物联网中的 ARM 漏洞利用

一、市面上目前的hook和注入工具

发文动机

几周前我参加某个会议的时候，有个“物联网上的 ARM 漏洞利用课程”的议题我觉得很多干货，我也决定自己写一篇，给去不了现场的同学发些福利。我打算分为三个部分来写。

当然我的文章没办法和现场的 course 相比，我还是想为大家做一些微小的工作。

这三个部分是：

• 第一部分：逆向 ARM 应用

• 第二部分：编写 ARM shellcode

• 第三部分：ARM 漏洞利用

---

一、逆向ARM应用

• 环境：

  树莓派3——我选了这个又便宜又好配置的环境，Android 也是个不错的选择。

• 硬件：

  具体型号：>树莓派3、型号B、ARM-Cortex-A53架构

• 软件

  这是些软件信息，接下来三部分都会用到。

操作系统的安装请看：https://www.raspberrypi.org/documentation/installation/installing-images/linux.md

配置远程 ssh 请看：https://www.raspberrypi.org/documentation/remote-access/ssh/

▶ 编译器

我们用到的所有 C、C++、汇编代码都会用树莓派自带的 GCC 编译器。

版本如下：

还有一点是 GCC 的汇编指令和其他的编译器不同，最好先看一下这些指令：http://www.ic.unicamp.br/~celio/mc404-2014/docs/gnu-arm-directives.pdf

▶ 源码

本部分我用到的源码都放在这里了：https://github.com/invictus1306/ARM-episodes/tree/master/Episode1

▶ 编译选项

这一节我会介绍三个选项，并附带例子。

这是用到的源码：

▶ 调试符号

-g 选项会在编译时向可执行文件中加入调试信息（符号表）。

编译带 -g 和不带 -g 选项的两个 ELF 文件，比较大小：

第二个文件更大，意味着它被加入了其他的信息。用 readelf 命令的 -S 选项（查看节头）查看其调试信息：

这些调试信息以 GCC 默认的 DWARF 格式存储。用 objdump 查看：

去除符号表和重定位信息

选项为 -s。

可以看到 .symtab 有很多本地符号，这些符号运行时并不需要，可以把它们去掉。

用过 -s 选项后，函数名之类的信息已经去掉了，某个逆向小子的生活又艰难了一步。

在之后的第三部分我会介绍其他更复杂的编译选项。

ARM Hello World

我们以两种方式开始这个 hello world 的研究：

1. 使用树莓派系统调用

2. 使用 libc 函数

▶ 使用树莓派的系统调用

汇编并链接此程序：

注意：如果用 gcc，

会得到错误：

这是因为源程序里没有 main 函数，在另一种实现里我们会看到如何使用 gcc 编译。

执行：

接下来使用 gdb：

可以看到 .text 段中放着我们的代码。0x10078 处的指令代表将 0x10090 指向的值载入 r1。

▶ 使用 libc 函数

这次我们会使用 printf 函数，这里我们将程序中的 .global _start 改为  .global main。

编译器需要我们指定 global main, .func main, main: 等符号告诉 libc main 函数在哪。

汇编器和链接器只是 GCC 的一小部分，下面我们会用到 GCC 其他的特性来编译。

可以看到在进程的地址空间里加载了 libc 共享库（libc-2.19.so）。

0x10428 处调用了 printf 函数，0x10428 是个 PLT 入口，指向 GOT 中 printf 函数在运行时的真实地址。

GCC 编译时，libc 的函数并没有被编译到可执行文件中，而是通过动态链接到 libc 使之可用。用 ldd 命令查看程序引用的动态库。

可用看到 libc 是程序所需要的。多次查看如果 libc 的地址不同，是因为打开了 ASLR。用 IDA 打开：

0x10428 处调用 printf，双击并没有进入 libc。

而是到了 PLT 段，0x102D0 处通过 LDR PC, […] 修改 PC 跳转到了其他地址。

到达 GOT 段，这里存着外部符号的地址。

下面用 gdb 调试，断点下在 0x10428 处。

stepi 继续运行。

走几步到达 ld 库中的 dl_runtime_resolve 函数。

ld 是动态链接器，这里建立起了 libc 的外部引用环境。

更多细节参考 http://eli.thegreenplace.net/2011/11/03/position-independent-code-pic-in-shared-libraries/。

