论文精炼：Device-agnostic Firmware Execution is Possible ACSAC ‘20

最新推荐文章于 2024-10-28 09:39:34 发布
最新推荐文章于 2024-10-28 09:39:34 发布
阅读量413 收藏 1
点赞数
分类专栏： 论文泛读 文章标签： 系统安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44229639/article/details/121124600
版权

Device-agnostic Firmware Execution is Possible: A Concolic Execution Approach for Peripheral Emulation

Abstract

  • Key insight:
    • 不将任何有关设备的特定信息编码到模拟器中。相反，Laelaps通过符号执行辅助的外围仿真来推断固件的预期行为并生成适当的输入以动态地引导具体的执行
  • Target:
    • 使Laelaps能够运行不同的固件，而无需对目标设备的先验知识。
  • Capability:
    • 在模拟器上应用了动态分析技术，并识别了自注入和现实世界的漏洞

Introduction

  • Dynamically analyzing embedded firmware
    • 它们要么是特别的、与实际设备紧密耦合的，要么依赖于抽象层(如Linux内核)。
    • 特别是，P2IM将外设返回的值限制为所有可能值的一个小子集。这从根本上受到具体执行性质的限制
  • Methods
    • 利用符号执行和可满足性模理论(SMT)来推断来自外设的预期输入，并动态地将它们提供给被模拟的固件
  • Aim
    • 在不依赖实际设备的情况下执行非linux固件
  • Design

    • 结合了具体执行和符号执行

    • 具体执行在访问未实现的外设时会卡住，然后切换到符号执行，以找到正确的输入，从而引导QEMU找到与实际执行最可能相同的路径

    • challenges
      • 有效探索项目路径
      • 外围设备显示了许多不同的特性，需要特殊处理
    • main contributions
      • 对基于ARM Cortex-M的嵌入式微控制器系统模型进行了抽象，并提取了系统仿真中所缺少的关键部分。
      • 通过设计一个符号化引导的模拟器，填补了全系统设备仿真的缺失部分，该模拟器能够运行各种固件的ARM mcu与以前未知的外设
      • 将其与boofuzz、angr和PANDA等高级动态分析工具结合使用

Background

  • ARM Cortex-M Controller
    • difference
      • Cortex-M 处理器不支持 MMU.
        • 这意味着应用程序代码和操作系统代码混合在一个平面内存地址空间中。
  • Firmware Execution
    • 4 阶段
      • 1 设备启动
      • 2 底层系统启动
      • 3 RTOS 初始化
      • 4 任务的执行
    • 固件的执行高度依赖底层硬件，而这种硬件的不确定性已经成为开发通用模拟器的最大障碍
    • 固件执行中有多个有效的执行路径
    • 一条错误选择的道路仍然可以通向成功
      仿真进行分析。
  • DSE
    • Laelaps的核心
      • 外围仿真的Concolic执行方法。
      • 提出了一套特定于外围设备的搜索启发式算法来缓解路径爆炸

Overview

  • Function Gap
    • QEMU只支持** 2块TI Stellaris评估板和1块ARM SSE-200子系统设备**
    • 对于不受支持的设备，QEMU只模拟ARM定义的核心外围设备
    • Gap1
      • 当处理器访问一个未实现的外围寄存器时，QEMU不知道如何响应
    • Gap2
      • QEMU缺乏未实现外围设备的逻辑，因此不知道什么时候发送中断请求
  • Motivating Observations
    • 大量的外设访问不会显著影响固件的执行
    • 如果影响固件执行对执行路径有重要影响=> 正确建模
  • Overview

    • 基于具体的执行来设计系统，但是使用符号执行来运行小的代码片段来为未实现的外围输入计算合适的值。

    • Laelaps只需要设备的基本信息就可以初始化执行环境。

    • QEMU翻译和模拟固件的每个指令，直到有一个读操作到一个未实现的内存。目标是预测一个适当的反应

    • 外围写操作被忽略，因为它们不会以任何方式影响程序状态.

