Codetronik

ring 3에서 작성된 fopen, ptrace 등은 내부적으로 libc.so->syscall 방식으로 호출되는데, 직접 호출하면 libc.so를 거치지 않습니다. (후킹 등에 안전)

플랫폼 등에 따라 사용되는 레지스터가 달라질수 있으므로 gdb, ida 같은 툴에서 libc.so 열어 확인해야 합니다.

해당 플랫폼은 i386인데 ebx, ecx, edx, esi 순서대로 들어가고 있네요. 다른 머신에서의 libc도 확인해봤는데 레지스터 순서가 같은 것으로 보아 고정일 가능성이 큽니다. (아닐 수도 있으니 댓글 달아주시면 감사..추후 수정 사항이 생기면 수정하겠습니다.)

upx의 syscall 매크로를 보면, 거의 저 순서대로 들어가는 것을 확인할 수 있습니다.

https://github.com/upx/upx/blob/master/src/stub/src/include/linux.h 

커널 심볼 테이블을 만들어 gdb로 분석하게 해주는 프로그램

https://github.com/elfmaster/kdress

sudo ./kdress.py vmlinuz-`uname -r` vmlinux /boot/System.map-`uname -r`

x86 ubuntu에서 실행 확인

kdress

kdress.py

kunpress

vs-android를 사용하여 VS환경에서 쉽게 라이브러리를 빌드할 수 있습니다.

http://code.google.com/p/vs-android/ 

우선 메인화면에서 파일을 다운로드합니다. 다운로드 탭으로 가면 샘플파일이 있는데 이것도 다운로드합니다.

압축을 풀고 .cmd 파일을 관리자 권한으로 실행합니다.

인스톨 가이드를 보면 JAVA, ANT, Android SDK, NDK를 설치하라고 하는데 라이브러리만 빌드할 거면 NDK만 있으면 됩니다.

하나 아쉬운 점은 실행파일은 지원하지 않는다는 점입니다. 이는 컴파일러 옵션 수정으로 해결할 수 있을 것으로 보입니다.

http://developer.android.com/tools/sdk/ndk/index.html 

이 곳에서 NDK를 다운로드 합니다. 32비트 타겟 플랫폼을 다운로드합니다.

C:\android-ndk-r10의 경로에 압축 해제 후 사용자 환경변수에 새로 만들기를 클릭하여 등록을 합니다. (ANDROID_NDK_BOOT)

샘플 파일을 풀고 프로젝트 파일을 열어 잘 동작하는지 확인합니다. 주의하여야 하는 점은 디렉토리의 공백이나 한글은 에러 발생이 원인이 될 수 있습니다.

NDK이외에 아무것도 설치하지 않았으므로 동적이나 정적 라이브러리로 빌드해봅니다.

빌드가 성공적이면 프로젝토 폴더\Android\Debug 에 결과물이 저장됩니다.

새로운 프로젝트 만들기

1. 빈 프로젝트를 생성합니다. (한글, 공백 X)

2. 구성관리자 -> 활성 솔루션 플랫폼 -> 새로 만들기

3. 파일을 추가하고 빌드

깨알 팁 : ndk-build와는 달리 특정 시스템 함수 사용 시 undefined 에러가 발생할 수 있습니다.  dlopen()의 경우 -ldl 옵션을 링커에 설정해주어야 합니다.

ARM에서 버퍼 오퍼플로우가 어떻게 동작하는지 알아보기 위해 라즈베리파이에서 테스트 해보았습니다.

아래 소스를 gcc 로 옵션 없이 컴파일 합니다.

#include <stdio.h> void bof() { char a[5]; scanf("%s", a); } void main() { bof(); printf("done\n"); }

두 개의 함수를 gdb로 디스어셈블링 하였습니다.

Dump of assembler code for function main: 0x0000844c <+0>: push {r11, lr} 0x00008450 <+4>: add r11, sp, #4 0x00008454 <+8>: bl 0x8420 <bof> 0x00008458 <+12>: ldr r0, [pc, #4] ; 0x8464 <main+24> 0x0000845c <+16>: bl 0x8338 <puts> 0x00008460 <+20>: pop {r11, pc} Dump of assembler code for function bof: => 0x00008420 <+0>: push {r11, lr} 0x00008424 <+4>: add r11, sp, #4 0x00008428 <+8>: sub sp, sp, #8 0x0000842c <+12>: ldr r2, [pc, #20] ; 0x8448 <bof+40> 0x00008430 <+16>: sub r3, r11, #12 0x00008434 <+20>: mov r0, r2 0x00008438 <+24>: mov r1, r3 0x0000843c <+28>: bl 0x835c <__isoc99_scanf> 0x00008440 <+32>: sub sp, r11, #4 0x00008444 <+36>: pop {r11, pc}

scanf 후의 스택입니다. 0x8440에 Breakpoint 가 걸렸습니다.

