census/shadowjemalloc-Heap-Exploitation-Framework
shadow ist ein jemalloc-Heap-Exploitation-Framework. Es wurde entwickelt, um unabhängig von der Zielanwendung zu sein, die jemalloc als Heap-Allokator verwendet (sei es Android's libc, Firefox, FreeBSD's libc, standalone jemalloc oder was auch immer). Die aktuelle Version (2.0) wurde umfassend mit folgenden Zielen getestet:
Neben dem Quellcode des Tools enthält dieses Repository auch Dokumentation zur Einrichtung einer Android-Benutzerland-Debugging-Umgebung zur Nutzung von shadow, einen schnellen Überblick über die jemalloc-Strukturen von Android mit shadow und einige Hinweise dazu, wie sich doppelte, unausgerichtete und beliebige free()-Fehler in Android's jemalloc verhalten.
Wenn Sie zum ersten Mal einen jemalloc-spezifischen Befehl ausführen, parst shadow alle ihm bekannten jemalloc-Metadaten und speichert sie in einer Python-Pickle-Datei. Nachfolgende Befehle verwenden diese Pickle-Datei, anstatt die Metadaten erneut aus dem Speicher zu parsen, um schneller zu sein.
Wenn Sie wissen, dass sich der Zustand der jemalloc-Metadaten geändert hat (z. B. wenn Sie einige Allokationen vorgenommen oder eine Garbage Collection ausgelöst haben), verwenden Sie den Befehl jeparse, um die Metadaten erneut zu parsen und die Pickle-Datei neu zu erstellen.
Der erste Schritt ist die Installation von pyrsistence auf Ihrem Host-Rechner.
Führen Sie auf einem gerooteten Gerät Folgendes aus:
host$ adb shell
phone$ su root
phone# ps -e
Wählen Sie aus der Ausgabe von ps einen Prozess aus, z. B. com.google.process.gapps:
...
u0_a19 4679 3214 1668980 69216 SyS_epoll_ 7fa5f41430 S com.google.process.gapps
...
phone$ cd /data/local/tmp
phone$ ./gdbserver64 :5039 --attach 4679
Sie finden GDB-Server-Binärdateien für ARM32 und ARM64 im Verzeichnis "bin". Oder, wenn Sie uns nicht vertrauen, tun Sie:
host$ git clone http://android.googlesource.com/toolchain/gdb
host$ cd ./gdb/gdb-7.11
host$ mkdir build64; cd build64
host$ ../configure --program-prefix=aarch64-eabi-linux- --target=aarch64-eabi-linux --disable-werror
host$ make
host$ sudo make install
Dann auf dem Host-Rechner:
host$ adb forward tcp:5039 tcp:5039
host$ aarch64-eabi-linux-gdb
(gdb) target remote :5039
(gdb) source /dir/with/shadow/gdb_driver.py
(gdb) jeparse -c /dir/with/shadow/cfg/android7_64.cfg
(gdb) jeruns -c
Manchmal hört der GDB-Server auf zu lauschen, wenn Sie zu lange brauchen, um den Befehl target remote :5039 auszugeben. Wenn Sie also seltsame Fehler beim Ausführen des Befehls jeparse sehen, beginnen Sie einfach von vorne.
shadow für Windows/Firefox wurde mit Folgendem getestet:
Hinweis: Wenn Sie mit einer Firefox-Version älter als 36.0 arbeiten, verwenden Sie den mozjs-Zweig!
Zunächst müssen Sie WinDBG mit Mozillas Symbolserver einrichten. Sie müssen auch pykd installieren. Kopieren Sie dann das von GitHub geklonte shadow-Verzeichnis in einen Pfad (z. B. C:\tmp\).
Sie finden auch ein Beispiel-WinDBG-Initialisierungsskript in der Datei "windbg-init.cmd". Platzieren Sie es unter C:\tmp\ und starten Sie WinDBG mit windbg.exe -c "$$>< C:\tmp\windbg-init.cmd".
