[論文レビュー] Context-aware System Service Call-oriented Symbolic Execution of Android Framework with Application to Exploit Generation

Lannan Luo, Qiang Zeng+8 more|arXiv (Cornell University)|Nov 2, 2016

Advanced Malware Detection Techniques参考文献 26被引用数 4

ひとこと要約

本稿では、Android Frameworkのシンボリック実行を可能にする自動エクスプロイト生成および脆弱性発見を実現する、Centaurという最初のシステムを提示する。コンテキスト移行とスリムタインティングを用いた、初期化のためのコンcrete実行とシンボリック実行の分離により、状態空間の爆発を克服し、Android Frameworkにおけるシステムサービス呼び出し脆弱性のスケーラブルな解析を可能にした。エクスプロイト生成およびバグ発見の両面で有効性を示した。

ABSTRACT

Android Framework is a layer of software that exists in every Android system managing resources of all Android apps. A vulnerability in Android Framework can lead to severe hacks, such as destroying user data and leaking private information. With tens of millions of Android devices unpatched due to Android fragmentation, vulnerabilities in Android Framework certainly attract attackers to exploit them. So far, enormous manual effort is needed to craft such exploits. To our knowledge, no research has been done on automatic generation of exploits that take advantage of Android Framework vulnerabilities. We make a first step towards this goal by applying symbolic execution of Android Framework to finding bugs and generating exploits. Several challenges have been raised by the task. (1) The information of an app flows to Android Framework in multiple intricate steps, making it difficult to identify symbolic inputs. (2) Android Framework has a complex initialization phase, which exacerbates the state space explosion problem. (3) A straightforward design that builds the symbolic executor as a layer inside the Android system will not work well: not only does the implementation have to ensure the compatibility with the Android system, but it needs to be maintained whenever Android gets updated. We present novel ideas and techniques to resolve the challenges, and have built the first system for symbolic execution of Android Framework. It fundamentally changes the state of the art in exploit generation on the Android system, and has been applied to constructing new techniques for finding vulnerabilities.

研究の動機と目的

• 広く未パッチ適用のデバイスが存在するため、深刻な影響を及ぼすAndroid Framework脆弱性に対する自動エクスプロイト生成技術の不足に対処すること。
• Android Frameworkの複雑なデータフローの中において、悪意あるアプリから導出されるシンボリック入力を特定する課題を克服すること。
• シンボリック実行中に発生する、フレームワークの複雑な初期化フェーズによる状態空間の爆発を緩和すること。
• Androidランタイムからシンボリック実行を分離することで、OSのアップデートに伴う保守性と互換性を確保すること。
• 一元化されたシンボリック実行フレームワーク内で、脆弱性発見と自動エクスプロイト生成の両方を可能にすること。

提案手法

• Androidランタイム（ART）VM上でコンクリート実行を用いて初期化フェーズをシミュレートし、実行コンテキストをキャプチャする。
• ARTからスタンドアロンのJava VMへ実行コンテキストを移行することで、Androidシステムからシンボリック実行を分離する。
• 特徴的なアクセスパターンを分析することで、悪意あるアプリから導出される変数をシンボリック入力として特定するため、スリムタインティングを適用する。
• 移行されたコンテキストに基づいてシンボリック実行パスを構築し、エクスプロイト生成のエントリーポイントとしてシステムサービス呼び出しに焦点を当てる。
• コンクリート実行とシンボリック実行を統合することで、誤ったパスの探索を回避し、状態空間の爆発を低減する。
• コンクリート実行がコンテキストをセットアップし、シンボリック実行がエクスプロイト関連パスを探索する二段階アーキテクチャを設計する。

実験結果

リサーチクエスチョン

• RQ1 Android Frameworkの複雑な初期化と大きな状態空間を考慮すると、シンボリック実行をどのように効果的に適用できるか？
• RQ2 Android Frameworkのデータフローの文脈において、悪意あるアプリから導出されるシンボリック入力を特定するための技術は何か？
• RQ3 Androidランタイムからシンボリック実行をどのように分離することで、OSのアップデートに伴う長期的な保守性を確保できるか？
• RQ4 Android Frameworkのシンボリック実行は、システムサービス脆弱性を標的とした実世界のエクスプロイトを自動生成可能か？
• RQ5 このアプローチは、Android Frameworkにおけるゼロデイ脆弱性の発見をどの程度向上できるか？

主な発見

• Centaurは、我々の知る限り、Android Frameworkのシンボリック実行を可能にする最初のシステムである。
• 初期化フェーズの全容をシンボリックに探索する必要がないように、コンクリート実行による初期化とコンテキスト移行を用いることで、状態空間の爆発を緩和した。
• 特徴的なアクセスパターンを追跡することで、スリムタインティングは悪意あるアプリから導出されるシンボリック入力を効果的に特定し、シンボリック実行における誤検出を低減した。
• メモリ使用量および実行時間の比較により、Centaurは、ナイーブなシンボリック実行アプローチ（例：UCSE）よりもパス爆発を回避し、性能が優れていることが示された。
• 評価では、実際のAndroid Frameworkコンponentsを対象として、脆弱性発見および自動エクスプロイト生成の両面で、本フレームワークの有効性が検証された。
• 本システムは、複数のシステムサービスおよびアプリの相互作用を含む、複雑でコンテキストに配慮したエクスプロイトの生成が可能であることを示した。