weggli patterns

Weggli-Patterns

“我敢肯定，沒有人會再關心舊場景的人們
一群老人為記憶的最後一個。 ”

- 巴斯·艾伯特（Bas Alberts）

我的Weggli模式的集合，以促進脆弱性研究。

博客文章：
https://security.humanativaspa.it/a-collection of-weggli-patterns-for-c-cpp-vulnerability-research

參見：
https://github.com/weggli-rs/weggli
https://dustri.org/b/playing-with-weggli.html
https://github.com/plowsec/weggli-patterns
https://github.com/synacktiv/weggli_rules_sstic2023
https://twitter.com/richinseattle/status/1729654184633327720

緩衝區溢出

致電無界複製功能（CWE-120，CWE-242，CWE-676）

 weggli -R 'func=^gets$' '{$func();}' .
weggli -R 'func=st(r|p)(cpy|cat)$' '{$func();}' .
weggli -R 'func=wc(s|p)(cpy|cat)$' '{$func();}' .
weggli -R 'func=sprintf$' '{$func();}' .
weggli -R 'func=scanf$' '{$func();}' .

不正確使用Strncat（CWE-193，CWE-787）

 weggli '{strncat(_,_,sizeof(_));}' .
weggli '{strncat(_,_,strlen(_));}' .
weggli '{strncat($dst,$src,sizeof($dst)-strlen($dst));}' .
weggli '{_ $buf[$len]; strncat($buf,_,$len);}' .

由於已知的局限性，最後一個模式與整數文字無法使用。

使用源緩衝區尺寸（CWE-806）的目標緩衝區訪問（CWE-806）

 weggli -R 'func=cpy$' '{$func(_,$src,_($src));}' .
weggli -R 'func=cpy$' '{$len=_($src); $func(_,$src,$len);}' .
weggli -R 'func=cpy$' '{_ $src[$len]; $func($dst,$src,$len);}' .

由於已知的局限性，最後一個模式與整數文字無法使用。

在指針類型上使用sizeof（）（CWE-467）

 weggli '{_* $ptr; sizeof($ptr);}' .
weggli '{_* $ptr=_; sizeof($ptr);}' .
weggli '_ $func(_* $ptr) {sizeof($ptr);}' .

顯然，不支持全球變量，因此這不起作用：

 weggli '_* $ptr=_; _ $func(_) {sizeof($ptr);}' .

在字符常數上使用sizeof（）

 weggli "sizeof('_')" .

在C（但不在C ++中）中，字符常數具有INT類型。

strncpy（）等之後缺乏明確的nul末端（CWE-170）

 weggli -R 'func=ncpy$' '{$func($buf,_); not:$buf[_]=_;}' .

一些可能的變體：memcpy，讀取，讀取鏈接，弗雷德等。

逐個錯誤（CWE-193）

 weggli '{$buf[sizeof($buf)];}' .
weggli '{_ $buf[$len]; $buf[$len]=_;}' .
weggli '{strlen($src)>sizeof($dst);}' .
weggli '{strlen($src)<=sizeof($dst);}' .
weggli '{sizeof($dst)<strlen($src);}' .
weggli '{sizeof($dst)>=strlen($src);}' .
weggli '{$buf[strlen($buf)-1];}' .
weggli -R 'func=allocf?$' '{$func(strlen($buf));}' .
weggli -R 'func=allocf?$' '{$len=strlen(_); $ptr=$func($len);}' .
weggli -R 'func=allocf?$' '{$len=snprintf(_); $ptr=$func($len);}' .

由於已知限制，第二種模式無法與整數文字作用。
<也應該覆蓋>和<=也應該覆蓋>= ;但是，讓我們保持所有變體以確定。

使用指針減法確定尺寸（CWE-469）

 weggli '{_* $ptr1; $ptr1-$ptr2;}' .
weggli '{_* $ptr2; $ptr1-$ptr2;}' .
weggli '{_* $ptr1=_; $ptr1-$ptr2;}' .
weggli '{_* $ptr2=_; $ptr1-$ptr2;}' .
weggli '_ $func(_* $ptr1) {$ptr1-$ptr2;}' .
weggli '_ $func(_* $ptr2) {$ptr1-$ptr2;}' .

