Reverse engineering: debugging

Transcript

Università degli Studi di Milano
Facoltà di Scienze Matematiche, Fisiche e Naturali
Roberto Paleari <[email protected]>
Emanuele Passerini <[email protected]>
A.A. 2009–2010
Roberto Paleari, Emanuele Passerini
A.A. 2009–2010
1 / 22
Sommario
1
Tracing
2
Debugging
3
Anti-debugging
4
VM introspection
A.A. 2009–2010
2 / 22
Tecniche dinamiche
esecuzione (monitorata) dell’applicazione
interazioni con l’ambiente (e.g., file system, rete, registro)
interazioni con il sistema operativo (system call)
debugging
A.A. 2009–2010
3 / 22
Interazione con l’ambiente
Linux
lsof – list open files
$ lsof -p 10220
COMMAND
PID USER
emacs
10220 roby
emacs
10220 roby
emacs
10220 roby
emacs
10220 roby
emacs
10220 roby
emacs
10220 roby
emacs
10220 roby
...
FD
cwd
rtd
txt
mem
mem
mem
mem
TYPE
DIR
DIR
REG
REG
REG
REG
REG
DEVICE
SIZE
NODE NAME
8,8
4096 48193 /home/roby
8,3
4096
2 /
8,3 5051492 131642 /usr/bin/emacs22-nox
8,3
38444 785329 /lib/i686/cmov/libnss_nis-2.7.so
8,3
87800 785313 /lib/i686/cmov/libnsl-2.7.so
8,3
30436 785314 /lib/i686/cmov/libnss_compat-2.7.so
8,3
42504 785326 /lib/i686/cmov/libnss_files-2.7.so
netstat, /proc/<pid>/*, tcpdump, wireshark, . . .
Windows
utility SysInternals (www.sysinternals.com)
FileMon, RegMon, TcpView, . . .
A.A. 2009–2010
4 / 22
ltrace
tracer per funzioni di libreria
solo per Linux
Esempio
$ ltrace /bin/ls 2>&1 | head -n 20
__libc_start_main(0x804e5f0, 1, ... <unfinished...>
setlocale(6, ‘‘)
= it_IT.ISO-8859-15@euro
bindtextdomain(coreutils, /usr/share/locale) = /usr/share/locale
textdomain(coreutils)
= coreutils
__cxa_atexit(0x8051860, 0, 0, 0xb7f01ff4, 0xbf95cf98) = 0
isatty(1)
= 0
getenv(QUOTING_STYLE)
= NULL
...
getenv(BLOCK_SIZE)
= NULL
getenv(COLUMNS)
= NULL
ioctl(1, 21523, 0xbf95cf6c)
= -1
...
A.A. 2009–2010
5 / 22
System call
interfaccia tra sistema operativo e applicazioni utente
per compiere operazioni “al di fuori” dell’address space del
processo
rivelano informazioni utili sul comportamento di un processo
Metodi per invocazione system call
int (Linux: int 0x80, Windows: int 0x2e)
sysenter/sysexit (≥ Intel Pentium ii)
syscall/sysret (≥ AMD K6)
numero syscall in %eax
parametri nei registri general purpose
A.A. 2009–2010
6 / 22
System call
Come funzionano
int/sysenter/syscall
User mode
Kernel mode
kernel trap
system call
dispatcher
%eax
system call table
0
1
2
syscall #1
...
n-1
A.A. 2009–2010
7 / 22
System call tracer
Linux
strace
visualizza chiamate a sistema, parametri, segnali, . . .
possibilità di seguire i processi figlio
attach a processi in esecuzione
basato su ptrace
Esempio
$ strace /bin/ls 2>&1 | head -n 10
execve(/bin/ls, [/bin/ls], [/* 34 vars */]) = 0
brk(0)
= 0x8e93000
access(/etc/ld.so.nohwcap, F_OK)
= -1 ENOENT (No such file or
mmap2(NULL, 8192, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS,
0xb7f74000
access(/etc/ld.so.preload, R_OK)
open(/etc/ld.so.cache, O_RDONLY)
= 3
fstat64(3, st_mode=S_IFREG|0644, st_size=58489, ...) = 0
mmap2(NULL, 58489, PROT_READ, MAP_PRIVATE, 3, 0) = 0xb7f65000
close(3)
= 0
access(/etc/ld.so.nohwcap, F_OK)
...
directory)
-1, 0) =
directory)
