-
-
[原创]自己研究的一种检测Android SO的UAF和heap over-flow方法
-
发表于: 2019-7-20 22:29
-
离职三个月在家闭门造车学习漏洞挖掘，开始的时候是使用各种开源的fuzz框架对github一顿挖，看各种fuzzer和asan实现的原理。直到挖到第一个UAF类型的漏洞，我终于感觉我可能已经入门了。于是便有了此文，分享一下我研究出来的android全局的UAF和heap over-flow检测的简单思路，供大家一同进步。
此时我们已经可以检测到UAF，并且捕获了异常
https://github.com/mpv-player/mpv/issues/6808 这是我用honggfuzz发现mpv的一个UAF漏洞。调试完后我有了自己对UAF的理解。
在我看来就是系统free的时候没有将数据清除导致之前存储的内容依然存在，使得该程序依然能够正常运行。但凡free后被其他申请的内存覆盖则程序才有可能报错。
自己写了一个demo 来测试UAF
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 | #include <stdio.h>#include <memory.h>#include <stdlib.h>struct sample_1{ char* name;};struct sample_2{ char* name; struct sample_1* v0;};int main(int argc,char** argv){ struct sample_1* smp1=(struct sample_1*)malloc(sizeof(struct sample_1)); smp1->name="smp1"; struct sample_2* smp2=(struct sample_2*)malloc(sizeof(struct sample_2)); smp2->name="smp2"; smp2->v0=smp1; free(smp2); printf("%s\n",smp2->name); printf("%s\n",smp2->v0->name); return 0;} |
我们看到在free(smp2)以后程序依然正常运行。
三、UAF检测思路
看过asan的源码，他采取的是替换free和malloc函数，所以我这里也替换free和malloc，在malloc的时候多分配一个size_t大小用于存储malloc的buffer大小，并放置在buffer前。
在free的时候获取存储的buffer大小进行memset，后在释放。
为测试代码添加了signal处理函数（如果不添加处理函数会显示Segmentation fault: 11），当程序崩溃的时候打印堆栈。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 | #include <stdio.h>#include <memory.h>#include <stdlib.h>#include <execinfo.h>#include <signal.h>#define STORESIZE sizeof(size_t)struct sample_1{ char* name;};struct sample_2{ char* name; struct sample_1* v0;};void show_stack(){ int i; void *buffer[1024]; int n = backtrace(buffer, 1024); char **symbols = backtrace_symbols(buffer, n); for (i = 0; i < n; i++) { printf("%s\n", symbols[i]); }}void signal_handler(int sig) { if(SIGSEGV==sig) { show_stack(); exit(-1); } else{ printf("signal with %d\n",sig); }}void my_free(void* addr){ printf("free addr:%p size:%d append_size:%d\n",addr,*(size_t*)((size_t)addr-STORESIZE),STORESIZE); memset(addr,0xFF,*(size_t*)((size_t)addr-STORESIZE)); free((void*)((size_t)addr-STORESIZE));}void* my_malloc(size_t len){ void* addr=malloc(len+STORESIZE); printf("malloc addr:%p size:%d app_size:%d\n",(void*)((size_t)addr+STORESIZE),len,STORESIZE); *(size_t*)addr=len; return (void*)((size_t)addr+STORESIZE);}int main(int argc,char** argv){ signal(SIGSEGV, signal_handler); struct sample_1* smp1=(struct sample_1*)my_malloc(sizeof(struct sample_1)); smp1->name="smp1"; struct sample_2* smp2=(struct sample_2*)my_malloc(sizeof(struct sample_2)); smp2->name="smp2"; smp2->v0=smp1; my_free(smp2); printf("%s\n",smp2->name); printf("%s\n",smp2->v0->name); return 0;} |
编译后运行结果如下：
此时我们已经可以检测到UAF，并且捕获了异常
四、heap over-flow 检测思路
