piof

PIOF -PHP 계측 오픈 프레임 워크

무엇

PIOF- PHP를위한 동적 및 모듈 식 계측 프레임 워크입니다.

왜

개발자, 리버스 엔지니어, 맬웨어 분석가 및 취약성 연구원에게 유용합니다. piof를 사용하면 다음과 같이 할 수 있습니다.

• 디버깅, 추적 및 성능 분석을 수행하십시오
• 해석자 계층의 기기 PHP 코드
• 기기 난독 화 된 PHP 코드
• 가상 패치
• 프로토 타입 IAS 및 RASP 기술

어디

테스트 :

 PHP 7.2.10-0ubuntu0.18.04.1 (cli) (built: Sep 13 2018 13:45:02) ( NTS )
Copyright (c) 1997-2018 The PHP Group
Zend Engine v3.2.0, Copyright (c) 1998-2018 Zend Technologies
    with Zend OPcache v7.2.10-0ubuntu0.18.04.1, Copyright (c) 1999-2018, by Zend Technologies

WHO

Martino -Twitter.com/martinolessio

Alessandro -Twitter.com/rhpco

빠른 시작

 git clone https://github.com/ingenuity-ninja/piof.git
cd piof
./run.sh

도커

도커 컨테이너는 건물 및 테스트 단계에 사용됩니다. 컨테이너 쉘을 사용하여 PIOF 환경과 상호 작용하십시오.

 root@4e7b7dd9f362:/opt/piof/modules#

확대

생성 된 PHP 확장은 /opt/piof/modules 에서 사용할 수 있습니다

 root@4e7b7dd9f362:/opt/piof/modules# ls -lah
total 100K
drwxr-xr-x 2 root root 4.0K Feb 19 20:55 .
drwxr-xr-x 1 root root 4.0K Feb 19 20:55 ..
-rwxr-xr-x 1 root root  91K Feb 19 20:55 piof.so

php.ini에 포함 시키거나 명령 줄에서 사용할 수 있습니다.

명령 줄 실행

php.ini 에서 확장자가 활성화되면 평소와 같이 PHP를 실행할 수 있습니다.

 root@4e7b7dd9f362:/etc# php -r "system("ls");"

adduser.conf
aliases
alternatives
apache2
apt
bash.bashrc
bindresvport.blacklist
ca-certificates
ca-certificates.conf
cron.d
[...]

런타임에 모듈을 사용하려면 다음 명령을 사용할 수 있습니다.

 php -dextension=/opt/piof/modules/piof.so -r "system("ls");"

나무꾼

piof logs in /var/log/piof*

정보 제공

훅킹 모듈은 싱크 실행에 대한 정보를 기록합니다.

 root@4e7b7dd9f362:/etc# tail -f /var/log/piof.info.log

Feb 19 21:05:15 4e7b7dd9f362 piof - system - hook[155]: Arguments 1
Feb 19 21:05:15 4e7b7dd9f362 piof - system - hook[155]: Parameter ls
Feb 19 21:12:17 4e7b7dd9f362 piof - md5 - hook[160]: Arguments 1
Feb 19 21:12:17 4e7b7dd9f362 piof - md5 - hook[160]: Parameter admin

오류

모든 내부 오류는 /var/log/piof.error.log 로 기록됩니다

후크 모듈

후크 모듈은 /opt/piof/hooks 에 있습니다. 이 모듈은 PIOF 코어 확장으로 동적으로 구축되고로드되므로 항상 piof.so 에서 사용할 수 있어야합니다. 모듈은 디렉토리로 계층 적으로 구성되어 있습니다. 각 디렉토리는 싱크와 관련이 있으며 각 디렉토리에는 hook.c 와 hook.h 파일이 포함되어 있습니다.

 root@42e0da0df931:/opt/piof/hooks# ls -lah
total 28K
drwxrwxr-x 1 root root 4.0K Feb 19 20:55 .
drwxr-xr-x 1 root root 4.0K Feb 19 20:55 ..
drwxr-xr-x 2 root root 4.0K Feb 19 20:55 build
drwxrwxr-x 2 root root 4.0K Feb 19 20:24 eval
drwxrwxr-x 2 root root 4.0K Feb 19 20:24 include
drwxrwxr-x 2 root root 4.0K Feb 19 20:24 md5
drwxrwxr-x 2 root root 4.0K Feb 19 20:24 system

그리고

 root@42e0da0df931:/opt/piof/hooks# ls -lah include/
total 16K
drwxrwxr-x 2 root root 4.0K Feb 19 20:24 .
drwxrwxr-x 1 root root 4.0K Feb 19 20:55 ..
-rw-rw-r-- 1 root root  943 Feb 19 20:24 hook.c
-rw-rw-r-- 1 root root  356 Feb 19 20:24 hook.h

빌딩 단계에서 PIOF는 모든 모듈을 컴파일하고 생성 된 .so 파일을 /opt/piof/hooks/build 로 이동합니다.

 root@42e0da0df931:/opt/piof/hooks/build# ls -lah
total 184K
drwxr-xr-x 2 root root 4.0K Feb 19 20:55 .
drwxrwxr-x 1 root root 4.0K Feb 19 20:55 ..
-rwxr-xr-x 1 root root  43K Feb 19 20:55 eval.so
-rwxr-xr-x 1 root root  43K Feb 19 20:55 include.so
-rwxr-xr-x 1 root root  44K Feb 19 20:55 md5.so
-rwxr-xr-x 1 root root  44K Feb 19 20:55 system.so

수동 확장 빌딩

 make clean
phpize
./configure
make

매뉴얼 모듈 빌딩

 cd /opt/piof/hooks/eval/
gcc -shared -o eval.so -fPIC hook.c -g -Wall -I -I/usr/local/include/php -I/usr/local/include/php/main -I/usr/local/include/php/Zend -I/usr/local/include/php/TSRM -I/usr/local/include/php/Zend -I/usr/local/include/php/ext -I/usr/local/include/php/ext/date/lib -I/usr/include/php/20170718 -I/usr/include/php/20170718/main -I/usr/include/php/20170718/TSRM -I/usr/include/php/20170718/Zend -I/usr/include/php/20170718/ext -I/usr/include/php/20170718/ext/date/lib -I ../../
mv eval.so ../build

수동 테스트

후크 기능 md5

 php -dextension=/opt/piof/modules/piof.so -r "echo md5("admin");"

후크 기능 system

 php -dextension=/opt/piof/modules/piof.so -r "system("ls");"

특허

3-Clause BSD 라이센스 (BSD-3-Clause)