SaTC自动化漏洞分析和实例测试

### SaTC自动化漏洞分析和实例测试

iot设备Fuzz，简单来说就是针对物联网设备进行模糊测试。它利用自动化工具，向设备发送大量随机或变异的数据，以发现潜在的安全漏洞。

American Fuzzy Lop plus plus (afl++)

Custom Mutator API

SaTC（Sharing More and Checking Less）是一个创新的开源工具，专为检测嵌入式系统的漏洞设计。其核心理念是利用共同的输入关键词，以更高效的方式识别潜在的漏洞，如命令注入和缓冲区溢出问题。SaTC提供了强大的自动化分析功能，大大简化了固件的安全审计工作。

# 拉取docker镜像docker pull smile0304/satc# 进入docker环境docker run -it smile0304/satc:V1.0# 安装pip requirementpip install -r requirement.txt

iot@research:~/gujian/tenda/_US_AC15V1.0BR_V15.03.05.19_multi_TD01.bin.extracted/squashfs-root$ docker cp ./squashfs-root/ 9d85e744e75e:/home/satc/SaTC/tendaac15

python satc.py -d /home/satc/SaTC/tendaac15/squashfs-root/ -o /home/satc/SaTC/res_ac15 --ghidra_script=ref2sink_cmdi -b httpd --taint_check

optional arguments:  -h, --help            查看帮助  -d /root/path/_ac18.extracted, --directory /root/path/_ac18.extracted                        指定从固件中提取出的文件系统  -o /root/output, --output /root/output                        指定结果输出位置  --ghidra_script {ref2sink_cmdi,ref2sink_bof,share2sink,ref2share,all}                        (可选) 指定要使用的 Ghidra 脚本。如果使用`all`命令，`ref2sink_cmdi`、`ref2sink_bof`和`ref2share`三个脚本将同时运行  --ref2share_result /root/path/ref2share_result  (可选) 运行`share2sink` Ghidra脚本时，需要使用该参数指定`ref2share`脚本的输出结果  --save_ghidra_project (可选) 是否保存程序运行时产生的ghidra工程路径  --taint_check         (可选) 指定是否启用污点分析  -b /var/ac18/bin/httpd, --bin /var/ac18/bin/httpd                        (可选) 用于指定需要分析的程序，如果不指定，SaTC将使用内置算法确认需要分析的程序  -l 3, --len 3         (可选) 根据分析结果分析可能为边界的前N个程序，默认为3

ref2sink_cmdi : 该脚本从给定的字符串的引用中找到命令注入类型sink函数的路径。ref2sink_bof : 改脚本从给定的字符串的引用中找到缓冲区溢出类型sink函数的路径。ref2share: 此脚本用来查找输入等字符串中被写入共享函数等参数，例如:nvram_set, setenv等函数。需要与share2sink来配合使用share2sink: 此脚本与ref2share功能类似。需要与ref2share来配合使用；使用此脚本的输入为ref2share脚本的输出

|-- ghidra_extract_result # ghidra寻找函数调用路径的分析结果, 启用`--ghidra_script`选项会输出该目录|   |-- httpd # 每个被分析的bin都会生成一个同名文件夹|       |-- httpd # 被分析的bin|       |-- httpd_ref2sink_bof.result # 定位bof类型的sink函数路径|       |-- httpd_ref2sink_cmdi.result # 定位cmdi类型的sink函数路径|-- keyword_extract_result  # 关键字提取结果|   |-- detail  # 前端关键字提取结果(详细分析结果)|   |   |-- API_detail.result # 提取的API详细结果|   |   |-- API_remove_detail.result # 被过滤掉的API信息|   |   |-- api_split.result  # 模糊匹配的API结果|   |   |-- Clustering_result_v2.result # 详细分析结果(不关心其他过程关心此文件即可)|   |   |-- File_detail.result  # 记录了从单独文件中提取的关键字|   |   |-- from_bin_add_para.result # 在二进制匹配过程中新增的关键字|   |   |-- from_bin_add_para.result_v2 # 同上,V2版本|   |   |-- Not_Analysise_JS_File.result # 未被分析的JS文件|   |   |-- Prar_detail.result # 提取的Prar详细结果|   |   |-- Prar_remove_detail.result # 被过滤掉的Prar结果|   |-- info.txt  # 记录前端关键字提取时间等信息|   |-- simple  # 前端关键字提取结果, 比较简单|       |-- API_simple.result # 在全部二进制中出现的全部API名称|       |-- Prar_simple.result  # 在全部二进制中出现等的全部Prar|-- result-httpd-ref2sink_cmdi-ctW8.txt # 污点分析结果,启用`--taint-check` 和 `--ghidra_script`选项才会生成该文件

binary: /home/satc/SaTC/tendaac15/squashfs-root/bin/httpdconfigfile: /home/satc/SaTC/res_ac15/ghidra_extract_result/httpd/httpd_ref2sink_cmdi.result-alter20xef168 0xa1808   not found0xf1f24 0xa5560   not found0xefa70 0xa1d20   not found```0xf2208 0xa6890   found : 0xa68f8```0xefb24 0xa2994   not foundtotal cases: 85find cases: 1

ghidra_extract_result/httpd/httpd_ref2sink_cmdi.result:[Param "deviceName"(0x000f2208), Referenced at formsetUsbUnload : 0x000a68c4] >> 0x000a68f4 -> doSystemCmd

$ grep -ir "devicename"|awk -F ":" '{print($1)}'|grep -E 'html|js'|sort|uniq......status_usb.htmlstatus_usb.js