使用IntelPT与IPTAnalyzer进行漏洞利用
英特尔PT（处理器跟踪）是一项最新的英特尔CPU的技术，Intel Skylake和更高版本的CPU型号都已经具有了此功能。你可以使用触发和过滤功能在指令级别跟踪代码执行。通过本文，我们希望探索该技术在漏洞利用分析中的实际应用。
为新乡县等地区用户提供了全套网页设计制作服务，及新乡县网站建设行业解决方案。主营业务为成都网站制作、网站建设、新乡县网站设计，以传统方式定制建设网站，并提供域名空间备案等一条龙服务，秉承以专业、用心的态度为用户提供真诚的服务。我们深信只要达到每一位用户的要求，就会得到认可，从而选择与我们长期合作。这样，我们也可以走得更远！
0x01 在Windows上使用Intel PT
在Windows上记录Intel PT的信息主要可以使用三种方法。
- [WindowsIntelPT](https://github.com/intelpt/WindowsIntelPT)
- [WinIPT](https://github.com/ionescu007/winipt)
- [Intel® Debug Extensions for WinDbg* for Intel® Processor Trace](https://software.intel.com/en-us/intel-system-studio-2019-windbg-pt-user-guide-windows-introducing-the-intel-debug-extensions-for-windbg-for-intel-processor-trace)
要分析记录的数据包，可以使用Intel的libipt，Libipt是可以解码Intel PT数据包的标准库，它提供了ptdump和ptexd基本工具。
- https://github.com/intel/libipt
Instruction Source
Intel PT仅记录控制流更改。要解码Intel PT跟踪，我们需要执行指令的image文件。如果在代码执行的某些区域没有匹配的image，则可能会丢失一些执行信息。在没有静态image文件可用的JIT代码执行中，可能会发生这种情况，甚至shellcode都很难跟踪，因为shellcode指令仅存在于内存中。
因为Intel PT不会保存指令字节或内存内容，所以你需要为每个IP（指令指针）提供指令字节。例如，下面显示了ptxed命令的工作方式。
记录压缩
在现实世界中使用Intel PT的一个障碍是处理Intel PT跟踪文件所需的大量CPU时间，跟踪文件已被压缩，在使用之前都需要先对其进行解压缩，Libipt库可用于解码过程，但它更多是单线程操作。
方法
类似于LBR，英特尔PT通过记录分支来工作。在运行时，当CPU遇到任何分支指令（如“ je”，“ call”，“ ret”）时，它将记录对该分支采取的操作。使用附加跳转指令，它将使用1位记录已占用（T）或未占用（NT）。通过间接调用和跳转，它将记录目标地址。对于无条件分支（如跳转或调用），它不会记录更改，因为你可以从指令中推断出目标跳转地址。将使用FUP，TIP，TIP.PGE或TIP.PGD数据包之一将要记录的IP（指令指针）与上次IP记录进行比较。如果地址字节的高位部分重叠，则那些匹配的字节将在当前数据包中被解析。同样，对于临近返回指令，如果返回目标是调用指令的下一条指令，
数据包
IPT压缩中使用的数据包的说明可以从《英特尔®64和IA-32体系结构软件开发人员手册》中找到。
https://software.intel.com/en-us/articles/intel-sdm
有许多数据包用于实现记录机制，但是，很少有重要的数据包类型起主要作用。
PSB数据包
PSB数据包用作跟踪数据包解码的同步点。它是跟踪日志中的边界，在其中可以独立执行减压过程而没有任何副作用，此偏移在libipt库代码中称为“同步偏移”，因为这是跟踪文件中的偏移，你可以在其中安全地开始解码以下数据包。
TIP (Target IP)
TIP数据包指示目标IP，该信息可用作指令指针的基地址。
TNT (Taken Not-Taken)
TNT数据包用于指示是否进行条件转移。因为可以从过程映像中推断出那些流量控制，所以不会记录任何无条件的分支跳转。
总体而言，解压缩过程如下图所示。这更多是过于简化的视图，但是它可以向你展示解压缩的工作原理，IntelPT日志可用于重建完整的指令执行并在指令字节的帮助下控制流的变化，没有指令字节，它仅给出完整指令执行的部分视图。
跟踪日志
这是IPT跟踪日志的一个片段，该片段使用libipt中的ptdump转换为文本形式。它以PSB数据包开头，该位置指示你可以安全地解码后续数据包的位置，目前有一些与填充和定时相关的数据包可以忽略。
- 000000000000001c psb
- 000000000000002c pad
- 000000000000002d pad
- 000000000000002e pad
在偏移量3db处，有一个tip.pge数据包。这意味着指令指针位于数据包指示的位置00007ffbb7d63470。
- ...
