NPA: Fuzzing AusweisAPP - Revision history

Jbirkhol: /* Datengenerierung */

2011-01-18T14:42:03Z

Datengenerierung

← Older revision		Revision as of 14:42, 18 January 2011
Line 65:		Line 65:

	==== Beispiele ====		==== Beispiele ====
	==== Integer ====		===== Integer =====
	<nowiki>Bei Betrachtung des Folgenden Beispiels mit Zugriff auf die Integer Variable size ist der Grenzfall max-1 ([2^32]-1) kritisch, wenn ein Over- oder Underflow das Ziel ist.</nowiki>		<nowiki>Bei Betrachtung des Folgenden Beispiels mit Zugriff auf die Integer Variable size ist der Grenzfall max-1 ([2^32]-1) kritisch, wenn ein Over- oder Underflow das Ziel ist.</nowiki>

Line 76:		Line 76:
	* max/2, max/2-1, … . max/2-n		* max/2, max/2-1, … . max/2-n

	==== Strings ====		===== Strings =====
	Lange Zeichenketten, beispielsweise 5000 x ein 'A' oder anderes ASCII Zeichen.		Lange Zeichenketten, beispielsweise 5000 x ein 'A' oder anderes ASCII Zeichen.

	===== Feldbegrenzer =====		====== Feldbegrenzer ======
	Mit oft verwendete Feldbegrenzer-Zeichen in der Eingabe besteht eine höhere Wahrscheinlichkeit mehr Code abzudecken, da so mehrere Eingaben bzw. eine Folgeeingabe erreicht werden kann.		Mit oft verwendete Feldbegrenzer-Zeichen in der Eingabe besteht eine höhere Wahrscheinlichkeit mehr Code abzudecken, da so mehrere Eingaben bzw. eine Folgeeingabe erreicht werden kann.

	Bsp: /, ', „, \, <nowiki>, ., <, >, ;, :</nowiki>		Bsp: /, ', „, \, <nowiki>, ., <, >, ;, :</nowiki>

	===== Format Strings =====		====== Format Strings ======
	Wie %d, %s, %n die meist zu einem lesenden Speicherzugriff führen habe eine höhrere Chance Speicherzugriffsverletzungen auszulösen.		Wie %d, %s, %n die meist zu einem lesenden Speicherzugriff führen habe eine höhrere Chance Speicherzugriffsverletzungen auszulösen.

	==== Directory Traversal ====		===== Directory Traversal =====
	Wenn an einer Stelle ein Filename übermittelt werden kann, so kann mittels Präfix z.B. ../../filename auf andere als den gewollten Ort zugegriffen werden.		Wenn an einer Stelle ein Filename übermittelt werden kann, so kann mittels Präfix z.B. ../../filename auf andere als den gewollten Ort zugegriffen werden.

	==== Command Injection ====		===== Command Injection =====
	Werden Eingabe direkt an Befehle des Betriebssystems angehängt besteht unter UNIX die Möglichkeit neben der Eingabe mit einem Verkettungsoperator ein weiteres Kommando abzusetzen.		Werden Eingabe direkt an Befehle des Betriebssystems angehängt besteht unter UNIX die Möglichkeit neben der Eingabe mit einem Verkettungsoperator ein weiteres Kommando abzusetzen.

	System(„ls /“ + eingabe); //kann zu „ls /usr && rm -rf /“ werden		System(„ls /“ + eingabe); //kann zu „ls /usr && rm -rf /“ werden

	=== Grenzen ===		=== Grenzen ===

Jbirkhol: /* Fuzzing */

2011-01-18T14:40:00Z

Fuzzing

← Older revision		Revision as of 14:40, 18 January 2011
Line 64:		Line 64:
	Ein Mensch „generiert“ selbst die möglichen Fehlerhaften Daten, gibt sie ein und nur noch der Prozess drum herum automatisiert ist.		Ein Mensch „generiert“ selbst die möglichen Fehlerhaften Daten, gibt sie ein und nur noch der Prozess drum herum automatisiert ist.

