現(xiàn)代可抵賴后門研究

1、現(xiàn)代可抵賴后門研究Reflection on trusting trust1983年因UNIX的貢獻(xiàn)Ken獲得圖靈獎(jiǎng)Ken在圖靈獲獎(jiǎng)感言中提出 “Reflections on Trusting Trust”https:/ganger/712.fall02/papers/p761-thompson.pdfWhat I am about to describe is one of many chicken and egg problems that arise when compilers are written in their own language.- STAGEII如何判斷程序的安全性檢

2、查源碼然而程序也是從編譯器而來(lái)的那就檢查編譯器的源碼!可是編譯器也是由另一個(gè)編譯器編譯而成那就檢查hosting-compiler!- Eg. GCC compiles GCC所以兔子的洞到底有多深,到底檢查雞生蛋還是蛋生雞?The problemSelf-reproducing program (Quine)More precisely stated, the problem is to write a source program that, when compiled and executed, will produce as output an exact copy of its so

3、urce.Self-reproducing program (Quine)Hello WorldnThis is an idealization of the code in the C compiler that interprets the character escape sequence. This is an amazing piece of code. It knows in a completely portable way what character code is compiled for a new line in any character set. The act o

4、f knowing then allows it to recompile itself, thus perpetuating the knowledge.Self-reproducing program (Quine)若上述字符轉(zhuǎn)義過(guò)程的”教學(xué)”被用作編譯一個(gè)新的編譯器，其生成結(jié)果指 定為”標(biāo)準(zhǔn)編譯器”，則這個(gè)編譯器生成的程序?qū)⒁恢瘪v留這個(gè)”學(xué)會(huì)”的 知識(shí)，并移除后門代碼。Self-reproducing program (Quine)Sulogin compiler-backdoor傳聞Ken爺能隨意進(jìn)入世界上任何一臺(tái) UNIX系統(tǒng)1943年貝爾實(shí)驗(yàn)室的PDP-11安裝了 UNIX供大家玩

5、耍，可Ken爺可以隨意進(jìn) 入其他人賬戶，高人分析后剔除了UNIX 的后門并重新安裝，可Ken爺依舊如入 無(wú)人之境Sulogin compiler-backdoorLinux 在Recovery模式中會(huì)調(diào)起 sulogin進(jìn)行root password驗(yàn) 證，通過(guò)后給予一個(gè)root shell如果驗(yàn)證過(guò)程被植入后門while (pwd) if (p = getpasswd(pwd-pw_passwd) = NULL) break;if (pwd-pw_passwd0 = 0 |strcmp(p, rr) = 0 |strcmp(crypt(p, pwd-pw_passwd), pwd-pw_pa

6、sswd) =0)sushell(pwd);mask_signal(SIGQUIT, SIG_IGN, &saved_sigquit); mask_signal(SIGTSTP, SIG_IGN, &saved_sigtstp); mask_signal(SIGINT, SIG_IGN, &saved_sigint); fprintf(stderr, _(Login incorrectnn);Sulogin compiler-backdoor這樣的后門過(guò)于明顯，不如讓編 譯器幫我們完成只需要在編譯器讀入源碼時(shí)， 替換關(guān)鍵字符串為后門代碼即可通過(guò)AST抽象代碼樹(shù)替換在緩沖區(qū)直接匹配替換修改AST

7、替換是最佳方案， 更加隱蔽，魯棒性也更強(qiáng)， 我相信Ken爺當(dāng)年也是這 么做的Sulogin compiler-backdoor修改編譯器讀取源碼的緩沖區(qū)邏輯當(dāng)讀入sulogin時(shí)檢索匹配密碼比較 部分，然后進(jìn)行替換字符串但這樣的后門依舊有問(wèn)題，如果編 譯器開(kāi)源，依舊很明顯，我們需要 編譯器自己將后門”隱藏”起來(lái)Sulogin compiler-backdoor編譯器在編譯自身時(shí)能否加入后門編譯輸出結(jié)果依舊需要有編譯自身插入后門的能力編譯器后門的自我復(fù)制Sulogin compiler-backdoorSulogin compiler-backdoorEditVievvActionsDevice

8、sDevelopWindowHelp11; VSTO,d mo 杜會(huì)涇亙投亡M os oft .O ffice.Too ls .Commos.s 4 .0. 9 MlC os oft .O ffice Too ls .Commos.s 4 .O. 網(wǎng) M cms oft.Office Tools Wo,d 0 4 .0 .u, 山9 M, i rosoh .Office Took W ord v4 0 U 奾l w o d Document 11 d IIi;,:, WodDocument 11 v 5to虳 l 程 do”回 愷蕊batv o偉改日期吧大小2010/3/19 3:112010

9、/1/10 22:092010/3/19 3:112010/1/10 22:092018/4/9 10:02D WodDocume nt11 dII manif e”2018/4/9 10:022018/4/9 10:022018/4/9 10:022018/4凡 12:30應(yīng)盧罩 XML 涇文 件 應(yīng)污屜 XML 莊 文 件 應(yīng)用聲屜MAN I FEST 文件VSTO DeploymeMin ooft Word . Wind叩 s 批處理，32 KB20 KB169 KB.422 KB11KB11 KB6 KB12 KBl kB。以下足曇體的而至結(jié)果 。1您 的件 和1 單沈頤 l A 聿

