ВЫБОР ТОЧКИ ВНЕДРЕНИЯ ДЛЯ ФАЗЗИНГА В ПАМЯТИ Технологический институт «Южного федерального университета» в г. Таганроге

Фаззинг
Фаззинг – тестирование методом черного ящика, основанное на передаче большого набора входных данных исследуемому ПО
Внедрение
Файлы
Сеть
IOCTL
Окружение
Данные
Генерация
Мутация

Фаззинг в памяти
Фаззинг в памяти - вид фаззинга при котором данные передаются через внутренние структуры программы
Позволяет миновать интерфейсные функции программы и их ограничения ( скорость, объемы данных ).
Позволяет сфокусироваться на данных, обрабатываемых исследуемой частью кода. Не требуется подготовка данных в формате, который требуется интерфейсными функциями.

Цикл мутации

Восстановление состояния

Corelan in-memory fuzzer
Целевой процесс/модуль
Адрес точки входа в функцию (получение слепка)
Адрес точки выхода из функции (восстановление слепка)
Необходимы данные:
Аргументы функции

Фаззинг и модульные тесты
while(1):
accept();
recv()
unmarshal()
parse()
func-1()
func-2()
…
inline int __cdecl foo_sub_XX
( int a, int b, int c );
BOOL APIENTRY DllMain( … )
{
foo_sub_XX
(param_a, param_b, param_c );
}
Восстановление прототипов функций
Динамический анализ
Исполнение в контексте целевого процесса

Система Dataflow

Откуда начинать?

Рейтинг функций
Простой ориентированный граф G(V,E)
Матрица смежности , где
Матрица E дает информацию обо всех путях длины 1 в графе G(V,E). Композиция отношения E самой с собой
Матрица достижимости
=

Параметры функций

Фаззер файлов .pdf для программы Evince
Пример

Тестовый запуск приложения
Начать исследование
Тестовый запуск 1
Тестовый запуск 2
Закончить исследование
Получить статистику исполнения

Функции, принимающие данные
Evince: 0xC030

Функции, принимающие данные
Evince: 0x3290

Рейтинг функций

Оценка потенциального охвата

Подготовка теста. Возможности
Вызов внутренних функций с заданными параметрами
Динамическая оценка покрытия
Последовательное внедрение ошибок
Любые другие возможности, применимые к динамическим библиотекам

Подготовка теста
#include "evince.h"
CHECK_WITH_FAULT_INJECT( evince_sub_3290( 0x00f45158, ( int )fileName, 0x00f49038, 0, 0, 0 ) );
if( SendCommand( COMMAND_TRACK_STAT, ffd.cFileName ) )
{
LogErr( "Can't send command\n" );
}

Исполнение теста
Остановка на определенном этапе работы исследуемого ПО
Загрузка динамической библиотеки в адресное пространство исследуемого ПО
Исполнение
Взаимодействие с тестирующим ПО:
Внедрение ошибок
Динамическая оценка покрытия

Оценка результатов