可能不安全使用Snprintf（）等的返回值（CWE-787）

 weggli -R 'func=(nprintf|lcpy|lcat)$' '{$ret=$func();}' .

直接寫入堆棧上分配的緩衝區（CWE-121）

 weggli -R 'func=(cpy|cat|memmove|memset|sn?printf)$' '{_ $buf[_]; $func($buf,_);}' .
weggli '{_ $buf[_]; $buf[_]=_;}' .

一些可能的變體：bcopy，get，fgets，getwd，getcwd，fread，pread，pread，recv，recvfrom et。

整數溢出

錯誤的未簽名比較（CWE-697）

 weggli -R '$type=(unsigned|size_t)' '{$type $var; $var<0;}' .
weggli -R '$type=(unsigned|size_t)' '{$type $var; $var<=0;}' .
weggli -R '$type=(unsigned|size_t)' '{$type $var; $var>=0;}' .
weggli -R '$type=(unsigned|size_t)' '{$type $var=_; $var<0;}' .
weggli -R '$type=(unsigned|size_t)' '{$type $var=_; $var<=0;}' .
weggli -R '$type=(unsigned|size_t)' '{$type $var=_; $var>=0;}' .

<也應該覆蓋>和<=也應該覆蓋>= ;但是，讓我們保持所有變體以確定。

簽名/未簽名的轉換（CWE-195，CWE-196）

 weggli -R '$copy=(cpy|ncat)$' '{int $len; $copy(_,_,$len);}' .
weggli -R '$copy=(cpy|ncat)$' '{int $len=_; $copy(_,_,$len);}' .
weggli -R '$copy=(cpy|ncat)$' '_ $func(int $len) {$copy(_,_,$len);}' .

weggli -R '$copy=nprintf$' '{int $len; $copy(_,$len);}' .
weggli -R '$copy=nprintf$' '{int $len=_; $copy(_,$len);}' .
weggli -R '$copy=nprintf$' '_ $func(int $len) {$copy(_,$len);}' .

weggli -R '$type=(unsigned|size_t)' '{$type $var1; int $var2; $var2=_($var1);}' .
weggli -R '$type=(unsigned|size_t)' '{$type $var1; int $var2; $var1=_($var2);}' .
weggli -R '$type=(unsigned|size_t)' '{$type $var1; int $var2=_($var1);}' .
weggli -R '$type=(unsigned|size_t)' '{int $var1; $type $var2; $var2=_($var1);}' .
weggli -R '$type=(unsigned|size_t)' '{int $var1; $type $var2; $var1=_($var2);}' .
weggli -R '$type=(unsigned|size_t)' '{int $var1=_; $type $var2=_($var1);}' .

weggli -R '$type=(unsigned|size_t)' '_ $func(int $var2) {$type $var1; $var1=_($var2);}' .
weggli -R '$type=(unsigned|size_t)' '_ $func(int $var2) {$type $var1=_($var2);}' .

weggli -R '$type=(unsigned|size_t)' '$type $func(_) {int $var; return $var;}' .
weggli -R '$type=(unsigned|size_t)' 'int $func(_) {$type $var; return $var;}' .

這些模式有很多可能的變體...

