5.6. Grinder

5.6.1. 客户端配置

  • 32位系统

    • .\grinder\node\data\x86\grinder_logger.dll 复制到 c:\windows\system32\

  • 64位系统

    • .\grinder\node\data\x86\grinder_logger.dll 复制到 c:\windows\syswow64\

    • .\grinder\node\data\x64\grinder_logger.dll 复制到 c:\windows\system32\

  • 创建保存符号文件的目录 c:\symbols\

  • 编辑``config.rb``

  • ruby grinder.rb [--config=c:\path\to\alternative\config.rb] --browser=BROWSER

  • ps: 目前grinder只支持ruby 1.9-2.0，并不支持高于2.0的版本

5.6.2. Node

5.6.2.1. 主要文件说明

  • browser: hook相应浏览器的parseFloat

    • chrome.rb

    • firefox.rb

    • internetexplore.rb

    • safari.rb

  • core: 核心代码

    • debug

      • debugger.rb 浏览器所用到的debugger基类，继承自Metasm

      • logger.rb 记录日志

    • configuration.rb 配置需要的变量，检查运行环境

    • crypt.rb openssl 加解密库函数

    • debugger.rb

    • logging.rb 控制台输出

    • server.rb 运行web服务器，浏览器访问该服务器以获得样本

    • webstats.rb

    • xmlcrashlog.rb 用xml的格式记录crashlog

  • crashes：生成的crash样本存放的文件夹

  • data: 测试用的图片/pdf/js等文件，以及需要用到的dll

    • continue.exe => 运行在后台，点击因为crash生成的弹窗

    • logging.js

  • fuzzer：用户实现自己fuzzer的位置

  • lib： grinder用到的三方库主要是metasm，这是一个ruby的用来做二进制的库

  • source

    • continue.exe 源代码

    • logger.dll 源代码

  • config.rb 配置文件，若一台电脑运行多个节点时，需要多个配置文件

  • crypto.rb 生成密钥，加密生成的crash

  • grinder.rb 主文件

  • reduction.rb

  • testcase.rb 从日志中恢复样本文件

5.6.2.2. 运行流程

入口文件为grinder.rb

  • 初始化过程

    • 初始化需要fuzz的浏览器

    • 初始化环境相关变量

    • 检查dll加载情况

  • 运行过程

    • 检查web server状态，若停止或未启动，则启动

    • 启动浏览器相应的debugger

debugger运行过程

  • 初始化logger

  • hook heap

  • 运行目标浏览器

5.6.3. Server

服务器端采用典型的PHP+MySQL的结构，设计思路是比较老的非MVC结构，总体功能比较单一，主要用来查看fuzzer节点的情况

部分文件功能说明如下

  • account.php 用户账户管理相关

  • crash.php 管理crash

  • crashes.php 管理crash

  • fuzzers.php fuzz节点状态

  • install.php 数据库初始化

5.6.4. metasm

Metasm是一个ruby实现的汇编器、反编汇器以及编译器。

5.6.5. Fuzzer编写

5.6.5.1. 库函数

grinder提供的库函数主要有下面这些

  • rand( x ) Pick a random number between 0 and X

  • rand_bool() Pick either true or false

  • rand_item( arr ) Pick an item from an array

  • tickle(obj) 触发一个obj的所有属性

  • LOGGER( name ) Logger类的构造函数

5.6.5.2. SimpleExample

SimpleExample.html 是grinder给出来的示例代码，展示了Fuzzer所需要的基本元素 编写logger必须的代码如下

var logger = new LOGGER( "SimpleExample" );
logger.starting();
/* other code here */
logger.finished();
window.location.href = window.location.protocol + '//' + window.location.host + '/grinder';

上面部分代码主要用于生成/初始化logger，以及完成fuzz之后回到grinder server

fuzzer主要的代码主要还是生成随机元素的部分，继续以SimpleExample.html为例

// 定义将要fuzz的元素
var elements = [ 'div', 'input', 'textarea', 'a', 'img', 'form' ];

// 生成相关元素
var elementA  = rand_item( elements );
var elementB  = rand_item( elements );

