从零开始学Fuzzing系列:带领nduja打破Grinder的壁垒

访客5年前黑客文章809

四年前开源的Grinder项目,和借助于它运转的nduja,着实让浏览器缝隙发掘飞入了寻常百姓家。但随着时刻的检测,Grinder也遇到了让人爱恨交加的为难:分明发生了Crash,可便是无法重现。有多少人和我相同,从初识Grinder的激动,到别离时的落寞,也见证了一代怀揣愿望的挖洞人的脚印。
在现有项目的基础上,对其进行改善,乃是一种前进,所以呈现了Morph项目。
Morph起先的定位便是处理Grinder架构中存在的实质问题:样本无法安稳重现,所以才有了前面《浏览器发掘结构Morph诞生记》中叙述的“静态随机数组”的测验,但随之带来的并发症却是:样本难以精简。
本文正是为处理这个问题而发生的,笔者选用一种Grinder log静态化的办法,将本来Grinder中选用DLL注入截获log句子的办法改善为提早生成静态精简样本的办法,从根本上处理样本无法安稳重现和难以精简两大难题,为浏览器缝隙发掘作业供给新的思路。
0×01 咱们需求什么格局的样本?
前面《浏览器发掘结构Morph诞生记》中介绍过一种“静态随机数组”办法,用来处理Grinder log记载简单呈现样本无法安稳重现的问题。笔者在开宣布Morph v0.2.5之后进行了大规模布置测验,也得到了一些能够安稳重现的Crash成果,但拿到样本想进一步剖析时,却遇到了难题。得到的Crash样本是如下方式的HTML文档:
html>
head>
script type='text/javascript'>
var mor_array = [675, 142, 861, 226, 112, 157, 667, ...... 147, 368, 10, 1];//元素个数有或许上万个
var mor_index = 0 ;
// Pick a random number between 0 and X
function rand( x ){
  index = (mor_index++) % (mor_array.length);
  return mor_array[index] % x;
}
function R(mod) {
  return rand(10000) % mod;
}
......
function tweakattributes(elem,i){
  for( var p in elem){//这儿的循环要顺次调用上面的mor_array数组中的元素
    try {
        r=rand_item(interesting_vals);
        elem.setAttribute(p,r);
    }
    catch (exception) {}
  }
}
......
function buildElementsTree(){
    elementTree=[];
    for (k=0;k200;k++){//这儿的循环要顺次调用上面的mor_array数组中的元素
      r=rand_item( elements );
      elementTree[k]=document.createElement(r);
      elementTree[k].id="el"+k;
      rb=R(document.all.length);
      document.all[rb].appendChild(elementTree[k]);
      tweakattributes(elementTree[k],k);
    }
  }
}
function morph_fuzz()
{
  buildElementsTree();
  ...... 
}
script>
head>
body onload="morph_fuzz()">body>
html>
要想在上述样本中定位到是哪个js句子终究导致crash,有必要顺次读取静态数组,一步步调试履行buildElementsTree和tweakattributes函数中的for循环,拆解得到相关js句子。并且该句子有或许与之前循环的某个句子还有联络,有必要将两者或更多的句子都定位出来才干得到完好的POC样本。
清楚明了,如此剖析起来,是极端繁琐的。用一句话描述这些样本:食之无味,弃之可惜。
那咱们究竟需求什么格局的样本呢?搞过浏览器缝隙剖析的人员都知道,往常剖析的POC都是这样的:
html>
head>
script>
function exploit()
{
 var e0 = null;
 var e1 = null;
 var e2 = null;
 try {
  e0 = document.getElementById("a");
  e1 = document.createElement("div");
  e2 = document.createElement("q");
  e1.applyElement(e2);
  e1.appendChild(document.createElement('button'));
  e1.applyElement(e0);
  e2.innerHTML = "";
  e2.appendChild(document.createElement('body'));
 }catch(e){ }
 CollectGarbage();
}
script>
head>
body onload="exploit()">
form id="a">form>
body>
html>
略微盯梢调试即可确认crash发生的原因。别的,用Grinder成功重现出Crash样本的童鞋也知道,得到的POC样本一般都是这种格局:
html>
body>body>
script>var createdObjects={}
var c = document.createElement("CANVAS")
c.width = 1000
c.height = 1000
document.body.appendChild(c)
var img = new Image()
img.src="data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAEAAAABACAMAAACdt4HsAAAANlBMVEX///+6v8a2u8PKztPAxcu7wMf4+fm0ucH =="
try{ ctx = c.getContext("2d")} catch(e){}
try{ HTML0= document.createElement("MENU")} catch(e){}
try{ createdObjects["HTML0"]=HTML0} catch(e){}
try{ document.body.appendChild(HTML0)} catch(e){}
try{ P0= new Path2D()} catch(e){}
try{ createdObjects["P0"]=P0} catch(e){}
try{ ctx.height="36191.05884594913180334528604"} catch(e){}
try{ delete createdObjects['HTML0']} catch(e){}
try{ ctx.translate(-0.9872812044341117,0)} catch(e){}
try{ ctx.getLineDash()} catch(e){}
try{ CollectGarbage()} catch(e){}

[1] [2] [3] [4]  黑客接单网

相关文章

EMV体系的安全性评价

电子商务、移动付出的遍及,顾客越来越少随身携带现金,人们玩笑道“小偷都快赋闲了”。但在互联网上,靠偷盗用户电子账户资金、虚拟财物的“网络小偷”却非常猖狂。 各种途径走漏的个人信息被加工、转卖,并用于电...

对DOTNET(.NET)中的歹意长途拜访进程进行剖析(下)

上一篇说到代码会有许多重复,由于它在每个if句子(共有五个if句子,会在下篇讲到)中都会调用一个函数。但是,细节却略有不同,其间给定的办法称号和函数的参数都会显现函数的内容。 第一个if句子在程序会集...

JavaScript的注入引出技能欺诈

0×01 前语 在最近的歹意软件的查询中,咱们发现了一些风趣的混杂JavaScript代码。此代码伪装成现在盛行的插件AddThis social sharing的一部分,在URL命名约好和图画文件中...

在Go中运用反向署理进行网络垂钓测验

关于一个进犯者来说,要想施行一次网络垂钓进犯,往往需求做很多的准备作业。例如建立垂钓站点,诱惑受害者上钩,捕获受害者的登录凭据等。为了防止这些冗杂的进程,本文我将教咱们运用Go自动化这些进程。 完好的...

钓鱼攻击姿势老套,不明真相还是上当-黑客接单平台

近来,深服气安全团队捕获到一同高度个性化的垂钓进犯事情,进犯者针对用户企业假造了多份带有专业内容的进犯文档,经过邮件发送到方针邮箱,妄图诱导用户翻开附件中的文档。 经安全专家剖析,该文档其实为带有缝隙...

你还在重视勒索病毒?他人现已转行挖矿

导语:近来,腾讯游戏安全中心捕获一款网吧内传达的歹意软件。原以为是惯例的网吧盗号木马,但详细剖析之后发现并非如此。经证明该歹意软件是现在发现的首款运用Windows SMB缝隙传达,开释虚拟钱银矿机挖...