- 00000000000003db tip.pge 3: 00007ffbb7d63470
- 00000000000003e2 pad
- 00000000000003e3 pad
从过程映像中，我们可以确定tip.pge的地址00007ffbb7d63470指向以下说明。
- seg000:00007FFBB7D63470 mov rcx, [rsp+20h]
- seg000:00007FFBB7D63475 mov edx, [rsp+28h]
- seg000:00007FFBB7D63479 mov r8d, [rsp+2Ch]
- seg000:00007FFBB7D6347E mov rax, gs:60h
- seg000:00007FFBB7D63487 mov r9, [rax+58h]
- seg000:00007FFBB7D6348B mov rax, [r9+r8*8]
- seg000:00007FFBB7D6348F call sub_7FFBB7D63310
提示数据包指示该代码从地址00007ffbb7d63470开始执行，并继续执行直到遇到00007FFBB7D6348F处的调用指令为止。由于调用不是间接调用，因此调用目标是在编译时预先确定的，因此该tip.pge数据包扩展为内部调用指令，来自调用目标地址00007FFBB7D63310的其他指令将被解码。
- seg000:00007FFBB7D63310 sub rsp, 48h
- seg000:00007FFBB7D63314 mov [rsp+48h+var_28], rcx
- seg000:00007FFBB7D63319 mov [rsp+48h+var_20], rdx
- seg000:00007FFBB7D6331E mov [rsp+48h+var_18], r8
- seg000:00007FFBB7D63323 mov [rsp+48h+var_10], r9
- seg000:00007FFBB7D63328 mov rcx, rax
- seg000:00007FFBB7D6332B mov rax, cs:7FFBB7E381E0h
- seg000:00007FFBB7D63332 call rax
此时，在地址00007FFBB7D63332处发生了间接调用，下一个提示包将在此调用跳转的位置提供必要的信息。压缩会删除地址的前4个字节以节省空间，从3ee的数据包中，我们可以得出调用目标是00007ffbb7d4fb70。
- ...
- 00000000000003ee tip 2: ????????b7d4fb70
- 00000000000003f3 pad
- ...
解码从00007ffbb7d4fb70继续，直到它在00007FFBB7D4FB8C处有条件跳转指令为止。
- seg000:00007FFBB7D4FB70 mov rdx, cs:7FFBB7E38380h
- seg000:00007FFBB7D4FB77 mov rax, rcx
- seg000:00007FFBB7D4FB7A shr rax, 9
- seg000:00007FFBB7D4FB7E mov rdx, [rdx+rax*8]
- seg000:00007FFBB7D4FB82 mov rax, rcx
- seg000:00007FFBB7D4FB85 shr rax, 3
- seg000:00007FFBB7D4FB89 test cl, 0Fh
- seg000:00007FFBB7D4FB8C jnz short loc_7FFBB7D4FB95
- seg000:00007FFBB7D4FB8E bt rdx, rax
- seg000:00007FFBB7D4FB92 jnb short loc_7FFBB7D4FBA0
- seg000:00007FFBB7D4FB94 retn
此时，tnt数据包将为你提供是否执行条件跳转的信息。以下带有2个“ ..”的tnt.8数据包表示，它没有进行两次无条件跳转。
- 00000000000003fe tnt.8 ..