整數截斷（CWE-197）

 weggli -R 'type=(short|int|long)' '{$type $large; char $narrow; $narrow = $large; }' .
weggli -R 'type=(short|int|long)' '{$type $large; char $narrow = $large; }' .
weggli -R 'type=(int|long)' '{$type $large; short $narrow; $narrow = $large; }' .
weggli -R 'type=(int|long)' '{$type $large; short $narrow = $large; }' .
weggli '{long $large; int $narrow; $narrow = $large; }' .
weggli '{long $large; int $narrow = $large; }' .

weggli -R 'type=(short|int|long)' '_ $func($type $large) {char $narrow; $narrow = $large; }' .
weggli -R 'type=(short|int|long)' '_ $func($type $large) {char $narrow = $large; }' .
weggli -R 'type=(int|long)' '_ $func($type $large) {short $narrow; $narrow = $large; }' .
weggli -R 'type=(int|long)' '_ $func($type $large) {short $narrow = $large; }' .
weggli '_ $func(long $large) {int $narrow; $narrow = $large; }' .
weggli '_ $func(long $large) {int $narrow = $large; }' .

這些模式有很多可能的變體...

使用簽名或短尺寸，長度，偏移，計數（CWE-190，CWE-680）

 weggli 'short _' .
weggli 'int _' .

一些可能的變體：簡短的int，未簽名的短，未簽名的短int，int。

strlen（），wcslen（）的返回值的鑄件（CWE-190，CWE-680）

 weggli -R 'func=(str|wcs)len$' '{short $len; $len=$func();}' .

一些可能的變體：簡短的int，未簽名的短，未簽名的短int，甚至簽名int。

整數環繞（CWE-128，CWE-131，CWE-190，CWE-680）

 weggli -R 'func=allocf?$' '{$func(_*_);}' .
weggli -R 'func=allocf?$' '{$func(_+_);}' .
weggli -R 'func=allocf?$' '{$n=_*_; $func($n);}' .
weggli -R 'func=allocf?$' '{$n=_+_; $func($n);}' .

weggli -R 'alloc=allocf?$' -R 'copy=cpy$' '{$alloc($x*_); $copy(_,_,$x);}' .
weggli -R 'alloc=allocf?$' -R 'copy=cpy$' '{$alloc($x+_); $copy(_,_,$x);}' .
weggli -u -R 'alloc=allocf?$' -R 'copy=cpy$' '{$n=_*_; $alloc($n); $copy(_,_,$x);}' .
weggli -u -R 'alloc=allocf?$' -R 'copy=cpy$' '{$n=_+_; $alloc($n); $copy(_,_,$x);}' .

weggli '{$x>_||($x+$y)>_;}' .
weggli '{$x>=_||($x+$y)>_;}' .
weggli '{$x>_||($x+$y)>=_;}' .
weggli '{$x>=_||($x+$y)>=_;}' .
weggli '{$x<_&&($x+$y)<_;}' .
weggli '{$x<=_&&($x+$y)<_;}' .
weggli '{$x<_&&($x+$y)<=_;}' .
weggli '{$x<=_&&($x+$y)<=_;}' .

weggli '{$x>_||($x*$y)>_;}' .
weggli '{$x>=_||($x*$y)>_;}' .
weggli '{$x>_||($x*$y)>=_;}' .
weggli '{$x>=_||($x*$y)>=_;}' .
weggli '{$x<_&&($x*$y)<_;}' .
weggli '{$x<=_&&($x*$y)<_;}' .
weggli '{$x<_&&($x*$y)<=_;}' .
weggli '{$x<=_&&($x*$y)<=_;}' .

<也應該覆蓋>和<=也應該覆蓋>= ;但是，讓我們保持所有變體以確定。

格式字符串

致電printf（），scanf（），syslog（）家庭功能（CWE-134）

 weggli -R 'func=(printf|scanf|syslog)$' '{$func();}' .

一些可能的變體：printk，warn，vwarn，warnx，vwarnx，err，verr，errx，verrx，warnc，vwarnc，vwarnc，errc，verrc，et。

內存管理

致電Alloca（）（CWE-676，CWE-1325）

 weggli -R 'func=alloca$' '{$func();}' .

免費後使用（CWE-416）

 weggli '{free($ptr); not:$ptr=_; not:free($ptr); _($ptr);}' .