Geben Sie schließlich in WinDBG die folgenden Befehle ein:
!load pykd.pyd
!py c:\\tmp\\shadow\\pykd_driver help
[shadow] De Mysteriis Dom jemalloc
[shadow] shadow v2.0
[shadow] Firefox v56.0a1 (x86-64)
[shadow] jemalloc-specific commands:
[shadow] jechunks : dump info on all available chunks
[shadow] jearenas : dump info on jemalloc arenas
[shadow] jerun [-m] <address> : dump info on a single run
[shadow] -m : map content preview to metadata
[shadow] jeruns [-cs] : dump info on jemalloc runs
[shadow] -c : current runs only
[shadow] -s <size class> : runs for the given size class only
[shadow] jebins : dump info on jemalloc bins
[shadow] jebininfo : dump info on bin sizes
[shadow] jesize2bin : convert size to bin index
[shadow] jeregions <size class> : dump all runs that host the regions of
[shadow] the given size class
[shadow] jesearch [-cs] <hex> : search the heap for the given hex dword
[shadow] -c : current runs only
[shadow] -s <size class> : regions of the given size only
[shadow] jeinfo <address> : display all available details for an address
[shadow] jedump [path] : store the heap snapshot to the current
[shadow] working directory or to the specified path
[shadow] jestore [path] : jedump alias
[shadow] jetcaches : dump info on all tcaches
[shadow] jetcache [-bs] <tid> : dump info on single tcache
[shadow] -b <bin index> : info for the given bin index only
[shadow] -s <size class> : info for the given size class only
[shadow] jeparse [-crv] : parse jemalloc structures from memory
[shadow] -c <config file> : jemalloc target config file
[shadow] -r : read content preview
[shadow] -v : produce debug.log
[shadow] Firefox-specific (pykd only) commands:
[shadow] nursery : display info on the SpiderMonkey GC nursery
[shadow] symbol [-vjdx] <size> : display all Firefox symbols of the given size
[shadow] -v : only class symbols with vtable
[shadow] -j : only symbols from SpiderMonkey
[shadow] -d : only DOM symbols
[shadow] -x : only non-SpiderMonkey symbols
[shadow] pa <address> [<length>] : modify the ArrayObject's length (default new length 0x666)
[shadow] Android-specific commands:
[shadow] jefreecheck [-bm] : display addresses that can be passed to free()
[shadow] -b <bin index> : display addresses that will be freed to
[shadow] the tcache bin of <bin index>
[shadow] -m <name> : only search this specific module
[shadow] Generic commands:
[shadow] jeversion : output version number
[shadow] jehelp : this help message
Wenn Sie die obige Hilfemeldung nicht sehen, haben Sie etwas falsch gemacht ;)
Hinweis: Diese Funktion ist derzeit nur für Firefox/Windows!
Der Befehl symbol ermöglicht es Ihnen, nach SpiderMonkey- und DOM-Klassen (und -Strukturen) bestimmter Größen zu suchen. Dies ist nützlich, wenn Sie Use-After-Free-Fehler ausnutzen möchten oder wenn Sie interessante Opferobjekte zum Überschreiben/Beschädigen positionieren möchten.
Im Hauptverzeichnis von shadow finden Sie zwei kleine PDB-Parsing-Dienstprogramme, symhex.py und pdbdy.py (schneller). Führen Sie sie auf "xul.pdb" aus, um die Python-Pickle-Datei zu generieren, die shadow im Verzeichnis "pdb" erwartet (als "pdb/xul-VERSION.pdb.pkl"). Stellen Sie vor der Ausführung sicher, dass Sie "msdia90.dll" registriert haben; zum Beispiel unter Windows 8.1 x86-64 können Sie das mit:
regsvr32 "c:\Program Files (x86)\Common Files\Microsoft Shared\VC\msdia90.dll"
von einer Administrator-Eingabeaufforderung aus. Sie benötigen auch das Python-Modul "comtypes"; installieren Sie pip und führen Sie dann pip install comtypes aus.
Um "xul.pdb" zu erhalten, müssen Sie WinDBG mit Mozillas Symbolserver einrichten.
unmask_jemalloc wurde ursprünglich mit einem modularen Design neu entworfen, um alle drei Haupt-Debugger und Plattformen zu unterstützen (WinDBG, GDB und LLDB). Das Tool wurde in shadow umbenannt, als Firefox/Windows/WinDBG-spezifische Funktionen hinzugefügt wurden.
Das Folgende ist ein Überblick über das neue Design (lesen Sie die Pfeile als "imports"). Das Ziel ist offensichtlich, den gesamten debugger-abhängigen Code in den Modulen *_driver und *_engine zu haben.
---------------------------------------------------------------------------------------
debugger-required frontend (glue)
+------------+ +-------------+ +-------------+
| gdb_driver | | lldb_driver | | pykd_driver |
+------------+ +-------------+ +-------------+
^ ^ ^
| | |
------+-------------------+-------------------+----------------------------------------
| | |
| +--------+ |
+------------------------ | +-----+ core logic (debugger-agnostic)
| | |
| | |
+-----------------+
+------+ | |
| |---------------> | shadow |<-----+
| util | +------> | | |
| | | +-----------------+ |
+------+ | ^ ^ ^ ^ |
| | | | | | | | | +--------+
| | | +-----+----------+ | +----+--------+---| symbol |
| | | | | | | | +--------+
+-+ | | | +----------+ | | | +---------+
| | | | | jemalloc | | +--------+---| nursery |
| | | | +----------+ | | +---------+
| | | | ^ ^ ^ | |
| | | | | | | | |
| | | | | | +------+--------+ |
| | | | | | | | |
| | +---+---+----+----------+--------+-----+ |
| | | | | | | | |
| +-----+---+----+----+ | | | |
| | | | | | | | |
--+---------+---+----+----+-----+--------+-----+----+----------------------------------
| | | | | | | | |
| | | | | | | | | debugger-dependent APIs
| | | | | | | | |
| | | | | | | | |
| +------------+ | +-------------+ | +-------------+
+->| gdb_engine | +--| lldb_engine | +--| pykd_engine |
+------------+ +-------------+ +-------------+
^ ^ ^
| | |
+---+ +---------+ +---------------+
| | |
| | |
-------+-------------+-------------+---------------------------------------------------
| | |
| | | debugger-provided backend
| | |
| | |
+-----+ +------+ +------+
| gdb | | lldb | | pykd |
+-----+ +------+ +------+
---------------------------------------------------------------------------------------