Memory Eye SSTIC Yoann Guillot. Sogeti / ESEC R&D yoann.guillot(at)sogeti.com

Size: px

Start display at page:

Download "Memory Eye SSTIC 2011. Yoann Guillot. Sogeti / ESEC R&D yoann.guillot(at)sogeti.com"

Kelly Ball
8 years ago
Views:

1 Memory Eye SSTIC 2011 Yoann Guillot Sogeti / ESEC R&D yoann.guillot(at)sogeti.com

2 Y. Guillot Memory Eye 2/33 Plan

3 Y. Guillot Memory Eye 3/33 Memory Eye Analyse globale d un programme Un outil pour analyser la zone de mémoire dynamique d un programme Analyse de patterns

4 1. Y. Guillot Memory Eye 4/33 Pourquoi? L assembleur, c est compliqué Instructions bizarres xor pmulhrsw Architectures plus ou moins familières x64 arm Algorithmes bizarres 1

5 Y. Guillot Memory Eye 5/33 wtf.asm

6 L analyse de code Y. Guillot Memory Eye 6/33 Pros Bons outils IDA BinNavi a Grosse communauté a. M.I.A 01/03/11 Cons Approche bottom-up Changement de version de la cible == reset BinDiff prison

7 Y. Guillot Memory Eye 7/33 Plan

8 Y. Guillot Memory Eye 8/33 Taxinomie Pile Limité a une fonction (+ sous-fonctions) Taille contrainte Globales Fixé à la compilation Durée de vie : permanente Inclues dans le binaire a Rigide a. sauf.bss

9 Y. Guillot Memory Eye 9/33 Taxinomie (2) Tas (Heap) Dynamique Allocation/Déallocation à la demande Utilisation optimale de la RAM Durée de vie personnalisée

10 Y. Guillot Memory Eye 10/33 Structure du tas Tas = 1+ zones independantes Par librairie Par thread Chaque est une succession de chunks Chunk = header + data Gestion des chunks via malloc() et free() Optimisations (lookaside)

une succession de chunks Chunk = header + data Gestion

11 Y. Guillot Memory Eye 11/33 Heap

12 Y. Guillot Memory Eye 12/33 Heap

13 Y. Guillot Memory Eye 13/33 Allocateur personnalisé OS = Allocateur générique Application = Allocateur(s) personnalisé spécificités de taille de chunks gestion de la fragmentation rapidité

14 Y. Guillot Memory Eye 14/33 Plan

15 Y. Guillot Memory Eye 15/33 GLibc 2.11 Zone independante = arena Zone initiale main arena = sbrk() Zones secondaires = mmap() Gros chunks = mmap() Cache de chunks libre = lookaside

16 Y. Guillot Memory Eye 16/33 Heap Linux

17 Y. Guillot Memory Eye 17/33 GLibc : extraction du main arena L adresse du main arena n est pas disponible. Approche 1 Ignorer le problème Sbrk depuis /proc/pid/maps ([heap]) PB : pas d arenas secondaires, pas de lookaside Approche 2 1 Trouver une fonction qui réference la structure 2 En extraire l adresse 3 Liste chaînée des arenas secondaires Dans tous les cas, il faut scanner les chunks mmap()

Approche 1 Ignorer le problème Sbrk depuis /proc/pid/maps ([heap]) PB : pas d arenas secondaires,

18 Y. Guillot Memory Eye 18/33 GLibc : extraction du main arena dasm. d i s a s s e m b l e f a s t ( m a l l o c t r i m ) b = dasm. b l o c k a t ( m a l l o c t r i m ) i f b. l i s t. l a s t. opcode. name == c a l l # x86 g e t i p ( ) dasm. d i s a s s e m b l e b. t o n o r m a l. f i r s t end # mutex lock (& main arena. mutex ) g i v e s us the addr cmpxchg = dasm. decoded. v a l u e s. f i n d { d i d i. k i n d o f? D e c o d e d I n s t r u c t i o n and d i. opcode. name == cmpxchg } r a i s e no cmpxchg i f not cmpxchg i n d i r = cmpxchg. i n s t r u c t i o n. a r g s. f i r s t. s y m b o l i c a r e n a p t r = d. b a c k t r a c e ( i n d i r. p o i n t e r, cmpxchg. a d d r e s s ) i f arena ptr. length == 1 a r e n a p t r = a r e n a p t r. f i r s t. r e d u c e end r a i s e c a n t f i n d mainarena i f not a r e n a p t r. k i n d o f? I n t e g e r a r e n a p t r += l i b c b a s e

v a l u e s. f i n d { d i d i. k i n d o f? D e c o d e d I n s t r u c t i o n and d i. opcode. name == cmpxchg } r a i s e no cmpxchg i f not cmpxchg i n d i r = cmpxchg. i n s t r u c t i o n.

19 Y. Guillot Memory Eye 19/33 Enumeration des chunks Arena top chunk + len - system mem Enumérer Soustraire le lookaside Scanner les mmap chunks

20 Y. Guillot Memory Eye 20/33 Plan

21 Y. Guillot Memory Eye 21/33 Zone independante = HEAP Gros chunks = VirtualAlloc() Cache de chunks libre = LookAside ToolhelpSnapshot(HEAPLIST)

22 Y. Guillot Memory Eye 22/33 Windows heap Heaps divisés en Segments Taille d un segment = double du précedent FirstEntry LastEntryInSegment UncommittedRange

23 Y. Guillot Memory Eye 23/33 Heap Windows

24 Y. Guillot Memory Eye 24/33 Windows 7 Remaniement de HEAP Suppression du LookAside Remplacé par le Low Fragmentation Heap

25 Y. Guillot Memory Eye 25/33 Plan

26 Y. Guillot Memory Eye 26/33 Et après? Construction du graphe de cross-references Scanne le contenu de chaque chunk Pointeur vers chunk arête du graphe

27 Classes d équivalences Y. Guillot Memory Eye 27/33 Tableaux 1 chunk pointant sur de nombreux chunks de même taille Listes chaînées chunk pointant sur un autre de même taille le suivant fait pareil le pointeur est au même offset

28 Y. Guillot Memory Eye 28/33 Plan

29 Y. Guillot Memory Eye 29/33 Jeu massivement unijoueur Simulation d un univers fantasy Communauté de hackers active Univers extrêmement détaillé Code C++ Mis à jour régulièrement Application idéale

30 Y. Guillot Memory Eye 30/33 Démo Démo

31 Autres applications Y. Guillot Memory Eye 31/33 Tout programme manipulant des données bien différenciées

32 Y. Guillot Memory Eye 32/33 Questions?

33 Y. Guillot Memory Eye 33/33 Reférences bh-usa-09/mcdonald/ BHUSA09-McDonald-WindowsHeap-PAPER.pdf ruxcon-nov-2008.pdf branches/eglibc-2_13/libc/malloc/malloc.c? rev=12752&view=markup

Note concernant votre accord de souscription au service «Trusted Certificate Service» (TCS)

Note concernant votre accord de souscription au service «Trusted Certificate Service» (TCS) Veuillez vérifier les éléments suivants avant de nous soumettre votre accord : 1. Vous avez bien lu et paraphé