[논문]바이너리 정적 분석 기반 Out-of-Bounds Read 취약점 유형 탐지 연구

유동민; 김문회; 오희국

doi:10.13089/jkiisc.2021.31.4.687

[국내논문] 바이너리 정적 분석 기반 Out-of-Bounds Read 취약점 유형 탐지 연구
A Out-of-Bounds Read Vulnerability Detection Method Based on Binary Static Analysis 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.31 no.4, 2021년, pp.687 - 699

유동민 (한양대학교 컴퓨터공학과 바이오인공지능융합전공) , 김문회 (한양대학교 컴퓨터공학과) , 오희국 (한양대학교 컴퓨터공학과)

초록
AI-Helper

프로그램에서 취약점이 발생하면 그에 대한 정보가 문서화되어 공개된다. 그러나 일부 취약점의 경우 발생한 원인과 그 소스코드를 공개하지 않는다. 이러한 정보가 없는 상황에서 취약점을 찾기 위해서는 바이너리 수준에서 코드를 분석해야 한다. 본 논문에서는 Out-of-bounds Read 취약점 유형을 바이너리 수준에서 찾는 것을 목표로 한다. 바이너리에서 취약점을 탐지하는 기존의 연구는 주로 동적 분석을 이용한 도구로 발표되었다. 동적 분석의 경우 프로그램 실행 정보를 바탕으로 취약점을 정확하게 탐지할 수 있지만, 모든 실행 경로를 탐지하지 못할 가능성이 있다. 모든 프로그램 경로를 분석하기 위해서는 정적 분석을 사용해야 한다. 기존의 정적 도구의 경우 소스코드 기반의 도구들이며, 바이너리에 수준의 정적 도구는 찾기 어렵다. 본 논문에서는 바이너리 정적 분석을 통해 취약점을 탐지하며, 메모리 구조를 모델링하는 방법으로 Heap, Stack, Global 영역의 취약점을 탐지한다. 실험 결과 기존의 탐지도구인 BAP_toolkit과 비교하였을 때 탐지 정확도 및 분석 시간에서 의미 있는 결과를 얻었다.

Abstract ▼ AI-Helper

When a vulnerability occurs in a program, it is documented and published through CVE. However, some vulnerabilities do not disclose the details of the vulnerability and in many cases the source code is not published. In the absence of such information, in order to find a vulnerability, you must find the vulnerability at the binary level. This paper aims to find out-of-bounds read vulnerability that occur very frequently among vulnerability. In this paper, we design a memory area using memory access information appearing in binary code. Out-of-bounds Read vulnerability is detected through the designed memory structure. The proposed tool showed better in code coverage and detection efficiency than the existing tools.

주제어

표/그림 (19)

표 Table 1. The CWE Top 5
그림 Fig. 1. Missing buffer boundary information
그림 Fig. 2. Detection code provided by BAP
표 Table 2. Comparison of memory tools
그림 Fig. 3. Variable address collection pattern
그림 Fig. 4. Stack Memory Layout Recovering
그림 Fig. 5. Patterns of buffers at source address
그림 Fig. 6. Two patterns for accessing buffers on the Stack
그림 Fig. 7. Adjust the Stack buffer size
그림 Fig. 8. Find size information in malloc
그림 Fig. 9. Global address in binary code
그림 Fig. 10. Find size information in dereference
그림 Fig. 11. Function Parameter
그림 Fig. 12. Function Return
그림 Fig. 13. Out-of-bounds Read
그림 Fig. 14. Buffer Under-Read Detection Method
그림 Fig. 15. Buffer Over-Read Detection Method
표 Table 3. CWE-125 Vulnerability types
표 Table 4. Summary of comparison for the proposed approach vulnerability detection in Juliet test suite.

AI 본문요약
AI-Helper

문제 정의

기존의 OOB를 탐지하는 바이너리 정적도구는 찾기 어려우며, 동적도구의 경우에도 Stack영역과 모든 코드커버리지를 만족하지 않는 경우가 존재한다. 본 논문에서는 기존에 연구되지 않았던 바이너리 정적 분석을 이용하여 OOB 취약점을 찾는 자동화도구를 개발하였다.
본 논문에서는 바이너리 정적 분석을 이용하여 Heap영역뿐만 아니라 Stack 영역에서 Out-ofbounds 취약점을 찾는 것을 목표로 한다.
탐지 전략 본 논문의 목적은 Heap 영역뿐만 아니라 Stack 영역에서 Out-of-bounds Read 취약점을 탐지하는 것을 목표로 한다. 취약점 탐지의 순서는 다음과 같다.

