Гид по реверсу. Тренируемся анализировать бинарные файлы на примере libexif

Эта статья нацеле­на на людей, которые пос­тепен­но вырас­тают из тас­ков на CTF катего­рии PWN и Reverse, хотят пощупать реаль­ные прог­раммы и понять, что такое нас­тоящий ана­лиз бинаря. Ресер­чи, которые пишут спе­циалис­ты извес­тных ком­паний, хороши, но боль­шинс­тво нович­ков не зна­ют, с чего начинать делать такое иссле­дова­ние, как тре­ниро­вать­ся и как заполу­чить стенд. Сегод­ня мы с тобой это испра­вим.

Примерный порядок действий для бинарного ресерча

Да­вай раз­ложим по пун­ктам все дей­ствия, которые ресер­чер может про­изво­дить с ана­лизи­руемым бинар­ным фай­лом.

1. Сбор информа­ции о тар­гете:
   • что за бинарь, для чего он пред­назна­чен, для какой плат­формы, есть ли исходный код в откры­том дос­тупе, или это «чер­ный ящик»;
   • как собирать бинарь — есть ли setup.sh или install.sh, может, нуж­но прос­то ском­пилить при помощи GCC;
   • как им поль­зовать­ся: пос­мотреть воз­можнос­ти прог­раммы, что она дела­ет и как с ней вза­имо­дей­ству­ет поль­зователь.
2. Зна­комс­тво с бинарем — при­мене­ние средств пер­вично­го ана­лиза. Вот самые ходовые тул­зы:
   • file — сис­темная ути­лита, которая поз­воля­ет узнать тип дан­ных внут­ри фай­ла;
   • checksec — ути­лита, которая про­веря­ет пер­вичные средс­тва безопас­ности в бинаре;
   • xxd — отоб­ража­ет файл в виде шес­тнад­цатерич­ных кодов или выпол­няет обратное пре­обра­зова­ние;
   • strings — ути­лита, при­меня­емая для поис­ка печата­емых строк в дво­ичных фай­лах;
   • VirusTotal — бес­плат­ная служ­ба, ана­лизи­рующая подоз­ритель­ные фай­лы и ссыл­ки на пред­мет наличия вирусов, чер­вей, тро­янов и все­воз­можных вре­донос­ных прог­рамм;
   • DIE — ути­лита для опре­деле­ния типов фай­лов. Кто читал кни­гу «Вскры­тие покажет! Прак­тичес­кий ана­лиз вре­донос­ного ПО», тот дол­жен знать ути­литу.
3. Фаз­зинг прог­раммы (если это тре­бует­ся). Это тех­ника поис­ка потен­циаль­ных уяз­вимос­тей в авто­мати­чес­ком или полу­авто­мати­чес­ком режиме. Здесь нам помогут:
   • AFL++ — собира­ет информа­цию о пок­рытии для каж­дого изме­нен­ного вход­ного зна­чения и помога­ет обна­ружить новые пути выпол­нения и потен­циаль­ные баги;
   • LibFuzzer — фрей­мворк для обна­руже­ния оши­бок в коде, соз­данный в основном для тес­тирова­ния прог­рамм на C/C++, но под­держи­вает и дру­гие язы­ки;
   • са­мопис­ный фаз­зер — этот метод исполь­зует­ся, ког­да прог­рамма спе­цифич­ная или исполь­зовать извес­тные фаз­зеры не име­ет смыс­ла или нет воз­можнос­ти. При­мер можешь пос­мотреть в пос­те на codeby.net;
   • руч­ной фаз­зинг — по сути, прос­то тыкание прог­раммы, как в тас­ках на CTF. Ресер­чер прос­то пода­ет слу­чай­ные дан­ные прог­рамме вруч­ную.
4. Ре­верс. Этот шаг важен, и думаю, что пояс­нения тут не нуж­ны. Информа­ции в интерне­те пол­но, смот­ри, нап­ример, под­борку ста­тей «Ре­верс мал­вари». Здесь же перечис­лю основные ути­литы:
   • IDA Pro — это самая извес­тная прог­рамма для дизас­сем­бли­рова­ния, в пред­став­лении она не нуж­дает­ся. Как ей поль­зовать­ся, мож­но почитать, нап­ример, в кни­ге Рикар­до Нар­вахи The IDA Pro Book (дос­тупен лю­битель­ский перевод);
   • ImmunityDBG — отладчик прог­рамм для ОС Windows. Ска­чать мож­но на офи­циаль­ном сай­те;
   • EDB Debugger — кросс‑плат­формен­ный отладчик для AArch32/x86/x86-64. В дан­ный момент офи­циаль­но дос­тупен толь­ко на Linux, но уже готовят­ся пор­ты для FreeBSD, OpenBSD, macOS и Windows;
   • GDB Debugger — перено­симый отладчик про­екта GNU, работа­ет на мно­гих UNIX-подоб­ных сис­темах и помога­ет отла­живать мно­гие язы­ки прог­рамми­рова­ния, вклю­чая C/C++, Free Pascal, FreeBASIC, Ada, фор­тран и Rust;
   • Ghidra — этот фрей­мворк для ревер­са соз­дан в АНБ США и вклю­чает в себя набор пол­нофун­кци­ональ­ных высокок­лас­сных инс­тру­мен­тов ана­лиза прог­рамм. Работа­ет на Windows, macOS и Linux. Под­робнее о нем мож­но про­честь в стать­ях «Ghidra vs IDA Pro» и «Ghidra vs crackme»;
   • radare2 — сво­бод­ный кросс‑плат­формен­ный фрей­мворк для реверс‑инжи­нирин­га, вклю­чает дизас­сем­блер, шес­тнад­цатерич­ный редак­тор, ана­лиза­тор кода и про­чие полез­ности. Исполь­зует­ся при ревер­се, отладке вре­донос­ного ПО и про­шивок. Ска­чать мож­но с GitHub;
   • Eclipse-CDT — это прог­рамма для ревер­са, в которой мож­но пос­мотреть мес­то падения прог­раммы в исходном коде по фай­лу, который вызыва­ет краш.
5. На­писа­ние экс­пло­ита. Пишем код, который будет экс­плу­ати­ровать уяз­вимость. Здесь все зависит от тво­их уме­ний и пред­почте­ний, а так­же от того, что мы экс­плу­ати­руем и на какой плат­форме.