	==== ~~Beispieletodo~~ ====		==== Beispiele ====
	==== Integer ====		==== Integer ====
	<nowiki>Bei Betrachtung des Folgenden Beispiels mit Zugriff auf die Integer Variable size ist der Grenzfall max-1 ([2^32]-1) kritisch, wenn ein Over- oder Underflow das Ziel ist.</nowiki>		<nowiki>Bei Betrachtung des Folgenden Beispiels mit Zugriff auf die Integer Variable size ist der Grenzfall max-1 ([2^32]-1) kritisch, wenn ein Over- oder Underflow das Ziel ist.</nowiki>
Line 124:		Line 124:
	Das Erkennen eines Fehlerzustandes in der Zielanwendung ist unbedingt erforderlich um Ergebnisse in irgend einer Form zu produzieren. Eine Möglichkeit wäre mit einem „ping“ den Zielcomputer zu überwachen und gegebenenfalls seinen Absturz zu bemerken. Mit Zugriff auf das Zielsystem können auch Logs der Anwendung oder System Logs genutzt werden. Das gilt aber nur solange die Fehler nicht von irgend einer Form von Ausnhamebehandlung abgefangen werden. Eine bessere Möglichkeit ist Zugriff auf einen Debugger in der Zielanwendung, der jedoch Plattformspezifisch ist.		Das Erkennen eines Fehlerzustandes in der Zielanwendung ist unbedingt erforderlich um Ergebnisse in irgend einer Form zu produzieren. Eine Möglichkeit wäre mit einem „ping“ den Zielcomputer zu überwachen und gegebenenfalls seinen Absturz zu bemerken. Mit Zugriff auf das Zielsystem können auch Logs der Anwendung oder System Logs genutzt werden. Das gilt aber nur solange die Fehler nicht von irgend einer Form von Ausnhamebehandlung abgefangen werden. Eine bessere Möglichkeit ist Zugriff auf einen Debugger in der Zielanwendung, der jedoch Plattformspezifisch ist.

	=== ~~FuzzerTypen nach Ziel/spezifische~~ Fuzzer ===		=== Fuzzer ===
	==== Lokal ====		==== Lokal ====
	Weil der Zugriff zum System bereits Möglich ist, sind Wege interessant um an die Administratorrechte zu kommen. Als Möglichkeit bieten sich Programme mit setuid Bit an.		Weil der Zugriff zum System bereits Möglich ist, sind Wege interessant um an die Administratorrechte zu kommen. Als Möglichkeit bieten sich Programme mit setuid Bit an.

Jbirkhol: /* Literatur */

2011-01-18T14:37:17Z

Literatur

← Older revision		Revision as of 14:37, 18 January 2011
Line 162:		Line 162:
	==Software==		==Software==
	==Literatur==		==Literatur==
			*[MSAGPA] Sutton Michael/Greene Adam/Amini Pedram: FUZZING Brute Force Vulnerability Discovery

Jbirkhol: /* Fuzzing (chapter in work) */

2011-01-18T14:34:20Z

Fuzzing (chapter in work)

Show changes

Jbirkhol: /* Fuzzer Typen */

2010-11-02T15:28:21Z

Fuzzer Typen

@@ Line 83: / Line 83: @@
 Je nach Zielanwendung kann man Fuzzer in verschiedene Typen einordnen. Gemein haben sie eine Weiterverwendung von ungeprüften Daten, die über die verschiedenen Eingabemöglichkeiten an das Ziel gelangen.
-Vom Programm genutzte Umgebungsvariablen werden modifiziert.
+*Umgebungsvariable: Vom Programm genutzte Umgebungsvariablen werden modifiziert.
 Ein Nachteil ist die hohe Komplexität, welche die Vielseitigkeit ermöglicht, und der damit verbundene Einarbeitungsaufwand.

Jbirkhol: /* Fuzzer Typen */

2010-11-02T13:33:04Z

Fuzzer Typen

@@ Line 81: / Line 81: @@
 ===Fuzzer Typen===
-Je nach Zielanwendung kann man Fuzzer in verschiedene Typen einordnen.
+Je nach Zielanwendung kann man Fuzzer in verschiedene Typen einordnen. Gemein haben sie eine Weiterverwendung von ungeprüften Daten, die über die verschiedenen Eingabemöglichkeiten an das Ziel gelangen.
 ===Effektivität===

Jbirkhol: /* Funktionsweise */

2010-11-02T10:34:07Z

Funktionsweise

← Older revision		Revision as of 10:34, 2 November 2010
Line 65:		Line 65:
	===Funktionsweise===		===Funktionsweise===
	Generell unterscheidet man Fuzzer in die folgenden beiden Klassen.		Generell unterscheidet man Fuzzer in die folgenden beiden Klassen.

	'''Mutationsbasiert'''<br>		'''Mutationsbasiert'''<br>
	Es werden vorhandene Daten genommen und kontinuierlich verändert.		Es werden vorhandene Daten genommen und kontinuierlich verändert.