directory)
A.A. 2009–2010
8 / 22
System call tracer
Windows
NTAPI (native Win32 API)
tool
BindView strace
simile a strace Linux
WUSSTrace
user-space
analisi precisa degli argomenti
interfaccia XML, binding Python
A.A. 2009–2010
9 / 22
System call tracer
Windows
NTAPI (native Win32 API)
tool
BindView strace
simile a strace Linux
WUSSTrace
user-space
analisi precisa degli argomenti
interfaccia XML, binding Python
Come funzionano?
kernel-mode
hijack System Service Descriptor Table (SSDT)
richiede device driver
user-mode
hijack KiFastSystemCall & KiIntSystemCall (ntdll.dll)
nessun driver
A.A. 2009–2010
9 / 22
Debugging
esecuzione “controllata” di un processo
granularità a livello della singola istruzione
possibilità di interrompere l’esecuzione
(breakpoint/watchpoint)
possibilità di esaminare lo stato di CPU/memoria
Debugger
Linux: gdb
Windows: OllyDbg, SoftIce, WinDbg
A.A. 2009–2010
10 / 22
Breakpoint
Software breakpoint
Come funzionano?
istruzione target sovrascritta con int3
segnale SIGTRAP
A.A. 2009–2010
11 / 22
Breakpoint
Software breakpoint
Come funzionano?
segnale SIGTRAP
EIP
mov
mov
mov
mov
mov
mov
mov
(%edx),%eax
%eax,0xc(%ebp)
(%ecx),%eax
%eax,0x8(%ebp)
(%esp),%ebx
0x4(%esp),%esi
0x8(%esp),%edi
A.A. 2009–2010
11 / 22
Breakpoint
Software breakpoint
Come funzionano?
segnale SIGTRAP
EIP
mov
mov
mov
int3
mov
mov
mov
(%edx),%eax
%eax,0xc(%ebp)
(%ecx),%eax
1
set int3
(%esp),%ebx
0x4(%esp),%esi
0x8(%esp),%edi
A.A. 2009–2010
11 / 22
Breakpoint
Software breakpoint
Come funzionano?
segnale SIGTRAP
EIP
mov
mov
mov
int3
mov
mov
mov
(%edx),%eax
%eax,0xc(%ebp)
(%ecx),%eax
1
set int3
2
continue
(%esp),%ebx
0x4(%esp),%esi
0x8(%esp),%edi
A.A. 2009–2010
11 / 22
Breakpoint
Software breakpoint
Come funzionano?
segnale SIGTRAP
EIP
mov
mov
mov
int3
mov
mov
mov
(%edx),%eax
SIGTRAP
%eax,0xc(%ebp)
(%ecx),%eax
1
set int3
2
continue
3
SIGTRAP
(%esp),%ebx
0x4(%esp),%esi
0x8(%esp),%edi
A.A. 2009–2010
11 / 22
Breakpoint
Software breakpoint
Come funzionano?
segnale SIGTRAP
EIP
mov
mov
mov
mov
mov
mov
mov
(%edx),%eax
%eax,0xc(%ebp)
(%ecx),%eax
%eax,0x8(%ebp)
(%esp),%ebx
0x4(%esp),%esi
0x8(%esp),%edi
1
set int3
2
continue
3
SIGTRAP
4
restore original
A.A. 2009–2010
11 / 22
Breakpoint
Software breakpoint
Come funzionano?
segnale SIGTRAP
EIP
mov
mov
mov
mov
mov
mov
mov
(%edx),%eax
%eax,0xc(%ebp)
(%ecx),%eax
%eax,0x8(%ebp)
(%esp),%ebx
0x4(%esp),%esi
0x8(%esp),%edi
1
set int3
2
continue
3
SIGTRAP
4
restore original
5
single step
A.A. 2009–2010
11 / 22
Breakpoint
Software breakpoint
Come funzionano?
segnale SIGTRAP
EIP
mov
mov
mov
int3
mov
mov
mov
(%edx),%eax
%eax,0xc(%ebp)
(%ecx),%eax
(%esp),%ebx
0x4(%esp),%esi
0x8(%esp),%edi
1
set int3
2
continue
3
SIGTRAP
4
restore original
5
single step
6
set int3
A.A. 2009–2010
11 / 22
Breakpoint
Software breakpoint
Problemi
“invasivi”
modificano l’address space del processo
facili da rilevare
software watchpoint sono molto lenti. . .
A.A. 2009–2010
12 / 22
Breakpoint
Software breakpoint
Problemi
“invasivi”
modificano l’address space del processo
facili da rilevare
software watchpoint sono molto lenti. . .
Soluzione
hardware breakpoint
A.A. 2009–2010