逆向工程介绍

这部分对于要分析的程序我不会提供源码。

▶ 逆向算法

第一个例子是输入一个字符串，经过算法处理后会输出另一个字符串，我需要使输出字符串为“Hello”。

下面是源码（我只会提供这个例子的）：

编译：

调试理解算法：

0x10454 代表 r0=*(pc+92)。查看 pc+92 的内容：

是数据段的地址，看一下内容：

0x20668 是 printf 函数的参数。
运行到 0x10464，r0 是格式的地址，r1 是输入字符串的地址。

从源码中可以看到输入字符串的长度为5：

输入 “ABCDE”：

0x10468 和 0x1046c 处的指令将输出字符串地址赋给 r5，输入字符串地址赋给 r1。运行至 0x10470：

注释如下：

运行到 0x10480 处查看 r0, r2, r3 的值：

即 *r5 = r2 xor r3。

可以用伪代码表示：byte1strOut = byte1strInput xor byte2strInput。 比如我们想要生成“Hello”，需要使 r0 为 0x48（H）。

接着看 0x10480，

注意看注释：

执行到 0x1048c，看一下 r0、r3、r4 的值：

即 *(r5+1) = r4 xor r3。伪代码表示：byte2strOut = byte2strInput xor byte3strInput。

意味着 *(r5+2) = r2 + 0x5。伪代码表示：byte3outStr = byte1strInput + 0x5。第 4 个字节：

就是 *(r5+3) = r3 xor r4。伪代码：byte4strOut = byte2strInput xor byte4strInput。第 5 个字节：

就是 *(r5+4) = r4 xor r2。伪代码：byte5strOut = byte4strInput xor byte5strInput。

整个算法合在一起：

byte1strOut = byte1strInput xor byte2strInput

byte2strOut = byte2strInput xor byte3strInput

byte3strOut = byte2strInput + 0x5

byte4strOut = byte2strInput xor byte4strInput

byte5strOut = byte4strInput xor byte5strInput

将输出字符替换：

‘H’ = 0x48 = byte1strInput xor byte2strInput

39 38338 39 15288 0 0 792 0 0:00:48 0:00:19 0:00:29 3085‘e’ = 0x65 = byte2strInput xor byte3strInput

‘l’ = 0x6c = byte1strInput + 0x5

‘l’ = 0x6c = byte2strInput xor byte4strInput

‘o’ = 0x6f = byte4strInput xor byte5strInput

推出应输入字符：

byte1strInput = 0x6c – 0x5 = 0x67 (g)

byte2strInput = 0x48 xor 0x67 = 0x2f (/)

byte3strInput = 0x2f xor 0x65 = 0x4a (J)

byte4strInput = 0x2f xor 0x6c = 0x43 (C)

byte5strInput = 0x43 xor 0x6f = 0x2c (,)

输入试试：

▶ 逆向一个简单的加载器

这个加载器的作用是把指令加载到内存里，当你打印消息时执行。我们这次要打印“WIN”。程序在这里。

用 IDA 打开：

在 _start 这儿可以看到 0x10090 处有系统调用，调用号是 0xc0（mmap）。

看下面我的注释分析：

mmap 后有一块新内存（0x30000）。

0x10098 处的指令 .text:00010098 LDR R1, =code 把某个变量的地址存入 r1，看一下：

这些看起来不像 arm 代码，接着看 0x100A4：

.text:000100A4 LDR R2, [R1,R4] 把 r1+r4 地址额值存入 r2，r1 是 code 变量，r4 表示索引，第一次值为 0。

.text:000100A8 EOR R2, R2, R6 r2 与 r6 异或，r6 的值是 0x123456，第一次 r2 的值是 0x56。异或的值存在 r2，在下条指令

.text:000100AC STR R2, [R0,R4] 中被写入 mmap 分配的地址 0x30000 处，注意 r0 是 mmap 的返回值。

循环的作用是解密 code 的所有字节，在 0x100BC 处下断点查看 0x30000 的值。

这些就是 ARM 指令了，也可以用 idc 脚本解密：

现在来分析解密的指令：

执行过 0x30004 到 0x30014 的 5 条指令后，栈指针向低地址处移动了 8 ，r4 是栈指针，r2 的值是 0x3e，r3 的值是 0x2，r5 的值是 0x96。