(gdb) x/10w $sp 0xbefff700: 0x41414141 0x00008300 0xbefff714 0x00008458 0xbefff710: 0x00000000 0xb6eab81c 0xb6fc0000 0xbefff864 0xbefff720: 0x00000001 0x0000844c

sp+0xc 지점이 복귀 주소입니다. ARM은 x86과는 다르게 retn 명령어가 없고 pop을 하면서 pc 레지스터에 바로 주소를 씁니다.
pc는 eip와 같다고 보시면 됩니다.

그러면 이번에는 AAAABBBBCCCCDDDD 를 입력합니다.

덮어 씌워졌습니다.

0x8440 실행 후의 스택입니다. 0x43434343은 r11에, 0x44444444는 pc에 들어갑니다.

(gdb) x/10xw $sp 0xbefff708: 0x43434343 0x44444444 0x00000000 0xb6eab81c 0xbefff718: 0xb6fc0000 0xbefff864 0x00000001 0x0000844c 0xbefff728: 0x00000000 0x00000000

crash 직후의 레지스터입니다.

(gdb) r Starting program: /home/pi/hack/hack AAAABBBBCCCCDDDD Program received signal SIGSEGV, Segmentation fault. 0x44444444 in ?? () (gdb) info register r0 0x1 1 r1 0x1 1 r2 0x0 0 r3 0x1 1 r4 0x0 0 r5 0x0 0 r6 0x8374 33652 r7 0x0 0 r8 0x0 0 r9 0x0 0 r10 0xb6fff000 3070226432 r11 0x43434343 1128481603 r12 0x1 1 sp 0xbefff710 0xbefff710 lr 0x8440 33856 pc 0x44444444 0x44444444 cpsr 0x60000010 1610612752

ADB Shell에 연결하여 작업하다 보면 불편한 점이 한두개가 아닙니다. vi는 원활하지 않고, 데이터를 폰에 넣으려면 adb push 를 입력해야 한다던지.. 여러모로 불편한 사항이 많습니다.

그러나 SSH 서버 앱을 설치하면 PC에서 바로 Putty 등을 이용해 ADB 없이 폰에 접속할 수 있습니다.

(마치 리눅스 서버에 접속하듯이 말이죠)

우선 스토어에서 SSH 서버 앱을 다운받습니다.

추천 앱 : Rooted SSH / SFTP 데몬

설정에서 아이디와 패스워드를 설정하면 끝입니다.

파일 업/다운로드는 SFTP 를 이용하면 됩니다.

추천 프로그램 : WinSCP

 터미널은 기존에 사용하시던 것 사용하시면 됩니다.

ARM에서의 조건 분기에 대해 알아보기 위해 아래와 같은 소스를 컴파일하여 실행하였습니다.

void main() { char pw[50] = {0, }; printf("input password : "); scanf("%s", pw); if (strcmp(pw, "right") == 0) { printf("right!\n"); } else { printf("wrong!\n"); } }

바이너리를 IDA에 넣고 디스어셈블링하였습니다.

strcmp 로 문자열을 비교해서 같으면 플래그가 0으로 설정됩니다.

BNE는 Branch Not Equal 로 같지 않으면 분기하라는 의미인데 0x852C를 보면 wrong이 있습니다.

주목해볼만한 것은 인텔 아키텍쳐와는 다르게 바이트 단위가 아닌 줄 단위로 분기한다는 것입니다.

이것은 4바이트 단위로 해석하는 arm-mode 특성 때문에 가능한 것이지요. 개인적으로 정말 마음에 듭니다.

무조건 right 이 출력되게 아래와 같이 코드 패칭을 하였습니다.

해당 라인에 NOP를 의미하는 0x90(2021.1.28 수정 : arm에서의 nop는 0x00 0xf0 0x20 0xe3입니다.)을 채워넣었습니다. 패치 후에 해당 부분이 정상적으로 디스어셈블링이 되지 않았습니다.

잘 동작 합니다.

아래의 소스를 vi로 gcc test.c 로 컴파일 합니다.

#include <stdio.h> void main() { printf("hello linux arm!\n"); }

gdb 로 컴파일 된 파일을 실행합니다.

아래와 같이 실행하면 디버거가 붙은 상태로 실행이 됩니다.

아래 명령어들을 순차적으로 실행하며 진행합니다.

위와 같이 브레이크 포인트를 걸고 run을 실행하면 설정한 브레이크 포인트에 걸리게 됩니다.

delete 1 을 입력하면 1번 브레이크 포인트가 삭제됩니다.

이 상태에서 continue / c 를 입력하면 다음 브레이크 포인트까지 실행됩니다. 브레이크 포인트가 설정되어 있지 않으면 끝까지 수행하게 됩니다.

본격적인 분석에 앞서서 readelf 를 사용하여 elf 포맷을 보겠습니다.

a.out의 헤더를 출력해 보았습니다. entry point address는 프로그램의 시작 주소입니다.

gdb로 보면 _start 함수를 가리키고 있습니다.

0x8344를 보면, main 으로 무조건 점프하라고 되어 있습니다. (b = 무조건 점프)

0x8360에 브레이크 포인트를 걸고 run을 입력합니다.

브레이크 포인트가 걸리면, 레지스터를 확인합니다.

