ga1ois/blackhat-europe-2022Sélectionner les bugs d'un binaire où le motif ressemble à CVE-1337-Days
Select Bugs From Binary Where Pattern Like CVE-1337-Days
Résumé
La revue statique de code est un moyen efficace de découvrir des variantes de vulnérabilités et des primitives d'exploitation, mais deux des tâches les plus difficiles de l'analyse statique sont l'extraction efficace de modèles de code à partir d'une grande quantité de bugs variés et la recherche efficace de modèles de code dans une multitude de modules différents, en particulier pour les logiciels à code source fermé comme Windows.
Cette présentation aborde nos pratiques et nos retours d'expérience face à ces deux défis. Elle couvre principalement la manière dont nous extrayons quatre modèles de code uniques pour différents types de vulnérabilités et primitives d'exploitation, et comment nous les utilisons pour trouver automatiquement des vulnérabilités et des primitives d'exploitation sur Windows à l'aide de notre nouvel outil de recherche de modèles de code binaire : Leviathan.
Dans cette présentation, nous nous concentrons sur quatre modèles uniques pour trouver des vulnérabilités classiques de détournement de fichiers (file hijacking), des vulnérabilités de corruption mémoire par points de réanalyse (reparse points), des vulnérabilités logiques d'écrasement d'ACL et des primitives de pool spray pour l'exploit RDP sur Windows. Plus précisément, dans la partie consacrée au modèle d'écrasement d'ACL, nous montrons comment trouver une vulnérabilité logique 0-day intéressante dans Hyper-V, dérivée de la vulnérabilité que nous avons utilisée lors du Pwn2Own 2021. Elle a d'abord été rejetée par Microsoft, mais a finalement été considérée comme relevant du périmètre d'un correctif, et même éligible au programme de bug bounty, après que nous ayons soumis un nouveau vecteur d'attaque. Nous révélerons toute l'histoire qui se cache derrière. Il convient également de mentionner que, dans la partie consacrée au modèle de primitives de pool spray, nous montrons comment trouver trois primitives de pool spray uniques et universelles pour l'exploit RDP. Elles pourraient être utilisées dans la célèbre vulnérabilité RDP BlueKeep(CVE-2019-0708) et diffèrent de toutes les autres techniques d'exploitation publiques. Tous les détails sont couverts, y compris la définition du modèle de vulnérabilité, l'extraction du modèle de vulnérabilité, la construction de requêtes de code, l'examen des résultats ainsi que la création de PoC dans chaque cas.
Par ailleurs, nous présentons également un nouvel outil de langage de requête de code conçu pour trouver automatiquement des vulnérabilités et des primitives d'exploitation à l'aide de modèles de code dans les binaires. Propulsé par les API Hexray ctree d'IDA Pro et nos primitives de recherche de modèles de code qui en découlent, il ne comprend pas seulement des fonctionnalités comme le suivi de flux de données (taint tracking) et le traçage de chemins de code entre binaires (cross binary code path tracing), mais dispose également d'une interface de requête SQL pour faciliter l'ensemble du processus. Sélectionnez vos propres bugs et primitives dans le binaire où bon vous semble !
