기호 형태의 값-집합 분석을 이용한 ARM 위치 독립적 코드의 정교한 역어셈블리 기법

국문 초록 (Abstract)

스마트 모바일의 보급에 따라, 컴퓨터 보안에서 ARM 아키텍처 명령어로 구성된 위치 독립적 코드의 역어셈블리기법이 중요해지고 있다. 그러나 대부분의 기존 기법들은 x86 아키텍처 대상으로 연구되었으며, 위치 종속적 코드의 문제 해결과 범용성에 초점이 맞추어져 있다. 따라서, ARM 아키텍처의 고정 길이 명령어와 위치 독립적 코드의 특징이 제대로 반영되지 않아, 바이너리 계측과 같이 바이너리 자체를 직접 수정하는 수준의 고도화된 응용 보안 기술에 적용하기에는 수집되는 주소 정보의 정확도가 낮다. 본 논문에서, 우리는 ARM 명령어로 구성된 위치 독립적인 코드의 특성을 반영한 역어셈블리 기법을 제안한다. 정확하고 추적 가능한 주소의 수집을 위해, 도메인이 기호화된 값-집합 분석을 설계하였다. 또한, 역어셈블의 주요 문제점을 해결하기 위해, 컴파일러가 생성하는 코드의 특징을 활용한 휴리스틱을 고안하였다. 우리 기법의 정확도와 유효성을 검증하기 위해, 안드로이드 8.1 빌드에 포함된 669개의 공유라이브러리 및 실행 파일을 대상으로 실험하였으며, 그 결과 완전한 역어셈블의 비율이 91.47%로 나왔다.

다국어 초록 (Multilingual Abstract)

With the proliferation of smart mobiles, disassembly techniques for position-independent code (PIC) composed of ARM architecture instructions in computer security are becoming more important. However, existing techniques have been studied on x86 architecture and are focused on solving problems of non-PIC and generality. Therefore, the accuracy of the collected address information is low to apply to advanced security technologies such as binary measurement. In this paper, we propose a disassembly technique that reflects the characteristics of PIC composed of ARM instructions. For accuratly collecting traceable addresses, we designed value-set analysis having symbol-form domain. To solve the main problem of disassembly, we devised a heuristic using the characteristics of the code generated by the compiler. To verify the accuracy and effectiveness of our technique, we tested 669 shared libraries and executables in the Android 8.1 build, resulting in a total disassembly rate of 91.47%.

목차 (Table of Contents)

• 요약
• ABSTRACT
• I. 서론
• II. 배경 지식 및 관련 연구
• III. 역어셈블리의 문제점
• IV. 정확도 향상을 위한 접근법
• V. 제안하는 역어셈블리 기법
• VI. 기호 형태의 값-집합 분석
• VII. 실험 및 평가
• VIII. 결론
• References

참고문헌 (Reference)

1 U. Erlingsson, "XFI:Software Guards for System Address Spaces" 75-88, 2006

2 B. Ford, "Vx32:Lightweight User-level Sandboxing on the x86" 293-306, 2008

3 C. Kruegel, "Using Static Binary Analysis to Find Vulnerabilities And Backdoors in Firmware" 2015

4 A. Baratloo, "Transparent Run-time Defense Against Stack Smashing Attacks" 251-262, 2000

5 T. H. Dang, "The Performance Cost of Shadow Stacks and Stack Canaries" 555-566, 2015

6 L. Szekeres, "Sok: Eternal War in Memory" 48-62, 2013

7 T. Kim, "RevARM: A Platform-Agnostic ARM Binary Rewriter for Security Applications" 412-424, 2017

8 "Radare2"

9 T.-c. Chiueh, "RAD: A Compile-time Solution to Buffer Overflow Attacks" 409-428, 2001

10 C. Linn, "Obfuscation of Executable Code to Improve Resistance to Static Disassembly" 290-299, 2003

11 B. Niu, "Modular Control-flow Integrity" 577-587, 2014

12 A. Pawlowski, "MARX: Uncovering class hierarchies in C++ programs" 1-15, 2017

13 J. Ansel, "Language-independent Sandboxing of Just-in-time Compilation and Self-modifying Code" 355-366, 2011

14 Z. Zhang, "Generic value-set analysis on low-level code" 1-8, 2014

15 R. Qiao, "Function interface analysis: A principled approach for function recognition in COTS binaries" 201-212, 2017

16 A.-R. Adl-Tabatabai, "Efficient and Language-independent Mobile Programs" 127-136, 1996

17 R. Wahbe, "Efficient Software-based Fault Isolation" 203-216, 1993

18 "Cutter"

19 M. Abadi, "Control-flow Integrity" 340-353, 2005

20 H. Chen, "Control Flow Obfuscation with Information Flow Tracking" 391-400, 2009

21 M. Zhang, "Control Flow Integrity for COTS Binaries" 337-352, 2013

22 P. Cousot, "Comparing the Galois Connection and Widening/Narrowing Approaches to Abstract Interpretation" 269-295, 1992

23 Z. Deng, "Bistro : Binary Component Extraction and Embedding for Software Security Applications" 200-218, 2013

24 I. V. Popov, "Binary Obfuscation using Signals" 275-290, 2007

25 G. Balakrishnan, "Analyzing Memory Accesses in x86Executables" 5-23, 2004

26 D. Andriesse, "An In Depth Analysis of Disassembly on Full-Scale x86/x64 Binaries" 583-600, 2016

27 S. L. Graham, "AdaptableBinary Programs" 315-325, 1995

28 J. Brauer, "Adaptable value-set analysis for low-level code" 32-43, 2011

29 P. Cousot, "Abstract Interpretation Frameworks" 2 (2): 511-547, 1992

30 M. Prasadand, ""A BinaryRewriting Defense Against Stack based Buffer Overflow Attacks" 211-224, 2003