SP는 현재 스택 위치 (x86의 esp에 해당)

PC는 현재 명령어 위치 (x86의 eip에 해당)

R0~ R12는 범용 레지스터 (x86의 eax, ebx, ecx, edx에 해당)

스택을 확인합니다.

nexti를 치면 다음 명령어로 이동합니다. pc는 0x8364가 되며 디스어셈블 내용은 위 상단 disas 설명 표를 확인해주세요.

0x00008360 <+0>:     push    {r11, lr}

R11, LR을 스택에 push 합니다. push의 스택은 아래와 같습니다.

LR, R11 순서대로 스택에 쌓이게 됩니다.

LR은 Link Register의 약자로 복귀 주소를 넣습니다. 해당 주소 0x4003c125를 보면 __libc_init() 함수를 가리키고 있습니다.

0x00008364 <+4>:     add     r11, sp, #4

SP에 4를 더해서 R11에 저장합니다. 

0x00008368 <+8>:     ldr     r3, [pc, #12]   ; 0x837c <main+28>

IDA디스어셈블러는 LDR R3, =(0x8380 - 0x8374) 로 해석합니다. 

0x0000836c <+12>:    add     r3, pc, r3

R3 = PC + R3 

0x00008370 <+16>:    mov     r0, r3

puts()인자 값으로 R0을 사용합니다.

0x00008374 <+20>:    bl      0x830c

0x830c는 puts()입니다.

bl은 링크포함 분기인데, 특이할 점은 다음 명령어의 주소(0x8378)가 LR에 들어갑니다. 즉, 복귀할 주소를 저장해둡니다. puts() 안으로 들어가기 위해선 nexti가 아닌 stepi 명령어를 입력해야 합니다.

인자 값으로 넣은 R0을 어디서 써먹는지 추적해 보았습니다.

libc.so에서 R0을 가져옵니다.

0x00008378 <+24>:    pop     {r11, pc}

PC에 R11의 값을 넣고 POP합니다. POP하면 RETURN이 되어 해당 주소로 갑니다.

PC가 r11의 값을 가지면서 0x0을 pop하기 때문에, 아까 LR에 적재한 0x4003c125로 돌아가게 됩니다.

준비물

1. 루팅된 폰

루트권한은 필수입니다.

2. adb

* 우선 폰의 환경설정-개발에서 USB 디버깅 체크를 하여 주세요.

Android SDK를 설치하면 사용할 수 있습니다.

http://developer.android.com/sdk/index.html

adb 툴은 \platform-tools에 있습니다.

폰을 USB연결 후 adb devices를 치면 연결된 장치가 보입니다.

(블루스택이 설치되어 있는 경우 블루스택 디바이스로 연결되는 수가 있으니 주의 바랍니다.)

확인 후 adb shell로 들어가서 명령 프롬프트가 뜨면 성공입니다.

3. busybox & busybox X

루팅 후 앱스토어에서 다운로드합니다. 리눅스용 필수 프로그램들을 사용할 수 있습니다.

(일부 기기에서 설치 후 동작이 되지 않을 수도 있습니다. busybox installer 로 설치를 시도하는 것을 권장합니다.)

(busybox가 설치 안되는 하위 기기는 사용할 수 없습니다.)

(설치 후 심볼릭 링크가 정상동작 하지 않는 경우 tinybox를 설치해도 무방합니다.)

busybox X 는 busybox에서 제공하지 않는 setarch, ulimit와 같은 명령어를 제공하여 줍니다.

4. gdb

디버거입니다. 

gdb

출처 : http://searchme.tistory.com/37

다운로드 한 뒤 adb push [파일전체경로] [핸드폰 경로] 로 올리면 됩니다.

예) adb push d:\gdb /data/local

그 다음 /data/local 디렉토리로 가서 chmod 777 로 권한을 주면 실행할 수 있습니다.

5. gcc

폰에서 직접 컴파일하여 실행하기 위해 사용합니다.

출처 : http://rwiki.sciviews.org/doku.php?id=getting-started:installation:android

원본 파일의 링크가 삭제되었으므로 아래 첨부파일들을 다운로드 하시길 바랍니다.

android_gcc_supplement.tar.bz2

android_gcc_r2a.zip.001android_gcc_r2a.zip.002android_gcc_r2a.zip.003android_gcc_r2a.zip.004

android_R_r1a2.tar.bz2

설치 방법 :

adb shell mkdir /data/local/gcc
adb push android_gcc_r2a.tar.bz2 /data/local/gcc
adb push android_gcc_supplement.tar.bz2 /data/local/gcc
adb push android_R_r1a2.tar.bz2 /data/local/gcc
adb shell
cd /data/local/gcc
tar xjf android_gcc_r2a.tar.bz2
tar xjf android_gcc_supplement.tar.bz2
tar xjf android_R_r1a2.tar.bz2

환경 변수 등록 : bashrc

export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:/data/local/gcc/lib
export PATH=$PATH:/data/local/gcc/bin

6. SSH Server

폰에 SSH 서버를 설치합니다. ADB를 이용하지 않아도 되는 장점이 있습니다.

http://codetronik.tistory.com/31