Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

サイボウズ・ラボユース成果報告会

4,669 views

Published on

サイボウズ・ラボユース成果報告会の発表資料です。
拡張可能なパケット解析ライブラリの開発、と言うテーマでLibPGENについて発表しました。

Published in: Engineering
  • Be the first to comment

サイボウズ・ラボユース成果報告会

  1. 1. 拡張可能な パケット解析ライブラリ開発 サイボウズ・ラボユース第5期 成果報告会 @slankdev   3/30/16 サイボウズ・ラボユース成果報告会 1
  2. 2. 自己紹介 oTwitter:  @slankdev oGitHub:    slankdev oサイボウズ・ラボユース第5期生 (第6期もお世話になります) oセキュリティ・キャンプ 2015  修了生 oパケットとかネットワークとか好き 3/30/16 サイボウズ・ラボユース成果報告会 2
  3. 3. サイボウズ・ラボユース 第5期 o内容 ◦ 開発テーマ:  C/C++によるソフトウェア開発 ◦ メンター: 光成 滋生さん oLibPGENを開発 ◦ 読み方: りぶぴーじぇん ◦ パケット解析のライブラリ ◦ https://github.com/slankdev/libpgen 3/30/16 サイボウズ・ラボユース成果報告会 3
  4. 4. 注意 oここでの”解析”は少し広義な意味として使います。 3/30/16 サイボウズ・ラボユース成果報告会 4
  5. 5. Agenda oLibPGEN ◦ LibPGENとは、その設計は ◦ 簡単に使う ◦ 拡張性 o少しがっつり使う ◦ 新たなプロトコルに関するパケット解析 o今後の展開と総まとめ 3/30/16 サイボウズ・ラボユース成果報告会 5
  6. 6. Agenda oLibPGEN ◦ LibPGENとは、その設計は ◦ 簡単に使う ◦ 拡張性 o少しがっつり使う ◦ 新たなプロトコルに関するパケット解析 o今後の展開と総まとめ 3/30/16 サイボウズ・ラボユース成果報告会 6
  7. 7. LibPGENとは oC++11で開発しているパケット解析のライブラリ oLinux,  BSDで動作 oパケット解析についてのあらゆる作業をサポート (後述) o拡張がしやすい設計 ◦ 新たなプロトコルに対しての拡張が容易 (後述) 3/30/16 サイボウズ・ラボユース成果報告会 7
  8. 8. LibPGENの設計 o 大きく分けて三つのコンポーネントに分かれてます 3/30/16 サイボウズ・ラボユース成果報告会 8 • IO • データをネットワークインターフェースやpcap,  pcapngファイルに 入出力するクラス群 • pgen::net_stream,  pgen::pcap_stream …etc • Core • パケットやアドレスのバイナリを解析したり、変更したりする部分 • pgen::ethernet,   pgen::ip,  …etc • Module • Core,  IOを使って書かれたモジュール群 • めんどくさい作業をまとめてやってくれるクラスや関数群 • 説明は省略
  9. 9. LibPGEN:  IO o幾つかのインターフェースを触れる ◦ ネットワークインターフェース ◦ pcapファイル ◦ pcapngファイル も完全対応ではない (最新版は知りません) oストリームクラスとして実装 oOSごとの実装の違いを吸収 3/30/16 サイボウズ・ラボユース成果報告会 9
  10. 10. OSのごとの実装の違いを吸収 oread(2)の挙動がBSDとLinuxで違う ◦ Linux:    1回のreadでパケット1つ読む ◦ BSD    :      1回のreadでバッファに溜まっている全てのパケットを読む oそもそもファイルディスクリプタの開き方が全然ちがう ◦ Linux:  PF_PACKETアドレスファミリでsocket(2) ◦ BSD    :  BPF(/dev/bpfN)を直接open(2) oまだ理解仕切れていない。。。 3/30/16 サイボウズ・ラボユース成果報告会 10 この説明は割愛しますが、 面白いので興味があれば懇親会で
