최적화 컴파일된 자바스크립트 함수에 대한 최적화 해제 회피를 이용하는 런타임 가드 커버리지 유도 퍼저 = Runtime-Guard Coverage Guided Fuzzer Avoiding Deoptimization for Optimized Javascript Functions

다국어 초록 (Multilingual Abstract)

The JavaScript engine is a module that receives JavaScript code as input and processes it, among many functions that areloaded into web browsers and display web pages. Many fuzzing test studies have been conducted as vulnerabilities inJavaScript engines could threaten the system security of end-users running JavaScript through browsers. Some of them haveincreased fuzzing efficiency by guiding test coverage in JavaScript engines, but no coverage guided fuzzing of optimized,dynamically generated machine code was attempted. Optimized JavaScript codes are difficult to perform sufficient iterativetesting through fuzzing due to the function of runtime guards to free the code in the event of exceptional control flow. Tosolve these problems, this paper proposes a method of performing fuzzing tests on optimized machine code by avoidingdeoptimization. In addition, we propose a method to measure the coverage of runtime-guards by the dynamic binaryinstrumentation and to guide increment of runtime-guard coverage. In our experiment, our method has outperformed theexisting method at two measures: runtime coverage and iteration by time.

국문 초록 (Abstract)

자바스크립트 엔진은 주로 웹 브라우저에 적재되어 웹 페이지를 표시하는 여러 기능 중 자바스크립트 코드를 입력으로 받아 처리하는 모듈이다. 자바스크립트 엔진 내 취약점은 종단 사용자의 시스템 보안을 위협할 수 있어 많은퍼징 테스트 연구가 수행되었다. 그중 일부 연구는 자바스크립트 엔진 내 테스트 커버리지를 유도하는 방식으로 퍼징 효율을 높였으나, 최적화되어 동적으로 생성된 기계어 코드에 대한 커버리지 유도 퍼징은 시도되지 않았다. 최적화된 자바스크립트 코드는 예외적인 흐름 발생 시 코드를 해제하는 런타임 가드의 기능으로 인해 퍼징을 통한 충분한 반복 테스트가 어렵다. 본 논문은 이러한 문제점을 해결하기 위해 최적화 해제를 회피하여 최적화된 기계어 코드에 대해 퍼징 테스트를 수행하는 방법을 제안한다. 또한, 동적 바이너리 계측 방식으로 수행된 런타임 가드의 커버리지를 계측하고 커버리지 증가를 유도하는 방식을 제안한다. 실험을 통해, 본 연구가 제안하는 방식이 런타임 가드커버리지, 시간당 테스트 횟수의 두가지 척도에서 기존의 방식보다 뛰어남을 보인다.

참고문헌 (Reference)

1 이민수, "바이너리 분석도구 효율성 평가를 위한 Instrumentation 성능 측정기법" 한국정보보호학회 27 (27): 1331-1345, 2017

2 v8, "v8"

3 Google Project Zero, "fuzzilli"

4 Mozilla Fuzzing Security, "funfuzz"

5 Google Project Zero, "domato"

6 Google, "chromium bug 944062"

7 Lcamtuf, "american fuzzy lop"

8 Hyuk-woo Park, "Work-in-progress:advanced ahead-of-time compilation for javascript engine" 1-2, 2017

9 J. Wang, "Superion: Grammar-Aware Greybox Fuzzing" 724-735, 2019

10 N. K. Madhukar, "Server-side type profiling for optimizing client-side JavaScript engines" 51 (51): 140-153, 2015

11 D. Jang, "SafeDispatch: Securing C++ Virtual Calls from Memory Corruption Attacks" 2014

12 B. Michael, "SPUR: a trace-based JIT compiler for CIL" 708-725, 2010

13 G. Southern, "Overhead of deoptimization checks in the V8javascript engine" 1-10, 2016

14 M. Yusuf, "On-stack replacement to improve JIT-based obfuscation a preliminary study" 94-99, 2014

15 P. Godefroid, "Grammar-based whitebox fuzzing" 206-215, 2008

16 C. Holler, "Fuzzing with code fragments" 445-458, 2012

17 S. GROß, "FuzzIL: Coverage Guided Fuzzing for JavaScript Engines" Karlsruhe Institute of Technology 2018

18 The Clang Team, "Clang 11 documentation"

19 MITRE, "CVE-2019-5782"

20 G. A. Perez, "A hybrid just-in -time compiler for android: comparing JIT types and the result of cooperation" 41-51, 2012