IOCTLance

Description

Présenté à CODE BLUE 2023, ce projet intitulé Enhanced Vulnerability Hunting in WDM Drivers with Symbolic Execution and Taint Analysis introduit IOCTLance, un outil qui améliore sa capacité à détecter divers types de vulnérabilités dans les pilotes Windows Driver Model (WDM). Lors d'une évaluation complète portant sur 104 pilotes WDM connus vulnérables et 328 inconnus, IOCTLance a révélé avec succès 117 vulnérabilités jusqu'alors non identifiées dans 26 pilotes distincts. En conséquence, 41 CVE ont été signalés, comprenant 25 cas de déni de service, 5 cas de contrôle d'accès insuffisant et 11 exemples d'élévation de privilèges.

Fonctionnalités

Types de vulnérabilités ciblées

mappage de mémoire physique
handle de processus contrôlable
débordement de tampon
déréférencement de pointeur nul
lecture/écriture d'adresse contrôlable
exécution arbitraire de shellcode
wrmsr arbitraire
out arbitraire
opération dangereuse sur fichier
terminaison arbitraire de processus
fermeture de handle contrôlable dans un contexte de processus différent

Personnalisations optionnelles

limite de longueur
borne de boucle
temps d'exécution total
temps d'exécution par IoControlCode
récursion
symbolisation de la section de données

Construction

Docker (Recommandé)

docker build .
docker run -it <IOCTLance IMAGE ID> bash

Local

dpkg --add-architecture i386
apt-get update
apt-get install git build-essential python3 python3-pip python3-dev htop vim sudo \
                openjdk-8-jdk zlib1g:i386 libtinfo5:i386 libstdc++6:i386 libgcc1:i386 \
                libc6:i386 libssl-dev nasm binutils-multiarch qtdeclarative5-dev libpixman-1-dev \
                libglib2.0-dev debian-archive-keyring debootstrap libtool libreadline-dev cmake \
                libffi-dev libxslt1-dev libxml2-dev

pip install angr==9.2.18 ipython==8.5.0 ipdb==0.13.9

Analyse

# python3 analysis/ioctlance.py -h
usage: ioctlance.py [-h] [-i IOCTLCODE] [-T TOTAL_TIMEOUT] [-t TIMEOUT] [-l LENGTH] [-b BOUND]
                    [-g GLOBAL_VAR] [-a ADDRESS] [-e EXCLUDE] [-o] [-r] [-c] [-d]
                    path

positional arguments:
  path                  dir (including subdirectory) or file path to the driver(s) to analyze

optional arguments:
  -h, --help            show this help message and exit
  -i IOCTLCODE, --ioctlcode IOCTLCODE
                        analyze specified IoControlCode (e.g. 22201c)
  -T TOTAL_TIMEOUT, --total_timeout TOTAL_TIMEOUT
                        total timeout for the whole symbolic execution (default 1200, 0 to unlimited)
  -t TIMEOUT, --timeout TIMEOUT
                        timeout for analyze each IoControlCode (default 40, 0 to unlimited)
  -l LENGTH, --length LENGTH
                        the limit of number of instructions for technique LengthLimiter (default 0, 0
                        to unlimited)
  -b BOUND, --bound BOUND
                        the bound for technique LoopSeer (default 0, 0 to unlimited)
  -g GLOBAL_VAR, --global_var GLOBAL_VAR
                        symbolize how many bytes in .data section (default 0 hex)
  -a ADDRESS, --address ADDRESS
                        address of ioctl handler to directly start hunting with blank state (e.g.
                        140005c20)
  -e EXCLUDE, --exclude EXCLUDE
                        exclude function address split with , (e.g. 140005c20,140006c20)
  -o, --overwrite       overwrite x.sys.json if x.sys has been analyzed (default False)
  -r, --recursion       do not kill state if detecting recursion (default False)
  -c, --complete        get complete base state (default False)
  -d, --debug           print debug info while analyzing (default False)

Évaluation

# python3 evaluation/statistics.py -h
usage: statistics.py [-h] [-w] path

positional arguments:
  path        target dir or file path

optional arguments:
  -h, --help  show this help message and exit
  -w, --wdm   copy the wdm drivers into <path>/wdm

Test

Compiler les exemples de test dans test pour générer les fichiers pilotes de test.
Exécuter IOCTLance sur les fichiers pilotes.

ioctlance

Populaires