现代可抵赖后门研究

1、现代可抵赖后门研究Reflection on trusting trust1983年因UNIX的贡献Ken获得图灵奖Ken在图灵获奖感言中提出 “Reflections on Trusting Trust”https:/ganger/712.fall02/papers/p761-thompson.pdfWhat I am about to describe is one of many chicken and egg problems that arise when compilers are written in their own language.- STAGEII如何判断程序的安全性检

2、查源码然而程序也是从编译器而来的那就检查编译器的源码!可是编译器也是由另一个编译器编译而成那就检查hosting-compiler!- Eg. GCC compiles GCC所以兔子的洞到底有多深,到底检查鸡生蛋还是蛋生鸡?The problemSelf-reproducing program (Quine)More precisely stated, the problem is to write a source program that, when compiled and executed, will produce as output an exact copy of its so

3、urce.Self-reproducing program (Quine)Hello WorldnThis is an idealization of the code in the C compiler that interprets the character escape sequence. This is an amazing piece of code. It knows in a completely portable way what character code is compiled for a new line in any character set. The act o

4、f knowing then allows it to recompile itself, thus perpetuating the knowledge.Self-reproducing program (Quine)若上述字符转义过程的”教学”被用作编译一个新的编译器，其生成结果指 定为”标准编译器”，则这个编译器生成的程序将一直驻留这个”学会”的 知识，并移除后门代码。Self-reproducing program (Quine)Sulogin compiler-backdoor传闻Ken爷能随意进入世界上任何一台 UNIX系统1943年贝尔实验室的PDP-11安装了 UNIX供大家玩

5、耍，可Ken爷可以随意进 入其他人账户，高人分析后剔除了UNIX 的后门并重新安装，可Ken爷依旧如入 无人之境Sulogin compiler-backdoorLinux 在Recovery模式中会调起 sulogin进行root password验 证，通过后给予一个root shell如果验证过程被植入后门while (pwd) if (p = getpasswd(pwd-pw_passwd) = NULL) break;if (pwd-pw_passwd0 = 0 |strcmp(p, rr) = 0 |strcmp(crypt(p, pwd-pw_passwd), pwd-pw_pa

6、sswd) =0)sushell(pwd);mask_signal(SIGQUIT, SIG_IGN, &saved_sigquit); mask_signal(SIGTSTP, SIG_IGN, &saved_sigtstp); mask_signal(SIGINT, SIG_IGN, &saved_sigint); fprintf(stderr, _(Login incorrectnn);Sulogin compiler-backdoor这样的后门过于明显，不如让编 译器帮我们完成只需要在编译器读入源码时， 替换关键字符串为后门代码即可通过AST抽象代码树替换在缓冲区直接匹配替换修改AST

7、替换是最佳方案， 更加隐蔽，鲁棒性也更强， 我相信Ken爷当年也是这 么做的Sulogin compiler-backdoor修改编译器读取源码的缓冲区逻辑当读入sulogin时检索匹配密码比较 部分，然后进行替换字符串但这样的后门依旧有问题，如果编 译器开源，依旧很明显，我们需要 编译器自己将后门”隐藏”起来Sulogin compiler-backdoor编译器在编译自身时能否加入后门编译输出结果依旧需要有编译自身插入后门的能力编译器后门的自我复制Sulogin compiler-backdoorSulogin compiler-backdoorEditVievvActionsDevice

8、sDevelopWindowHelp11; VSTO,d mo 杜会泾亘投亡M os oft .O ffice.Too ls .Commos.s 4 .0. 9 MlC os oft .O ffice Too ls .Commos.s 4 .O. 网 M cms oft.Office Tools Wo,d 0 4 .0 .u, 山9 M, i rosoh .Office Took W ord v4 0 U 奾l w o d Document 11 d IIi;,:, WodDocument 11 v 5to虳 l 程 do”回 恺蕊batv o伟改日期吧大小2010/3/19 3:112010

