About Fuzzing

1. 1
from ZareGoto
uzzingF
Ashigirl96

2. 2
from ZareGoto
uzzingF
Ashigirl96
(入門)

3. 3
Self - Introduction

4. Handle Name: Ashigirl96 - あしがる 西村 礼恩
趣味: Twitter
専門: Network/Control System Security
言語: Python
好きなもの: Scapyとママの作ったオムライス

5. キャンプのきっかけ

6. もともとパソコンをあまり触ってなかったけど、
まっちゃ139（去年の1,2月)に興味行ったら、
セキュリティに興味持って、
応募用紙に名前書いたら、

7. もともとパソコンをあまり触ってなかったけど、
まっちゃ139（去年の1,2月)に興味行ったら、
セキュリティに興味持って、
応募用紙に名前書いたら、
受かりました。

8. いきなりですが…
8

9. Scapy is 何？
9

10. いず 何？
10

11. is 何？
Fuzzing
11

12. というほど、おおげさなものではありません…。
12

13. 13
と、言いたいですが…

14. 14
(☝ ՞ਊ ՞)☝
中二病君
自動車.....

15. 15
(☝ ՞ਊ ՞)☝
中二病君
http://policecar.nomaki.jp/1.jpg

16. 16
(☝ ՞ਊ ՞)☝
中二病君
http://home-bb.biz/wp-content/uploads/2013/07/c5cdaf66f8642101a3da8a60ec825ecf.jpg

17. 17
(☝ ՞ਊ ՞)☝
中二病君
工場.....

18. 18
(☝ ՞ਊ ՞)☝
中二病君
http://cdn-ak.f.st-hatena.com/images/fotolife/w/wami/20090219/20090219234336.jpg

19. 19
(☝ ՞ਊ ՞)☝
中二病君 http://tomtittot.asablo.jp/blog/img/2012/04/23/1f4451.jpg

20. 20
(☝ ՞ਊ ՞)☝
中二病君
リア充.....

21. 21
(☝ ՞ਊ ՞)☝
中二病君
http://yaplog.jp/cv/warabidani/img/138/earthmoon_p.jpg

22. 22
(☝ ՞ਊ ՞)☝
中二病君
http://yaplog.jp/cv/warabidani/img/138/earthmoon_p.jpg

23. 23
に繋がるかも…
不謹慎ですみまへん

24. 24
(o´・ω・｀)

25. 25
(ヾﾉ･ ･`)ﾅｲﾅｲ

26. Scapy とは、
26

27. 27
Scapy is a powerful interactive packet manipulation
program.
http://www.secdev.org/projects/scapy/にて

28. 28
Scapy is a powerful interactive packet manipulation
program.
It is able to forge or decode packets of a wide
number of protocols

29. 29
Scapy is a powerful interactive packet manipulation
program.
It is able to forge or decode packets of a wide
number of protocols
send them on the wire, capture
them, match requests and replies,
and much more.

30. 30
Scapy is a powerful interactive packet manipulation
program.
It is able to forge or decode packets of a wide
number of protocols
send them on the wire, capture
them, match requests and replies,
and much more.
andle most classical tasks like scannin
, probing, unit tests, attacks or networ
an replace hping, 85% of nmap, arpspo
ng, tcpdump, tethereal, p0f, etc.). It als
well at a lot of other specific tasks that m
an't handle, like sending invalid frame
r own 802.11 frames, combining techni
g+ARP cache poisoning, VOIP decoding

31. 31
平たくいえば、

32. 32
平たくいえば、簡易パケット生成モジュール in Python

33. 33
次に、

34. 制御システム とは、
34

35. 35
---- from kotobank.jp

36. 36
それは重要じゃない。

37. 37
？？？

38. 38
興味あるのは、制御システムのセキュリティ

39. 39
では、制御システムのセキュリティで有名なのは

40. 40
組織、システム自体のレイヤ、制御システムの業界、
それぞれの標準が提案されている

41. 41
組織、システム自体のレイヤ、制御システムの業界、
それぞれの標準が提案されている
IEC62443
注目されている

42. 42
IEC62443シリーズ統合化(しつつある)
WIB (nternational Instrument User’s Association)
!
ISCI (ISA Security Compliance Institut)
!
EDSA認証

