwdebugeventcode 이 EXCEPTION 이벤트를가리키는지를살펴볼것입니다. 다음코드는 dwdebugeventcode 가 EXCEPTION_DEBUG_EVENT(1) 인지를확인하는부분입니다..text:004012A3 loc_4012a3: ; CODE XREF: sub_ j.text:004012a3 mov eax, [esp+1cch+dwprocessid] ; ; switch (dwdebugeventcode) ; { ; case EXCEPTION_DEBUG_EVENT: ; goto loc_4012cd;.text:004012a7 sub eax, 1 ; #define EXCEPTION_DEBUG_EVENT 1.text:004012AA jz short loc_4012cd dwdebugeventcode 에따라 DEBUG_EVENT 구조체에서참조해야하는멤버가달라지게됩니다. dwdebugeventcode 가 EXCEPTION_DEBUG_EVENT 일경우에는, DEBUG_EVENT 구조체의 EXCEPTION_DEBUG_INFO Exception 을참조해야합니다. EXCEPTION_DEBUG_INFO 구조체는다음과같 습니다. typedef struct _EXCEPTION_DEBUG_INFO {

11 EXCEPTION_RECORD ExceptionRecord; DWORD dwfirstchance; } EXCEPTION_DEBUG_INFO, EXCEPTION 이벤트도여러가지종류가있을것입니다. 잘못된메모리참조예외 (Access Violation) 이나 Breakpoint 예외, Divide By Zero 예외등이있습니다. 이중에서 UFuz3 는잘못된메모리참조예외에 대해서만캐치를하는군요. EXCEPTION 이벤트의상세종류는 EXCEPTION_RECORD 의 ExceptionCode 에서알려주고있습니다. UFuz3 는 EXCEPTION_RECORD 의 ExceptionCode 멤버값이 EXCEPTION_ACCESS_VIOLATION 인지를확인 하여디버그프로세스가 Access Violation 예외가발생하였는지를판단하고있습니다..text:004012CD loc_4012cd: ; CODE XREF: sub_ aa j ; ; switch (DEBUG_EVENT->Exception.ExceptionRecord.ExceptionCode) ; { ; case EXCEPTION_ACCESS_VIOLATION: // 0C h ; goto loc_401362;.text:004012cd cmp dword ptr [esp+2ch], 0C h.text:004012D5 jz loc_ text: loc_401362: ; CODE XREF: sub_ d5 j.text: mov eax, dword ptr [esp+1cch+arg_4].text: push eax ; char.text: a push offset aexception_acce ; "EXCEPTION_ACCESS_VIOLATION (%d)\n".text: f call sub_ text: mov ecx, [esp+84h].text: b push ecx ; char.text: c push offset adwfirstchanced ; " dwfirstchance = %d\n".text: call sub_ text: mov edx, [esp+3ch].text: a push edx ; char

12 .text: b push offset aexceptioncodex ; " ExceptionCode = %x\n".text: call sub_ text: mov eax, [esp+50h].text: push eax ; char.text: a push offset aexceptionaddrx ; " ExceptionAddr = %x\n".text: f call sub_ text:004013a4 lea ecx, [esp+1ech+newfilename].text:004013ab push ecx.text:004013ac push offset ExistingFileName.text:004013B1 mov edi, 5.text:004013B6 call sub_4010e0 * Windows Debugger API Set 에대한더자세한정보는 msdn 을참고해주세요. 3. 결론 UFuz3 는아주기본적인파일퍼저입니다. 다른퍼저에비해어떤특징적인부분을제공하고있지는 않습니다. 버그도많이보이고, 인터페이스도사실엉망입니다. 그리고퍼징결과또한만족스럽지못 하고요. eeye 에서저런프로그램을공개했다는것이다소의문입니다 ( 개인적인견해입니다.) 하지만파 일퍼징을공부하는입장에서, UFuz3 을사용해봄으로써기본적으로파일퍼저가어떤기능을수행하 며, 또한윈도우에서는어떤식으로구현되는지를알아볼수있었다는데의의를두고싶습니다.

13 파일이름 : UFuz3 분석폴더 : C: Documents and Settings hp 바탕화면서식파일 : C: Documents and Settings hp Application Data Microsoft Templates Normal.dot 제목 : UFuz3 분석주제 : 만든이 : m 키워드 : 메모 : 만든날짜 : AM 11:31:00 수정횟수 : 151 마지막으로저장한날짜 : PM 2:49:00 마지막으로저장한사람 : m 전체편집시간 : 198 분마지막으로인쇄한날짜 : PM 2:49:00 문서량페이지수 : 12 단어수 : 1,835 ( 약 ) 문자수 : 10,463 ( 약 )

Deok9_Exploit Technique

Deok9_Exploit Technique Exploit Technique CodeEngn Co-Administrator!!! and Team Sur3x5F Member Nick : Deok9 E-mail : DDeok9@gmail.com HomePage : http://deok9.sur3x5f.org Twitter :@DDeok9 > 1. Shell Code 2. Security