  11. 11. 3/30/16 サイボウズ・ラボユース成果報告会 11 BSDとLinuxの違いの 説明はないので雰囲気で 感じ取ってください
  12. 12. PF_PACKETでのreadの挙動 3/30/16 サイボウズ・ラボユース成果報告会 12 User  Land Kernel  Land Net  IF Packet Packet Packet Packet copy
  13. 13. BPFでのreadの挙動 3/30/16 サイボウズ・ラボユース成果報告会 13 User  Land Kernel  Land Net  IF PacketBPF  Hdr PacketBPF  Hdr PacketBPF  Hdr copy PacketBPF  Hdr PacketBPF  Hdr PacketBPF  Hdr
  14. 14. LibPGENでの実装 (BSD用) 3/30/16 サイボウズ・ラボユース成果報告会 14 User  Land Sub  User  Land Kernel  Land Net  IF PacketBPF  Hdr PacketBPF  Hdr PacketBPF  Hdr PacketBPF  Hdr PacketBPF  Hdr PacketBPF  Hdr copy copy Packet Special  Thanks,  KOZOS  Sakai
  15. 15. 3/30/16 サイボウズ・ラボユース成果報告会 15 感じ取る時間終わりです
  16. 16. LibPGEN:  Core o現在このライブラリで一番大事なところ oパケット解析などをサポートするクラス群 oパケットのバイナリ生成、既存のバイナリを解析、 既存のバイナリを編集などのことができる 3/30/16 サイボウズ・ラボユース成果報告会 16
  17. 17. LibPGEN:  Core o使用用途 ◦ ゼロからパケットのバイナリを 組み立て ◦ 既存のバイナリを変更 ◦ 長さを変えたり途中に追加な ど柔軟に oパケットクラスとして実装 3/30/16 サイボウズ・ラボユース成果報告会 17 Packet  Class ffff ffff ffff 703e aceb 27a5 0806 0001 0800 0604 0001 703e aceb 27a5 0000 0000 0000 0000 0000 0ad2 7c7e 5b2a 0100 2d1a ac19 1bff ffff 0000 0000 0000 aaaa aaaa aaaa 703e aceb 27a5 0806 0001 0800 0604 0002 703e aceb 27a5 0000 0000 0000 0000 0000 0ad2 7c7e 5b2a 0100 2d1a ac19 1bff ffff 0000 0000 0000 4920 6c6f 7665 2070 6163 6b65 742e
  18. 18. Agenda oLibPGEN ◦ LibPGENとは、その設計は ◦ 簡単に使う ◦ 拡張性 o少しがっつり使う ◦ 新たなプロトコルに関するパケット解析 o今後の展開と総まとめ 3/30/16 サイボウズ・ラボユース成果報告会 18
  19. 19. 簡単に使う o ARPing の実装 ◦ ARPリクエストでpingの動作を実装 ◦ 使うクラス、関数など ◦ pgen::arpクラス,  ARPパケットを実装したクラス ◦ pgen::module::detect関数,   パケットの種類をフィルタリング ◦ pgen::net_streamクラス,   NETIFへの送受信 ◦ Usage:    ./arping interface  targetIP ◦ LibPGENを使うことが目的 3/30/16 サイボウズ・ラボユース成果報告会 19
  20. 20. ARPing プログラム oソースコードはこんな感じ 3/30/16 サイボウズ・ラボユース成果報告会 20
  21. 21. ARPing プログラム oソースコードはこんな感じ oちゃんと分割して説明します 3/30/16 サイボウズ・ラボユース成果報告会 21
  22. 22. ARPing プログラム 3/30/16 サイボウズ・ラボユース成果報告会 22 ここはどうでもいい
  23. 23. ARPing プログラム 3/30/16 サイボウズ・ラボユース成果報告会 23 ここが重要!