12 / 22
Breakpoint
Hardware breakpoint
maggior trasparenza
registri dedicati (DR0 → DR7 su x86)
efficienti
A.A. 2009–2010
13 / 22
Breakpoint
Hardware breakpoint
maggior trasparenza
efficienti
Registri di debug x86
DR0 → DR3: VA breakpoint
DR4, DR5: riservati
DR6: status register
DR7: control register
A.A. 2009–2010
13 / 22
Breakpoint
Hardware breakpoint
maggior trasparenza
efficienti
Registri di debug x86
DR0 → DR3: VA breakpoint
DR4, DR5: riservati
DR6: status register
DR7: control register
Problemi
richiedono supporto hardware
disponibili in numero limitato
A.A. 2009–2010
13 / 22
ptrace – process trace
system call Linux
un processo padre può osservare, controllare e manipolare l’esecuzione di
un processo figlio
A.A. 2009–2010
14 / 22
system call Linux
un processo figlio
Processo figlio
ptrace(PTRACE TRACEME, 0, NULL, NULL); (+ exec())
parent notificato via wait()) per segnali e chiamate a execve())
A.A. 2009–2010
14 / 22
system call Linux
un processo figlio
Processo figlio
ptrace(PTRACE TRACEME, 0, NULL, NULL); (+ exec())
parent notificato via wait()) per segnali e chiamate a execve())
Processo padre
lettura VA (PTRACE PEEKTEXT) e registri (PTRACE PEEKUSER)
modifica VA (PTRACE POKETEXT) e registri (PTRACE POKEUSER)
resume esecuzione (PTRACE CONTINUE)
single step a livello di istruzione (PTRACE SINGLESTEP) o di entry/exit
system call (PTRACE SYSCALL)
...
A.A. 2009–2010
14 / 22
Anti-debugging
Linux
come può un processo determinare se è tracciato?
A.A. 2009–2010
15 / 22
Anti-debugging
Linux
Esempi
int3 & SIGTRAP
1
2
3
4
5
6
void handler(int x) {}
void main()
{
signal(SIGTRAP, handler);
asm(”int3;”);
}
A.A. 2009–2010
15 / 22
Anti-debugging
Linux
Esempi
int3 & SIGTRAP
1
2
3
4
5
6
void main()
{
asm(”int3;”);
}
checksum del codice (per breakpoint software)
A.A. 2009–2010
15 / 22
Anti-debugging
Linux
Esempi
int3 & SIGTRAP
1
2
3
4
5
6
void main()
{
asm(”int3;”);
}
checksum del codice (per breakpoint software)
con ptrace()
A.A. 2009–2010
15 / 22
ltrace: come funziona?
A.A. 2009–2010
16 / 22
basata su ptrace()
breakpoint in corrispondenza dei simboli importati
$ cat test.c
int main()
{
printf("*printf: \\x%.2x\n", *(unsigned char*) printf);
return 0;
}
$ ./test
*printf: \xff
$ ltrace ./test 2> /dev/null
*printf: \xcc
A.A. 2009–2010
16 / 22
basata su ptrace()
breakpoint in corrispondenza dei simboli importati
$ cat test.c
int main()
{
printf("*printf: \\x%.2x\n", *(unsigned char*) printf);
return 0;
}
$ ./test
*printf: \xff
$ ltrace ./test 2> /dev/null
*printf: \xcc
Domanda
funziona con static linking?
A.A. 2009–2010
16 / 22
Anti-debugging
Windows
molti metodi
spesso utilizzati dal malware
Alcuni esempi
kernel32!IsDebuggerPresent
PEB!NtGlobalFlags → flag particolari se creato in un
debugger
ntdll!NtQueryInformationProcess, con
ProcessInformationClass = ProcessDebugPort
...
...
A.A. 2009–2010
17 / 22
Anti-debugging
Anti-debugging tramite ptrace
Limiti di ptrace
un processo può essere tracciato da un solo altro processo
in caso contrario ptrace() fallisce
Esempio
#include <stdio.h>
#include <sys/ptrace.h>
int main()
{
if (ptrace(PTRACE TRACEME, 0, 1, 0) < 0) {
printf(”Bye!\n”);