43. 43
EDSA認証対象

44. 44
EDSA認証対象
制御システム向けの組み込み機器

45. 45
組み込み機器は、組み込みソフトウェアのプロセスの制御、監視を実行する

46. 46
EDSA認証は３つにカテゴリできる
ソフトウェア開発セキュリティ評価(SDSA)
機能セキュリティ評価(FSA)
通信ロバストネス試験(CRT)
Level1 Level2 Level3

47. 47
一旦ここまで…次に、

48. とは、
48
Fuzzing

49. 49
Fuzzingとは、意図的なデータ(Fuzz)をプログラムに
自動的に与えることで、クラッシュやバグを発見するプロセスのことです。

50. 50
つまり、脆弱性を見つけるプロセス。

51. 51
Fuzzデータはvictimによって変わります。

52. 52
For Example:
HTTPリクエスト --->----
Webサーバ(足軽画伯)
GET / HTTP/1.1
Host: www.hoge.jp
Host: www.hoge.jp
Host: www.hoge.jp
Host: www.hoge.jp
Host: www.hoge.jp

53. 53
For Example:
異常なコマンドライン

54. 54
For Example:
他にも、デバイスがプロトコル実装が正確に作動していて、
悪意のあるネットワークトラフィックにも対応できるか
というテストをしていきます。

55. なら、こんなことできるのではないか。
55

56. 次の３つを組み合わせてみました。
56

57. 57
・ターゲット: 制御システムで使うプロトコル

58. 58
・ターゲット: 制御システムで使うプロトコル
・何をするか: ファジングによる脆弱性発見

59. 59
・ターゲット: 制御システムで使うプロトコル
・何をするか: ファジングによる脆弱性発見
・ツール: Scapy

60. 60
今回使うプロトコル DNP3.0

61. 61
DNP3.0とは
Distributed Network Protocol
HMI/SCADA∼RTU間で使用されてる通信プロトコル
米国で多用

62. 62
DNP3.0とは
レイヤはこのように
なっています

63. 63
もっと…もっと詳しく

64. Application Layer
64

65. 65
Transport Function

66. 66
Data Link Layer

67. 67
それぞれのFieldをScapyを使い記述します

68. 68
難しい？

69. 69
うん、難しい

70. 70
っ Scapy Reference

71. 71

72. 72
興味ある人はここで調べてください☆

73. 73
95 FunctionCode = {!
96 0:"Confirm ",!
97 1:"Read ",!
98 2:"Write ",!
99 3:"Select ",!
100 4:"Operate ",!
101 5:"Dir operate ",!
102 6:"Dir operate – No resp ",!
103 7:"Freeze ",!
104 8:"Freeze – No resp ",!
105 9:"Freeze clear ",!
106 10:"Freeze clear – No resp ",!
107 11:"Freeze at time ",!
108 12:"Freeze at time – No resp ",!
109 13:"Cold restart ",!
110 14:"Warm restart ",!
111 15:"Initialize data ",!
112 16:"Initialize application ",!
113 17:"Start application ",!
114 18:"Stop application ",!
115 19:"Save configuration ",!
116 20:"Enable unsolicited ",!
!
（オレオレ）コードの一部①

74. 74
117 21:"Disable unsolicited ",!
118 22:"Assign class ",!
119 23:"Delay measurement ",!
120 24:"Record current time ",!
121 25:"Open file ",!
122 26:"Close file ",!
123 27:"Delete file ",!
124 28:"Get file information ",!
125 29:"Authenticate file ",!
126 30:"Abort file "!
127 }!
128 class DNP3QR(Packet):!
129 name = "DNP3.0 request"!
130 fields_desc = [!
131 #Application Header!
132 #Application Control!
133 XByteField('seq',0),!
134 BitField('uns',0),!
135 BitField('con',0),!
136 BitField('fin',0),!
137 BitField('fir',0),!
138 !
139 #Function Code!
140 ShortEnumField("type", 1, Funct
（オレオレ）コードの一部②