제안 방법

본 논문에서는 memcpy, memmove, strncpy 등 함수 심볼 정보를 이용하여 취약점을 탐지한다. 해당 함수를 호출할 때 발생하는 호출 규약을 확인하여 해당 함수의 source 주소와 size값을 확인한다.
본 논문에서는 memcpy, stncpy와 같은 일부 취약한 함수의 정보를 이용하여 Out-of-bounds Read를 탐지한다. 이를 위해서는 Stack, Heap 메모리에서 버퍼 영역을 가리키고 있는 주소의 경곗값 즉 크기를 식별해야 한다.
위 도구들 중에서 IDA, Ghidra, Radare2의 경우는 취약점 탐지모듈을 제공하지 않으며, BAP 와 Angr는 취약점을 탐지하기 위한 내부 모듈을 오픈소스로 제공하고 있다. 본 논문에서는 바이너리 패턴을 분석하기 용이한 BAP를 기반으로 정적 탐지도구를 개발하였다.
본 논문에서는 이기종의 아키텍처에도 적용할 수 있는 중간 언어 기반의 분석기술을 고려한다. 중간 언 어 기반의 분석기술을 사용하는 대표적인 도구는 IDA, Angr, Radare2, Ghidra, BAP와 같은 도구들이 존재하며, 이와 같은 바이너리 분석 도구는 각자의 중간언어 표현인 REIL(IDA), VEX(Angr), ESLR(Radare2), PCode(Ghidra) BIL(BAP)으로 변환한 후 분석을 하는 단계를 거친다.
와 같이 다양한 형태로 발생할 수 있는 취약점의 종류로 이루어져 있다. 본 논문이 제안한 도구는 BAP_toolkit과 마찬가지로 취약점을 탐지할 때 memcpy, memmove 와 같은 일부 위험한 함수를 식별하여 취약점을 탐지한다. 현재 제안한 도구는 memcpy, memmove의 케이스만 탐지하고 있지만 오탐을 확인하기 위해 취약점 탐지는 위 케이스 모두 섞어 탐지하였다.
또한 기존의 동적 분석도구의 경우 Heap 영역을 기반으로 한 도구이며 Stack 영역은 탐지하지 않는다. 이를 보완하기 위해 본 논문에서는 바이너리 정적 분석을 이용하여 Heap영역뿐만 아니라 Stack영역의 취약점을 찾는 방법을 제안하였다.
해당 문제를 해결하기 위해서 본 논문은 바이너리에서 메모리 접근 시에 발생하는 패턴을 식별한 뒤 코드의 주변 정보를 이용하여 변수의 Base 주소와 크기 값을 가지고 있는 Stack 구조를 복구한다. 이를 통해서 OOB 취약점이 발생했을 때 주소와 크기를 비교하는 것으로 취약점을 탐지한다. 위와 같은 방법을 통해 Heap영역뿐 만 아니라 Stack, Global영역을 탐지할 수 있다.
바이너리에서는 컴파일 과정에서 버퍼의 경곗값 정보가 누락되기 때문이다. 해당 문제를 해결하기 위해서 본 논문은 바이너리에서 메모리 접근 시에 발생하는 패턴을 식별한 뒤 코드의 주변 정보를 이용하여 변수의 Base 주소와 크기 값을 가지고 있는 Stack 구조를 복구한다. 이를 통해서 OOB 취약점이 발생했을 때 주소와 크기를 비교하는 것으로 취약점을 탐지한다.