Сбор информации о таргете и знакомство с бинарем

Из наз­вания статьи ты уже зна­ешь, что будем пыв­нить libexif вер­сии 0.6.14. Давай поз­накомим­ся с нашим тар­гетом поб­лиже.

Libexif — это биб­лиоте­ка для раз­бора, редак­тирова­ния и сох­ранения дан­ных EXIF, то есть зашитых в некото­рые изоб­ражения метадан­ных.

Да­вай теперь най­дем какую‑нибудь прог­рамму с этой биб­лиоте­кой на роль подопыт­ного. Бла­го на прос­торах GitHub это­го доб­ра сколь­ко угод­но. Один из самых прос­тых вари­антов — прог­рамма exif. Это неболь­шая ути­лита коман­дной стро­ки для отоб­ражения информа­ции EXIF. Написа­на она как раз для того, что­бы демонс­три­ровать воз­можнос­ти libexif.

Для начала ска­чаем и соберем тар­гет:

Со­бира­ем и уста­нав­лива­ем libexif:

Биб­лиоте­ка готова, теперь ска­чаем и соберем исполь­зующую ее прог­рамму:

Со­бира­ем exif:

Пос­ле сбор­ки мож­но запус­кать прог­рамму.

Да­вай поп­робу­ем и пос­мотрим, как прог­рамма работа­ет. Из опи­сания понят­но, что на вход нуж­но подать кар­тинку, поэто­му ска­чаем из того же репози­тория при­меры кар­тинок.

Ко­ман­да mkdir in; mkdir out; cd in соз­даст две дирек­тории: /in и /out, а затем перей­дет в дирек­торию /in. Эти пап­ки потом понадо­бят­ся нам при фаз­зинге.

За­пус­каем прог­рамму:

И видим резуль­тат ее работы.

От­лично! С работой прог­раммы разоб­рались.

Фаззинг

Те­перь нас­тало вре­мя фаз­зинга. Он поможет нам напасть на след потен­циаль­ных багов.