Binary 104: Methodology and Tools

1. Quy trình phân tích

1.1. Tìm kiếm, xác định binary

$ find /home/osboxes/ -executable -type f | head -10
/home/osboxes/bac/xelfviewer_lin64_portable_0.02.tar.gz
/home/osboxes/bac/Binary-Analysis-Cookbook/Chapter-06/32bit/ch06-bindshell32
/home/osboxes/bac/Binary-Analysis-Cookbook/Chapter-04/32bit/ch04-example
/home/osboxes/bac/Binary-Analysis-Cookbook/Chapter-04/32bit/libhider.so

$ file /bin/bash
/bin/bash: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=6f072e70e3e49380ff4d43cdde8178c24cf73daa, stripped

$ for i in $(find /home/osboxes/ -executable -type f);do file -i $i | grep -i 'x-executable; charset=binary';done
/home/osboxes/bac/edb-debugger/build/edb: application/x-executable; charset=binary
/home/osboxes/bac/edb-debugger/build/CMakeFiles/feature_tests.bin: application/x-executable; charset=binary
/home/osboxes/bac/Binary-Analysis-Cookbook/Chapter-04/64bit/ch04-example: application/x-executable; charset=binary
/home/osboxes/bac/Binary-Analysis-Cookbook/Chapter-03/64bit/ch03-helloworld64: application/x-executable; charset=binary
/home/osboxes/bac/Binary-Analysis-Cookbook/Chapter-05/32bit/ch05-example-objcopy-stripped: application/x-executable; charset=binary
...

$ ls -halt /usr/bin/ | tail -20
-rwxr-xr-x  1 root root     9.5K Feb 12  2014 lzmainfo
-rwxr-xr-x  1 root root      66K Feb 12  2014 xz
-rwxr-xr-x  1 root root     5.4K Feb 12  2014 xzdiff
-rwxr-xr-x  1 root root     5.3K Feb 12  2014 xzgrep
-rwxr-xr-x  1 root root     1.8K Feb 12  2014 xzless
-rwxr-xr-x  1 root root     2.2K Feb 12  2014 xzmore
-rwxr-xr-x  1 root root      27K Jan 10  2014 apgbfm
-rwxr-xr-x  1 root root      276 Jan 10  2014 apg
-rwxr-xr-x  1 root root     9.7K Jul 11  2013 scprofiler
...

$ sudo updatedb
$ locate bash
/bin/bash
/bin/rbash
/etc/bash.bashrc
/etc/bash_completion
/etc/bash_completion.d
/etc/apparmor.d/abstractions/bash
...

$ ps -axu
USER       PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root         1  0.0  0.2  24996  4992 ?        Ss   Mar29   0:03 /sbin/init splash
root         2  0.0  0.0      0     0 ?        S    Mar29   0:00 [kthreadd]
root         4  0.0  0.0      0     0 ?        I<   Mar29   0:00 [kworker/0:0H]
root         6  0.0  0.0      0     0 ?        I<   Mar29   0:00 [mm_percpu_wq]
root         7  0.0  0.0      0     0 ?        S    Mar29   0:00 [ksoftirqd/0]
root         8  0.0  0.0      0     0 ?        I    Mar29   0:01 [rcu_sched]
...

$ echo $PATH
/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/usr/local/games:/snap/bin
$ which ls cat ps
/bin/ls
/bin/cat
/bin/ps

$ echo $PATH
/opt/evil:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/usr/local/games:/snap/bin
$ which ls cat ps
/opt/evil/ls
/opt/evil/cat
/opt/evil/ps

1.2. Thu thập thông tin

$ file ch04-example
ch04-example: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=be0fc51d5fa6803f3d477cd8eda1e41ecddab29a, not stripped

$ readelf -a ch04-example
$ objdump -x ch04-example

$ ldd -v ch04-example

$ strings ch04-example
/lib64/ld-linux-x86-64.so.2
libc.so.6
__isoc99_scanf
__stack_chk_fail
printf
strcmp
HardCodeH
dPassworH
Please enter the password to unlock the hidden message:
The hidden message is '%s'
Wrong, run the program again...
;*3$"
GCC: (Ubuntu 5.4.0-6ubuntu1~16.04.11) 5.4.0 20160609
...

$ hexdump -C ch04-example

1.3. Phân tích tĩnh

• [d, --disassemble]: disassembly các section được gắn flag X, tức là có quyền thực thi

• [D, --disassemble-all]: disassembly tất cả các section

• [M, --disassembler-options=OPT]: định dạng đầu ra theo một dạng cú pháp nào đó, thường sẽ sử dụng cú pháp Intel.