대상 데이터

총 2038개의 실행파일 중에서 memcpy, memmove 관련 실행 파일 704개만 나타낸 표이며, 이외에 경우 모두 오탐이 없었다. BAP_toolkit의 경우 전체 취약점 중에서 malloc 을 사용한 39개의 샘플에 대해서만 탐지하였으며, Heap영역을 제외한 Stack영역에서의 취약점은 탐지하지 못하였다. 특히 Buffer Underread의 취약점은 전혀 탐지하지 못하였다.
은 BAP_toolkit과 본 논문이 제안한 도구의 비교 결과이다. 총 2038개의 실행파일 중에서 memcpy, memmove 관련 실행 파일 704개만 나타낸 표이며, 이외에 경우 모두 오탐이 없었다. BAP_toolkit의 경우 전체 취약점 중에서 malloc 을 사용한 39개의 샘플에 대해서만 탐지하였으며, Heap영역을 제외한 Stack영역에서의 취약점은 탐지하지 못하였다.
본 논문이 제안한 도구는 BAP_toolkit과 마찬가지로 취약점을 탐지할 때 memcpy, memmove 와 같은 일부 위험한 함수를 식별하여 취약점을 탐지한다. 현재 제안한 도구는 memcpy, memmove의 케이스만 탐지하고 있지만 오탐을 확인하기 위해 취약점 탐지는 위 케이스 모두 섞어 탐지하였다.

성능/효과

Bap_toolkit에서는 기호실행을 사용한 방법으로 프로그램 실행 과정을 에뮬레이션하기 때문에 많은 분석 시간이 소요되었다. 그러나 본 논문의 도구는 정적 분석만을 사용하였으며, Stack구조를 복구하기 위한 일부 연산 작업만 필요하기 때문에 2038개의 샘플을 동일한 환경에서 구동하였을 때 Bap_toolkit의 분석 시간은 10시간 58분이며, 제안된 도구의 분석시간은 3시간 06분으로 기존의 도구보다 더욱 효율적으로 분석하였다.
기존의 Out-of-bounds Read를 탐지하기 도구 는 동적 분석을 이용한 탐지 방식이 주를 이루었다. 동적분석의 경우 프로그램 실행 과정에서 모든 코드를 커버하지 못할 수 있으며, 프로그램의 크기가 커질수록 분석시간과 코드커버리지에서 효율적이지 않을 수 있다.
기존의 도구와 제안한 도구를 비교한 결과 제안한 도구가 Heap영역뿐만 아니라 Stack 영역, Global 영역을 고려하여 탐지 커버리지를 높였으며, 기존의 기호실행 도구보다 탐지 효율에서도 의미 있는 결과를 얻었다. 앞으로 도구를 추가로 개선하였을 때 더욱 긍정적인 결과가 기대된다.
본 논문에서 제안한 도구의 경우 Stack 구조를 복구하는 방법으로 Stack에 있는 버퍼의 크기를 예측할 수 있기 때문에 Stack영역에서 발생하는 취약점을 탐지할 수 있었다. 더욱이malloc의 True Positive에서 확인할 수 있듯이, Heap영역에서 또한 본 논문이 제안한 도구가 더 높은 탐지율을 보였다. 이는 memcpy와 같은 취약한 함수에서 복사한 크기를 할당받을 때 strlen과 같은 버퍼의 크기로 받아오는 경우가 존재하는데 이 경우 stack의 크기를 모르면 탐지할 수 없기 때문에 제안한 도구가 BAP_toolkit보다 Heap영역에서도 더 높은 탐지를 하였다.
기존의 Out-of-bounds Read를 탐지하기 도구 는 동적 분석을 이용한 탐지 방식이 주를 이루었다. 동적분석의 경우 프로그램 실행 과정에서 모든 코드를 커버하지 못할 수 있으며, 프로그램의 크기가 커질수록 분석시간과 코드커버리지에서 효율적이지 않을 수 있다. 또한 기존의 동적 분석도구의 경우 Heap 영역을 기반으로 한 도구이며 Stack 영역은 탐지하지 않는다.
동적분석의 경우 프로그램 실행 과정에서 모든 코드를 커버하지 못할 수 있으며, 프로그램의 크기가 커질수록 분석시간과 코드커버리지에서 효율적이지 않을 수 있다. 또한 기존의 동적 분석도구의 경우 Heap 영역을 기반으로 한 도구이며 Stack 영역은 탐지하지 않는다. 이를 보완하기 위해 본 논문에서는 바이너리 정적 분석을 이용하여 Heap영역뿐만 아니라 Stack영역의 취약점을 찾는 방법을 제안하였다.
본 논문에서 제안한 도구의 경우 Stack 구조를 복구하는 방법으로 Stack에 있는 버퍼의 크기를 예측할 수 있기 때문에 Stack영역에서 발생하는 취약점을 탐지할 수 있었다. 더욱이malloc의 True Positive에서 확인할 수 있듯이, Heap영역에서 또한 본 논문이 제안한 도구가 더 높은 탐지율을 보였다.
더욱이malloc의 True Positive에서 확인할 수 있듯이, Heap영역에서 또한 본 논문이 제안한 도구가 더 높은 탐지율을 보였다. 이는 memcpy와 같은 취약한 함수에서 복사한 크기를 할당받을 때 strlen과 같은 버퍼의 크기로 받아오는 경우가 존재하는데 이 경우 stack의 크기를 모르면 탐지할 수 없기 때문에 제안한 도구가 BAP_toolkit보다 Heap영역에서도 더 높은 탐지를 하였다.