    在这里插入图片描述

    • 在符号执行期间，每一个未实现的外围设备
      访问被符号化(S2)，产生一个符号列表。每次
      当遇到分支时，运行路径选择算法(S3/4)
      选择最有希望的路径(见§4.3)。

    • E1: Synchronous exception (e.g., software interrupt)
      E2: Exception return
      E3: Long loop (e.g., memcpy)
      E4: Reaching the limit of executed branches

      • E1和E2终止符号执行
      • E3可能会消耗大量时间，执行应该转移到具体引擎

    • 当符号执行终止时，计算将执行导航到当前路径(S5)的符号列表的值，并将解决的值提供给QEMU

    • Laelaps通过在QEMU和符号执行传递之间不断切换来推动固件执行

    • 提供一个平台，使固件执行到适合进一步动态分析的状态.

Laelaps system design

  • State Transfer
    • 每当检测到一个未实现的外设读取时，程序状态就会转移到符号执行引擎；
    • 同步处理器上下文(通用寄存器、系统寄存器)
  • Symbolic Execution

    • BASIC RULE #1

    • 符号执行引擎由未实现的外围读取操作调用

    • 即使外设地址已经被提前访问=>仍然分配一个新的符号

      • 因为外设内存的易失性

    • Results: 不同的地址得到不同的符号)和时间(不同的时间得到不同的符号.

    • BASIC RULE #2

    • 执行应该始终坚持原始的执行模式

    • 对于每个需要上下文切换的显式指令，将立即终止符号执行，并将执行转移到QEMU

    • BASIC RULE #3

    • QEMU在重放缓冲的符号值时不应该采取任何非对称异常。

    • 基本规则是QEMU不接受任何例外情况，直到所有已解符号被使用。

    • Unrecognized Instructions

    • 不影响程序控制的未被识别的指令流

      • 用NOP指令替换它们

    • 对于直接更改控制流的未识别指令

      • 更新通用寄存器=>终止符号执行并切换到QEMU

    • Long Loop Detection

    • 如果检测到一个长循环，该执行将被强制转移到QEMU

      • Laelaps根据最近执行的基本块维护执行跟踪，并找到最长的重复周期
      • threshold ==5 => 符号执行终止
  • CPSA
    • challenging :

      • 一个希望的路径是通过固件的内部检查并避免中断固件执行的路径

      • 缺乏关于数据结构和控制流的高级语义信息
        在这里插入图片描述

      • Two parameters

        • Context_Depth指定符号引擎在调用约束求解器并返回到QEMU之前必须积累的分支数。
        • Forward_Depth是符号引擎可以从一个分支推进的最大基本块数。当Context_Depth设置为2时，每个符号执行传递决定两个分支的结果(从0x424到0x454和0x800到0x838)。
        • Forward_Depth设置为3时，符号引擎将为每个分支探索多达三个未来步骤。当在一个步骤中遇到一个新的分支时，将探索这两个分支。

      • 解释性示例

      • NXP的SDK 略

      • 启发式1

      • 上下文保存。Laelaps通过在QEMU和符号执行传递之间不断切换来引导固件执行向前移动。

      • Inspired by speculative symbolic execution（S2PF: Speculative Symbolic PathFinder. ACM SIGSOFT Software Engineering）

      • Context_Depth可以作为一个在保真度和性能之间进行权衡的可调参数。

      • 启发式2

      • 指定一个参数Forward_Depth，这是符号引擎可以从一个分支推进的最大步骤数

      • 在Forward_Depth步骤中，一个分支可能会导致多个路径。如果所有这些路径都有一个无限的循环，那么这个分支将被丢弃。

      • 为了识别一个无限循环，符号引擎维护所探索路径的执行轨迹和状态。然后，它会比较每个路径中的执行状态。如果任意两种状态相同，这意味着处理器寄存器在不同的时间不会发生变化，将相应的路径视为一个无限循环。

