MWSCup 2020 課題 1 nao_sec / NTT セキュリティ ジャパン株式会社 小池倫太郎 Copyright 2020 nao_sec All Rights Reserved.

MWSCup 2020 課題 1

nao_sec / NTT セキュリティ・ジャパン株式会社

小池 倫太郎

• 主担当

• NTT

• 問題作成支援員

•

• レビュアー

•

• nao_sec

問題担当

• Wireshark や Fiddler は必要ない

•

PCAP

SAZ

• Windows 環境の準備を推奨

• Windows

•

1

Drive-by Download

…

事前連絡

• 難読化・解析妨害を含む JavaScript コード解析

•

• JavaScript / JScript

• VBScript / VBA

• PowerShell

->

• Augma Dataset

•

•

->

概要

• Exploit Kit のコードを模倣した JavaScript の解析

• RIG Exploit Kit

• Capesand Exploit Kit

• PurpleFox Exploit Kit

• Bottle Exploit Kit

->

質的な部分を解析していく

• アドバイス

•

• Exploit Kit

…

概要

競技中の解説はここまで

MWSCup 2020 課題 1 解説

nao_sec / NTT セキュリティ・ジャパン株式会社

小池 倫太郎

解答について

0 2 4 6 8 10 12

• atob()

• Base64

• eval()

•

JavaScript

•

•

Q1: BASE64

Flag is MWS{Hello, World!}

• eval の中で色々な処理をしている

•

eval

•

eval

Q2: SIMPLE

Flag is MWS{SIMPLE_Obfuscation?}

• eval の中身

• Base64

"0('1' === '2') { 3 4_5_6 = '7{8_9?}'; }"

•

4

• 0 -> if, 1 -> A, 2 -> B, 3 -> var, 4 -> mwscup…

Q2: SIMPLE

• 典型的な文字列操作 -> eval による動的実行

• eval

• "eval"

•

Q3: RIG Exploit Kit

Flag is MWS{rig_Rig_RIG!!!}

• eval に至るまで

• 2

1. 2

Q3: RIG Exploit Kit

• eval に至るまで

• 2

2.

Q3: RIG Exploit Kit

• eval を見つけるだけ

• eval に至るまで

•

Q4: Capesand Exploit Kit

Flag is MWS{Cape_sanD_CAPE_SAND}

• JavaScript ではないナニカ？

•

#@~^

^#~@

Q5: PurpleFox Exploit Kit

• 素直に検索してみる

Q5: PurpleFox Exploit Kit

• Microsoft Script Encoder

• <script language=“JScript.Encode“>

•

Internet Explorer

•

• scrdec18-VC8.exe

• https://gist.github.com/bcse/1834878

• CyberChef

• https://gchq.github.io/CyberChef/

Q5: PurpleFox Exploit Kit

• デコード後のデータ

•

•

•

Q5: PurpleFox Exploit Kit

• デコード後のデータ

• eval

->

•

Internet Explorer

•

•

Q5: PurpleFox Exploit Kit

• 細かくコードを見ていく

• eval

• CryptoJS

AES-256 CBC

•

CryptoJS

•

•

•

• IV

Q5: PurpleFox Exploit Kit

• 細かくコードを見ていく

•

IV

•

• Base64

Q5: PurpleFox Exploit Kit

• 細かくコードを見ていく

•

• typeof

XOR

• typeof([].find)

•

JavaScript

Array.find

•

JScript.Encode

Internet Explorer

• Chrome

-> Internet Explorer

Q5: PurpleFox Exploit Kit

Chrome Internet Explorer

Flag is MWS{Purp1e_F0X_4K}

• ブラウザや環境に依存する値を使った解析妨害

•

•

Region-Specific

•

•

• Internet Explorer

•

•

OS

• IP

Geolocation

•

•

Q5: PurpleFox Exploit Kit

• eval っぽい処理を探してみるが、それっぽいものは見つからない

•

•

eval

flag

• 先頭から雑に実行していく

•

•

•

•

Q6: Bottle Exploit Kit

• ざっとコードを眺めて、重要そうな部分のみを読み解いていく

•

• document.cookie

_0x069034

• document.cookie

•

cookie

->

• _0x069034

• switch

Q6: Bottle Exploit Kit

Q6: Bottle Exploit Kit

Q6: Bottle Exploit Kit

• ざっとコードを眺めて、重要そうな部分のみを読み解いていく

• _0x069034

• switch

•

-> _0x2b13

• _0x2b13()

• _0x5e6f4b

_0x52b995

2

•

_0x1833

•

->

_0x2b13

Q6: Bottle Exploit Kit

• ざっとコードを眺めて、重要そうな部分のみを読み解いていく

•

•

•

_0x1833

shift

push

->

• 0x2b13

•

•

1

_0x5e6f4b

index

_0x1833

•

• Base64 Decode

• URL Decode

• RC4 Calc

Q6: Bottle Exploit Kit

• ざっとコードを眺めて、重要そうな部分のみを読み解いていく

•

_0x069034

• Control Flow Flattening

•

• https://github.com/obfuscator-llvm/obfuscator/wiki/Control-Flow-Flattening

•

Q6: Bottle Exploit Kit

• ざっとコードを眺めて、重要そうな部分のみを読み解いていく

•

_0x069034

• _0x069034

Base64

XOR

•

_0x064183

• _0x064183

• switch

document.cookie

• switch

navigator.vendor

• navigator.vendor

length

0

_0x064183

• navigator.vendor

•

•

Internet Explorer

Q6: Bottle Exploit Kit

• ざっとコードを眺めて、重要そうな部分のみを読み解いていく

• document.cookie

• cookie

• document

Q6: Bottle Exploit Kit

• ざっとコードを眺めて、重要そうな部分のみを読み解いていく

• document.cookie

•

switch

•

• navigator.systemLanguage

•

• Internet Explorer

Chrome

Q6: Bottle Exploit Kit

• ざっとコードを眺めて、重要そうな部分のみを読み解いていく

•

•

document.cookie

+ "ja-JP"

•

Internet Explorer

•

flag

•

•

• https://nao-sec.org/2019/12/say-hello-to-bottle-exploit-kit.html

Flag is MWS{Bottle_Plane_JP}

• Q1 ~ 6 までの解析作業を自動化して欲しい

•

• 5

/

OK

• アプローチ

•

JavaScript

• Headless Chrome

Selenium / WebDriver

• JS-Walker

• https://www.nttsecurity.com/docs/librariesprovider3/resources/jswalker

•

Q7: 解析の自動化

Flag is MWS{Enj0y_EK_0bfuscat0r}

• 難読化・解析妨害を含む JavaScript コード解析

•

•

• 解析の自動化

•

•

• JavaScript に限らず、他の言語でも解析経験は活用できる

•

PowerShell

まとめ

Any Questions?

@nao_sec

[email protected]