「Ghidra」×「Claude Desktop」でスタックオーバーフローの脆弱性を見つけてみよう

はじめに

前回は、「Ghidra」と「Claude Desktop」をMCPで接続し、リバースエンジニアリングを効率化する方法を紹介しました。

今回は「Ghidra」×「Claude Desktop」で、スタックオーバーフローの脆弱性を発見できるかチャレンジしてみます。

脆弱性のあるC言語のプログラムを用意する

まず、脆弱性のあるC言語のプログラムを用意します。次のC言語のプログラムはgets関数を使用しているため、スタックオーバーフローの脆弱性があります。

#include <stdio.h>

int main(int argc, char *argv[])
{
  char buf[100];
  setvbuf(stdout, NULL, _IOLBF, 0);
  gets(buf);
  puts(buf);
  return 0;
}

スタックは関数の引数やローカル変数を格納するメモリ領域です。スタックオーバーフローはスタックにデータを溢れさせる脆弱性で、この脆弱性を悪用するとリターンアドレスを上書きし、任意のアドレスへと処理を移すことができます。

詳細な解説は「単純なスタックバッファオーバーフロー攻撃をやってみる - ももいろテクノロジー」を参照してください。

用意したC言語のプログラムを、x64のLinux上でコンパイラにGCCを使用してビルドします。「スタックカナリー」というスタックにランダム生成された値を格納しておき、改ざんを検知することでスタックオーバーフローを防ぐ機構がデフォルトでは有効になっています。

この機構を無効にするために-fno-stack-protectorオプションを指定してビルドします。このプログラムを実行すると、次のように入力した文字列がそのまま出力されます。

$ gcc test.c -fno-stack-protector -o test # スタックカナリーを無効にしてビルド
$ ./test
Ghidra+MCP!!!                             # 入力
Ghidra+MCP!!!                             # 出力

「Ghidra」×「Claude Desktop」で
バイナリの脆弱性を見つける

MCPを用いてClaude Desktopを接続したGhidraで、実行ファイルからこのプログラムの脆弱性を見つけます。Ghidraのインストール方法は「公式ドキュメント」を、Claude Desktopを接続する方法は第4回を参照してください。

まず、Ghidraで作成したプログラムを読み込みます。Ghidraでmain関数をデコンパイルすると、結果は次のようになります。

undefined8 main(void)

{
  char local_78 [112];
  
  setvbuf(stdout,(char *)0x0,1,0);
  gets(local_78);
  puts(local_78);
  return 0;
}

デコンパイル結果を見た時点で、C言語に詳しい方ならスタックオーバーフローの脆弱性があると気づくと思います。ここでは、検証のためにClaude Desktopに脆弱性を見つけるように指示してみます。

Claude Desktopはmain関数に存在するスタックオーバーフローの脆弱性を見つけることができました。続いて、この脆弱性を検証するための方法も生成してもらいます。

$ python3 exploit.py 
$ cat input.txt | ./test
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAABBBBBBBBCCCCCCCC
Segmentation fault (core dumped)