drow

설명

TL;DR

drow는 ELF 실행 파일(빌드 후)에 코드를 삽입하고 진입점을 후킹하는 데 사용되는 명령줄 유틸리티입니다. 수정되지 않은 ELF 실행 파일을 입력으로 받아 런타임에 실행되는 사용자 제공 페이로드가 포함된 수정된 ELF를 내보냅니다.

약간 더 자세히 ...

Drow는 새 패치된 ELF를 생성하기 위해 다음 단계를 수행합니다:

1. 수정되지 않은 대상 ELF 실행 파일과 사용자 제공 페이로드(위치 독립적인 블롭)를 매핑합니다.
2. 프로그램 헤더를 파싱하여 첫 번째 실행 가능 세그먼트를 찾습니다.
3. 섹션 헤더를 파싱하여 실행 가능 세그먼트의 마지막 섹션을 찾습니다.
4. 세그먼트 내 마지막 섹션의 섹션 헤더 sh_size와 프로그램 헤더의 p_memsz/p_filesz를 사용자 제공 페이로드 크기만큼 확장합니다.
5. 섹션 헤더의 sh_offset과 프로그램 헤더의 p_offset을 수정합니다(페이로드와 작은 "스테이저 스텁"을 위한 공간을 확보하기 위해 섹션과 세그먼트를 아래로 이동).
6. ELF 헤더의 오프셋(e_shoff, e_phoff 등)을 수정합니다.
7. ELF 헤더 e_entry(ELF 진입점 오프셋)를 수정하여 삽입된 코드를 가리키도록 합니다.
8. 삽입된 코드와 수정된 ELF 헤더를 포함하는 새 ELF를 생성합니다.

사용자 제공 페이로드를 삽입하는 것 외에도, drow는 페이로드 시작 부분에 추가되는 작은 코드 스텁을 삽입합니다. 이 스텁은 페이로드를 호출하도록 설계되었습니다. 페이로드가 호출자로 반환되도록 작성된 경우, 페이로드가 반환된 후 스테이저는 _start로 테일콜하여 프로그램이 의도한 대로 실행되도록 복원합니다.

빌드

gcc와 scons를 설치하세요. 그런 다음 디렉토리 루트에서 scons를 실행하세요.

기타 정보

drow를 빌드하는 것 외에도, 이 프로젝트는 단순히 stdout에 출력하는 rappers_delight.bin이라는 Linux x86-64 페이로드도 빌드합니다. 이는 테스트에 사용할 수 있습니다. 현재 drow는 x86-64를 대상으로 하는 ELF64 파일에서만 작동합니다.

다른 작업

이 도메인에서 많은 오픈 소스 작업이 이루어졌습니다. 다음 프로젝트와 관련 문서도 확인해 보시기 바랍니다:

• The Cerberus ELF Interface: http://phrack.org/issues/61/8.html
• The Backdoor Factory: https://github.com/secretsquirrel/the-backdoor-factory
• ELFSH: http://www.eresi-project.org/