正文

浅谈如何逆向分析WebAssembly二进制文件

admin
admin V管理员 /0 评论 /36 阅读
0319
此篇文章发布距今已超过1142天，您需要注意文章的内容或图片是否可用！

我们最近发表了一篇关于WebAssembly（Wasm）基本概念及其安全问题的博文。作为后续，本文将对Wasm应用程序的逆向工程方法进行介绍。考虑这样一个场景：当你遇到一个未知的Wasm应用程序，并想要弄清楚它是怎么构成的时候。你如何去分析它？目前关于这个主题几乎没有任何有用的文献，所以我们决定在一定程度上填补这个空白。

对于一个Wasm应用程序，我们可以用不同的方法进行分析。今天，我们将通过一个非常简单的应用程序来介绍Chrome内置的Wasm调试功能。随着我们的进展，一些相关概念将会被引入。

如果有按耐不住想要直接了解相关的技术内容的读者，可以先从附录部分获取HTML文件test.html，然后直接跳转到“调试我们的示例应用程序”部分。

 

为什么要分析W​​asm？

首先，为什么我们会对分析Wasm应用程序感兴趣呢？让我们先来回答这个问题，然后再深入研究实际的技术问题。

对于Forcepoint公司来说，我们对恶意软件开发者如何利用新兴技术和技巧非常感兴趣。每当出现新的威胁，比如一个新的勒索软件家族、一个物联网蠕虫或其他更不寻常的东西，安全研究人员都希望深入分析恶意代码的所有功能。当我们弄清楚一个恶意软件是如何工作的以及了解它的特性之后，我们可以通过编写签名来提供相应的保护。

这里有许多可用于分析传统恶意软件的工具，无论是经混淆过的JavaScript、恶意Flash对象、可移植可执行文件（PE）还是其他东西，总有一种行之有效的方法来分析这些威胁。

正如我们在本系列的第一篇文章中提到的那样，而Wasm的情况却有所不同。几乎没有任何关于如何分析Wasm应用程序的文献，大多数用于逆向工程的常用工具也都不适用于Wasm。因此，写这篇博文的一个目的也是试图为如何逆向分析Wasm二进制文件提供一些启发。

 

创建一个 “Hello World”Wasm示例应用程序

让我们从创建一个简单的Wasm应用程序开始，我们稍后将对其进行逆向分析。我们将在浏览器中运行该应用程序，并使用Chrome的开发人员工具对其进行逆向分析。

要在浏览器中运行Wasm应用程序，我们需要一个HTML文件来加载和执行Wasm二进制文件。让我们来看看创建这个HTML文件的过程。（如前所述，完整的文件可以在本文的附录中找到。）

从构建下面的框架开始（我们将进一步修改），并将其保存到test.html文件：

<html>
<script>
  function test() {
  }
</script>
<body onLoad="test()">
</body>
</html>

为了便于配置，并避免安装任何工具，让我们使用一个名为WasmFiddler的在线Web应用程序来生成我们的Wasm。在WasmFiddler中，输入以下简单程序：

void hello()
{
  printf("Hello Worldn");
}

然后，点击“Build”，如下面的屏幕截图所示： 

图1：使用WasmFiddler编译Wasm应用程序

在上面的屏幕截图的右侧，我们可以看到一个名为utf8ToString()的函数。将该函数复制并粘贴到HTML页面的JavaScript部分，并将其置于test()函数之上。

仍然是在屏幕截图的右侧，我们可以在函数utf8ToString()之后看到几行JavaScript，如下所示：

let m = new WebAssembly.Instance(new WebAssembly.Module(buffer));
let h = new Uint8Array(m.exports.memory.buffer);
let p = m.exports.hello();

复制这几行代码，并将它们粘贴到test()函数中。这几行代码将实例化我们的Wasm，根据定义在名为“buffer”的数组中的代码，然后执行我们的hello()函数。

那么，我们如何定义这个缓冲区的内容（Wasm代码）呢？在WasmFiddler中，单击源代码下面的下拉菜单（图1中的“Text Format”），然后选择“Code Buffer”。

图2：在WasmFiddler中查看代码缓冲区

现在，WasmFiddler将生成二进制Wasm代码并将其放入JavaScript缓冲区中。你应该会得到如下内容（这里为了简洁，展示的是删减的结果）：

var wasmCode = new Uint8Array([0,97,115,109,1,0,0,0,…,108,100,0]);

注意：如果你只是得到一个空数组（“var wasmCode = new Uint8Array([null]);”），那么你应该是忘记了先编译源代码。在这种情况下，点击Build，再试一次。

复制这个缓冲区的内容，并将其粘贴到我们的test()函数的开始部分。将数组从“wasmCode”重命名为“buffer”，以匹配由WasmFiddler生成的其他代码的命名。

如果你还记得我们在本系列的第一篇文章所介绍的内容的话，那么你应该知道Wasm应用程序本身无法将文本打印到屏幕上。我们需要定义一个JavaScript函数，在我们的Wasm代码中调用printf()函数。回到WasmFiddler，在下拉菜单中选择Text Format格式，以查看编译后的Wasm应用程序的文本表示形式：

