Tests sous l'architecture ARM

Introduction

Dans ce chapitre, nous allons étudier les bases fondamentales des processeurs ARM (Advanced Risc Machine) ainsi que les différents types de vulnérabilités existant dans le monde ARM. L’exploitation des failles de sécurité sous l’architecture ARM (comme sous d’autres architectures) constitue un des piliers fondamentaux du hacking éthique. La plupart des smartphones Android, téléviseurs tels que les Smart TV, calculatrices, certains robots ménagers et autres objets connectés fonctionnent aujourd’hui avec des processeurs ARM. Il est donc essentiel pour un testeur en sécurité Android de bien comprendre l’architecture ARM ainsi que les risques de sécurité qui y sont associés.

Le hacking éthique couvre une vaste gamme de méthodes permettant d’accéder à des données personnelles ou de prendre le contrôle de systèmes informatiques sans le consentement légal de leur propriétaire. L’exploitation de failles applicatives est cependant une branche spécifique du hacking éthique qui implique de comprendre la manière dont un programme déjà compilé et exécuté sur un système fonctionne.

L’exploitation binaire (ou de programme compilé) implique souvent la recherche de vulnérabilités...

Le processeur ARM

Les processeurs ARM (Advanced Risc Machine), où RISC signifie Reduced Instruction Set Computer, ont vu le jour dans l’année 1983 grâce à la société britannique Acorn Computer (ARM signifiait alors Acorn Risc Machine), qui les a utilisés pour la première fois à partir de 1987 dans son type d’ordinateur Archimedes 32 bits. C’est une famille de processeurs à jeux d’instructions réduites, ce qui signifie qu’ils ne pourront exécuter qu’un nombre réduit de types d’instructions. Leur architecture est en effet moins complexe que sur d’autres familles de processeurs, ce qui facilitera notre apprentissage. De ce fait, ce type de processeur offre des performances élevées tout en restant cependant très compact. Il est de plus en plus miniaturisé (ce qui est très pratique pour être contenu dans un smartphone) et de plus en plus puissant. Il est très peu gourmand en énergie, ce qui est également un gros avantage, il nous fait donc gagner de l’autonomie de batterie. Avec tous ces avantages, le processeur ARM est très prisé, à tel point qu’il commence à se déployer de plus en plus sur les ordinateurs portables. Quelques systèmes d’exploitation sont déjà compatibles avec les processeurs ARM....

Notions fondamentales

Dans cette section, nous allons étudier quelques notions fondamentales et indispensables avant d’aller plus loin. En effet, nous avons tout d’abord besoin de savoir de quoi le processeur ARM est composé, comment il fonctionne, les différents registres utilisés, etc. Nous utiliserons l’environnement ARM 32 bits, donc avant la version ARM v8. À partir des versions ARM v8, les processeurs sont basés sur du 64 bits.

Un peu d’assembleur

Le langage assembleur est également très important pour une meilleure compréhension. Il est important de savoir que les codes opération ARM ont une taille de 32 bits et sont alignés sur les mots, c’est-à-dire que leur adresse est divisible par 4 et qu’une instruction contiendra 4 octets. Les bits du compteur de programme (PC) sont toujours à zéro, car les instructions ARM sont toujours alignées sur les mots (faisant 4 octets). Cependant, dans le cas d’autres jeux d’instructions tels que Thumb, les instructions sont alignées sur un demi-mot et ne feront donc plus que 2 octets.

Préparation de l’environnement

Il est temps de passer à l’installation et à la préparation de notre environnement de test sous l’architecture ARM. Pour les utilisateurs possédant déjà ce type d’architecture, il faudra simplement installer un environnement de programmation. Pour les autres, la procédure est un peu longue, comme toutes les préparations d’environnements de tests. Pour effectuer tous les exercices dans la section à venir sur la plateforme ARM, vous pouvez soit configurer un environnement virtuel basé sur l’architecture ARM, soit acheter des appareils ARM tels que Raspberry Pi, BeagleBoard, PandaBoard, ARMini, Cubox, etc. Dans cette section, nous verrons comment configurer un environnement de test virtuel pour réaliser nos exploitations basées sur ARM.