接下来，它将在00007FFBB7D4FB94处遇到ret指令。
- seg000:00007FFBB7D4FB94 retn
即使可以通过某种模拟进行计算，也无法从image本身可靠地确定返回地址，“ ret”是间接跳转，它从当前SP（堆栈指针）中检索跳转地址，下一个提示包将为你提供此ret指令返回的地址。
- 00000000000003ff tip 2: ????????b7d63334
返回的地址将按照以下方式反汇编，并且代码执行将继续。
- seg000:00007FFBB7D63334 mov rax, rcx
- seg000:00007FFBB7D63337 mov rcx, [rsp+48h+var_28]
- seg000:00007FFBB7D6333C mov rdx, [rsp+48h+var_20]
- seg000:00007FFBB7D63341 mov r8, [rsp+48h+var_18]
- seg000:00007FFBB7D63346 mov r9, [rsp+48h+var_10]
- seg000:00007FFBB7D6334B add rsp, 48h
IPTA 分析工具
IPT压缩机制非常有效，需要拆卸引擎的帮助来重建完整指令。即使是很短的IPT跟踪记录，也需要大量CPU资源进行解压缩。一种方法是，可以应用IP过滤来限制输出，以最大程度地减少跟踪输出量。有时出于研究目的，不可避免的需要处理大量跟踪日志。
IPTAnalyzer是用于并行处理IPT跟踪日志的工具。该工具可以使用Python多处理库处理Intel PT跟踪，并创建基本的块缓存文件，该块信息对于控制流变化的整体分析很有用。例如，如果要从特定的image或地址范围收集指令，则可以在检索完整的指令之前查询此基本块缓存文件以查找属于该范围的位置。
https://github.com/ohjeongwook/iptanalyzer
案例研究：CVE-2017-11882
CVE-2017-11882是Microsoft Office公式编辑器中的漏洞，这是练习将IPT用于漏洞分析的良好练习目标。我们将说明如何使用IPT和IPTAnalyzer高效执行漏洞利用分析。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882
IPT 日志收集
你可以使用各种方法来生成IPT跟踪日志。我使用WinIPT生成跟踪日志。
https://github.com/ionescu007/winipt https://www.virustotal.com/gui/file/abbdd98106284eb83582fa08e3452cf43e22edde9e86ffb8e9386c8e97440624/detection
我们使用了恶意样本abbdd98106284eb83582fa08e3452cf43e22edde9e86ffb8e9386c8e97440624来复制利用条件，使用进程ID和日志文件名运行ipttool.exe，进程ID 2736是易受攻击的公式编辑器进程，跟踪输出将保存到EQNEDT32.pt文件中。
- C:\Analysis\DebuggingPackage\TargetMachine\WinIPT>ipttool.exe --trace 2736 EQNEDT32.pt
- /-----------------------------------------\
- |=== Windows 10 RS5 1809 IPT Test Tool ===|
- |=== Copyright (c) 2018 Alex Ionescu ===|
- |=== http://github.com/ionescu007 ===|
- |=== http://www.windows-internals.com ===|
- \-----------------------------------------/
- [+] Found active trace with 1476395324 bytes so far
- [+] Trace contains 11 thread headers
- [+] Trace Entry 0 for TID 2520
- Trace Size: 134217728 [Ring Buffer Offset: 4715184]
- Timing Mode: MTC Packets [MTC Frequency: 3, ClockTsc Ratio: 83]
- [+] Trace Entry 1 for TID 1CA8
- Trace Size: 134217728 [Ring Buffer Offset: 95936]
- Timing Mode: MTC Packets [MTC Frequency: 3, ClockTsc Ratio: 83]
- [+] Trace Entry 2 for TID 8AC
- Trace Size: 134217728 [Ring Buffer Offset: 63152]
- Timing Mode: MTC Packets [MTC Frequency: 3, ClockTsc Ratio: 83]
- [+] Trace Entry 3 for TID 1A88
- Trace Size: 134217728 [Ring Buffer Offset: 4560]
- Timing Mode: MTC Packets [MTC Frequency: 3, ClockTsc Ratio: 83]
- [+] Trace Entry 4 for TID 1964
- Trace Size: 134217728 [Ring Buffer Offset: 45184]
- Timing Mode: MTC Packets [MTC Frequency: 3, ClockTsc Ratio: 83]
- [+] Trace Entry 5 for TID 22D0
- Trace Size: 134217728 [Ring Buffer Offset: 6768]
- Timing Mode: MTC Packets [MTC Frequency: 3, ClockTsc Ratio: 83]
- [+] Trace Entry 6 for TID 73C
- Trace Size: 134217728 [Ring Buffer Offset: 32480]