75. 75
DNP3.0プロトコルで使われるデータに合わせたファズデータを作る

76. 76
ここを意識しましょう
・整数オーバーフロー
・バッファオーバーフロー
・Off by one
・境界値未チェック
・異常フラグ
・サービス妨害攻撃
・リソース異常消費

77. 77
実は、まだ作ってる最中で…

78. 78
話飛びます。

79. 79
ちょっと前のインシデント

80. 80
Stuxnet

81. 81
の、(インシデント)概要。

82. 82
1.USBメモリやインターネットを通じて情報システムへの侵入

83. 83
2.システムの脆弱性を利用し、権限昇格、システム環境内部でウィルスの拡散実行

84. 84
3.バックドアを作成し、外部指令サーバ(C&Cサーバ）や
80番ポート(HTTP)を介し通信し、ウィルスの増強化

85. 85
4.組織内のネットワークに入り、制御システムへの侵入

86. 86
5.制御システム上にある装置に対する攻撃実行

87. 87
ヤバイ

88. 88
Function of Stuxnet

89. 89
1. 500 KBのプログラムで4000弱の機能を持っている

90. 90
2. 複雑/オブジェクト指向

91. 91
3. 複数のゼロデイを利用

92. 92
4. 2つのrootkitを使用し、制御システムをターゲットとしている

93. 93
5. Windowsに詳しい、制御システムであるWinCC/Step7についても詳しい

94. 94
Stuxnetが出るまでの前後

95. 95
汎用製品や標準プロトコルで構成されている情報システム
(以前)

96. 96
(以前)
制御システムのオープン化(汎用製品や標準プロトコルの 利用)

97. 97
(以前)
端末の9割以上がWindows系を利用している

98. 98
How to 対策

99. 99
How to 対策
個別攻撃手法の回避法

100. 100
システム設計時におけるネットワーク設計

101. 101
システム設計時におけるネットワーク設計
『外部との隔離や接続ルートの明確』

102. 102
外部との通信における接続先のフィルタリング

103. 103
外部との通信における接続先のフィルタリング
&&
外部との接続点における通信の監視、制御機構

104. 104
どうですか？
中二病妄想力の足しになりましたでしょうか？

105. 105
参考資料(Scapy):
http://fossies.org/dox/scapy-2.2.0/
http://www.secdev.org/projects/scapy/doc/build_dissect.html
http://www.secdev.org/projects/scapy/doc/advanced_usage.html

106. 106
参考資料(DNP3.0):
http://www.dnp.org/default.aspx
http://www.softech.co.jp/mm_120404_firm.htm
http://www05.abb.com/global/scot/scot229.nsf/veritydisplay/
65b4a3780db3b3f3c2256e68003dffe6/$file/rec523_dnpprotmanend.pdf

107. 107
参考資料(Fuzzing):
http://www.ipa.go.jp/security/vuln/fuzzing.html
http://lifeofpentester.blogspot.jp/2013/10/
fuzz-testing-web-applications-with-burp.html

108. 108
ご清聴ありがとうございました。

109. 109
話しそれますが…

110. 110
演習しましょう！

111. 111
(実践的に)Scapy使ってみよう...!!

112. 112
こんなことしたい。

113. 113
1.ettercapでARPｷｬｯｼｭﾎﾟｲｿﾞﾆﾝｸﾞします
2.ettercapでキャプチャしたパケットをScapyで解析します
3.解析したのをPythonでごみょごみょして、ソースコードを取り出します。
4.それを某サイトに送ります。

114. 114
使うもの、ettercap、Scapy

115. 115
192.168.1.17(Backtrack5)
192.168.1.4(Mac)
某サイト

116. 116
192.168.1.17(Backtrack5)
192.168.1.4(Mac)
ARPキャッシュポイズニング
某サイト

117. 117
192.168.1.17(Backtrack5)
192.168.1.4(Mac)
ARPキャッシュポイズニング
某サイト
ソースコード投げる

118. 118
192.168.1.17(Backtrack5)
192.168.1.4(Mac)
ARPキャッシュポイズニング
某サイト
ソースコード投げる
BT5が奪取(?)