return 1;
}
printf(”Hello world!\n”);
return 0;
}
A.A. 2009–2010
18 / 22
Rilevamento di un debugger
Anti-anti-debugging tramite ptrace
ptrace() è anche una funzione di libreria (facilmente
riconoscibile nel caso di dynamic linking)
⇒ ridefinire ptrace() in modo che ritorni sempre 0
A.A. 2009–2010
19 / 22
Esempio
$ objdump -d antidebug | grep ptrace
80483d3:
e8 f4 fe ff ff
call
80482cc <ptrace@plt>
$ cat myptrace.c
int ptrace(int a, int b, int c, int d)
{
return 0;
}
A.A. 2009–2010
19 / 22
Esempio
$ objdump -d antidebug | grep ptrace
80483d3:
e8 f4 fe ff ff
call
80482cc <ptrace@plt>
$ cat myptrace.c
int ptrace(int a, int b, int c, int d)
{
return 0;
}
$ gcc -shared ptrace.c -o ptrace.so
$ LD_PRELOAD=./ptrace.so ./antidebug
(gdb) set environment LD_PRELOAD=./ptrace.so
A.A. 2009–2010
19 / 22
VM introspection
applicazione eseguita in ambiente emulato/virtualizzato
informazioni registrate “dall’esterno” della VM
utile per malware analysis
vantaggi: trasparenza
svantaggi: OS-dependent, anti-emulation/anti-VM
Strumenti
Anubis
CWSandbox
Norman SandBox
...
A.A. 2009–2010
20 / 22
Anti-emulazione e anti-virtualizzazione
Emulazione e virtualizzazione
emulazione: tutte le istruzioni del programma sono emulate (e.g.,
QEMU, BOCHS)
virtualizzazione: emulazione delle sole istruzioni (e.g., VMWare,
VirtualBox) privilegiate
A.A. 2009–2010
21 / 22
QEMU, BOCHS)
Anti-virtualizzazione
Y:\>type test.c
typedef struct __attribute__((__packed__)) {
uint16_t Limit;
uint32_t Descriptors;
} IDT, *PIDT;
int main()
{
IDT idtr;
asm("sidt %0;" : "=m" (idtr));
printf("addr: %.8x\n", idtr.Descriptors);
return 0;
}
Y:\>test.exe
addr: 8003f400
(macchina fisica)
Y:\>test.exe
addr: f7406390
(macchina virtuale)
A.A. 2009–2010
21 / 22
QEMU, BOCHS)
Anti-emulazione
sfruttare errori nell’implementazione dell’emulatore
A fistful of red-pills: How to automatically generate procedures to detect
CPU emulators
A.A. 2009–2010
21 / 22
Esercizi
dbg1, dbg2, dbg3, win1
1
2
fare in modo che venga stampato Hai vinto!
descrivere (nel modo più dettagliato possibile) il
comportamento del programma
scrivere un (semplice) syscall tracer per Linux, utilizzando
ptrace() (dump del valore dei registri)
scrivere un porting di ltrace per Windows
1
2
è sufficiente stampare il nome della funzione di libreria
invocata (senza argomenti)
iniziare modificando windebug.c
A.A. 2009–2010
22 / 22

Reverse engineering: debugging

Transcript

Documenti analoghi

Meeting progetto CIAK!

Norma incontra il Jazz - Banda S.Cecilia di Norma

Sicurezza delle applicazioni web: attacchi web

Reverse engineering: executable file format

Reverse engineering: executable file format

Reverse engineering: disassembly

gli albini sono visti come alieni. che sciocchezza! ve li

Scarica la scheda di presentazione

CALLABLE BARRIER REVERSE CONVERTIBLES CON

Daiwa Millionaire Tournament 7HT

progettazione e realizzazione di un termometro digitale

Linux Assembly Language - Appunti

Uso di Eclipse per i progetti per ARM7TDMI

Percorso di visita autoguidata al Lager di San Sabba Capire e

7. Programmazione Assembly

Appunti di Geologia Stratigrafica