	'''Erzeugungsbasiert'''<br>		'''Erzeugungsbasiert'''<br>
	Die Daten werden nach Regeln jedes mal von neu generiert, je nach Ziel z.B. ein Paket oder eine Datei.		Die Daten werden nach Regeln jedes mal von neu generiert, je nach Ziel z.B. ein Paket oder eine Datei.

Jbirkhol: /* Funktionsweise */

2010-11-02T10:33:54Z

Funktionsweise

← Older revision		Revision as of 10:33, 2 November 2010
Line 65:		Line 65:
	===Funktionsweise===		===Funktionsweise===
	Generell unterscheidet man Fuzzer in die folgenden beiden Klassen.		Generell unterscheidet man Fuzzer in die folgenden beiden Klassen.
	*Mutationsbasiert		'''Mutationsbasiert'''<br>
	Es werden vorhandene Daten genommen und kontinuierlich verändert.		Es werden vorhandene Daten genommen und kontinuierlich verändert.
	*Erzeugungsbasiert		'''Erzeugungsbasiert'''<br>
	Die Daten werden nach Regeln jedes mal von neu generiert, je nach Ziel z.B. ein Paket oder eine Datei.		Die Daten werden nach Regeln jedes mal von neu generiert, je nach Ziel z.B. ein Paket oder eine Datei.

Line 76:		Line 76:
	while [1]; do cat /dev/urandom \| nc -vv target port; done		while [1]; do cat /dev/urandom \| nc -vv target port; done
	*Manuelle Protokoll Mutation		*Manuelle Protokoll Mutation
	Was soviel bedeutet wie dass der Forscher selbst die möglichen Fehlerhaften Daten eingibt und nur noch der Prozess drum herum automatisiert ist.		:Was soviel bedeutet wie dass der Forscher selbst die möglichen Fehlerhaften Daten eingibt und nur noch der Prozess drum herum automatisiert ist.

	===Fuzzer Typen===		===Fuzzer Typen===

Jbirkhol: /* Grenzen */

2010-11-02T10:32:59Z

Grenzen

← Older revision		Revision as of 10:32, 2 November 2010
Line 47:		Line 47:
	===Grenzen===		===Grenzen===
	Fuzzing kann nur ganz bestimmte Schwächen im Ziel herausfinden und es ist auch begrenzt was die Arten von Schwächen angeht. Im folgenden erläutert an einigen Schwächeklassen.		Fuzzing kann nur ganz bestimmte Schwächen im Ziel herausfinden und es ist auch begrenzt was die Arten von Schwächen angeht. Im folgenden erläutert an einigen Schwächeklassen.

	'''Zugriffskontrolle'''<br>		'''Zugriffskontrolle'''<br>
	Selbst wenn ein Fehler gefunden wird kann der Fuzzer nicht unbedingt unterscheiden ob der Zustand den er erreicht hat durch eine Zugriffskontrolle geschützt war, er also im admin Bereich war oder nicht. Dazu müsste er speziell darauf ausgelegt sein.		Selbst wenn ein Fehler gefunden wird kann der Fuzzer nicht unbedingt unterscheiden ob der Zustand den er erreicht hat durch eine Zugriffskontrolle geschützt war, er also im admin Bereich war oder nicht. Dazu müsste er speziell darauf ausgelegt sein.

	'''Schwacher Logikentwurf'''<br>		'''Schwacher Logikentwurf'''<br>
	Eine Funktion die in ihrer Grundheit an sich unsicher ist wie ein offener Fernzugriff in irgend einer Form kann so einfach nicht erkannt werden wenn es kein Fehlerfall in der Software ist und es z.B. vergessen wurde diesen Zugriff vor der Veröffentlichung wieder zu entfernen.		Eine Funktion die in ihrer Grundheit an sich unsicher ist wie ein offener Fernzugriff in irgend einer Form kann so einfach nicht erkannt werden wenn es kein Fehlerfall in der Software ist und es z.B. vergessen wurde diesen Zugriff vor der Veröffentlichung wieder zu entfernen.

	'''Hintertüren'''<br>		'''Hintertüren'''<br>
	Ein Backdoor unterscheidet sich für den Fuzzer nicht von einer anderen Eingabemöglichkeit und wenn ihm die Logik zur Steuerung dessen fehlt kann er damit auch nicht viel anfangen. Selbst wenn er Zugriff erhält muss er das schon mitbekommen. Einen Absturz dagegen würde er bemerken.		Ein Backdoor unterscheidet sich für den Fuzzer nicht von einer anderen Eingabemöglichkeit und wenn ihm die Logik zur Steuerung dessen fehlt kann er damit auch nicht viel anfangen. Selbst wenn er Zugriff erhält muss er das schon mitbekommen. Einen Absturz dagegen würde er bemerken.