接下来两条指令（0x30018 和 0x3001c）r2 与 r5 异或的结果 0xa8 存入 r1，这个值写入了栈顶，栈指针向高地址移动了 1 。此时：

0x30020 处 r2 自减 0x1e，得到：

0x30024 处是一个循环：

每次循环都将 r2 和 r5 异或，结果存入栈顶，sp + 1。0x30030 处可以看到 r3 是循环索引，每次减1，初始值为 2，所以共循环两次。

循环结束时运行到 0x30038时， 0x7efff7b0 值为：

还有两个字节在栈顶存着，此时栈指针为：

0x3003c 处的两条指令将剩下的两个字节存入栈顶：

执行完 0x30040 后0x7efff7b0 值为：

往下看就是 write 的系统调用了：

write 过后：

我们想要的是“WIN”，这时候就要修改 xor 的 key，这样存入栈顶的才会是正确的 0x57 0x49 0x4e。

来看 0x30018 处的异或操作 0x30018: eor r1, r2, r5，r2 每次都变，所以 r5 是异或的 key，我们需要修改 r5 使得 r1 = r2 xor r5 = 0x57。

r2 的值是 0x3e，则 r5 应该是 0x69。

异或的 key 没有变过，这就直接继续执行就可以了。

▶ 基本的反调试技术

这是本章最后一个程序了，这次需要理解算法并绕过一些基本的反调试，使程序输出“Good”。在这里下载。

试着用调试器运行：

即使再用 strace/ltrace 命令也是同样的输出。
IDA 打开：

我们从 ldr r2, =aAd 开始分析。
aAd 是个变量：

把 Array 转为 data 更好理解：

0x10988 处的数组用 var_c 表示，还有另一个变量 var_10，aAd + 4 的值如下：

即 var_10 变量存着 0x1098C 处的数组。

看接下来的指令做了什么：

总结来说就是有两个数组：

4个元素的 var_c:  0x7, 0x2f, 0x2f, 0x24； 3个元素的 var_10：0x22, 0x41, 0x44。

下面有个 flag 变量，我们来看 main 函数中关于它的流程图：

flag为1，红色执行，不为1绿色执行。

flag为1，r3 为 0 随后与 3 比较。
flag不为1，r3 为 0 随后 与 2 比较。

flag 为 1，我们来到 loc_107F8，最关键的是这句 ADD R3, R3, #0x40，r3 的值是 r3 = *(var_C+var_8)，var_C 和 var_8 分别是：
var_C = 4个元素的数组
var_8 = 0 （索引，第一次的值）
相加之后 r3 的值为 r3 = 0x7 + 0x40 = 0x47。

可以用个简单的 idc 脚本计算：

结果是 Good：

再来看flag不为1时的 loc_10864，这里的循环计算的是3个元素的数组，关键的是 ADD R3, R3, #0x20。

像之前一样，idc 脚本

结果是 Bad：

为了使程序输出“Good”，需要找到 flag 赋值的地方，而且刚刚并没有发现检测调试器的地方， “You want debug me?” 也没有出现过。

查看 flag 的交叉引用：

发现有个 ptrace_capt 的函数，在 main 函数前执行。可以在 .ctors (或者 .init_array) 段中发现其提供了一些列函数用来在程序开始/结束前执行。

来看 ptrace_capt 函数：

这里有个检查：

用调试器可以轻易绕过，先来看 loc_10690：

大致如下：

1. 只读模式打开 password.raw；

2. 计算大小

3. 验证大小是否小于 6

如果小于等于6，来到 loc_10700：

往下看发现这是个循环：

调用 fgetc 函数：

如果 r3 等于 0，则来到 loc_10750：

var_18 是读取的字符，var_8 是循环索引，sub0 的调用则为 sub0(var_18, var_8, &var_1C);。

看 sub0 函数：

C 代码：

sub0 返回时继续执行，var_1C 保存返回值：

这段用伪码表示即：

如果 r3 不等于 0，则来到：

C 代码表示：

终于找到了 flag 赋值的地方，而我们需要其值为 1。
新建 password.raw 文件，写入：

我用 vim 的设置删掉了换行：

运行：

现在用 gdb 运行去掉反调试：# gdb ./3b

在 0x10678 处下断，修改 r3 的值：

继续往下分析，我现在要使 var_C=0x997，flag 才能赋值为 1。现在文件里的内容是：

要修改第五个字节使得 var_C=0x997，就要知道第4次循环时 var_C 的值。

在 0x10774 下断点，

此时循环索引为 3（第4次），var_C 的值为 0x724，现在要改掉第 5 个字节的值，我用了 Python 来计算：

运行：

得到了第五个字节的值，修改它：

记得删掉换行 :set noendofline binary。

运行：

“Good” 就被打印了。

本文由看雪翻译小组 kiyaa 编译，来源quequero@andrea sindoni

转载请注明来自看雪社区

热门阅读

点击阅读原文/read，

更多干货等着你~