  24. 24. ARPing プログラム 3/30/16 サイボウズ・ラボユース成果報告会 24 少し重要
  25. 25. ARPing プログラム 3/30/16 サイボウズ・ラボユース成果報告会 25 どうでry)
  26. 26. ARPing プログラム o使ってみるとこんな感じ 3/30/16 サイボウズ・ラボユース成果報告会 26
  27. 27. ARPing プログラム o使ってみるとこんな感じ oプロトコルの知識があれば、ネットワークプログラミングの 多少複雑なことを知らなくていい 3/30/16 サイボウズ・ラボユース成果報告会 27
  28. 28. ARPing プログラム o使ってみるとこんな感じ oプロトコルの知識があれば、ネットワークプログラミングの 多少複雑なことを知らなくていい oこれだけでは他のライブラリとかモジュールでも簡単 3/30/16 サイボウズ・ラボユース成果報告会 28
  29. 29. Agenda oLibPGEN ◦ LibPGENとは、その設計は ◦ 簡単に使う ◦ 拡張性 o少しがっつり使う ◦ 新たなプロトコルに関するパケット解析 o今後の展開と総まとめ 3/30/16 サイボウズ・ラボユース成果報告会 29
  30. 30. LibPGEN:  拡張性 oライブラリが既知のプロトコルに関する解析は簡単 oライブラリが未知なプロトコルに対してどうするか oWiresharkとかは簡単にdissectorが追加できる oじゃあそうしよう 3/30/16 サイボウズ・ラボユース成果報告会 30
  31. 31. 拡張性 o新たなプロトコルに関するパケットクラスの実装が簡単 oちょっとだけパケットクラスの構造が分かってればOK 3/30/16 サイボウズ・ラボユース成果報告会 31
  32. 32. 拡張性 oパケットクラス ◦ プロトコルごとのヘッダのインスタンスを持つ (has-­‐a) oヘッダクラス ◦ ヘッダの要素を持つ (UDPヘッダならsrc_portとかdst_portとか) 3/30/16 サイボウズ・ラボユース成果報告会 32 Packet  Class Header  Class Header  Class Header  Element Header  Element Header  Element Header  Class
  33. 33. 新プロトコルのパケットクラスの実装 o拡張するユーザは新たな ヘッダクラスを実装 oそのヘッダのバイナリ解析 のコードのみを追加 3/30/16 サイボウズ・ラボユース成果報告会 33 新 Packet  Class 既存のHeader  Class 新 Header  Class 既存のHeader  Class
  34. 34. パケットクラスの継承関係 3/30/16 サイボウズ・ラボユース成果報告会 34 pgen::packet pgen::ethernet pgen::ipv6pgen::tcppgen::udp pgen::icmp pgen::ippgen::arp
  35. 35. パケットクラスの継承関係 3/30/16 サイボウズ・ラボユース成果報告会 35 pgen::packet pgen::ethernet pgen::ipv6pgen::tcppgen::udp pgen::icmp pgen::ippgen::arp pgen::XXX
  36. 36. パケットクラスのメンバ関数 o基底パケットクラスのメンバ関数 (一部) ◦ uint8_t*  raw() 生パケットのバイナリのポインタ ◦ size_t length() パケットの長さを返す ◦ compile() バイナリを生成raw()に反映する ◦ analyze(buffer,  bufferlen) バイナリを解析 o拡張する開発者はこれらの実装を意識しなくていい 3/30/16 サイボウズ・ラボユース成果報告会 36
  37. 37. ヘッダクラスの継承関係 3/30/16 サイボウズ・ラボユース成果報告会 37 pgen::header pgen::ethernet _header pgen::ipv6_headerpgen::tcp_headerpgen::udp_header pgen::icmp_header pgen::ip_headerpgen::arp_header
  38. 38. ヘッダクラスの継承関係 3/30/16 サイボウズ・ラボユース成果報告会 38 pgen::header pgen::ethernet _header pgen::ipv6_headerpgen::tcp_headerpgen::udp_header pgen::icmp_header pgen::ip_headerpgen::arp_header pgen::XXX_header