	'''Memory Corruption'''<br>		'''Memory Corruption'''<br>
	Speicherfehler können, ohne Debugger im Zielprozess, nicht erkannt werden wenn der Fehler abgefangen und behandelt wird.		Speicherfehler können, ohne Debugger im Zielprozess, nicht erkannt werden wenn der Fehler abgefangen und behandelt wird.

	'''Schwachstellenkombination'''<br>		'''Schwachstellenkombination'''<br>
	Kombinationen von Schwachstellen für einen Zugriff oder auch wenn die Reihenfolge wichtig ist sind von Fuzzern nicht sinnvoll herauszufinden.		Kombinationen von Schwachstellen für einen Zugriff oder auch wenn die Reihenfolge wichtig ist sind von Fuzzern nicht sinnvoll herauszufinden.

Jbirkhol: /* Grenzen */

2010-11-02T10:32:09Z

Grenzen

← Older revision		Revision as of 10:32, 2 November 2010
Line 47:		Line 47:
	===Grenzen===		===Grenzen===
	Fuzzing kann nur ganz bestimmte Schwächen im Ziel herausfinden und es ist auch begrenzt was die Arten von Schwächen angeht. Im folgenden erläutert an einigen Schwächeklassen.		Fuzzing kann nur ganz bestimmte Schwächen im Ziel herausfinden und es ist auch begrenzt was die Arten von Schwächen angeht. Im folgenden erläutert an einigen Schwächeklassen.
	*Zugriffskontrolle		'''Zugriffskontrolle'''<br>
	Selbst wenn ein Fehler gefunden wird kann der Fuzzer nicht unbedingt unterscheiden ob der Zustand den er erreicht hat durch eine Zugriffskontrolle geschützt war, er also im admin Bereich war oder nicht. Dazu müsste er speziell darauf ausgelegt sein.		Selbst wenn ein Fehler gefunden wird kann der Fuzzer nicht unbedingt unterscheiden ob der Zustand den er erreicht hat durch eine Zugriffskontrolle geschützt war, er also im admin Bereich war oder nicht. Dazu müsste er speziell darauf ausgelegt sein.
	*Schwacher Logikentwurf		'''Schwacher Logikentwurf'''<br>
	Eine Funktion die in ihrer Grundheit an sich unsicher ist wie ein offener Fernzugriff in irgend einer Form kann so einfach nicht erkannt werden wenn es kein Fehlerfall in der Software ist und es z.B. vergessen wurde diesen Zugriff vor der Veröffentlichung wieder zu entfernen.		Eine Funktion die in ihrer Grundheit an sich unsicher ist wie ein offener Fernzugriff in irgend einer Form kann so einfach nicht erkannt werden wenn es kein Fehlerfall in der Software ist und es z.B. vergessen wurde diesen Zugriff vor der Veröffentlichung wieder zu entfernen.
	*Hintertüren		'''Hintertüren'''<br>
	Ein Backdoor unterscheidet sich für den Fuzzer nicht von einer anderen Eingabemöglichkeit und wenn ihm die Logik zur Steuerung dessen fehlt kann er damit auch nicht viel anfangen. Selbst wenn er Zugriff erhält muss er das schon mitbekommen. Einen Absturz dagegen würde er bemerken.		Ein Backdoor unterscheidet sich für den Fuzzer nicht von einer anderen Eingabemöglichkeit und wenn ihm die Logik zur Steuerung dessen fehlt kann er damit auch nicht viel anfangen. Selbst wenn er Zugriff erhält muss er das schon mitbekommen. Einen Absturz dagegen würde er bemerken.
	*Memory Corruption~~/Speicherzerstörung~~		'''Memory Corruption'''<br>
	Speicherfehler können, ohne Debugger im Zielprozess, nicht erkannt werden wenn der Fehler abgefangen und behandelt wird.		Speicherfehler können, ohne Debugger im Zielprozess, nicht erkannt werden wenn der Fehler abgefangen und behandelt wird.
	*Schwachstellenkombination		'''Schwachstellenkombination'''<br>
	Kombinationen von Schwachstellen für einen Zugriff oder auch wenn die Reihenfolge wichtig ist sind von Fuzzern nicht sinnvoll herauszufinden.		Kombinationen von Schwachstellen für einen Zugriff oder auch wenn die Reihenfolge wichtig ist sind von Fuzzern nicht sinnvoll herauszufinden.