溢出的检测是在malloc的buffer前后分别添加一个buffer的size 类似[len][buffer][len]，在free的时候检测头尾的len是否相等。如不相等则溢出。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 | void my_free(void* addr){ printf("free addr:%p size:%d append_size:%d\n",addr,*(size_t*)((size_t)addr-STORESIZE),2*STORESIZE); memset(addr,0xFF,*(size_t*)((size_t)addr-STORESIZE)); if(*(size_t*)((size_t)addr-STORESIZE)!=((size_t)addr+*(size_t*)((size_t)addr-STORESIZE))) { printf("heap over_flow!\n"); show_stack(); exit(-1); } free((void*)((size_t)addr-STORESIZE));}void* my_malloc(size_t len){ void* addr=malloc(len+2*STORESIZE); printf("malloc addr:%p size:%d app_size:%d\n",(void*)((size_t)addr+STORESIZE),len,2*STORESIZE); *(size_t*)addr=len; *(size_t*)((size_t)addr+len+STORESIZE)=len; return (void*)((size_t)addr+STORESIZE);}int main(int argc,char** argv){ char src[120]=""; void* dst=my_malloc(100); memcpy(dst,src,120); my_free(dst); return 0;} |
运行结果如下：
五、实现android上的全局UAF和heap over-flow检测
这里只说一下思路
1、全局hook 具体方法可以在论坛找（比如注入app_process）
2、hook malloc 和 free函数将其替换
3、在注入的so中添加signal处理函数，将崩溃或heap overflow的信息记录到文件。
4、运行app （此时已经可以检测该app的so是否存在uaf或heap over-flow漏洞）
以上只是个人的想法与观点，如有不当之处，望各位大佬指出。共同学习进步。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 | #include <stdio.h>#include <memory.h>#include <stdlib.h>struct sample_1{ char* name;};struct sample_2{ char* name; struct sample_1* v0;};int main(int argc,char** argv){ struct sample_1* smp1=(struct sample_1*)malloc(sizeof(struct sample_1)); smp1->name="smp1"; struct sample_2* smp2=(struct sample_2*)malloc(sizeof(struct sample_2)); smp2->name="smp2"; smp2->v0=smp1; free(smp2); printf("%s\n",smp2->name); printf("%s\n",smp2->v0->name); return 0;} |
我们看到在free(smp2)以后程序依然正常运行。
看过asan的源码，他采取的是替换free和malloc函数，所以我这里也替换free和malloc，在malloc的时候多分配一个size_t大小用于存储malloc的buffer大小，并放置在buffer前。
在free的时候获取存储的buffer大小进行memset，后在释放。
为测试代码添加了signal处理函数（如果不添加处理函数会显示Segmentation fault: 11），当程序崩溃的时候打印堆栈。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 | #include <stdio.h>#include <memory.h>#include <stdlib.h>#include <execinfo.h>#include <signal.h>#define STORESIZE sizeof(size_t)struct sample_1{ char* name;};struct sample_2{ char* name; struct sample_1* v0;};void show_stack(){ int i; void *buffer[1024]; int n = backtrace(buffer, 1024); char **symbols = backtrace_symbols(buffer, n); for (i = 0; i < n; i++) { printf("%s\n", symbols[i]); }}void signal_handler(int sig) { if(SIGSEGV==sig) { show_stack(); exit(-1); } else{ printf("signal with %d\n",sig); }}void my_free(void* addr){ printf("free addr:%p size:%d append_size:%d\n",addr,*(size_t*)((size_t)addr-STORESIZE),STORESIZE); memset(addr,0xFF,*(size_t*)((size_t)addr-STORESIZE)); free((void*)((size_t)addr-STORESIZE));}void* my_malloc(size_t len){ void* addr=malloc(len+STORESIZE); printf("malloc addr:%p size:%d app_size:%d\n",(void*)((size_t)addr+STORESIZE),len,STORESIZE); *(size_t*)addr=len; return (void*)((size_t)addr+STORESIZE);}int main(int argc,char** argv){ signal(SIGSEGV, signal_handler); struct sample_1* smp1=(struct sample_1*)my_malloc(sizeof(struct sample_1)); smp1->name="smp1"; struct sample_2* smp2=(struct sample_2*)my_malloc(sizeof(struct sample_2)); smp2->name="smp2"; smp2->v0=smp1; my_free(smp2); printf("%s\n",smp2->name); printf("%s\n",smp2->v0->name); return 0;} |
