piof

PIOF -PHPインストゥルメンテーションオープンフレームワーク

何

PIOF-は、PHPの動的でモジュール式の計装フレームワークです。

なぜ

開発者、リバースエンジニア、マルウェアアナリスト、脆弱性研究者に役立ちます。 piofを使用すると：

• デバッグ、トレース、パフォーマンス分析を実行します
• インタープリター層の機器PHPコード
• 機器が難読化されたPHPコード
• 仮想パッチ
• プロトタイプIASTおよびRASPテクノロジー

どこ

テスト：

 PHP 7.2.10-0ubuntu0.18.04.1 (cli) (built: Sep 13 2018 13:45:02) ( NTS )
Copyright (c) 1997-2018 The PHP Group
Zend Engine v3.2.0, Copyright (c) 1998-2018 Zend Technologies
    with Zend OPcache v7.2.10-0ubuntu0.18.04.1, Copyright (c) 1999-2018, by Zend Technologies

誰が

Martino -Twitter.com/martinolessio

alessandro -twitter.com/rhpco

クイックスタート

 git clone https://github.com/ingenuity-ninja/piof.git
cd piof
./run.sh

Docker

ドッカーコンテナは、建物とテストの段階に使用されます。コンテナシェルを使用して、PIOF環境と対話します。

 root@4e7b7dd9f362:/opt/piof/modules#

拡大

生成されたPHP拡張は/opt/piof/modulesで使用できます

 root@4e7b7dd9f362:/opt/piof/modules# ls -lah
total 100K
drwxr-xr-x 2 root root 4.0K Feb 19 20:55 .
drwxr-xr-x 1 root root 4.0K Feb 19 20:55 ..
-rwxr-xr-x 1 root root  91K Feb 19 20:55 piof.so

php.iniに含めるか、コマンドラインから使用することもできます。

コマンドラインの実行

php.iniで拡張機能が有効になっている場合、通常どおりPHPを実行できます。たとえば、：

 root@4e7b7dd9f362:/etc# php -r "system("ls");"

adduser.conf
aliases
alternatives
apache2
apt
bash.bashrc
bindresvport.blacklist
ca-certificates
ca-certificates.conf
cron.d
[...]

実行時にモジュールを使用するには、次のコマンドを使用できます。

 php -dextension=/opt/piof/modules/piof.so -r "system("ls");"

ロガー

piofログイン/var/log/piof*

情報

フックモジュールは、シンクの実行に関する情報を記録します。

 root@4e7b7dd9f362:/etc# tail -f /var/log/piof.info.log

Feb 19 21:05:15 4e7b7dd9f362 piof - system - hook[155]: Arguments 1
Feb 19 21:05:15 4e7b7dd9f362 piof - system - hook[155]: Parameter ls
Feb 19 21:12:17 4e7b7dd9f362 piof - md5 - hook[160]: Arguments 1
Feb 19 21:12:17 4e7b7dd9f362 piof - md5 - hook[160]: Parameter admin

エラー

すべての内部エラーは/var/log/piof.error.logに記録されます

フックモジュール

フックモジュールは/opt/piof/hooksにあります。これらのモジュールは、PIOFコア拡張機能によって動的に構築およびロードされるため、 piof.soで常に利用できる必要があります。モジュールはディレクトリで階層的に編成されています：各ディレクトリはシンクに関連付けられており、それぞれがhook.cとhook.hファイルを含みます。

 root@42e0da0df931:/opt/piof/hooks# ls -lah
total 28K
drwxrwxr-x 1 root root 4.0K Feb 19 20:55 .
drwxr-xr-x 1 root root 4.0K Feb 19 20:55 ..
drwxr-xr-x 2 root root 4.0K Feb 19 20:55 build
drwxrwxr-x 2 root root 4.0K Feb 19 20:24 eval
drwxrwxr-x 2 root root 4.0K Feb 19 20:24 include
drwxrwxr-x 2 root root 4.0K Feb 19 20:24 md5
drwxrwxr-x 2 root root 4.0K Feb 19 20:24 system

そして

 root@42e0da0df931:/opt/piof/hooks# ls -lah include/
total 16K
drwxrwxr-x 2 root root 4.0K Feb 19 20:24 .
drwxrwxr-x 1 root root 4.0K Feb 19 20:55 ..
-rw-rw-r-- 1 root root  943 Feb 19 20:24 hook.c
-rw-rw-r-- 1 root root  356 Feb 19 20:24 hook.h

建物の段階で、PIOFはすべてのモジュールをコンパイルし、生成された.soファイルを/opt/piof/hooks/buildに移動します

 root@42e0da0df931:/opt/piof/hooks/build# ls -lah
total 184K
drwxr-xr-x 2 root root 4.0K Feb 19 20:55 .
drwxrwxr-x 1 root root 4.0K Feb 19 20:55 ..
-rwxr-xr-x 1 root root  43K Feb 19 20:55 eval.so
-rwxr-xr-x 1 root root  43K Feb 19 20:55 include.so
-rwxr-xr-x 1 root root  44K Feb 19 20:55 md5.so
-rwxr-xr-x 1 root root  44K Feb 19 20:55 system.so

手動拡張ビルディング

 make clean
phpize
./configure
make

Manual Modules Building

 cd /opt/piof/hooks/eval/
gcc -shared -o eval.so -fPIC hook.c -g -Wall -I -I/usr/local/include/php -I/usr/local/include/php/main -I/usr/local/include/php/Zend -I/usr/local/include/php/TSRM -I/usr/local/include/php/Zend -I/usr/local/include/php/ext -I/usr/local/include/php/ext/date/lib -I/usr/include/php/20170718 -I/usr/include/php/20170718/main -I/usr/include/php/20170718/TSRM -I/usr/include/php/20170718/Zend -I/usr/include/php/20170718/ext -I/usr/include/php/20170718/ext/date/lib -I ../../
mv eval.so ../build

手動テスト

フック機能md5

 php -dextension=/opt/piof/modules/piof.so -r "echo md5("admin");"

フック機能system

 php -dextension=/opt/piof/modules/piof.so -r "system("ls");"

ライセンス

3-ClauseBSDライセンス（BSD-3-crose）