drow

الوصف

TL;DR

drow هي أداة سطر أوامر تُستخدم لحقن الكود وتعليق نقطة الدخول لملفات ELF القابلة للتنفيذ (بعد البناء). تأخذ ملفات ELF القابلة للتنفيذ غير المعدلة كمدخل وتصدر ملف ELF معدل يحتوي على حمولة مضمنة يوفرها المستخدم وتُنفذ في وقت التشغيل.

المزيد من التفاصيل ...

يتخذ Drow الخطوات التالية لإنشاء ملف ELF المُصحح الجديد:

1. تعيين ملف ELF القابل للتنفيذ الهدف غير المعدل والحمولة التي يوفرها المستخدم، وهي كتلة مستقلة عن الموضع
2. تحديد أول مقطع قابل للتنفيذ عن طريق تحليل رؤوس البرامج
3. تحديد آخر قسم في المقطع القابل للتنفيذ عن طريق تحليل رؤوس الأقسام
4. توسيع sh_size لرأس القسم الأخير (في المقطع) و p_memsz/p_filesz لرأس البرنامج بحجم الحمولة التي يوفرها المستخدم
5. تصحيح sh_offset لرؤوس الأقسام و p_offset لرؤوس البرامج (تحريك الأقسام والمقاطع لأسفل لإفساح مجال للحمولة و "مقطع التمهيد الصغير")
6. تصحيح الإزاحات في رأس ELF (e_shoff, e_phoff, إلخ)
7. تعديل e_entry في رأس ELF (إزاحة نقطة دخول ELF) للإشارة إلى الكود المحقون
8. إنشاء ELF جديد يحتوي على الكود المحقون ورؤوس ELF المعدلة

بالإضافة إلى حقن الحمولة التي يوفرها المستخدم، يقوم drow بحقن مقطع كود صغير يتم إضافته في بداية الحمولة. هذا المقطع مصمم للاستدعاء إلى الحمولة. إذا كانت الحمولة مكتوبة للعودة إلى المستدعي، بعد عودة الحمولة، يقوم المقطع بعد ذلك باستدعاء ذيل (tailcall) إلى _start، لاستعادة التنفيذ حتى يعمل البرنامج كما هو مقصود.

البناء

قم بتثبيت gcc و scons. ثم قم بتشغيل scons من جذر الدليل.

معلومات أخرى

بالإضافة إلى بناء drow، يقوم هذا المشروع أيضًا ببناء حمولة لينكس x86-64 باسم rappers_delight.bin والتي تقوم ببساطة بالطباعة إلى stdout. يمكن استخدام هذا للاختبار. حاليًا، يعمل drow فقط مع ملفات ELF64 التي تستهدف x86-64.

أعمال أخرى

هناك الكثير من الأعمال مفتوحة المصدر التي تم إنجازها في هذا المجال. أشجعك على الاطلاع أيضًا على المشاريع والمنشورات المرتبطة التالية:

• The Cerberus ELF Interface: http://phrack.org/issues/61/8.html
• The Backdoor Factory: https://github.com/secretsquirrel/the-backdoor-factory
• ELFSH: http://www.eresi-project.org/