9、/1/10 22:092010/3/19 3:112010/1/10 22:092018/4/9 10:02D WodDocume nt11 dII manif e”2018/4/9 10:022018/4/9 10:022018/4/9 10:022018/4凡 12:30应卢罩 XML 泾文 件 应污屉 XML 庄 文 件 应用声屉MAN I FEST 文件VSTO DeploymeMin ooft Word . Wind叩 s 批处理，32 KB20 KB169 KB.422 KB11KB11 KB6 KB12 KBl kB。以下足昙体的而至结果 。1您 的件 和1 单沈颐 l A 聿

10、R 七Deniable Backdoors in Other Way在我重写KTH后门时与朋友讨论，对方提 起伟大的vxjump组织中著名黑客nEINEI在2011年的研究，通过感染coff-obj文件， 在链接器的作用下寄宿新产生的可执行文 件/files/virus_analysis/infect_coff-obj.txt但实现条件较为苛刻目标环境有编译器且能搜索 到obj编译过程不完整工程项目重 编译直接通过link编译链接器代码Deniable Backdoors in Other WayIs Compiler Hack Still a Threat?Is Compiler Hack

11、Still a Threat?2009年Sophos披露了一个名为 Induc的病毒，感染该病毒后会在 当前计算机寻找Delphi，并将自身 注入到干净源码中自动打包生成可 执行程序感染后的程序被插入了恶意 代码段Is Compiler Hack Still a Threat?Is Compiler Hack Still a Threat?2015年，通过非官方渠道下载的 Xcode遭到污染，编译出的app被 注入第三方代码，并向外联主机发 送数据Is Compiler Hack Still a Threat?感染回顾：大量知名APP遭到感染，且有官方签名，怀疑开发环境污染 发现开发人员xco

12、de路径为Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/Library/Frameworks/CoreS ervices.framework官方xcode并没有这样的路径和文件资源百度xcode的第三方下载，论坛的安装包均为恶意植入CoreServices.framework版本 /XcodeGhostSource/XcodeGhostIs Compiler Hack Still a Threat?感染了XcodeGhost的应用会收集一些基本信息，包括：时间，bundle id(包名)，应用 名

13、称，系统版本，语言，国家等。感染了XcodeGhost的应用会根据服务器的命令调用OpenURL()函数或弹出对话框。Is Compiler Hack Still a Threat?http:/init.crash-http:/init.icloud-http:/init.icloud-Is Compiler Hack Still a Threat?配置文件：/Applications/Xcode.app/Contents/PlugIns/Xcode3Core.ideplugin/Contents/SharedSupport/Developer/Library/Xcode/Plug- ins/

14、CoreBuildTasks.xcplugin/Contents/Reso urces/Ld.xcspec增加编译参数 “-force_load”：$(PLATFORM_DEVELOPER_SDK_DIR)/Library/Frameworks/CoreServices.framework/Cor eServiceIs Compiler Hack Still a Threat?利用手法没有KTH高明(无自举,无源码隐藏)但的确是二十年来公开有考证影响面最大的 编译器后门事件(保守估计影响用户过亿)具有中国特色，由于众所周知的原因， Xcode官方渠道下载较慢，很多开发人员选 择非官方渠道下载迅

15、雷镜像分发下载功能给该事件加了一把火Is Compiler Hack Still a Threat?9.12腾讯发现 Bug9.14CNCERT发布预警9.17唐巧发微博 预警9.17阿里发布分 析报告9.18PANW发布 分析报告360发布感 染APP列表9.18病毒作者现 身9.19盘古发布专 杀9.19百度发现 UnityGhost9.21苹果发布公 告9.22Is Compiler Hack Still a Threat?Is Compiler Hack Still a Threat?Possible defence？“Fully Countering Trusting Trust t

16、hrough Diverse Double-Compiling (DDC) - Countering Trojan Horse attacks on Compilers”2009 PhD dissertation by David A. Wheeler George Mason University/trusting-trust/dissertation/wheeler-trusting-trust-ddc.pdfDiverse Double Compiling (DDC)目标：对抗由恶意编译器引发的信任攻击如何做：保证编译器源码可以被测试保证在验证过程中能使用另一独立编译器Diverse Double Compiling (DDC)TCCSourceGCCSelf- regeneration test (Control)Should be identicalGCC (c. GCC, c.GCC)GCC (c. GCC, c.TCC)GCC (c. TCC)GCC (c. GCC)GCCSourceGCCSourceGCCSource