- Timing Mode: MTC Packets [MTC Frequency: 3, ClockTsc Ratio: 83]
- [+] Trace Entry 7 for TID 1684
- Trace Size: 134217728 [Ring Buffer Offset: 285264]
- Timing Mode: MTC Packets [MTC Frequency: 3, ClockTsc Ratio: 83]
- [+] Trace Entry 8 for TID 3C4
- Trace Size: 134217728 [Ring Buffer Offset: 99056]
- Timing Mode: MTC Packets [MTC Frequency: 3, ClockTsc Ratio: 83]
- [+] Trace Entry 9 for TID 610
- Trace Size: 134217728 [Ring Buffer Offset: 4812464]
- Timing Mode: MTC Packets [MTC Frequency: 3, ClockTsc Ratio: 83]
- [+] Trace Entry 10 for TID 1CD8
- Trace Size: 134217728 [Ring Buffer Offset: 7424]
- Timing Mode: MTC Packets [MTC Frequency: 3, ClockTsc Ratio: 83]
- [+] Trace for PID 2736 written to EQNEDT32.pt
进程内存转储
你可以使用ProcDump或Process Explorer甚至Windbg来获取方程编辑器（EQNEDT32.exe）的内存转储，IPTAnalyzer可以使用进程内存转储来自动检索指令字节，而不是将单独的image文件提供给libipt。
https://docs.microsoft.com/en-us/sysinternals/downloads/procdump https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer
运行iptanalyzer
为了方便起见，在以下示例中，将％IPTANALYZERTOOL％设置为IPTAnalyzer文件夹的根目录。通过使用decode_blocks.py，可以生成块缓存文件。你需要提供带有IPT跟踪文件名的-p选项和带有进程内存转储文件的-d选项。
- python %IPTANALYZER%\pyipttool\decode_blocks.py -p PT\EQNEDT32.pt -d ProcessMemory\EQNEDT32.dmp -c block.cache
下面显示了并行的Python进程，它们对解码文件进行解码。
转储EQNEDT32模块数据
由于EQNEDT32主模块存在漏洞，并且模块地址范围内或附近将发生异常代码执行模式，因此我们希望枚举EQNEDT32主模块范围内的块，该块介于00400000和0048e000之间。
- 0:011> lmvm EQNEDT32
- Browse full module list
- start end module name
- 00000000`00400000 00000000`0048e000 EQNEDT32 (deferred)
- ...
dump_blocks.py工具可用于枚举特定地址范围内的任何基本块。
- python %IPTANALYZER%\pyipttool\dump_blocks.py -p PT\EQNEDT32.pt -d ProcessMemory\EQNEDT32.dmp -C 0 -c blocks.cache -s 0x00400000 -e 0x0048e000
该命令将生成与地址范围匹配的基本块的完整日志。从易受攻击的模块执行代码结束时，可能会过渡到shellcode，我们将重点放在日志末尾的基本块模式。注意，“ sync_offset = 2d236c”显示了这些最后的基本块命中的PSB数据包的位置。此sync_offset值可用于检索该点附近的指令。
- ...
- > 00000000004117d3 () (sync_offset=2d236c, offset=2d26f4)
- EQNEDT32!EqnFrameWinProc+0x2cf3:
- 00000000`004117d3 0fbf45c8 movsx eax,word ptr [rbp-38h]
- > 000000000041181e () (sync_offset=2d236c, offset=2d26f4)
- EQNEDT32!EqnFrameWinProc+0x2d3e:
- 00000000`0041181e 0fbf45fc movsx eax,word ptr [rbp-4]
- > 0000000000411869 () (sync_offset=2d236c, offset=2d26f4)
- EQNEDT32!EqnFrameWinProc+0x2d89:
- 00000000`00411869 33c0 xor eax,eax
- > 000000000042fad6 () (sync_offset=2d236c, offset=2d26fc)
- EQNEDT32!MFEnumFunc+0x12d9:
- 00000000`0042fad6 c3 ret
转储EQNEDT32模块指令
现在，我们知道EQNEDT32模块的最后一个基本块是在“ sync_offset = 2d236c” PSB块内执行的。dump_instructions.py脚本可用于转储完整指令。-S（开始sync_offset）和-E（结束sync_offset）之类的选项可用于指定sync_offset范围。
- python %IPTANALYZER%\pyipttool\dump_instructions.py -p ..\PT\EQNEDT32.pt -d ..\ProcessMemory\EQNEDT32.dmp -S 0x2d236c -E 0x2d307c
查找ret代码
使用dump_instructions.py的输出，你可以轻松确定从EQNEDT32到Shellcode的代码的位置。
- ...
