|
http://www.hackerschool.org/HS_Boards/zboard.php?AllArticle=true&no=23440 [복사]
bitblaze의 TEMU에 tracecap.so 란 플러그인이 있습니다
TEMU가 실행되면서 tracecap.so 를 런타임에 로드해서 taint analysis를 하는데요
TEMU가 다른 소스는 공개되어있는데 tracecap은 컴파일된 바이너리 형태로만 제공하더라구요
tracecap 파일에서 호출하는 외부 함수 (여기서는 TEMU 메인 모듈의 함수) 대신에 제가 만든 함수를
호출하게 하고 싶습니다.
(예)
(원래) tracecap.so --> taintcheck() 호출
(수정 후) tracecap.so --> taintcheck_modified() 호출
문제는 소스가 공개되어있다면 코드를 수정하면되지만 바이너리만 있다는 것이죠..
위의 예의 경우
taintcheck()
{
taintcheck_modified();
}
이렇게 하면 되겠지만 이 방식은 제외하고싶습니다.
그래서 제가 생각해본 다른 방법들은
1. ELF 파일을 파싱해서 함수 import table 부분을 manually 수정
(ELF 포맷 에디터 같은게 있어서 그 부분만 딱 바꿀수 있으면 좋겠는데 아직 그런프로그램있는지 모르겠습니다)
2. 함수 후킹?
(만약 가능하더라도 어느 부분을 후킹해야하는지 모르겠네요;;;)
3. 디컴파일 후 다시 컴파일?
(IDA 디컴파일러에서 함수단위로 말고 아예 바이너리 전체를 디컴파일해서 코드파일 하나를 output으로 내는
기능이 있나요 혹시?)
혹시 다른 의견이나 조언들 있다면 부탁드립니다... ㅠㅠ |
Hit : 6754 Date : 2012/03/23 06:14
|
22015, 
1/1101 
jaewonm