  39. 39. ヘッダクラスのメンバ関数 oヘッダクラスのメンバ関数 (一部) ◦ virtual  write(buffer,  bufferlen)  =  0    ヘッダのバイナリを書き込む ◦ virtual  read(buffer,  bufferlen)  =  0      ヘッダのバイナリを読み込む ◦ virtual  size_t length()  =  0 ヘッダの長さを返す 3/30/16 サイボウズ・ラボユース成果報告会 39
  40. 40. ヘッダクラスとパケットクラスの関係 oパケットの バイナリ解析を行う場合 oanalyze()は 各ヘッダクラス::read()を 上から呼び出して解析 oバイナリ生成も同じ構造 3/30/16 サイボウズ・ラボユース成果報告会 40 Ether IP UDP Trailer ethヘッダ::read() ipヘッダ::read() udpヘッダ::read() udpパケット ::analyze()
  41. 41. ヘッダクラスとパケットクラスの関係 oパケットの バイナリ解析を行う場合 oanalyze()は 各ヘッダクラス::read()を 上から呼び出して解析 oバイナリ生成も同じ構造 3/30/16 サイボウズ・ラボユース成果報告会 41 Ether IP UDP Trailer ethヘッダ::read() ipヘッダ::read() udpヘッダ::read() udpパケット ::analyze()
  42. 42. 新プロトコルでパケットクラスの実装 3/30/16 サイボウズ・ラボユース成果報告会 42 Ether IP UDP Trailer ethヘッダ::read() ipヘッダ::read() udpヘッダ::read() 新プロトコル パケット ::analyze() 新 プロト コル 新プロトコル ::read() 開発者はヘッダクラスの 実装のみを気に掛ければいい
  43. 43. UDPパケットクラスの構造 3/30/16 サイボウズ・ラボユース成果報告会 43
  44. 44. UDPパケットクラスの構造 3/30/16 サイボウズ・ラボユース成果報告会 44 決まり文句だけの 関数で1~4行程度
  45. 45. UDPパケットクラスの構造 3/30/16 サイボウズ・ラボユース成果報告会 45 決まり文句だけの 関数で1~4行程度 ここのみを新たに 実装すればいい
  46. 46. UDPヘッダクラスの構造 3/30/16 サイボウズ・ラボユース成果報告会 46
  47. 47. UDPヘッダクラスの構造 3/30/16 サイボウズ・ラボユース成果報告会 47 UDPヘッダの要素 ヘッダ長の 最大値と最小値
  48. 48. UDPヘッダクラスの構造 3/30/16 サイボウズ・ラボユース成果報告会 48 決まり文句だけの 関数で1~4行程度 バイナリ解析など のコードでここだけ しっかり実装 UDPはチェックサム があるので、それ用の関数
  49. 49. まとめると oパケットクラスの実装はほとんど以下の作業のみ ◦ XXX_header::read(const void*  buf,  size_t buflen); ◦ XXX_header::write(void*  buf,  size_t buflen); o新たなプロトコルのパケットクラスを実装するときも同じ oクラス設計である程度開発者を束縛して、 必要な仕事のみに専念できるように設計 3/30/16 サイボウズ・ラボユース成果報告会 49
  50. 50. Agenda oLibPGEN ◦ LibPGENとは、その設計は ◦ 簡単に使う ◦ 拡張性 o少しがっつり使う ◦ 新たなプロトコルに関するパケット解析 o今後の展開と総まとめ 3/30/16 サイボウズ・ラボユース成果報告会 50
  51. 51. 少しがっつり使う o新たなプロトコルのパケット解析 oプロトコルを自己定義 oその通信を解析できるパケットクラスを実装する 3/30/16 サイボウズ・ラボユース成果報告会 51
  52. 52. 少しがっつり使う 3/30/16 サイボウズ・ラボユース成果報告会 52
  53. 53. ズンドコプロトコル oズンドコプロトコル over  UDP o勝手にいろいろ改変してる oズン、ズン、ズン、ズン、ドコ の順に受け取ると”キヨシ“を を返すプロトコル 3/30/16 サイボウズ・ラボユース成果報告会 53 client                                                                                server ズン ズン ズン ズン ドコ キヨシ
  54. 54. ズンドコプロトコル oサーバは ズンズンズンズンドコの順に通信を受け付けたら 最後のドコを送ったホストにキヨシを返信 oそれ以外は受け取ったメッセージをエコーする oヘッダフィールドは以下とする 3/30/16 サイボウズ・ラボユース成果報告会 54 type  (16bit) msglen (16bit) message  (msglen byte) type   0  :  ズン 1  :  ドコ 2  :  キヨシ