编译后运行结果如下：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 | #include <stdio.h>#include <memory.h>#include <stdlib.h>#include <execinfo.h>#include <signal.h>#define STORESIZE sizeof(size_t)struct sample_1{ char* name;};struct sample_2{ char* name; struct sample_1* v0;};void show_stack(){ int i; void *buffer[1024]; int n = backtrace(buffer, 1024); char **symbols = backtrace_symbols(buffer, n); for (i = 0; i < n; i++) { printf("%s\n", symbols[i]); }}void signal_handler(int sig) { if(SIGSEGV==sig) { show_stack(); exit(-1); } else{ printf("signal with %d\n",sig); }}void my_free(void* addr){ printf("free addr:%p size:%d append_size:%d\n",addr,*(size_t*)((size_t)addr-STORESIZE),STORESIZE); memset(addr,0xFF,*(size_t*)((size_t)addr-STORESIZE)); free((void*)((size_t)addr-STORESIZE));}void* my_malloc(size_t len){ void* addr=malloc(len+STORESIZE); printf("malloc addr:%p size:%d app_size:%d\n",(void*)((size_t)addr+STORESIZE),len,STORESIZE); *(size_t*)addr=len; return (void*)((size_t)addr+STORESIZE);}int main(int argc,char** argv){ signal(SIGSEGV, signal_handler); struct sample_1* smp1=(struct sample_1*)my_malloc(sizeof(struct sample_1)); smp1->name="smp1"; struct sample_2* smp2=(struct sample_2*)my_malloc(sizeof(struct sample_2)); smp2->name="smp2"; smp2->v0=smp1; my_free(smp2); printf("%s\n",smp2->name); printf("%s\n",smp2->v0->name); return 0;} |
编译后运行结果如下：
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2019-7-20 22:39
被scxc编辑
，原因：
赞赏记录
参与人
雪币
留言
时间
伟叔叔
看雪因你而更加精彩！
2024-6-9 01:31
99JW99
为你点赞~
2022-10-5 15:38
PLEBFE
为你点赞~
2022-7-27 01:39
心游尘世外
为你点赞~
2022-7-26 23:27
飘零丶
为你点赞~
2022-7-17 02:49
artake
为你点赞~
2021-7-14 11:09
Youngs
为你点赞~
2019-7-24 11:17
saliey
为你点赞~
2019-7-22 17:44
AJISky
为你点赞~
2019-7-22 13:58
r0Cat
为你点赞~
2019-7-21 09:19
scxc
为你点赞~
2019-7-21 01:21
endlif
为你点赞~
2019-7-20 23:20
LowRebSwrd
为你点赞~
2019-7-20 22:50
Umiade
为你点赞~
2019-7-20 22:39
|
|
|---|---|
|
|
此类文章很稀少，作者加油！
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
楼主平时播放器用mpv么
|
|
|
|
|
|
|
|
|
|
|
|
也不用羡慕 总有代价需要付的 |
|
|
|
|
|
|
|
|
我希望 以后跟你一样 优秀啊 |
|
|
这是家里有矿啊~ |
|
|
家里没矿但有砖要搬 |
|
|
|
|
|
|
|
|
是的 asan的功能肯定比我这个更全面的 但也有局限性 类似ld_preload调用asan 和用asan编译aosp 一个不能做到全局hook 一个太消耗性能 我只是提出一种逆向修改的检测方法
最后于 2019-7-22 11:01
被scxc编辑
，原因：
|
|
|
结合全局hook可以对应用的so做到无源码检测，当然不仅限于so 只要能替换应该都能检测
最后于 2019-7-22 11:09
被scxc编辑
，原因：
|
|
|
子诺大佬多指点几句吧。很崇拜你 |
|
|
|
|
|
这种帖子内容新颖，质量很赞
|
|
|
|
|
|
以前群里交流过的。然后每月google安全公告你那一堆cve。印象挺深的 |