119. 119
192.168.1.17(Backtrack5)
192.168.1.4(Mac)
ARPキャッシュポイズニング
某サイト
ソースコード投げる
解析...

120. 120
Ettercapは、スイッチドLAN環境のための多
目的なスニファ／インターセプター／ロガー
です。多くのプロトコル(暗号化されたもの
も含む)のアクティブもしくはパッシブな分
析をサポートし、ネットワークとホスト分
析のための多くの機能を含んでいます。

121. 121
Ettercapは、スイッチドLAN環境のための多
目的なスニファ／インターセプター／ロガー
です。多くのプロトコル(暗号化されたもの
も含む)のアクティブもしくはパッシブな分
析をサポートし、ネットワークとホスト分
析のための多くの機能を含んでいます。
長い

122. 122
Ettercapは、スイッチドLAN環境のための多
目的なスニファ／インターセプター／ロガー
です。多くのプロトコル(暗号化されたもの
も含む)のアクティブもしくはパッシブな分
析をサポートし、ネットワークとホスト分
析のための多くの機能を含んでいます。
長い
長い

123. 123
Ettercapは、スイッチドLAN環境のための多
目的なスニファ／インターセプター／ロガー
です。多くのプロトコル(暗号化されたもの
も含む)のアクティブもしくはパッシブな分
析をサポートし、ネットワークとホスト分
析のための多くの機能を含んでいます。
長い
長い
長い

124. 124
Ettercapは、スイッチドLAN環境のための多
目的なスニファ／インターセプター／ロガー
です。多くのプロトコル(暗号化されたもの
も含む)のアクティブもしくはパッシブな分
析をサポートし、ネットワークとホスト分
析のための多くの機能を含んでいます。
中二病の
おもちゃ

125. 125
http://sourceforge.jp/projects/sfnet_ettercap/
ここからダウンロード出来ます！

126. 126
1.ettercapでARPｷｬｯｼｭﾎﾟｲｿﾞﾆﾝｸﾞします
2.ettercapでキャプチャしたパケットをScapyで解析します
3.解析したのをPythonでごみょごみょして、ソースコードを取り出します。
4.それを某サイトに送ります。
5.正答します。

127. 127

128. 128
%ettercap -T -M arp -i eth1 /192.168.1.4/ /192.168.1.1/ -w 01.pcap
コマンド

129. 129
%ettercap -T -M arp -i eth1 /192.168.1.4/ /192.168.1.1/ -w 01.pcap
コマンド
use text only CUI

130. 130
%ettercap -T -M arp -i eth1 /192.168.1.4/ /192.168.1.1/ -w 01.pcap
コマンド
METHOD:ARGS perform a mitm attack
in this case , ARP cache poisoning

131. 131
%ettercap -T -M arp -i eth1 /192.168.1.4/ /192.168.1.1/ -w 01.pcap
コマンド
-i, –iface use this network interface
in this case, use 'eth1'

132. 132
%ettercap -T -M arp -i eth1 /192.168.1.4/ /192.168.1.1/ -w 01.pcap
コマンド
Attacker and victim

133. 133
%ettercap -T -M arp -i eth1 /192.168.1.4/ /192.168.1.1/ -w 01.pcap
コマンド
-w, –write write sniffed data to pcapfile

134. 134
とあるサイトで…192.168.1.4(victim)が…

135. 135
1.ettercapでARPｷｬｯｼｭﾎﾟｲｿﾞﾆﾝｸﾞします
2.ettercapでキャプチャしたパケットをScapyで解析します
3.解析したのをPythonでごみょごみょして、ソースコードを取り出します。
4.それを某サイトに送ります。

136. 136
図1.

137. 137
図2.

138. 138
図3.

139. 139
図4.

140. 140
演習…終わりです…

141. 141
ありがとうございました！！