Мне всегда нравилось заниматься исследованием уязвимостей ядра, особенно ядра Windows. Процесс всегда включает в себя сочетание статического и динамического анализа. Динамический анализ может быстро стать утомительным. Цикл отладка / крах / перезагрузка / сброс всех точек останова — медленный и мучительный. Когда вы хотите заняться фаззингом, часто требуется настроить одну или несколько виртуальных машин плюс отладчик ядра и написать какие-то "гаражные" скрипты для обработки обнаружения крахов...

Снапшоты с помощью виртуальных машин помогают, но это медленно.

В 2018 году Microsoft представила новый набор API под названием Windows Hypervisor Platform (WHVP). Эти API позволяют настроить раздел (VM в терминологии Hyper-V) с несколькими виртуальными процессорами и получить контроль над VM-exit, происходящими в виртуальной машине. Это почти как иметь собственный обработчик VM-exit в пользовательском режиме. Весьма удобно для полезных вещей, например Simpleator или applepie.

Поэтому я начал играться с WHVP и сделал первый PoC, позволяющий мне выполнять в разделе Hyper-V некий шеллкод. Он был написан на Python и довольно медленный. Этот первый PoC довольно быстро превратился в нечто вроде трассировщика на основе снапшотов. Мне хотелось иметь что-то для инициализации виртуального процессора и достаточно простое в настройке. Поскольку я уже использовал отладчик ядра для работы с моей целью, я решил использовать дампы ядра, сделанные с помощью WinDbg, в качестве снапшота. С этим мне просто нужно было настроить раздел с виртуальным процессором. Контекст виртуального процессора устанавливается из контекста, взятого из дампа. Когда виртуальному процессору требуется физическая страница, я использую страницы из дампа.

С этим я смог разветвить состояние дампа в раздел, а затем возобновить выполнение. Это позволило мне легко трассировать выполнение моей целевой функции. Изменяя аргументы и откатывая состояние памяти раздела, было также очень легко фаззить цель.

Эта работа была представлена на конференции SSTIC в 2020 и опубликована на github.

Инструмент реализует 2 возможности получения покрытия. Первая использует классический TF (Trap Flag) для генерации прерываний INT1 на каждой инструкции. Это требует модификации цели и работает медленно. Я бы предпочёл использовать MONITOR trap flag. Но WHVP не предоставляет такой возможности.

Чтобы добиться должной производительности (необходимой для фаззинга), я решил снизить точность покрытия и добавить режим, в котором вы знаете только то, когда инструкция выполняется впервые.

Для этого я патчу страницы, полученные из снапшота, байтами 0xcc (только для исполняемых страниц). Когда процессор выполняет эти пропатченные инструкции, гипервизор перехватывает исключение и перезаписывает инструкции исходным кодом.

Это похоже на установку уникальной программной точки останова на каждой инструкции. Это работает в 95% случаев, но в особых фрагментах кода (например, с таблицами переходов) это может не сработать, потому что данные будут заменены.

Чтобы преодолеть это, можно было бы дизассемблировать код перед его отображением и патчить только то, что нужно (может быть, в следующий раз).

Во время моих экспериментов я столкнулся с несколькими ограничениями при использовании WHVP. Он медленный, очень медленный. В исходниках VirtualBox есть интересные комментарии :)

Поэтому для нормальной производительности действительно нужно ограничивать количество VM-exit, и это несовместимо, если вы хотите использовать Hyper-V в качестве трассирующего гипервизора (поскольку это требует большого количества VM-exit).

В то же время я начал использовать bochs (особенно часть с инструментированием), чтобы проверить, корректны ли трассы, полученные инструментом. Bochs был своего рода оракулом для проверки расхождений в трассах.

Bochs быстрее, чем WHVP при полной трассировке, и у вас также есть преимущества в виде доступа к памяти и других полезных вещей.

Я решил добавить bochs в качестве ещё одного бэкенда. whvp больше не было подходящим названием, и я остановился на rewind.

Типичное использование

rewind был спроектирован вокруг моего собственного рабочего процесса, когда я провожу оценки безопасности для драйверов ядра на платформе Windows.

Первый шаг — установить целевое программное обеспечение внутри виртуальной машины. Поскольку я использую сочетание статического и динамического анализа, я также настрою отладчик ядра.

