BootStomp

BootStomp एक बूट-लोडर बग खोजक है। यह दो अलग-अलग प्रकार की बगों की तलाश करता है: मेमोरी भ्रष्टाचार और स्थिति संग्रहण भेद्यताएँ। अधिक जानकारी के लिए कृपया BootStomp पेपर देखें: https://seclab.cs.ucsb.edu/academic/publishing/#bootstomp-security-bootloaders-mobile-devices-2017

BootStomp के विश्लेषण चलाने के लिए, कृपया निम्नलिखित निर्देश पढ़ें। ध्यान दें कि BootStomp ARM आर्किटेक्चर (32 और 64 दोनों बिट) के लिए संकलित बूट-लोडर के साथ काम करता है और परिणाम angr और Z3 के संस्करणों के आधार पर थोड़े भिन्न हो सकते हैं। ऐसा angr द्वारा बेसिक ब्लॉक का विश्लेषण करने में लगने वाले समय और Z3 के एक्सप्रेशन कॉन्क्रिटाइज़ेशन परिणामों के कारण होता है।

निर्देशिका संरचना

• analysis: विभिन्न उपकरणों के बूट इमेज के विश्लेषण परिणाम (जैसे: IDA idbs आदि) शामिल हैं।
• tools: ऐसे उपकरण शामिल हैं जिनका उपयोग विभिन्न इमेज के साथ काम करने के लिए किया जा सकता है।

पूर्व-आवश्यकताएँ

• angr (http://angr.io/)

$ pip install angr

• IDA PRO (https://www.hex-rays.com/products/ida/)
• IDA Decompiler (https://www.hex-rays.com/products/decompiler/)

इसे कैसे चलाएँ

Docker का उपयोग करके BootStomp चलाएँ

BootStomp का उपयोग करने का सबसे आसान तरीका इसे Docker कंटेनर में चलाना है। फ़ोल्डर docker में एक उपयुक्त Dockerfile शामिल है। इसका उपयोग करने के लिए ये आदेश हैं।

cd docker
# डॉकर इमेज बनाएँ
docker build -t bootstomp .
# डॉकर इमेज चलाएँ (यदि आवश्यक हो, तो स्थायी परिवर्तन या साझा फ़ाइलों के लिए उपयुक्त विकल्पों का उपयोग करें)
docker run -it bootstomp

# अब आप डॉकर कंटेनर के अंदर हैं
cd BootStomp
# उदाहरणों में से एक पर BootStomp का टेन्ट विश्लेषण चलाएँ
# इसमें लगभग 30 मिनट लगेंगे
python taint_analysis/bootloadertaint.py config/config.huawei
# आउटपुट की अंतिम पंक्ति कुछ इस प्रकार होगी:
# INFO    | 2017-10-14 01:54:10,617 | _CoreTaint | Results in /tmp/BootloaderTaint_fastboot.img_.out

# फिर आप परिणामों को "pretty print" कर सकते हैं:
python taint_analysis/result_pretty_print.py /tmp/BootloaderTaint_fastboot.img_.out

आउटपुट कुछ इस प्रकार होना चाहिए:

...
17)
===================== Start Info path =====================
Dereference address at: 0x5319cL
Reason: at location 0x5319cL a tainted variable is dereferenced and used as address.
...
Tainted Path 
----------------
0x52f3cL -> 0x52f78L -> 0x52f8cL -> 0x52fb8L -> 0x52fc8L -> 0x52fecL -> 0x53000L -> 0x53014L -> 0x5301cL -> 0x53030L -> 0x53044L -> 0x53050L -> 0x5305cL -> 0x53068L
===================== End Info path =====================
# Total sinks related alerts: 5
# Total loop related alerts: 8
# Total dereference related alerts: 4

BootStomp को मैन्युअल रूप से चलाएँ

टेन्ट स्रोतों और सिंक्स का स्वचालित पता लगाना

1. बूट-लोडर बाइनरी को IDA में लोड करें (हमने v6.95 का उपयोग किया)। जिस फ़ोन से इसे निकाला गया है, उसके CPU आर्किटेक्चर के आधार पर 32 बिट या 64 बिट IDA की आवश्यकता होती है।
2. मेन्यू-बार से, File => Script file => find_taint.py चलाएँ।
3. आउटपुट उसी निर्देशिका में taint_source_sink.txt फ़ाइल में दिखाई देगा जहाँ बूट-लोडर स्थित है।

कॉन्फ़िगरेशन फ़ाइल

बूट-लोडर बाइनरी के लिए एक JSON कॉन्फ़िगरेशन फ़ाइल बनाएँ (उदाहरण config/ में देखें), जहाँ:

• bootloader: बूट-लोडर फ़ाइल पथ
• info_path: बूट-लोडर स्रोत/सिंक जानकारी फ़ाइल का पथ (अर्थात taint_source_sink.txt)
• arch: आर्किटेक्चर के बिट्स की संख्या (उपलब्ध विकल्प 32 और 64 हैं)
• enable_thumb: विश्लेषण के दौरान थंब मोड पर विचार करें (जब आवश्यक हो)
• start_with_thumb: थंब मोड सक्षम करके विश्लेषण शुरू करें
• exit_on_dec_error: यदि कुछ निर्देश डीकोड नहीं किए जा सकते हैं तो विश्लेषण रोकें
• unlock_addr: अनलॉकिंग फ़ंक्शन का पता। यह फ़ील्ड केवल असुरक्षित स्थिति संग्रहण भेद्यताओं को खोजने के लिए आवश्यक है।

मेमोरी भ्रष्टाचार भेद्यताएँ खोजना

चलाएँ

python bootloadertaint.py config-file-path

परिणाम /tmp/BootloaderTaint_[boot-loader].out में संग्रहीत होंगे, जहाँ [boot-loader] विश्लेषित बूट-लोडर का नाम है। ध्यान दें कि लूप वाले पथ एक से अधिक बार दिखाई दे सकते हैं।

असुरक्षित स्थिति संग्रहण भेद्यता खोजना

चलाएँ

python unlock_checker.py config-file-path

परिणाम /tmp/UnlockChecker_[boot-loader].out में संग्रहीत होंगे, जहाँ [boot-loader] विश्लेषित बूट-लोडर का नाम है। ध्यान दें कि लूप वाले पथ एक से अधिक बार दिखाई दे सकते हैं।

परिणाम जाँचना

BootStomp परिणामों की जाँच करने के लिए, स्क्रिप्ट result_pretty_print.py का उपयोग करें:

python result_pretty_print.py results_file

CVE-2017-2729 के लिए एक्सप्लॉइट

अन्य संदर्भ

• MediaTek MT65x2 के लिए कर्नेल और lk स्रोत
• MediaTek विवरण: पार्टीशन और प्रीलोडर
• Android के Aboot को रिवर्स इंजीनियर करना
• (L)ittle (K)ernel आधारित Android बूटलोडर
• Qualcomm द्वारा Little Kernel Boot Loader अवलोकन
• android: arm: bootloader: how (L)ittle (K)ernel loads boot.img
• Nexus उपकरणों के लिए BootUnlocker
• बूट सत्यापित करना
• अपना टैबलेट मुक्त करना (Android हैकिंग, SW और HW)
• aboot की अप्रलेखित सुविधा का उपयोग करके Samsung डाउनलोड मोड को कैसे लॉक करें
• BIOS और सुरक्षित बूट हमले अनावृत
• Apple iOS सुरक्षा
• HTC फ़ोन बूट-लोडर को डीबग करना
• HBOOT के लिए डीबगर
• HBOOT का विश्लेषण