使用Binary Ninja API检测潜在释放后使用漏洞

释放后使用(Use-after-free)是一种内存破坏条件，程序在内存被释放回分配器后仍然引用该内存。静态检测这类漏洞具有挑战性。过去已有多种方法解决这个问题，如Josselin Feist的GUEB和Sean Heelan在静态分析中发现释放后使用漏洞的工作。

本文探讨了使用Binary Ninja的中级中间语言(MLIL)通过追踪特定内存分配与其他内存区域之间的交互来建立数据流图。基于数据流图，进一步用于跨函数的上下文不敏感可达性分析，以识别二进制文件中的潜在释放后使用(UAF)漏洞。

构建内存分配的数据流图

在此上下文中，“数据"指的是与特定内存分配相关联的指针，是跟踪和分析的主题。数据流信息可视化为图，其中：

实现中使用了四种不同类型的节点构建数据流图：

图中的边代表指针存储操作，建立内存分配之间的连接。源节点对应被写入的内存，目标节点代表被存储的指针值。边属性捕获从分配基地址的偏移量。

在自动化分析中，第一个要跟踪的SSA变量是被分配器调用(如malloc()或calloc())返回值的变量。一旦确定了感兴趣的SSA变量，就可以利用定义-使用链遍历其在函数内的所有使用。

变量指向节点，当变量赋值涉及指针算术时，除了节点信息外还会存储偏移信息。本质上构建了两个数据结构：将SSA变量映射到节点的字典，以及连接各种内存区域(表示为节点)的图。

虽然内存存储操作被转换为图边，但来自函数范围外的内存加载操作也被表示为图边。基本假设是：如果内存被加载，它必须事先已被初始化。内存存储、赋值和加载操作是数据流图的基本构建块。

信息传播通过SSA变量字典和先前初始化的图来实现：

检测潜在释放后使用漏洞涉及分析所有分类为"Free"的基本块，并验证是否存在导致分类为"Use"的基本块的路径。由于双重释放漏洞与释放后使用相关，分析还会检查是否存在从一个"Free"块到另一个"Free"块的路径。

虽然理想情况是使用程序特定的分配器和释放器包装器作为分析的输入，但手动识别它们可能具有挑战性。更简单的起点是输入标准函数如malloc()、realloc()和free()，检查结果，并根据结果逐步完善分析。

为了理解工具的工作原理，我们在一些已知易受攻击的程序上进行了测试。由于GUEB已经提供了已识别漏洞的列表，我们选择使用它们作为示例。

文章详细分析了多个CVE漏洞案例，包括CVE-2015-5221(JasPer JPEG-2000)、CVE-2016-3177(Giflib)、GNOME-Nettool漏洞和CVE-2015-5177(OpenSLP)，展示了工具在不同场景下的检测能力。

本文介绍了使用Binary Ninja通过数据流分析和图可达性来发现释放后使用漏洞的方法。虽然当前的日志记录还很原始，每个被分类为潜在UAF条件的指令都被单独记录，但通过按基本块或函数对指令进行分组可以显著提高可读性。

致谢和参考文献