基于java字节码的灰盒动态漏洞检测

1. 基于java 字节码的灰盒动态漏洞检测杭州安恒-‐吴卓群

2. About Me !  About Me •  ⺫目目前就职于杭州安恒信息技术有限公司，任信息安全服务部副总监、研究院安全分院负责人人、高高级安全研究员。 •  从事多年的 web 应用用安全领域研究。擅⻓长漏洞发掘、代码审计、安全测试。

3. Why •  目前常用的WEB 应用自动化测试程序 –  白盒测试（源码审计系统） •  误报率太高 •  逻辑顺序关联的问题无法测试 –  黑盒测试（web 扫描器） •  很多漏洞无法检测 ,如 –  存储跨站 –  ⻚页面面无无变化的注入入（ update, insert 等） –  大部分的代码注入 –  很多文件操作相关的漏洞考虑使用基于灰盒的fuzzing 方式

4. •  ⺫目目前做的内容 –  Java平台的下的灰盒fuzzing测试 –  劫持关键的操作函数（使用用hook的方方式）

5. •  Java hook 的方式太过繁琐，兼容性不好无法满足要求修改中间件及 JVM 字节码动态修改系统提供的 hook Java Hook

6. •  JAVA 编译执行行代码的过程编译 Java源程序（.java）解释字节码程序(.class) 设置 hook 运行 JVM（转换字节码到特定平台机器码）操作系统

7. •  Javaagent 实现运行时动态修改 –  在启动和运行期都可以加载 agent代理，在启动的时候可通过 -‐javaagent参数来执行agent 代理，而在运行期就是通过 aFach 这种机制动态 load了

8. •  修改 MANIFEST.MF 文件中增加启动 Manifest-‐Version: 1.0 Sealed: true Main-‐Class: JagentMain Premain-‐Class: com.jagent.Jagent

9. •  通过 InstrumentaRon 实现动态字节码修改

10. •  强大大的 Javassist –  Javassist 是一个开源的分析、编辑和创建Java 字节码的类库。Javassist 是 jboss 的一个子项目，其主要的优点，在于简单，而且快速。直接使用java 编码的形式，而不需要了解虚拟机指令，就能动态改变类的结构，或者动态生成类。 –  利用 javassist 对⺫目目标函数动态注入入字节码代码

11. •  Javassist 实现代码动态修改 –  备份原有函数 –  修改原有函数注入回调函数

12. •  Tomcat 为例，劫持的关键函数 –  Request 请求初始化函数 –  Request 销毁函数 –  数据库查询函数 –  ⻚页面输出函数 –  ……

13. •  Request 请求初始化函数 –  只需要能在执行执行其他劫持函数前获得request 请求的函数都可以 –  Org.apache.catalina.connector.Request 类 –  setRequestedSessionId函数 •  Request 请求销毁函数 –  其他函数执行结束后request 销毁前执行的函数都可以 –  org.apache.catalina.connector.Request 类 –  recycle

14. •  数据库查询函数 –  各种 jdbc 的 class 库中的执行 sql 语句的函数 –  如： com.mysql.jdbc.StatementImpl 类 executeQuery 函数可检测存储跨站或注入入漏洞

15. •  ⻚页面输出函数 –  Org.apache.jasper.runRme.JspWriterImpl write 函数检测跨站脚本、信息泄露等漏洞

16. •  使用反射解决变量类型问题 –  在编写代码时，会碰到大量中间件中使用的 class，及函数 –  通过反射的方式解决

17. •  系统函数的 HOOK –  部分漏洞的操作实习并非中间件，如 •  文件操作的漏洞 –  无法通过 hook中间件实现，只能hook系统函数完成

18. •  Java.lang 包的处理 –  JVM启动是加载 RunRme，File等类加载优先于 premain 函数，所以无法劫持 –  Java.lang 中的 class 出于安全考虑无无法 redeﬁne 或重新加载

19. •  Xbootclass 和 SecurityManager –  -‐Xbootclasspath:bootclasspath 让 jvm 从指定路径（可以是分号分隔的⺫目目录、 jar、或者zip ）中加载 bootclass ，用用来替换 jdk的rt.jar –  SecurityManager，java的安全管理器（沙盘）

20. ClassLoader 加载流程 •  每个ClassLoader 加载 Class 的过程是： –  1. 检测此 Class 是否载入入过（即在 cache中是否有此Class），如果有到 8,如果没有到2 –  2.如果parent classloader不存在（没有parent，那parent一定是 bootstrap classloader了），到4 –  3. 请求 parent classloader 载入入，如果成功到 8，不成功到5 –  4. 请求 jvm从bootstrap classloader 中载入入，如果成功到 8 –  5. 寻找 Class文件（从与此classloader 相关的类路径中寻找）。如果找不到则到 7. –  6. 从文文件中载入入 Class，到8. –  7.抛出ClassNotFoundExcepRon. –  8.返回Class.

21. •  SecurityMananger –  安全管理器根据Java安全策略文件决定将哪组权限授予类 –  也可以自定义 SecurityManager完成需要的功能

22. •  如何获得测试用用例捕获正常请求，生成fuzzing数据设置HTTP代理正常请求浏览器使用javaagent截获fuzzing请求正常请求 Proxy Web服务器 Fuzzing 数据

23. •  部署方式 –  修改启动参数，正常启动

24. •  扩展 –  劫持框架的关键函数，对中间件的安全进行行测试 –  劫持所有应用用函数，判断瓶颈的函数 –  劫持函数进行行攻击阻断 –  Php的灰盒， apache模块扩展 –  .net的灰盒测试， Proﬁling API

25. THINK YOU