angr学习笔记(三)--路径爆炸问题的处理

符号执行最大的问题就是路径爆炸，当一个程序存在循环结构时，即使逻辑十分简单也可能会产生规模十分巨大的执行路径，本文记录三种处理路径爆炸的方法：

1.避免进入循环结果，手动添加约束条件

循环结果如下

 

该循环结构在程序中比较两个字符串是否相等，每次循环都会有if语句生成两个不同的分支，路径成指数级增长，该函数可以通过手动添加约束条件来避免执行

 solution.found[0].solver.add(string1=='BWYRUBQCMVSBRGFU')

使程序停止在该函数之前，再添加约束条件后求解，得出效果与执行完该函数一致

 

import angr
import sys
import claripy
def Go():
    p=angr.Project("./08con",auto_load_libs=False)
    istate=p.factory.blank_state(addr=0x08048627)
    
    buff_addr=0x0804A050
    
    
    passwd0=claripy.BVS('passwd0',16*8)
    
    istate.memory.store(buff_addr,passwd0)
    
    sm=p.factory.simulation_manager(istate)
    
    solution=sm.explore(find=0x08048678)    //提前停止
    
    print(len(solution.found))
    if solution.found:
    
        string1=solution.found[0].memory.load(buff_addr,16)         //读出此刻状态下的字符串值
        solution.found[0].solver.add(string1=='BWYRUBQCMVSBRGFU')   //对此刻字符串值条件约束条件
        solution0=solution.found[0].solver.eval(passwd0,cast_to=bytes)  //求解该字符串


        print("[+] Success! Solution is: {}".format(solution0))
    else:
        raise Exception("error")
        
        
if __name__=="__main__":
    Go()

 

 

2.hooks方法

就是用我们自己设计的函数去取代被hook的函数

找到会导致路径爆炸的函数，用自己编写的函数取代该函数即可，可以利用函数地址hook,也可以利用函数名进行hook

 

利用函数地址hook:

@p.hook(check_equals_called_address, length=instruction_to_skip_length)
    def skip_check(state):
        flag=state.memory.load(buff_addr,16)
        string1='XKSPZSJKJYQCQXZV'
        state.regs.eax=claripy.If(
            string1==flag,
            claripy.BVV(1,32),
            claripy.BVV(0,32)
        )

@p.hook() 第一个参数是需要被hook的函数地址，length是call该函数指令占据的字节大小

 

 如图，addr=0x80486B8,length=D-8

 

 state.regs.eax=claripy.If（）
设置寄存器eax的值，使该函数与被hook的函数具有一样的效果，函数的返回值被保存在eax中，字符串相等则返回BVV（1，32），否则返回BVV（0，32）



利用函数名hook
当一个需要被hook的函数被调用了很多次时，利用地址hook便会出现问题，而通过程序的符号表利用函数名完全可以解析出地址
hook函数名的方法：

class Replace_check(angr.SimProcedure):
		def run(self,user_input,length):
			user_input_addr=user_input
			flag=self.state.memory.load(user_input_addr,length)
			string1='WQNDNKKWAWOLXBAC'
			
			self.state.regs.eax=claripy.If(
				string1==flag,
				claripy.BVV(1,32),
				claripy.BVV(0,32)
				)
	
check_funcname='check_equals_WQNDNKKWAWOLXBAC'
	
p.hook_symbol(check_funcname,Replace_check())

　　

class Replace_check(angr.SimProcedure) 需要替换的函数名 Replace_check()

def run(self,user_input,length)  run函数名固定，self后面的参数与被hook的函数参数保持一致

p.hook_symbol(check_funcname,Replace_check())  第一个参数时被替换的函数名，第二个参数是构造出来的函数

完成exp

import angr
import sys
import claripy
def Go():
    p=angr.Project("./10sim",auto_load_libs=False)
    istate=p.factory.entry_state()
    
    class Replace_check(angr.SimProcedure):
        def run(self,user_input,length):
            user_input_addr=user_input
            flag=self.state.memory.load(user_input_addr,length)
            string1='WQNDNKKWAWOLXBAC'
            
            self.state.regs.eax=claripy.If(
                string1==flag,
                claripy.BVV(1,32),
                claripy.BVV(0,32)
                )
    
    check_funcname='check_equals_WQNDNKKWAWOLXBAC'
    
    p.hook_symbol(check_funcname,Replace_check())
    
    sm=p.factory.simulation_manager(istate)
    
    def succ(state):
        output1=state.posix.dumps(1)
        if b'Good Job.' in output1:
            return True
        else:
            return False
            
    def _abort(state):
        output2=state.posix.dumps(1)
        if b'Try again.' in output2:
            return True
        else:
            return False
    
    solution=sm.explore(find=succ,avoid=_abort)
    print(len(solution.found))
    if solution.found:
        solution0=solution.found[0].posix.dumps(0)
        print(solution0)
    else:
        raise Exception("error")
        
        
if __name__=="__main__":
    Go()

 

3.veritesting技术处理路径爆炸
简单粗暴，只需要在angr里我们只要在构造模拟管理器时，启用Veritesting了就行

sm=p.factory.simulation_manager(istate,veritesting=True)

忽视循环结构，直接硬怼，耗时较长

完整版

import angr
import sys
import claripy
def Go():
	p=angr.Project("./12ver",auto_load_libs=False)
	istate=p.factory.entry_state()
	
	sm=p.factory.simulation_manager(istate,veritesting=True)
	
	def succ(state):
		output1=state.posix.dumps(1)
		if b'Good Job.' in output1:
			return True
		else:
			return False
			
	def _abort(state):
		output2=state.posix.dumps(1)
		if b'Try again.' in output2:
			return True
		else:
			return False
	
	solution=sm.explore(find=succ,avoid=_abort)
	print(len(solution.found))
	if solution.found:
		solution0=solution.found[0].posix.dumps(0)
		print(solution0)
	else:
		raise Exception("error")
		
		
if __name__=="__main__":
	Go()