$ ndisasm -a -p intel ch04-example
00000000  7F45              jg 0x47
00000002  4C                dec sp
00000003  46                inc si
00000004  0201              add al,[bx+di]
00000006  0100              add [bx+si],ax
00000008  0000              add [bx+si],al
...

$ objdump -d -M intel ch04-example
...
0000000000400646 <main>:
  400646:       55                      push   rbp
  400647:       48 89 e5                mov    rbp,rsp
  40064a:       48 83 ec 60             sub    rsp,0x60
  40064e:       64 48 8b 04 25 28 00    mov    rax,QWORD PTR fs:0x28
...

1.4. Phân tích động

Ví dụ công cụ phân tích động

Cài đặt PEDA Plugin cho GDB:

$ git clone https://github.com/longld/peda.git ~/peda
$ echo "source ~/peda/peda.py" >> ~/.gdbinit

Sử dụng PEDA cơ bản khi ở trong shell tương tác của GDB, tham khảo: http://ropshell.com/peda/Linux_Interactive_Exploit_Development_with_GDB_and_PEDA_Slides.pdf

• peda help: Show các command mà peda hỗ trợ

• pdis main: Disassembly hàm main

• checksec: Show trạng thái các cờ: CANARY, FORTIFY, NX, PIE, RELRO

• start: Bắt đầu chạy chương trình

• break main, break * main+127: Đặt một breakpoint tại hàm main hoặc một vị trí tương đối trong hàm main.

• p/d: Tính toán, như một trình calculator

• x/wx $esp: Show giá trị các biến hoặc thanh ghi

• next: Thực thi một lệnh, sẽ làm thay đổi EIP ⇒ trỏ đến lệnh tiếp theo.

• watch $EAX: Theo dõi một thanh ghi hoặc biến

• stack 50: In ra nội dung Stack trong khoảng 50

Debugging một Binary bằng PEDA:

$ gdb ch04-example
break * main+127
Breakpoint 1 at 0x4006c5
gdb-peda$ start
gdb-peda$ run

Kết quả ta dừng tại lệnh call đến hàm printf. Ta thấy PEDA nhận diện được tham số truyền vào hàm là chuỗi: "Please enter the password to unlock the hidden message: ". PEDA có giao diện rất trực quan, dễ hiểu, là một plugin không thể thiếu khi dùng GDB.

Ngoài ra còn có ltrace và strace sẽ đề cập ở phần sau

1.5. Lặp lại các bước đã phân tích

1.6. Tự động hóa các bước phân tích

#!/bin/bash

# BINARY ANALYSIS AUTOMATION
# BY - Michael Born
# DATE - 2019

if [ $# -lt 2 ] || [$# -gt 2 ]
then
    echo "Not enough arguments: usage = $0 <binary file> <output file>";

else
    BINARY=$1;
    OUTPUTFILE=$2;

    # SETUP OUTPUT INFORMATION
    echo "This output created by $USER on $(date)" |tee $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE;

   # FILE
    echo "FILE TYPE INFORMATION" | tee $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE
    file $BINARY |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE;

    # STRINGS
    echo "STRINGS INFORMATION" |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE;
    strings -s "  |  " $BINARY |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE

    # READELF
    echo "READELF ALL" |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE;
    readelf -a -W $BINARY |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE;

    # OBJDUMP
    echo "OBJDUMP EXECUTABLE" |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE
    objdump -d -M intel $BINARY |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE;
    echo |tee -a $OUTPUTFILE;
fi

1.7. Điều chỉnh phương pháp phân tích

2. Công cụ Phân tích tĩnh

2.1. Sử dụng FILE

• [i, --mime]: Hiển thị Mime Type của tệp

• [f, --files-from FILE]: Đọc danh sách các file cần kiểm tra từ một tệp text

• [F, --separator]: Định dạng đầu ra kết quả, thay vì ngăn cách nhau bằng dấu cách (mặc định) có thể định dạng theo ký tự tùy ý.

2.2. Sử dụng STRINGS

• [a - --all]: Mặc định khi chạy, quét toàn bộ tệp

• [d --data]: Chỉ quét Data Section của tệp

• [n --bytes=[number]]: Chỉ định độ dài tối thiểu của chuỗi, mặc định là 4 ký tự

• [f --print-file-name]: Khi quét nhiều tệp cùng một lúc, tham số này sẽ hiển thị tên tệp đằng trước mỗi chuỗi tìm được.

• [s --output-separator=<string>]: Định dạng lại đầu ra kết quả ngăn cách giữa các chuỗi, mặc định ký tự định dạng là \n - xuống dòng mới.

