论文分享 | TEEzz: Fuzzing Trusted Applications


今天要分享的论文是《TEEzz: Fuzzing Trusted Applications on COTS Android Devices》,第一作者是来自EPFL的Marcel Busch,该论文发表在Oakland’23。这篇文章主要介绍了一种新的fuzzing框架TEEzz,它使得用户能够在商用Android设备上对可信应用进行fuzzing。

1 Introduction

可信应用程序(TA)是一种运行在可信执行环境(TEE)中的程序,它们通常负责处理一些涉及隐私或者机密的数据,例如用户的指纹信息。如果TA存在漏洞,那么攻击者就1可以借此获取用户的隐私,甚至控制用户的系统。

但是,对于自动化测试TA的研究一直进展缓慢。一方面在于对于测试者而言,TEE是一个黑盒,测试者很难了解TA在TEE中运行时的具体状态;另一方面在于,在现实情况下,一般应用在调用TA时,需要遵循特定的协议。这些原因使得自动化测试难以推进。

针对TA进行fuzzing,目前有两种方案,一种是rehosting,另一种是 on-device。 rehosting 通过模拟器的方式来获取TEE的内部状态, on-device 则是直接在设备上进行fuzz。这两种方案目前都存在一些问题。rehosting 要求开发者对TEE的软件和支持TEE所需的硬件进行逆向工程,并将它在主机端上重新实现,这些基于逆向的实现可能与真实情况存在一定的偏差。on-device 的方案虽然能解决 rehosting 的一些问题,但是它无法访问TEE的内部状态,所以相当于黑盒fuzz,效率较低。

为了解决这些问题,作者提出了TEEzz。这是一款 on-device 的fuzz框架,作者在AFL++的基础上,针对TA fuzzing的场景,为其增加了type-aware以及state-aware的能力,使其能够高效地对TEE中运行的TA进行fuzzing。

2 Challenge and Solution

为了解决传统TA fuzzing低效率的问题,作者需要解决两个难点:Type-Awareness和State-Awareness。

2.1 Type-Awareness

基于数据的类型进行变异,可以大幅度减少非法输入的产生。例如,如果能事先知道一个输入的数据类型为枚举类,那么我们就可以只在特定范围内进行变异,从而减少输入的搜索空间。但是,过去能够自动识别输入类型的fuzzer通常需要源码才能进行,这使得它们并不适用于TA fuzzing的场景。因为在TA fuzzing能获取到的只有二进制。

为了解决这个问题,TEEzz通过结合动态二进制指令(DBI)、多层级接口信息记录和语义推导技术,自动推导出低级接口和高级API之间的对应关系,从而能够恢复出TA所需的数据类型。

2.2 State-Awareness

许多应用程序和库具有内部有限状态机,换句话说,不同的函数之间存在依赖关系。例如,一个应用在将数据写入文件之前,它必须先打开文件,获取文件对应的描述。但是,在过去的研究中提出的具备state-aware能力的fuzzer,要么需要源代码,要么需要日志信息,这两种方法都很难在具备TEE的设备上实现。

为了解决黑盒fuzz无法识别TA状态的问题,作者首先利用DBI,对CA和TA之间的交互进行记录。然后,TEEzz会通过分析这些交互以及交互中对应的数据,从而获取数据依赖。数据依赖可以被用来构建TA的API模型,也就是该TA的不同API之间的调用顺序,以及这些API对应的需要输入的数据。通过这种方式,TEEzz能够以合适方式去fuzz TA,从而尽可能多地触发TA在不同状态下的行为。

3 System Overview

TEEzz的整体框架如下图所示:


论文分享 | TEEzz: Fuzzing Trusted Applications

1.第一步,TEEzz会识别CAlib,CAlib提供了一系列接口,以便CA开发者与安装在TEE内的TA进行交互的。TEEzz通过获取它们的接口,从而创建CA来与TA进行交互。2.接下来,TEEz会为这些CAlib接口自动生成DBII记录器和type-aware mutator。3.在这之后,TEEz利用这些记录器,在多个层面对CA与TA之间的交互进行捕获。在语义丰富的高级层面和语义较为模糊的低级层面上,记录器会拥有相同的交互记录。这些记录使得TEEzz能够获知底层级上输入对应的语义信息。4.此外,基于整个交互序列的记录,TEEzz还会试图推断出交互之间的数据依赖性,从而能够基于状态与TA进行交互,提高生成的种子的质量。5.最后,TEEzz会使用这些收集到的种子和先前生成的CA对COTS设备上的TA进行模糊测试。

4 Evaluation

通过在真实设备上进行测试,TEEzz在QSEE和TC上总共发现了40多个独特的crash,以及一个CVE。除此之外,TEEzz还在OPTEE上运行的TA中发现了13个以前从未发现的错误。

原文始发于微信公众号(COMPASS Lab):论文分享 | TEEzz: Fuzzing Trusted Applications

版权声明:admin 发表于 2022年11月18日 上午10:31。
转载请注明:论文分享 | TEEzz: Fuzzing Trusted Applications | CTF导航

相关文章

暂无评论

暂无评论...