Открыв несколько случайных драйверов в IDA, я быстро начну нацеливаться на некоторые функции. Для этого я обычно ставлю несколько точек останова с помощью windbg и в сочетании с ret-sync я могу начать играть.

Вот здесь в игру вступает rewind. Вместо того чтобы редактировать случайные буферы в памяти, выполнять одиночный шаг и аннотировать IDB, чтобы получить приблизительное представление о происходящем, я сниму снапшот с помощью windbg и использую rewind.

Это значительно упростит процесс. Наличие снапшота даёт множество преимуществ. Всё детерминировано. Вы можете бесконечно воспроизводить вызов функции. Вы можете запустить фаззер, если целевая функция выглядит интересной. Вы даже можете закрыть виртуальную машину, поскольку она больше не нужна.

Предварительные требования

Очевидно, вам понадобится Rust (установка протестирована на Windows и Linux с Rust 1.50). CMake также требуется некоторыми зависимостями.

Git

Сначала клонируйте репозиторий:

Продолжите установкой бэкенда bochs

Bochs

Склонируйте репозиторий bochscpu (https://github.com/yrp604/bochscpu) в каталог vendor:

Загрузите предварительно собранные артефакты bochs из bochscpu-build (https://github.com/yrp604/bochscpu-build)

Извлеките папки lib и bochs в клонированный bochscpu.

WHVP

На Windows WHVP также будет собран как бэкенд.

В сеансе PowerShell с правами администратора используйте следующую команду, чтобы проверить, включён ли WHVP:

Если он не включён, вы можете использовать командлет Set-WindowsOptionalFeature для включения. Также потребуется включить Hyper-V.

Вам также понадобится установленный Windows SDK (10.0.19041.0). Вы можете загрузить его с https://developer.microsoft.com/fr-fr/windows/downloads/windows-10-sdk/.

Сборка из ветки master

Вам нужно установить LLVM и задать переменную окружения LIBCLANG_PATH (требуется для bindgen). См. https://rust-lang.github.io/rust-bindgen/requirements.html для подробного объяснения.

После этого вы должны суметь собрать rewind (требуется nightly из-за unwind_attributes в крейте bochscpu):

Бинарник rewind будет доступен в каталоге target/release.

Вы также можете использовать cargo для локальной установки:

Частые проблемы при сборке

• если cmake отсутствует в PATH, при сборке zydis возникнет ошибка

• если Windows SDK отличается от поддерживаемых, whvp-sys не соберётся

Примеры

Базовое руководство с использованием CVE-2020-17087 приведено в каталоге examples

Дорожная карта

См. TODO.md

Известные ошибки/ограничения

• Это программное обеспечение находится на очень ранней стадии разработки и является ongoing экспериментом.
• Иногда трассировщик не может трассировать целевую функцию (наиболее частая проблема — недопустимое состояние виртуального процессора).
• При использовании режима покрытия hit трассировщик может некорректно работать с некоторыми функциями (так происходит с некоторыми switch-таблицами). Причина в том, что каждый байт заменяется программными точками останова (включая данные, если они находятся на исполняемой странице). Лучшим способом было бы получить список всех базовых блоков, например, от дизассемблера.
• Целевая функция будет выполняться на единственном виртуальном процессоре, поддержки аппаратного обеспечения нет, поэтому вероятно, что что-то пойдёт не так, если вы трассируете функции, связанные с оборудованием.
• Этот инструмент лучше всего подходит для нацеливания на конкретные функции.
• Для достижения наилучшей производительности минимизируйте количество VM-exit и изменённых страниц, поскольку они могут быть очень дорогими и увеличат время выполнения функции.
• Не используйте Hyper-V для создания снапшотов. Windows Hyper-V являются "просвещёнными" (enlightened), то есть используют паравиртуализацию, которая в настоящее время не поддерживается.
• Некоторые символы разрешаются неправильно.

Лицензия

Этот инструмент в настоящее время разрабатывается и спонсируется Quarkslab под лицензией Apache 2.0.

Благодарности

Слава @yrp604, @0vercl0k, Alexandre Gazet за их помощь, отзывы и мысли. Также спасибо всем моим коллегам из Quarkslab!