图3：puts()函数的Imports模板

复制上面看到的“wasmImports”的定义，并将其粘贴到我们的test()函数的开头部分。然后，我们需要将这个Imports的定义提供给Wasm的实例，如下所示：

var m = new WebAssembly.Instance(new WebAssembly.Module(buffer),wasmImports);

最后，让我们来定义puts()函数在被调用时应该做些什么。将其更改为以下内容：

puts: function puts (index)
{
alert(utf8ToString(h, index));
}

现在，我们已经完成了构建示例应用程序所需的所有步骤。在Chrome中加载我们的test.html文件，我们会看到这样一个弹出窗口： 

图4：Chrome中的通知

我们可以看到，Wasm代码成功地调用了我们的外部函数。

注意：如果你没有看到弹出窗口，那么问题很可能是你的浏览器不支持Wasm。在这种情况下，请尝试使用最新版本的浏览器，因为目前所有主流浏览器的最新版本都应该支持Wasm。

 

调试我们的示例应用程序

现在，我们终于可以使用Chrome开发人员工具来调试我们的示例应用程序了。

在Chrome中打开test.html文件后，启动Chrome开发人员工具（通过按F12键），并选择顶部的Sources选项卡。然后，按Ctrl+R重新加载页面。现在，会出现一个带有文字“wasm”的小云朵图标。展开它以及它下面的项目，选择wasm子树下的叶子项目。具体如下所示： 

图5：Chrome开发人员工具

让我们单步执行这个函数，以便更好地理解它的功能。单击左侧以“i32”开头的代码行，为其设置断点。一个蓝条将显示出来，表明断点已设置好。接下来，按Ctrl+R重新加载页面。现在，执行将停止在断点处。此时，Wasm堆栈是空的。然后，在调试器中按下Step Over按钮（F10或带有弯曲箭头的图标）以执行指令“i32.const 16”，以将值“16”压入堆栈： 

图6：将值“16”压入堆栈

Wasm中的所有函数都被编号，编号为0的函数对应于Wasm从JavaScript导入的函数“puts”（编号为1的函数对应于“hello”函数）。因此，下一条调用0的指令实际上调用的是printf/puts函数，而堆栈中的值“16”就是它的参数。

值“16”如何与字符串‘Hello World’对应呢？该值实际上是一个指向Wasm应用程序内存空间中的地址的指针。让我们利用Chrome的调试器展开全局树，以查看Wasm应用程序的内存：

图7：查看Wasm应用程序的内存

让我们来看看内存中的位置编号为16处的内容：

图8：Wasm应用程序内存中的“Hello World”

运行状态下的Wasm应用程序的内存空间实际上是作为JavaScript数组实现的。该数组的定义位于负责加载Wasm应用程序的HTML文件中。在我们上面的示例中，变量“h”的定义如下所示，它包含了应用程序的内存空间：

let h = new Uint8Array(m.exports.memory.buffer);

现在，再次按下Step Over按钮来执行调用。如此这样，我们应该就能够看到JavaScript警报了。

 

结论

我们现在已经成功地逆向分析了我们的第一个简单的Wasm程序。尽管这个示例非常简单，但请记住，很多事情我们都需要从零开始。

在逆向分析过程中，我们是通过调用JavaScript声明的导入函数来了解Wasm如何与外部环境进行交互的。此外，我们还介绍了如何在JavaScript和Wasm之间共享内存。

Forcepoint安全实验室将继续观察Wasm的发展，并在适当的时候对我们的文章进行更新。

 

参考资料

WasmFiddle，在线编译Wasm：https://wasdk.github.io/WasmFiddle/?wvzhb

关于如何在浏览器调试器中调试Wasm的视频：https://www.youtube.com/watch?v=R1WtBkMeGds

在JavaScript和Wasm之间传递值：https://hacks.mozilla.org/2017/07/memory-in-webassembly-and-why-its-safer-than-you-think/

 

附录：test.html

为了便于参考，以下是我们创建并分析的完整test.html文件：

<html>
<script>
function utf8ToString(h, p) {
  let s = "";
  for (i = p; h[i]; i++) {
    s += String.fromCharCode(h[i]);
  }
  return s;
}
function test() {
  var wasmImports = {
    env: {
      puts: function puts (index) {
        alert(utf8ToString(h, index));
      }
    }
  };

  var buffer = new Uint8Array([0,97,115,109,1,0,0,0,1,137,128,128,128,0,2,
    96,1,127,1,127,96,0,0,2,140,128,128,128,0,1,3,101,110,118,4,112,117,
    116,115,0,0,3,130,128,128,128,0,1,1,4,132,128,128,128,0,1,112,0,0,5,
    131,128,128,128,0,1,0,1,6,129,128,128,128,0,0,7,146,128,128,128,0,2,6,
    109,101,109,111,114,121,2,0,5,104,101,108,108,111,0,1,10,141,128,128,
    128,0,1,135,128,128,128,0,0,65,16,16,0,26,11,11,146,128,128,128,0,1,0,
    65,16,11,12,72,101,108,108,111,32,87,111,114,108,100,0]);
  let m = new WebAssembly.Instance(new WebAssembly.Module(buffer),wasmImports);
  let h = new Uint8Array(m.exports.memory.buffer);
  m.exports.hello();
}
</script>
<body onLoad="test()">
</body>
</html>

审核人：yiwang 编辑：边边