雙免費（CWE-415）

 weggli '{free($ptr); not:$ptr=_; free($ptr);}' .

在內存上呼叫free（），而不是在堆中分配（CWE-590）

 weggli '{_ $ptr[]; free($ptr);}' .
weggli '{_ $ptr[]=_; free($ptr);}' .

weggli '{_ $ptr[]; $ptr2=$ptr; free($ptr2);}' .
weggli '{_ $ptr[]=_; $ptr2=$ptr; free($ptr2);}' .

weggli '{_ $var; free(&$var);}' .
weggli '{_ $var=_; free(&$var);}' .
weggli '{_ $var[]; free(&$var);}' .
weggli '{_ $var[]=_; free(&$var);}' .
weggli '{_ *$var; free(&$var);}' .
weggli '{_ *$var=_; free(&$var);}' .

weggli '{$ptr=alloca(_); free($ptr);}' .

返回堆棧分配變量的地址（CWE-562）

 weggli '{_ $ptr[]; return $ptr;}' .
weggli '{_ $ptr[]=_; return $ptr;}' .

weggli '{_ $ptr[]; $ptr2=$ptr; return $ptr2;}' .
weggli '{_ $ptr[]=_; $ptr2=$ptr; return $ptr2;}' .

weggli '{_ $var; return &$var;}' .
weggli '{_ $var=_; return &$var;}' .
weggli '{_ $var[]; return &$var;}' .
weggli '{_ $var[]=_; return &$var;}' .
weggli '{_ *$var; return &$var;}' .
weggli '{_ *$var=_; return &$var;}' .

Malloc（）等未檢查的返回代碼（CWE-252，CWE-690）

 weggli -R 'func=allocf?$' '{$ret=$func(); not:if(_($ret)){};}' .

使用堆棧分配變量（CWE-686）致電Putenv（）

 weggli '{_ $ptr[]; putenv($ptr);}' .
weggli '{_ $ptr[]=_; putenv($ptr);}' .

weggli '{_ $ptr[]; $ptr2=$ptr; putenv($ptr2);}' .
weggli '{_ $ptr[]=_; $ptr2=$ptr; putenv($ptr2);}' .

接觸基礎內存地址（CWE-200，CWE-209，CWE-497）

 weggli -R 'func=printf$' -R 'fmt=(.*%w*x.*|.*%w*X.*|.*%w*p.*)' '{$func("$fmt");}' .

不匹配的內存管理例程（CWE-762）

 weggli -R 'func=allocf?$|strdn?up$' '{not:$ptr=$func(); free($ptr);}' .

weggli --cpp -R 'func=allocf?$|strn?dup$' '{not:$ptr=$func(); free($ptr);}' .
weggli --cpp '{not:$ptr=new $obj; delete $ptr;}' .

顯然，不支持刪除[]，因此這無法正常工作：

 weggli --cpp '{not:$ptr=new $obj[$len]; delete[] $ptr;}' .

使用非初始化的指針（CWE-457，CWE-824，CWE-908）

 weggli '{_* $ptr; not:$ptr=_; not:_(&$ptr); $func($ptr);}' .
weggli '{_* $ptr; not:$ptr=_; not:_(&$ptr); _($ptr);}' .

這些模式可能會產生許多應該手動調查的誤報。

指揮注射

調用to System（），popen（）（CWE-78，CWE-88，CWE-676）

 weggli -R 'func=(system|popen)$' '{$func();}' .
weggli -R 'func=(system|popen)$' '{$func($arg);}' .

第二種模式旨在濾除字符串文字，但可能會導致一些假否定性。

種族條件

致電到訪問（），stat（），lstat（）（CWE-367）

 weggli -R 'func=(access|l?stat)$' '{$func();}' .

致電MKTEMP（），TMPNam（），tempnam（）（CWE-377）

 weggli -R 'func=(mktemp|te?mpnam)$' '{$func();}' .