• [t --radix={o,d,x}]: Hiển thị vị trí của chuỗi trong tệp. Vị trí hiển thị theo hệ 8, 10, 16

2.3. Sử dụng READELF

• [a --all]: Show toàn bộ thông tin mà công cụ có thể đọc

• [e --headers]: Kết hợp của: -h -l -S

• [h --file-header]: Show ELF Header

• [l --program-headers]: Show Program Header hay Segment Header

• [S --section-headers]: Show Section Header

• [s --syms]: Show bảng Symbol

• [x --hex-dump=<number|name>] hoặc [R --relocated-dump=<number|name>]: Dump một Section

• [W --wide]: Không ngắt dòng kết quả khi vượt quá 80 ký tự.

2.4. Sử dụng NM

• [A, --print-file-name]: Dùng khi quét nhiều tệp, nó sẽ hiển thị tên tệp đầu dòng

• [D, --dynamic]: Hiển thị các Dynamic Symbol, Khi tệp bị stripped nếu dùng tham số này vẫn có thể biết đc Binary gọi hàm nào

• [S, --print-size]: Hiển thị cả kích thước khi định nghĩa Symbol

• [f, --format=FORMAT]: Định dạng đầu ra các Symbol theo các hệ thống: Sysv, Posix, mặc định là BSD.

• [n, --numeric-sort]: Sort các Symbol theo địa chỉ nó tìm thấy

2.5. Sử dụng OBJCOPY

• [I --input-target <bfdname>]: Tệp đầu vào

• [O --output-target <bfdname>]: Tệp đầu ra

• [B --binary-architecture <arch>]: Kiến trúc tệp

• [S --strip-all]: Xóa bỏ tất cả các symbol và thông tin về relocation

• [j --only-section]: Sao chép một Section đc chỉ định

2.6. Sử dụng OBJDUMP

• [x, --all-headers]: Show tất cả các thông tin về header của tệp, tính năng tương tự READELF

• [D, --disassemble-all]: Disassembly tất cả các Section

• [d, --disassemble]: Disassembly những Section được gắn cờ X, có quyền thực thi

• [w, --wide]: Không ngắt dòng khi đầu ra quá 80 ký tự

• [M, --disassembler-options=OPT]: Định dạng cú pháp mã lệnh Assembly của đầu ra, thường dùng cú pháp Intel

2.7. Sử dụng DD

$ dd ibs=1 skip=17087 cbs=1 if=ch05-ctf.png of=ch05-ctf

• [ibs]: Số byte đọc cùng 1 lúc, mặc định là 512

• [skip]: Số byte bỏ qua

• [cbs]: Số byte sẽ sao chép trong cùng 1 lúc

• [if]: Tệp đầu vào

• [of]: Tệp đầu ra

3. Công cụ Phân tích động

3.1. Sử dụng LTRACE và STRACE

• [-T hoặc -t, -tt, -ttt]: Hiển thị thời gian thực hiện cuộc gọi

• [-r]: Hiển thị thời giang tương đối

• [-c]: Đếm thơi gian và số lượng cuộc gọi

• [-f]: Trace cả các cuộc gọi lồng bên trong

• [-i]: Hiển thị địa chỉ lệnh trong thời gian gọi hàm

• [-o]: Lưu kết quả ra file

• [-S]: Trace các cuộc gọi hệ thống (Giống Strace)

• [-e]: Trace theo nhóm các API, tránh nhiễu kế quả. VD: $ ltrace -e opendir+readdir+closedir ./malware.bin

• [-p]: Trace một Process

$ ltrace -it -o malware.txt ./malware.bin
$ ltrace -Sit -o malware.txt ./malware.bin

• [-r]: Hiển thị relative timestamp

• [-i]: Hiển thị Instruction Pointer

• [-T, -t, -tt]: Hiển thị thời gian

• [-c]: Count, đếm thời gian, số cuộc gọi, lỗi,.v.v..

• [-f, -ff]: Follow forks

• [-x]: In ký tự non-ascii dạng hex

• [-o]: Lưu kết quả ra file

• [-p <PID>]: Trace một Process

• [-e]: trace các api theo một nhóm. VD: $ strace -e trace=open,close,read,write df -h hay $ strace -e trace=process,file,memory,network,signal df -h

$ strace -itx -o report.txt ./malware.bin
$ strace -itxC -o report.txt ./malware.bin
$ strace -itx -e trace=process,network -o report.txt ./malware.bin

3.2. Sử dụng GDB

$ sudo su
$ echo "set disassembly-flavor intel" >> /etc/gdb/gdbinit
$ exit

$ gdb --tui -q ch05-example

(gdb) layout asm
(gdb) layout regs
(gdb) set args rot13 TheBrownFoxJumpsThroughTheForest
(gdb) break main
(gdb) run

3.3. Sử dụng EDB