// 创建元素并记录，注意因为这里的fuzzer样本是随机生成的，所以需要详细的记录每一步的动作以保证可以复现
logger.log( "id_0 = document.createElement( '" + elementA + "' );", "grind", 1 );
var id_0 = document.createElement( elementA );

logger.log( "document.body.appendChild( id_0 );", "grind", 1 );
document.body.appendChild( id_0 );

// 在随后的代码对之前的元素进行变化，主要是对其属性值进行变换、调用、对换等操作
/* ... */

5.6.5.3. 编写

在简单看过相关的库函数和一个简单的样本之后，编写fuzzer的基础知识就已经足够了。 其必要的逻辑是在生成/修改等操作前后都调用log记录下足够的信息以便调试crash。另外就主要是设计好fuzzer种子生成的算法以及随机元素变换的算法以获取更多的crash。

5.6.6. nduja

SimpleExample.html更多的只是一个简单的样本，一个高效的fuzzer编写需要更精巧的思路，所以选择nduja进一步进行分析

其简单的函数调用树如下

  • step1
    • buildElementsTree1

      • createStyleSheet

      • createMultipleElement

        • genRandomElement

        • appendToRandomElement

        • initialize => add multiply random listener

        • tweakattributes1 => set attr random vaule

        • tweakstyle1 => set random style sheet

    • initialize

    • boom
      • createNodeIterator
        • ElementChecker
          • Random - case 1

            • createElemRange1

            • deleteRange1

          • Random - case 2

            • random skip / accept

      • createTreeWalker

        • ElementChecker

      • createTagAggregation1

      • createElemRange

      • createTxtRange

      • alterRange => random action

        • deleteContents

        • collapse

        • extractContents

        • surroundContents

        • selectNode

        • selectNodeContents

        • insertNode

        • setStartAfter

        • setStartBefore

        • setEndAfter

        • setEndBefore

      • spray

      • moveIterator
        • random

          • nextNode

          • previousNode

        • fuzzAttributes

      • moveTreeWalker
        • random

          • nextNode

          • previousNode

          • previousSibling

          • nextSibling

          • firstChild

          • lastChild

          • parentNode

        • fuzzAttributes

      • tagCrawler1

        • fuzzAttributes

可以看到，正和之前文章讲述的原因，nduja的fuzz逻辑是比较复杂的，而其fuzz的主要操作是moveIterator，moveTreeWalker。即利用节点间的联系来变换，以期找出漏洞。

5.6.7. fileja

在之前提到了fileja也是基于grinder编写的fuzzer，相对于nduja，在grinder的基础上做了更多的扩展，其流程更复杂

fileja除了自己编写了testcase之外，也使用了来自于W3C的testcase

fileja的在函数执行之前，定义了比较多的全局变量和常量，对比较多的html元素进行了fuzz，这样能获得的crash也会比较多，定义的主要的值有下面这些

  • 全局参数

    • 元素数量

    • Listener数量

    • 是否使用svg

    • …

  • 全局变量

    • websocket

    • xhr

    • …

  • 全局常量

    • object_blacklist

    • interesting_vals

    • commands

    • events

    • mutationEvents

    • HTMLElements

    • MMLElements

    • SVGElements

    • standardAttributes

    • SVGCommonAttributes

    • SVGAttributes

    • …

在定义相关的值之后，进行了fuzz，这里fuzz就更多的针对xhr，websocket和html事件，在fuzzer中各种同步和异步的事件分别触发来进行尝试

  • getList - get test case list from server
    • buildDocumentTree
      • random

        • buildFromFile

      • go

        • buildDOM

        • initFrame

          • initF => create meta, add script

        • initXhr => add random listener to xhr

        • initWs => add listener to xhr

        • initXhrJS => add random listener to xhr

        • createSupportStructures

          • createNodeIterator

          • createTreeWalker

        • createRanges

        • cycle

          • tick

          • startFuzzing

            • crawl_properties

            • call_methods

            • mutateDOM

            • CollectGarbage

        • reload