honggfuzz漏洞挖掘技术深究系列(4)—— 扩展Fuzzer

  • A+
所属分类:安全文章

对于一些复合文件格式,如果只是单纯的暴力Fuzzing,会导致生成很多无法被解析的文件,因此需要对文件变异作一些定制化的工作,比如docx、doc等office复合文件,docx是个压缩包,doc是个OLE格式,如果fuzz docx自然需要将其zip解压,再针对感兴趣的文件作变异,对于doc最好是作文件格式解析,只对感兴趣的stream作文件变异,这样的fuzzing的有效性才会更高。

庆幸地是,honggfuzz提供 -c参数用于扩展变异规则以代替原有变异方式,同时提供有 --pprocess_cmd在原有的文件变异后再作处理:

  1. --mutate_cmd|-c VALUE

  2.    External command producing fuzz files (instead of internal mutators)

  3. --pprocess_cmd VALUE

  4.    External command postprocessing files produced by internal mutators

-c功能比较有用,也是我用得比较多的,另一个 --pprocess_cmd基本我没用过。

当你通过 -f提供输入样本目录后,在fuzzing时,随机提取的文件会直接传递给 -c参数指定的扩展命令作变异。

比如想针对某文件特定offset范围内的内容进行变异,下面是针对macOS/iOS字体文件中的虚拟指令作Fuzzing时写的脚本:

  1. #!/usr/bin/env python

  2. import mmap

  3. import os

  4. from random import randint

  5. import sys

  6. RANGE_START = 0x16D8

  7. RANGE_END   = 0x304D

  8. MIN_BYTES_TO_FLIP = 1

  9. MAX_BYTES_TO_FLIP = 5

  10. if ".DS_Store" in sys.argv[1]:

  11.    exit(1)

  12. with open(sys.argv[1], "r+b") as f:

  13.  mapped = mmap.mmap(f.fileno(), 0)

  14.  #print "file size: 0x%x" % len(mapped)

  15.  bytes_to_flip = randint(MIN_BYTES_TO_FLIP, MAX_BYTES_TO_FLIP)

  16.  bytes_flipped = 0

  17.  while bytes_flipped < bytes_to_flip:

  18.    byte_pos = randint(RANGE_START, RANGE_END)

  19.    #print "byte_pos: 0x%x" %byte_pos

  20.    byte_new = chr(randint(0, 255))

  21.    mapped[byte_pos] = byte_new

  22.    bytes_flipped += 1

  23.  mapped.close()

变异效果:

honggfuzz漏洞挖掘技术深究系列(4)—— 扩展Fuzzer

最后挖到一个TTF字体虚拟指令漏洞:

  1. orig file:

  2. 2F90h: 00 3F C5 CD 2B 10 C1 10 DE 3F C5 CD 2B 10 C5 10

  3. poc file:

  4. 2F90h: 00 3F C5 CD 2B 10 C1 10 DE 3F C5 DD 2B 10 C5 10

  5. glyf table -> SimpleGlyf[] -> Instructions('0xCD' => 0xDD') -> MDRP指令


同样的,你也可以写个doc、docx等office文件格式解析并变异的扩展fuzzer,比如利用olefile库(但只支持修改同等大小不变的doc,要插入或删除需要自行实现),或者通过COM接口来实现操作。

比如之前有段时间doc中的公式编辑器存在很多漏洞,你就可以专门针对 EquationNative流作fuzzing。

最后放两张图(riufuzz是自己对honggfuzz二次开发的版本,后面有机会再讲):

honggfuzz漏洞挖掘技术深究系列(4)—— 扩展Fuzzer

honggfuzz漏洞挖掘技术深究系列(4)—— 扩展Fuzzer

honggfuzz漏洞挖掘技术深究系列(4)—— 扩展Fuzzer


本文始发于微信公众号(漏洞战争):honggfuzz漏洞挖掘技术深究系列(4)—— 扩展Fuzzer

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: