介绍 + Nick + 宋国徽 + + 研究方向 + 应用安全 + 逆向工程 + 漏洞挖掘 + 渗透测试 + 情报分析 + 产业研究 + 主要经历年至今, 上海八六三信息安全产业基地年至今,OWASP 中国区, 上海地区负责人 +

Size: px

Start display at page:

Download "介绍 + Nick + 宋国徽 + + 研究方向 + 应用安全 + 逆向工程 + 漏洞挖掘 + 渗透测试 + 情报分析 + 产业研究 + 主要经历年至今, 上海八六三信息安全产业基地年至今,OWASP 中国区, 上海地区负责人 +"

眷国易
5 years ago
Views:

1 分析 Adobe Flash 构建 Flash 平台的模糊测试工具基于文件格式的 Adobe Flash 漏洞挖掘框架

2 介绍 + Nick + 宋国徽 + cis7all@gmail.com + 研究方向 + 应用安全 + 逆向工程 + 漏洞挖掘 + 渗透测试 + 情报分析 + 产业研究 + 主要经历年至今, 上海八六三信息安全产业基地年至今,OWASP 中国区, 上海地区负责人年至今, 江西高校网络安全知识及软件设计大赛专家委员组成员年至今, 上海市信息安全技能竞赛专家委员组成员年至今, 创办 ISF 安全会议,ISF2008/ISF2009/ISF2010/ISF2011/ISF 年至今,IDF Labs 的联合创始人年至今, 在线安全团队 CISRG 的发起人 + 2 2

3 为什么是 Adobe Flash? Flash = %99 = 富互联网应用客户端攻击 Flash 是一个平台, 并不仅仅是浏览器插件 3

4 Adobe Flash 架构 DESIGN & DEVELOPMENT TOOLS CLIENT APPLICATION TIER Creative Suite Flash Player AIR Browsers Flash Professional Flash Catalyst HTTP/S, Sockets, AMF, RTMP, SOAP, WS*, SMTP, REST, Flash Builder Flex Framework SERVICES TIER Flash Platform Services Flash Media Server Family LiveCycle 3rd Party Services RESOURCE TIER EIS Databases Directories ECM Repository Message Queues SAP

5 介绍面向 Flash 文件格式模糊测试面向 Flex 框架的模糊测试总结 5

6 Flash 文件格式模糊测试工具 SWF 文件格式解压 SWF 文件构建模糊测试工具演示 6

7 SWF 文件格式解析 SWF 文件头签名版本文件大小边框大小 RECT Nbits UB[5] Xmin SB[Nbits] Xmax SB[Nbits] Ymin SB[Nbits] Ymax SB[Nbits] 每帧速率帧数量 = 15 7

8 SWF 文件格式解析 SWF 标签 RecordHeader( 短类型标签 ) TagCodeAndLength (UI16) 标签标识符 TagCode (10 bits) 标签数据长度 TagLength (6 bits) 标签数据数据结构例如 : SetBackgroundColor/ShowFrame/ 8

9 SWF 文件格式解析 SWF 标签 RecordHeader( 长类型标签 ) TagCodeAndLength (UI16) 标签标识符 - TagCode(10 bits) 标签数据长度 - TagLength(6 bits) ( = 63 = 0x3F) 数据长度 - Length(UI32) 4 bytes 标签数据数据结构例如 : MetaData/DoABC/ 9

10 SWF 文件格式 Header Record Header Record Header Signature (FWS/CWS(Compress)) Version Length Frame Size Frame Rate Frame Count Tag Code (10 bits) Tag Length (6 bits) Tag Data Tag Type (10 bits) Tag Length (6 bits) =63=0x3F Length (4 bytes) Tag Data End 10

11 SWF 文件格式定义型标签 Definition Tags 字典 Dictionary 控制型标签 Control Tags 图形文字图片声音等存储 Character ID ( 角色 ID) 访问 Character ID, 检索定义型标签内容解析渲染定义型标签数据 11

12 解压 SWF 文件 CWS 格式 zlib (CWS_2_FWS) import sys, os import zlib, struct fp = open( *.swf, rb ) flag =.join(struct.unpack( <3C, fp.read(3))) header[ compress ] = flag.startswith( C ) header[ version ] = struct.unpack( <B, fp.read(1))[0] header[ size ] = struct.unpack( <I, fp.read(4))[0] if header[ compress ]: compress_data = fp.read(header[ size ]) uncompress_data = zlib.decompress(compress_data) fp.write(uncompress_data) 12

13 构建模糊测试工具模糊测试工具测试用例产生引擎标签数据简单类型例如 : SetBackgroundColor 数据结构例如 : DefineBitsJPEG2 复杂类型» Def-Tag + Def-Tag = Def-Tag(new) 标签长度 TagLength Length 13

14 构建模糊测试工具模糊测试工具调试器 Pydbg(python 模块 ) windbg 日志记录崩溃信息 14

15 构建模糊测试工具框架.swf 文件解压测试用例产生引擎提交至 WEB 服务器并行计算调试引擎日志记录 15

16 演示 16

17 Flex 框架模糊测试工具 ActionScript 和 AVM2 虚拟机介绍 Flex 框架介绍 AVM 虚拟机与 ABC 文件 ActionScript 语法分析器构建模糊测试工具演示 17

18 AS3 & AVM2 ActionScript3 Flash9/10 AVM2 项目代号 :Tamarin 开源项目 (Mozilla) 18

19 AS3 & AVM2 AVM2 Tamarin ABC 文件 & ABCASM & DoABC 标签关爱动物, 保护我们的家园! 19

20 Flex 框架介绍 Adobe Flex 框架产品部署 Flash Pro Flash Builder(aka: Flex Builder) 开源, 包括 : asc mxmlc compc SDK 中的所有 API 等等 svn co flex_sdk_svn 20

21 AVM 虚拟机与 ABC 文件编译器 Tamarin avmshell -> Tamarin avmplus -> Flex Framework 21

22 AVM 虚拟机与 ABC 文件编译器 asc.jar / asc.exe svn co asc 22

23 AVM 虚拟机与 ABC 文件 23

24 AVM 虚拟机与 ABC 文件 24

25 AVM 虚拟机与 ABC 文件 ABC 文件的基础元数据 builtin.abc shell_toplevel.abc include meta class playerglobal.abc meta package and class for flash 25

26 AVM 虚拟机与 ABC 文件 AVM2 机制与原理 AVM2 的基础是 ABC 文件 ActionScript 编译时所需要的基础数据结构均来自于 ABC 文件 Native API 和 Public API 都来自于 ABC 文件对 ABC 文件进行模糊测试构建 ActionScript 模糊测试器 26

27 AVM 虚拟机与 ABC 文件 ABC Action Script AVM2 ABC Flash 27

28 ActionScript 语法分析器 AS3 语法分析 import package package pkg_name { import flash.utils.sth; import mx.core.sth; public class namespace sth; public class cls_name { public function cls_name(s:string,obj:object) { print ( hello world! ); public function } } } 28

29 ActionScript 语法分析器 AS3 语法分析 PLY -> Python Lex-YACC BNF AST package public class public function(args...) 29

30 构建模糊测试工具模板系统 Cheetah Python 下的模板系统 package { import $pkg['package'].*; public class cls { #for $cls in $pkg #if $cls is not 'package #set $obj = 'obj #set $fck = '() var $obj:$cls = new $cls$fck #for $foo in $pkg[$cls] $obj.$foo #end for #end if #end for } } 30

31 构建模糊测试工具普通模板 var obj = new Object(); obj.foo1(-1); obj.foo2( AAA AAA ); obj.foo2(../../../../../../ ); obj.foo2( %n%n%n %n%n%n ); obj.foox([1,[2,[3],4],5,x]); obj.foon( <xml> </xml> ); 特殊模板 (UAF) var obj = new Object(); obj.call() var after = obj; after.call() delete(obj) after.call() after = copy(obj) delete(obj) after.call() 31

32 构建模糊测试工具 Flex 框架下编译器 mxmlc 编译器 32

33 构建模糊测试工具框架并行计算 Flex SDK 搜索 *.as files 语法分析器测试用例产生引擎 mxmlc 编译器 post to web server 调试引擎日志记录 33

34 演示 34

35 总结漏洞挖掘 vs 运气如何提高漏洞挖掘能力? 基础知识的扎实程度逆向工程的能力分析漏洞和编写漏洞利用代码的能力漏洞挖掘的实践能力没有运气!!! 1%( 运气 ) + 99%( 汗水 ) 35

36 None Question? 36

1. 2. Flex Adobe 3.

1. 2. Flex Adobe 3. Flex Adobe Flex Flex Web Flex Flex Flex Adobe Flash Player 9 /rich Internet applications/ria Flex 1. 2. 3. 4. 5. 6. SWF Flash Player Flex 1. Flex framework Adobe Flex 2 framework RIA

介绍 + Nick + 宋国徽 + + 研究方向 + 应用安全 + 逆向工程 + 漏洞挖掘 + 渗透测试 + 情报分析 + 产业研究 + 主要经历 年至今, 上海八六三信息安全产业基地 年至今,OWASP 中国区, 上海地区负责人 +

介绍 + Nick + 宋国徽 + + 研究方向 + 应用安全 + 逆向工程 + 漏洞挖掘 + 渗透测试 + 情报分析 + 产业研究 + 主要经历年至今, 上海八六三信息安全产业基地年至今,OWASP 中国区, 上海地区负责人 +