  55. 55. 内容 oデモ用にこのプロトコルで通信するサーバを用意 oサーバ側で別のプロセスで”キヨシ”を当てた端末を表示 3/30/16 サイボウズ・ラボユース成果報告会 55 Client                                                                                                                                                                    Server ズン、ドコ、ズン、ドコ ここで観測
  56. 56. 内容 oあらかじめパケットをキャプチャ,  pcapngで保存 oそのパケットを解析して、 キヨシを当てているホストを羅列する 3/30/16 サイボウズ・ラボユース成果報告会 56
  57. 57. 準備 opgen::zundokoパケットクラスの実装 ◦ 要するにpgen::zundoko_headerクラスの実装 oサーバクライアントの設計実装 (省略) o解析するスクリプトをLibPGENを使って作成 3/30/16 サイボウズ・ラボユース成果報告会 57
  58. 58. 準備 3/30/16 サイボウズ・ラボユース成果報告会 58 KIYOSHIを当てた端末を 表示するスクリプト
  59. 59. pgen::zundoko_headerクラス 3/30/16 サイボウズ・ラボユース成果報告会 59
  60. 60. pgen::zundokoパケットクラス 3/30/16 サイボウズ・ラボユース成果報告会 60
  61. 61. pgen::zundoko_header::read() 3/30/16 サイボウズ・ラボユース成果報告会 61 ←この辺にバグがありました。 ごめんなさい。
  62. 62. pgen::zundoko_header::write() 3/30/16 サイボウズ・ラボユース成果報告会 62
  63. 63. 実験中 3/30/16 サイボウズ・ラボユース成果報告会 63
  64. 64. 実験中 3/30/16 サイボウズ・ラボユース成果報告会 64
  65. 65. 実行結果 o以下の2つの端末がKIYOSHIを当てたらしい。 o本題はここじゃ無い 3/30/16 サイボウズ・ラボユース成果報告会 65
  66. 66. まとめ o新たなプロトコルの解析が簡単にできる oくだらない?  いや楽しい。 3/30/16 サイボウズ・ラボユース成果報告会 66
  67. 67. Agenda oLibPGEN ◦ LibPGENとは、その設計は ◦ 簡単に使う ◦ 拡張性 o少しがっつり使う ◦ 新たなプロトコルに関するパケット解析 o今後の展開と総まとめ 3/30/16 サイボウズ・ラボユース成果報告会 67
  68. 68. 今後の展開 o他にもパケットで遊ぶために必要な機能を検討中 ◦ 使う系 ◦ ARPテーブルの実装 ◦ TCPプロトコルスタックの実装 ← ◦ ルータの実装 ← 絶対この辺楽しい ◦ 様々なプロトコルのサポート ◦ より拡張しやすい設計 ◦ Winでも使えるように ◦ 高速にIOとか ◦ 同期、非同期、なにそれ 3/30/16 サイボウズ・ラボユース成果報告会 68
  69. 69. ラボユースまとめ oビシバシたくさん指摘し てくださるので学ぶこと が多い o鬼軍曹… 3/30/16 サイボウズ・ラボユース成果報告会 69
  70. 70. ラボユースまとめ o光成さんのコードレビュー、設計の考えが最も大きな収穫 o前にも増して無力さ痛感 ◦ コードを読む力 ◦ 英語力 ◦ エディタ力 ◦ スマートなコードを書く力 3/30/16 サイボウズ・ラボユース成果報告会 70
  71. 71. ラボユースまとめ oサイボウズ・ラボ社様のサポートで楽しく春休みを過ごすこ とができました o特にメンターとしてご指導をしてくださった光成さん、 ありがとうございました。 oセキュリティ・キャンプ講師陣、修了生の方にも意見やアド バイスをいただきました、ありがとうございます。 oGithub:  slankdev/libpgen 3/30/16 サイボウズ・ラボユース成果報告会 71
  72. 72. 3/30/16 サイボウズ・ラボユース成果報告会 72 aabb ccdd eeff 0011 2233 4455 0800 4500 2800 0001 0000 4006 b9a2 c0a8 b302 c0a8 6501 3039 3039 0000 0000 0000 0000 5001 2000 961c 0000 ありがとうございました

×