후속연구

향후 연구로는 현재 Out-of-bounds Read만을 고려하고 있지만 Write까지 범위를 넓힐 수 있다. 또한 현재도구는 특정함수 심볼을 이용한 탐지 방식으로 제한적으로 취약점을 탐지하고 있지만, 일반적인 메모리 접근 시에 발생하는 취약점을 분석하고 탐지하는 것도 향후 과제이다.
기존의 도구와 제안한 도구를 비교한 결과 제안한 도구가 Heap영역뿐만 아니라 Stack 영역, Global 영역을 고려하여 탐지 커버리지를 높였으며, 기존의 기호실행 도구보다 탐지 효율에서도 의미 있는 결과를 얻었다. 앞으로 도구를 추가로 개선하였을 때 더욱 긍정적인 결과가 기대된다.
향후 연구로는 현재 Out-of-bounds Read만을 고려하고 있지만 Write까지 범위를 넓힐 수 있다. 또한 현재도구는 특정함수 심볼을 이용한 탐지 방식으로 제한적으로 취약점을 탐지하고 있지만, 일반적인 메모리 접근 시에 발생하는 취약점을 분석하고 탐지하는 것도 향후 과제이다.

참고문헌 (31)

Common Weakness Enumeration, "CWE Ranking" https://cwe.mitre.org/top25/archive/2020/2020_cwe_top25.html. 2021-04-30.
K. Serebryany, D. Bruening, A. Potapenko, and D. Vyukov, "Addresssanitizer: A fast address sanity checker." in USENIX Annual Technical Conference, pp.309-318, 2012.
S. Nagarakatte, J. Zhao, M. M. Martin, and S. Zdancewic, "Softbound: Highly compatible and complete spatial memory safety for c," ACM Sigplan Notices, vol. 44, no. 6, pp. 245-258, 2009.

상세보기
N. Nethercote and J. Seward, "Valgrind: a framework for heavyweight dynamic binary instrumentation," in ACM Sigplan notices, vol. 42, no. 6. ACM, pp.89-100, 2007.

상세보기
S. Nagarakatte, J. Zhao, M. M. Martin, and S. Zdancewic, "Cets: compiler enforced temporal safety for c," in ACM Sigplan Notices, vol. 45, no. 8. ACM, pp.31-40, 2010.