      • 可能会错误地过滤掉一条似乎是无限循环的合法路径，例如：

        • 一段代码可能会不断地查询RAM中的标志，它只由中断处理程序更改。

      • 启发式3

      • 确定新路径的优先级

      • 启发式4

      • 倒回路径

  • 插入中断
    • 如何支持固件的顺序执行=>即使固件访问未实现的外设 gap1
    • 除了生成可供固件获取的数据外，外设还可以通过中断机制在数据准备就绪时通知固件 => gap2
  • 限制和缓解
    • 数据输入：
      • 动态分析中，这些输入通道被拦截并输入手动生成的测试用例
    • 缺乏整体分析：
      • 在符号引擎中保留多达Context_Depth的分支来保存上下文信息。
      • Context_Depth不能设置得太大，因为它会显著减慢性能。fan

Implementation

  • 开发了基于QEMU和angr的Laelaps原型，它们分别是具体的执行引擎和符号执行引擎
  • 为了方便QEMU和Angr之间的状态传输，集成了Avatar，一个无缝协调的Python框架，包括多个动态分析平台，包括QEMU、真实设备、angr、Panda等。工具继承了Avatar的状态传输接口，增强了Avatar处理Cortex-M设备的能力，实现了QEMU和angr之间的内存同步机制，在angr之上开发了拟议的CPSA，并向固件分析师导出了一个易于使用的Python接口。
2T1
关注
专栏目录
（补发）多模态文献阅读周记（一）——2020/06/08-2020/06/12
hust_zhengT的博客
08-14 1018
Week Literature Reading Report 2020/06/08-2020/06/12 week 1 Paper 1 Tensor Fusion Network for Multimodal Sentiment Analysis Issues that need resolving Multimodal fusion and representation Key insight This paper use three-fold Cartesian product to fusion t
论文学习笔记：PoseFix: Model-agnostic General Human Pose Refinement Network
wangyc1208的博客
08-20 2699
论文：https://arxiv.org/abs/1812.03595 代码：https://github.com/mks0601/PoseFix_RELEASE ——————————————————————————————————————— 目标： 图片中的多人姿态估计： 本篇论文主要工作是利用一个人体姿势优化网络，从输入图像和姿势中对人体姿态进行优化。 大概的效果如下图： ————————...
Pytorch使用To方法编写代码在不同设备(CUDA/CPU)上兼容(device-agnostic)
weixin_42436099的博客
09-26 276
以前版本的PyTorch编写device-agnostic代码非常困难（即，在不修改代码的情况下在CUDA可以使用或者只能使用CPU的设备上运行）。 device-agnostic的概念: 即设备无关，可以理解为无论什么设备都可以运行您编写的代码。(PS:个人理解，我没有在网上找到专业解释) PyTorch 0.4.0使代码兼容 PyTorch 0.4.0通过两种方法使代码兼容变得非常容易： 张量的device属性为所有张量提供了torch.device设备。（注意:get_device仅适用于CUDA张量
物联网固件安全缺陷检测研究进展 论文笔记
菊花的老窝
02-04 953
归纳典型物联网固件实现缺陷类型、产生机理评价静态分析、符号执行、模糊测试、程序验证、基于机器学习的方法。
LA6276 - Key Insight vector 数组计数
Jingqi@Mr.B的ACM博客
05-02 1168
题目地址：LA6276 - Key Insight
GNN-CS224W: 17 Scaling Up GNNs
u012492756的博客
03-20 517
Graphs in model application applications Recommender systems: Amazon, YouTube 等 要预测用户对item(商品、视频)是否感兴趣 (link prediction) 还要预测用户、item的类型(node classification) 数据量级很大 Social networks Facebook, Twitter, Instagram等 要做 Friend recommendation (link level task) Us
论文阅读笔记--Clustered Federated Learning:Model-Agnostic Distributed Multitask Optimization Under Privacy
Shawn2134123的博客
03-16 3345