10、R 七Deniable Backdoors in Other Way在我重寫KTH后門時(shí)與朋友討論，對(duì)方提 起偉大的vxjump組織中著名黑客nEINEI在2011年的研究，通過(guò)感染coff-obj文件， 在鏈接器的作用下寄宿新產(chǎn)生的可執(zhí)行文 件/files/virus_analysis/infect_coff-obj.txt但實(shí)現(xiàn)條件較為苛刻目標(biāo)環(huán)境有編譯器且能搜索 到obj編譯過(guò)程不完整工程項(xiàng)目重 編譯直接通過(guò)link編譯鏈接器代碼Deniable Backdoors in Other WayIs Compiler Hack Still a Threat?Is Compiler Hack

11、Still a Threat?2009年Sophos披露了一個(gè)名為 Induc的病毒，感染該病毒后會(huì)在 當(dāng)前計(jì)算機(jī)尋找Delphi，并將自身 注入到干凈源碼中自動(dòng)打包生成可 執(zhí)行程序感染后的程序被插入了惡意 代碼段Is Compiler Hack Still a Threat?Is Compiler Hack Still a Threat?2015年，通過(guò)非官方渠道下載的 Xcode遭到污染，編譯出的app被 注入第三方代碼，并向外聯(lián)主機(jī)發(fā) 送數(shù)據(jù)Is Compiler Hack Still a Threat?感染回顧：大量知名APP遭到感染，且有官方簽名，懷疑開(kāi)發(fā)環(huán)境污染 發(fā)現(xiàn)開(kāi)發(fā)人員xco

12、de路徑為Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/Library/Frameworks/CoreS ervices.framework官方xcode并沒(méi)有這樣的路徑和文件資源百度xcode的第三方下載，論壇的安裝包均為惡意植入CoreServices.framework版本 /XcodeGhostSource/XcodeGhostIs Compiler Hack Still a Threat?感染了XcodeGhost的應(yīng)用會(huì)收集一些基本信息，包括：時(shí)間，bundle id(包名)，應(yīng)用 名

13、稱，系統(tǒng)版本，語(yǔ)言，國(guó)家等。感染了XcodeGhost的應(yīng)用會(huì)根據(jù)服務(wù)器的命令調(diào)用OpenURL()函數(shù)或彈出對(duì)話框。Is Compiler Hack Still a Threat?http:/init.crash-http:/init.icloud-http:/init.icloud-Is Compiler Hack Still a Threat?配置文件：/Applications/Xcode.app/Contents/PlugIns/Xcode3Core.ideplugin/Contents/SharedSupport/Developer/Library/Xcode/Plug- ins/

14、CoreBuildTasks.xcplugin/Contents/Reso urces/Ld.xcspec增加編譯參數(shù) “-force_load”：$(PLATFORM_DEVELOPER_SDK_DIR)/Library/Frameworks/CoreServices.framework/Cor eServiceIs Compiler Hack Still a Threat?利用手法沒(méi)有KTH高明(無(wú)自舉,無(wú)源碼隱藏)但的確是二十年來(lái)公開(kāi)有考證影響面最大的 編譯器后門事件(保守估計(jì)影響用戶過(guò)億)具有中國(guó)特色，由于眾所周知的原因， Xcode官方渠道下載較慢，很多開(kāi)發(fā)人員選 擇非官方渠道下載迅

15、雷鏡像分發(fā)下載功能給該事件加了一把火Is Compiler Hack Still a Threat?9.12騰訊發(fā)現(xiàn) Bug9.14CNCERT發(fā)布預(yù)警9.17唐巧發(fā)微博 預(yù)警9.17阿里發(fā)布分 析報(bào)告9.18PANW發(fā)布 分析報(bào)告360發(fā)布感 染APP列表9.18病毒作者現(xiàn) 身9.19盤古發(fā)布專 殺9.19百度發(fā)現(xiàn) UnityGhost9.21蘋果發(fā)布公 告9.22Is Compiler Hack Still a Threat?Is Compiler Hack Still a Threat?Possible defence？“Fully Countering Trusting Trust t

16、hrough Diverse Double-Compiling (DDC) - Countering Trojan Horse attacks on Compilers”2009 PhD dissertation by David A. Wheeler George Mason University/trusting-trust/dissertation/wheeler-trusting-trust-ddc.pdfDiverse Double Compiling (DDC)目標(biāo)：對(duì)抗由惡意編譯器引發(fā)的信任攻擊如何做：保證編譯器源碼可以被測(cè)試保證在驗(yàn)證過(guò)程中能使用另一獨(dú)立編譯器Diverse Double Compiling (DDC)TCCSourceGCCSelf- regeneration test (Control)Should be identicalGCC (c. GCC, c.GCC)GCC (c. GCC, c.TCC)GCC (c. TCC)GCC (c. GCC)GCCSourceGCCSourceGCCSource