Téléchargement et installation

Commençons par télécharger la dernière version d’Ubuntu pour travailler dans cet environnement. Actuellement, il s’agit de la version 18.04.2 LTS (Long-Term Support), disponible en téléchargement sur le site officiel à cet endroit : https://www.ubuntu.com/download/desktop

Dans le chapitre Tester des applications mobiles, nous avons vu comment installer Santoku-Linux dans VirtualBox ; nous procéderons à l’installation d’Ubuntu de la même manière. Quand nous aurons installé Ubuntu dans VirtualBox, nous mettrons le système...

Buffer overflow

Le buffer (tampon en français) est une zone ou un espace mémoire temporaire utilisé pour stocker des données. Le débordement de la mémoire tampon se produit généralement lorsque les données écrites dans celle-ci sont plus grandes que la taille de la mémoire tampon allouée. Alors, en raison de contrôle insuffisant, elles débordent de la mémoire tampon et écrivent dans des emplacements de mémoire adjacents, alors qu’elles peuvent être des données importantes utilisées par le système ou le programme ou encore des adresses de retour, etc. Les variables locales agissent généralement comme des variables ou des tampons. En cas de débordement de mémoire tampon, l’objectif principal est de modifier, en quelque sorte, l’adresse de retour et de prendre le contrôle du flux d’exécution du programme en contrôlant le registre de liaison (LR, Link Register). Une fois que nous avons le contrôle de l’adresse de retour, nous pouvons prendre le contrôle de l’ensemble du programme et lui faire exécuter les actions souhaitées, qui sont généralement du code malicieux.

Nous avons codé précédemment un programme vulnérable qui est un cas d’école basique, comme indiqué dans le code ci-dessous, ayant une fonction nommée vulnerable. Cette fonction sera vulnérable aux attaques de débordement de mémoire tampon, car elle utilise la fonction strcpy pour copier la mémoire tampon dans la mémoire tampon de variable locale, qui a une taille de 10 octets pour cet exemple. Donc, si nous entrons une chaîne de longueur supérieure à 10 octets et que nous la copions dans un tampon, il sera alors possible de provoquer un débordement de tampon et d’écrire dans les emplacements de mémoire adjacents. Notre objectif ici sera de remplacer (ou plutôt de réécrire) l’adresse de retour de la fonction vulnérable.

Avant de démarrer, nous devons désactiver quelques protections, que nous pourrons réactiver ensuite. Nous ouvrons le terminal et tapons les commandes suivantes :

echo 0>/proc/sys/kernel/randomize_va_space 

Commençons...

Return to Libc (Ret2Libc)

Nous allons faire une petite présentation de Ret2Libc, car il n’est pas toujours possible d’exploiter ou de corrompre la mémoire en utilisant cette technique (nous développerons un peu plus en détail dans la suite). Return to Libc (Ret2Libc) est une technique utilisée pour contourner la protection de pile (stack) non exécutable. La bibliothèque Libc est mappée dans l’espace mémoire de la plupart des programmes. Comme nous l’avons vu pour les buffer overflows, une fois que nous pouvons corrompre et contrôler la pile, il est possible de faire pointer l’adresse de retour sur une fonction de la bibliothèque (ou librairie) Libc. Pour utiliser cette technique, nous utilisons généralement la fonction system() de la bibliothèque Libc, qui prend comme argument "/bin / sh", pour obtenir un shell qui permettra ensuite d’exécuter des actions malveillantes sur le système cible.

Comme nous l’avons mentionné en début de section, la technique Return to Libc n’est généralement pas possible sur ARM, car dans l’architecture x86, les arguments d’une fonction sont uniquement transmis à la pile, tandis que dans le cas des processeurs ARM, les arguments de la fonction doivent être placés dans des registres, ce qui nous pose problème, car nous ne pouvons écraser la pile qu’en utilisant la technique de débordement de tampon et nous n’avons aucun contrôle sur les valeurs du registre. Alors afin de placer les arguments dans les registres, nous devons adopter une approche différente. Nous devons en premier lieu revenir à un emplacement de mémoire qui contient le code pour charger les registres. Une fois que nous avons chargé les registres avec les arguments requis, nous devons prendre le contrôle de notre programme sur la fonction Libc souhaitée, qui est system() dans notre cas. Une de ces approches et récentes techniques a été discutée lors de la conférence DEFCON à Las Vegas en 2012 par un chercheur en sécurité afin de contourner ce problème. Cette technique a été nommée Ret2ZP (Return to zero protection). Le chercheur nommé Itzhak (Zuk) Avraham  utilise...