상세보기
cwe_checker github repo, "cwe checker" https://github.com/fkie-cad/cwe_checker, 2021-07-19.
American fuzzy lop, "American fuzzylop" http://lcamtuf.coredump.cx/afl/.", 2021-04-30.
C. Lemieux, R. Padhye, K. Sen, and D. Song, "Perffuzz: automatically generating pathological inputs," in Proceedings of the 27th ACM SIGSOFT International Symposium on Software Testing and Analysis. ACM, pp. 254-265, 2018.
C. Lemieux and K. Sen, "Fairfuzz: A targeted mutation strategy for increasing greybox fuzz testing coverage," in Proceedings of the 33rd ACM/IEEE International Conference on Automated Software Engineering. ACM, pp. 475-485, 2018.
M. Bohme, V.-T. Pham, M.-D. Nguyen, and A. Roychoudhury, "Directed greybox fuzzing," in Proceedings of the 2017 ACM SIGSAC Conference on Computer and Communications Security. ACM, pp. 2329-2344, 2017.
M. Bohme, V.-T. Pham, and A. Roychoudhury, "Coverage-based greybox fuzzing as markov chain," in Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security. ACM, pp. 1032-1043, 2016.
bap-toolkit github repo, "BAP Toolkit" https://github.com/BinaryAnalysisPlatform/bap-toolkit-manager, 2021-04-30
BRUMLEY, David, et al, "BAP: A binary analysis platform," International Conference on Computer Aided Verification. Springer, Berlin, Heidelberg, p. 463-469, 2011.
Binary Analysis Platform github repo, "Binary Analysis Platform" https://github.com/BinaryAnalysisPlatform/bap, 2021-04-30.
Address Sanitizer Comparison Of Memory Tools, "sanitizers" https://github.com/google/sanitizers/wiki/AddressSanitizerComparisonOfMemoryTools, 2021-04-30.
A. Filieri, C. S. Pasareanu, and W. Visser, "Reliability analysis in symbolic pathfinder," in 2013 35th International Conference on Software Engineering. IEEE, pp.622-631, 2013.
S. Person, G. Yang, N. Rungta, and S. Khurshid, "Directed incremental symbolic execution," in Acm Sigplan Notices, vol. 46, no. 6. ACM, pp. 504-515, 2011.

상세보기
J. H. Siddiqui and S. Khurshid, "Staged symbolic execution," in Proceedings of the 27th Annual ACM Symposium on Applied Computing. ACM, pp. 1339-1346, 2012.
Y. Li, Z. Su, L. Wang, and X. Li, "Steering symbolic execution to less traveled paths," in ACM SigPlan Notices, vol. 48, no. 10. ACM, pp. 19-32, 2013.

상세보기
T. Xie, N. Tillmann, J. de Halleux, and W. Schulte, "Fitness-guided path exploration in dynamic symbolic execution," in IEEE/IFIP International Conference on Dependable Systems & Networks. Citeseer, pp. 359-368, 2009.
B. C. Parrino, J. P. Galeotti, D. Garbervetsky, and M. F. Frias, "Tacoflow: optimizing sat program verification using dataflow analysis," Software & Systems Modeling, vol. 14, no. 1, pp. 45-63, 2015.

상세보기
C. Cadar, D. Dunbar, D. R. Engler et al., "Klee: Unassisted and automatic generation of high-coverage tests for complex systems programs." in USENIX Symposium on Operating Systems Design and Implementation, vol. 8, pp. 209-224, 2008.
W. Visser, C. S. Pasareanu, and S. Khurshid, "Test input generation with java pathfinder," ACM SIGSOFT Software Engineering Notes, vol. 29, no. 4, pp. 97-107, 2004.

상세보기
S. Anand, C. S. Pasareanu, and W. Visser, "Jpf-se: A symbolic execution extension to java pathfinder," in International Conference on Tools and Algorithms for the Construction and Analysis of Systems. Springer, pp. 134-138, 2007.
WANG, Haijun, et al, "Locating vulnerabilities in binaries via memory layout recovering," Proceedings of the 2019 27th ACM Joint Meeting on European Software Engineering Conference and Symposium on the Foundations of Software Engineering, pp. 718-728, 2019.
G. Balakrishnan and T. Reps, "Analyzing memory accesses in x86 executables," in International conference on compiler construction. Springer, pp. 5-23, 2004.
J. Lee, T. Avgerinos, and D. Brumley, "Tie: Principled reverse engineering of types in binary programs," 2011.
Z. Lin, X. Zhang, and D. Xu, "Automatic reverse engineering of data structures from binary execution," in Proceedings of the 11th Annual Information Security Symposium, pp. 1-1, 2010.
Slowinska, Asia, Traian Stancescu, and Herbert Bos, "Howard: A Dynamic Excavator for Reverse Engineering Data Structures," NDSS, 2011.
"Body armor for binaries: Preventing buffer overflows without recompilation." in USENIX Annual Technical Conference, pp. 125-137, 2012.
NIST, "Juliet Test Suite" https://samate.nist.gov/SARD/testsuite.php, 2021-04-30

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증