- Instruction: EQNEDT32!EqnFrameWinProc+0x2d8b:
- 00000000`0041186b e900000000 jmp EQNEDT32!EqnFrameWinProc+0x2d90 (00000000`00411870)
- Instruction: EQNEDT32!EqnFrameWinProc+0x2d90:
- 00000000`00411870 5f pop rdi
- Instruction: EQNEDT32!EqnFrameWinProc+0x2d91:
- 00000000`00411871 5e pop rsi
- Instruction: EQNEDT32!EqnFrameWinProc+0x2d92:
- 00000000`00411872 5b pop rbx
- Instruction: EQNEDT32!EqnFrameWinProc+0x2d93:
- 00000000`00411873 c9 leave
- Instruction: EQNEDT32!EqnFrameWinProc+0x2d94:
- 00000000`00411874 c3 ret
- Instruction: EQNEDT32!MFEnumFunc+0x12d9:
- 00000000`0042fad6 c3 ret
- Instruction: 00000000`0019ee9c bac342baff mov edx,0FFBA42C3h
- Instruction: 00000000`0019eea1 f7d2 not edx
- Instruction: 00000000`0019eea3 8b0a mov ecx,dword ptr [rdx]
- Instruction: 00000000`0019eea5 8b29 mov ebp,dword ptr [rcx]
- Instruction: 00000000`0019eea7 bb3a7057f4 mov ebx,0F457703Ah
- Instruction: 00000000`0019eeac 81eb8a0811f4 sub ebx,0F411088Ah
- Instruction: 00000000`0019eeb2 8b1b mov ebx,dword ptr [rbx]
- Instruction: 00000000`0019eeb4 55 push rbp
- Instruction: 00000000`0019eeb5 ffd3 call rbx
- ...
从上面的指令清单中，你可以注意到00411874和0042fad6有两个“ ret”指令。
- Instruction: EQNEDT32!EqnFrameWinProc+0x2d94:
- 00000000`00411874 c3 ret
- Instruction: EQNEDT32!MFEnumFunc+0x12d9:
- 00000000`0042fad6 c3 ret
在这两个“ ret”指令之后，代码将转移到非映像地址空间中。
- Instruction: 00000000`0019ee9c bac342baff mov edx,0FFBA42C3h
- Instruction: 00000000`0019eea1 f7d2 not edx
- Instruction: 00000000`0019eea3 8b0a mov ecx,dword ptr [rdx]
- Instruction: 00000000`0019eea5 8b29 mov ebp,dword ptr [rcx]
注意，在00000000`0019ee9c处的指令没有检索到任何匹配的模块名称，这意味着它很有可能被shellcode加载到动态内存中。
执行下一阶段的Shellcode
在shellcode之后，我们可以使用“ jmp rax”指令在0019eec1处定位执行下一级shellcode的位置，我们在Intel PT日志中有完整的Shellcode执行列表。
- Instruction: 00000000`0019eeb7 0567946d03 add eax,36D9467h
- Instruction: 00000000`0019eebc 2d7e936d03 sub eax,36D937Eh
- Instruction: 00000000`0019eec1 ffe0 jmp rax
这些是dump_instructions.py脚本转储的下一阶段shellcode。
- Instruction: 00000000`00618111 9c pushfq
- Instruction: 00000000`00618112 56 push rsi
- Instruction: 00000000`00618113 57 push rdi
- Instruction: 00000000`00618114 eb07 jmp 00000000`0061811d
- Instruction: 00000000`0061811d 9c pushfq
- Instruction: 00000000`0061811e 57 push rdi
- Instruction: 00000000`0061811f 57 push rdi
- Instruction: 00000000`00618120 81ef40460000 sub edi,4640h
- Instruction: 00000000`00618126 81ef574b0000 sub edi,4B57h
- Instruction: 00000000`0061812c 8dbfbc610000 lea edi,[rdi+61BCh]
- Instruction: 00000000`00618132 81c73b080000 add edi,83Bh
- Instruction: 00000000`00618138 5f pop rdi
- Instruction: 00000000`00618139 5f pop rdi
分析总结
英特尔PT是一项非常有用的技术，可用于防御性和攻击性安全性研究。IPTAnalyzer是一个使用libipt库来使用IPT跟踪日志加快分析速度的工具。这里的漏洞利用示例显示了使用IPTAnalyzer工具生成块缓存文件并将其用于基本漏洞利用调查的好处。没有英特尔PT的帮助，此过程可能很繁琐，可能更多地取决于研究人员的直觉。使用Intel PT，可以自动执行此过程并自动检测恶意代码活动。
本文翻译自：https://darungrim.com/research/2020-05-07-UsingIntelPTForVulnerabilityTriagingWithIPTAnalyzer.html如若转载，请注明原文地址。
当前标题：使用IntelPT与IPTAnalyzer进行漏洞利用
网页URL：http://www.shufengxianlan.com/qtweb/news0/150800.html
成都网站建设公司_创新互联，为您提供面包屑导航、网站排名、域名注册、网页设计公司、云服务器、Google
声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联