drow

説明

TL;DR

drow は、ELF 実行可能ファイル（ビルド後）のエントリポイントにコードを注入しフックするためのコマンドラインユーティリティです。未修正の ELF 実行可能ファイルを入力として受け取り、実行時に動作するユーザー提供のペイロードが埋め込まれた修正済み ELF を出力します。

もう少し詳しく ...

Drow は以下の手順で新しいパッチ済み ELF を作成します：

1. 未修正のターゲット ELF 実行可能ファイルと、ユーザー提供のペイロード（位置独立なバイナリブロブ）をマッピングする
2. プログラムヘッダを解析して最初の実行可能セグメントを見つける
3. セクションヘッダを解析して実行可能セグメント内の最後のセクションを見つける
4. 最後のセクション（セグメント内）のセクションヘッダの sh_size とプログラムヘッダの p_memsz/p_filesz をユーザー提供のペイロードのサイズだけ拡張する
5. セクションヘッダの sh_offset とプログラムヘッダの p_offset を修正する（ペイロードと小さな「ステージャースタブ」のためのスペースを確保するため、セクションとセグメントを下に移動する）
6. ELF ヘッダ内のオフセット（e_shoff、e_phoff など）を修正する
7. ELF ヘッダの e_entry（ELF エントリポイントオフセット）を変更して注入コードを指すようにする
8. 注入コードと修正済み ELF ヘッダを含む新しい ELF を作成する

ユーザー提供のペイロードの注入に加えて、drow はペイロードの先頭に付加される小さなコードスタブも注入します。このスタブはペイロードを呼び出すように設計されています。ペイロードが呼び出し元に戻るように書かれている場合、ペイロードが戻った後にステージャーは _start にテールコールし、プログラムが意図したとおりに実行されるように復元します。

ビルド

gcc と scons をインストールしてください。その後、ディレクトリのルートから scons を実行します。

その他の情報

drow のビルドに加えて、このプロジェクトは stdout に出力するだけの Linux x86-64 ペイロード rappers_delight.bin もビルドします。これはテストに使用できます。現在、drow は x86-64 をターゲットとする ELF64 ファイルでのみ動作します。

関連作品

この分野では多くのオープンソースの取り組みが行われています。以下のプロジェクトや関連資料もぜひご確認ください：

• The Cerberus ELF Interface: http://phrack.org/issues/61/8.html
• The Backdoor Factory: https://github.com/secretsquirrel/the-backdoor-factory
• ELFSH: http://www.eresi-project.org/