致電信號（）（CWE-364，CWE-479，CWE-828）

 weggli -R 'func=signal$' '{$func();}' .

特權管理

特權管理功能以錯誤的順序調用（CWE-696）

 weggli '{not:setuid(0); setuid(); setgid();}' .
weggli '{not:seteuid(0); seteuid(); not:seteuid(0); setegid();}' .
weggli '{not:seteuid(0); seteuid(); not:seteuid(0); setuid();}' .
weggli '{not:seteuid(0); seteuid(); not:seteuid(0); seteuid();}' .

setuid（），seteuid（）（CWE-252）的未檢查的返回代碼

 weggli -R 'func=sete?uid$' '{strict:$func();}' .

各種各樣的

在呼叫memset（）的呼籲中的爭論順序錯誤

 weggli -R 'func=memset(_explicit)?$' '{$func(_,_,0);}' .
weggli -R 'func=memset(_explicit)?$' '{$func(_,sizeof(_),_);}' .

致電Rand（），Srand（）（CWE-330，CWE-338）

 weggli -R 'func=s?rand$' '{$func();}' .

源和目的地重疊（），snprintf（）

 weggli -R 'func=^sn?printf$' '{$func($dst,_,$dst);}' .
weggli -R 'func=^sn?printf$' '{$func($dst,_,_,$dst);}' .
weggli -R 'func=^sn?printf$' '{$func($dst,_,_,_,$dst);}' .

等等...

用斷言宏實現的尺寸檢查

 weggli -R 'assert=(?i)^w*assertw*s*$' '{$assert(_<_);}' .
weggli -R 'assert=(?i)^w*assertw*s*$' '{$assert(_<=_);}' .
weggli -R 'assert=(?i)^w*assertw*s*$' '{$assert(_>_);}' .
weggli -R 'assert=(?i)^w*assertw*s*$' '{$assert(_>=_);}' .

<也應該覆蓋>和<=也應該覆蓋>= ;但是，讓我們保持所有變體以確定。

scanf（）等未檢查的返回代碼（CWE-252）

 weggli -R 'func=scanf$' '{strict:$func();}' .

致電atoi（），atol（），atof（），atoll（）

 weggli -R 'func=ato(i|ll?|f)$' '{$func();}' .

命令行參數或環境變量訪問

 weggli -R 'var=argv|envp' '{$var[_];}' .

在開關構造中缺少默認情況（CWE-478）

 weggli -l 'switch(_) {_; not:default:_; _;}' .

-l可能過度殺傷，導致在同一功能中缺少其他匹配項。

交換機結構中缺少斷點或同等語句（CWE-484）

 weggli -l 'switch(_) {case _: not:break; not:exit; not:return; not:goto _; case _:_;}' .

-l可能過度殺傷，導致在同一功能中缺少其他匹配項。

在非流動函數中缺少返回語句（CWE-393，CWE-394）

 weggli -R 'type!=void' '$type $func(_) {_; not:return;}' .

具有安全含義的錯字（CWE-480，CWE-481，CWE-482，CWE-483）

 weggli '{for (_==_;_;_) {}}' .
weggli 'if (_=_) {}' .
weggli 'if (_&_) {}' .
weggli 'if (_|_) {}' .
weggli '{_=+_;}' .
weggli '{_=-_;}' .
weggli -R 'func=strn?cpy$' 'if ($func()==_) {}' .

此類別中有許多可能的其他模式...

暗示存在錯誤的關鍵字

 weggli -R 'pattern=(?i)(unsafe|insecure|dangerous|warning|overflow)' '$pattern' .

weggli -R 'func=(?i)(encode|decode|convert|interpret|compress|fragment|reassemble)' '_ $func(_) {}' .
weggli -R 'func=(?i)(mutex|lock|toctou|parallelism|semaphore|retain|release|garbage|mutual)' '_ $func(_) {}' .

此類別中有許多可能的其他模式...