Introduction 传统的Parameter Server（P-S）架构的联邦学习系统尝试训练出一个模型，让它能适用于每一个client的数据分布，这暗含了一个假设，模型的最优解θ∗\theta^*θ∗同时是所有client的最优解，各个client的模型是全等的（congruent）。也就是作者提到的Assumption 1: 显然这个条件不是任何时候都可以得到满足的，作者列举了两种例子： 1）模型fθf_{\theta}fθ​表达能力不够强，无法同时拟合所有client的数据集； 2）各个客户端
论文解读VLM: Task-agnostic Video-Language Model Pre-training for Video Understanding
qq_41932160的博客
03-04 1160
简介 vlm是一个task-agnostic multi- modal pre-training approach。无特定任务的多模态预训练方法。用于视频理解。主要贡献如下： In summary, the main contributions of this paper are as follows: (1) we propose to pre-train a task- agnostic encoder for video understanding; (2) we introduce masked m
论文阅读：Model-Agnostic Meta-Learning for Fast Adaptation of Deep Networks
王小波的博客
07-18 1781
基本概念
LaBSE : Language-agnostic BERT Sentence Embedding
lishaojun412的博客
05-12 1305
摘要： 使用多语言的BERT生产109种语言无关的句子向量： 1，MLM，TLM结合的预训练BERT 2，使用translation ranking task fine-tune 双向的encoder 112个语种的双语挖掘准确率超过83.7% 介绍 1，MLM的输出句子向量效果不好 2，SentenceBERT （双encoder fine-tune 单语BERT）在STS（语义相似度）任务中取得了很好的成绩 多语言embedding策略： 双语：LASER —— 需要大量平行语料 双语 + inpu
论文阅读：Shuffle-Then-Assemble: Learning Object-Agnostic Visual Relationship Features
Kivee的博客
09-16 745
Shuffle-Then-Assemble 文章   Paper认为标记triplet的cost是很大的，而且人标记的relation有很强的的object的依赖性，就是某些relation对某些object-object会有bias。   shuffle-then-assemble的目的是希望训练出一个比较object agnostic的CNN，这样就能缓解relation对object的...
【Pytorch小知识】Pytorch使用To方法编写代码在不同设备(CUDA/CPU)上兼容(device-agnostic)
小苏打的学习博客
06-13 7224
以前版本的PyTorch编写device-agnostic代码非常困难（即，在不修改代码的情况下在CUDA可以使用或者只能使用CPU的设备上运行）。 device-agnostic的概念 即设备无关，可以理解为无论什么设备都可以运行您编写的代码。(PS:个人理解，我没有在网上找到专业解释) PyTorch 0.4.0使代码兼容 PyTorch 0.4.0通过两种方法使代码兼容变得非常容易： 张...
2019 CCF 推荐 会议 列表
CS_Conferences的博客
02-15 5203
CCF推荐会议对计算机领域论文进行评价的模式被国内很多高校和科研机构采纳，不排除也有部分人并不看好。因为其有利于鼓励科研工作者向本学科的高级区域投稿，所以CCF推荐会议目录是国内评价计算机领域会议水平的主流标准。 CCF推荐会议概况 CCF推荐会议分为A、B、C三类，会议论文指“Full paper”或“Regular paper”（正式发表的长文），对于会议上其他形式发表的论文如Short paper、Demo paper、Technical Brief、Summary以及作为伴随会议...
Linux系统安全配置
qq_24442273的博客
10-28 1027
【代码】Linux系统安全配置。
VB程序实例-图像的打印.zip
11-03
VB程序实例-图像的打印.zip
VB程序实例-字形窗口.zip
最新发布
11-03
VB程序实例-字形窗口.zip
VB程序实例36_动态控制_增减控件.zip
11-03
VB程序实例，可供参考学习使用，希望对你有所帮助
技术资料分享CC2530非常好的技术资料.zip
11-03
技术资料分享CC2530非常好的技术资料.zip
minilm: deep self-attention distillation for task-agnostic compression of pr
01-24
minilm是一种基于深度自注意力蒸馏的任务无关压缩模型。它采用自注意力机制来捕捉输入序列中的长期依赖关系，从而能够在不丢失重要信息的情况下将模型压缩到更小的规模。这种压缩技术对于处理大规模数据和提高模型...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值