Frida-node или немножко странного кода

Приветствую всех, кто читает эту статью.
Как-то так сложилось, что на хабре практически нет упоминаний про замечательную штуку под названием Frida. Самое толковое из них заключается в паре строк кода и общем описании(HabraFrida, из которой, собственно, я и узнал про существование этой штуковины, за что отдельное спасибо автору).
Если вкратце, то Frida занимается тем, что инжектит JS-движок от Гугла(V8) в таргетный процесс(при отсутствии защиты, конечно же), причем встроенный js-код умеет работать с памятью, перехватывать вызовы функций, делать эти самые вызовы и заниматься прочими непотребствами.
Если честно, с реверсом я знаком крайне посредственно и, в-основном, из MMORPG Runes of Magic, с которой я и начал учиться кодить и с которой связанна немалая часть моих текущих познаний в программировании. Собственно, до сих пор время от времени развлекаюсь написанием всяких разностей под нее(дырявая, кстати говоря, игрушка… Каких только шикарных багов в ней не находили, начиная от рисовки предметов и заканчивая sql-inject'ом). Вот для нее я и написал немножко тестового кода на Frida, позволяющего делать… разное.
Почему node.js? Прост. В конце-концов, это же хаб ненормального программирования)

Самой сложной частью для меня оказалась сборка node-frida. Почему? Да было лень ставить 2013 студию. Не повторяйте эту ошибку — под 2015 вряд ли получится собрать. Если кому понадобится, могу позже выложить собранный аддон под win x64.

Итак, приступим, собственно, к коду. Сам проект — это обычный проект ноды, стартовый скрипт у меня называется app.js, с него и начнем.

var processName  = process.argv[2];
var script="'use strict'; ";
[
	'./views/js/frida/romdata.js',
	'./views/js/frida/romlib.js',
	'./views/js/frida/rompackets.js',
	'./views/js/frida/rom.js'
].forEach(function(elem){
	script+=fs.readFileSync(elem, 'utf8');
});
frida.attach(processName).then(function (session) {
  return session.createScript(script);
}).then(function (script) {
  script.load().then(function () {
    console.log("script loaded");
  });
}).catch(function (err) {
  console.error(err);
});

В этом куске кода происходит следующее: считываем название процесса из аргументов(node app.js Client.exe->process.argv[2]->Client.exe) и указываем список js-файлов, которые будут встроены в таргетный процесс. Use strict нужен был ровно в 1 месте для использования class из ES6(самый простой способ, который нашел для реализации нужного функционала).
Далее вызывается подключение к целевому процессу, встраивание в него итоговой строки, составленной из содержимого js-файлов и инициализируется итоговый скрипт.

Пока вроде просто, не так ли?
Кстати, код здесь представлен не весь — только выжимка сути, т.к. код оригинального проекта довольно сильно изгажен всякими-разными тестовыми кусками.
Но хватит лирики, пойдем дальше.

В самом клиенте используется куча разных функций, вызывающих функции, вызывающих функции, вызывающих функции… убивающих мозг бесполезностью. Я использовал 2 функции, 1 для передачи, 2 для приема(до шифрования трафика).
В целом и общем, функция передачи выглядит как-то так:
SendToLocal(packetsize, (void*)packedata);
где packetdata — некая структура, в общем виде выглядящая как-то так:

struct PG_Move_CtoL_PlayerMoveObject
{
	GamePGCommandEnum Command;
	int GItemID;  
	RolePosStruct Pos;
	ClientMoveTypeENUM Type;	
	float vX;
	float vY;
	float vZ;
	int AttachObjID;

	PG_Move_CtoL_PlayerMoveObject()
	{ Command = EM_PG_Move_CtoL_PlayerMoveObject; }
};

что, в общем-то(забегая наперед), приводится примерно к такому виду в js:

var Move_CtoL_PlayerMoveObject = new MakeStruct(Memory, memalloc, {
        command: {type: 'int', value: 24},
	gitemid: {type: 'int', value: 2045},
	x: {type: 'float', value: 1000.0},
	y: {type: 'float', value: 1000.0},
	z: {type: 'float', value: 1000.0},
	dir: {type: 'float', value: 154},
	type: {type: 'int', value: 0},					
	vX: {type: 'float', value: 0.0},
	vY: {type: 'float', value: 0.0},
	vZ: {type: 'float', value: 0.0},
	attachObjID: {type: 'int', value: 0}
});   

но об этом позже.

Итак, посмотрим на пример перехвата функции.

	Interceptor.attach(ptr("0x6694E0"), {
	    onEnter: function(args) {
			var dataptr = ptr(args[2]);
			var val = Memory.readU32(dataptr);	
            }
       }

В общем-то, все тривиально просто: 0x6694E0 — адрес перехватываемой функции, onEnter — эвент при вызове функции(еще есть onLeave, подробнее смотрите JS API), args — аргументы перехватывамой функции.
В моем случае помним, что перехватывается функция SendToLocal((int)size,(void*)data), а значит, в args[2] лежит указатель на data(ptr преобразовывает его в NativePointer(довольно удобную обертку для работы с указателями). Этот кусок кода эквивалентен чему-то вроде такого в плюсах(если не ошибаюсь, с плюсами у меня как-то не очень сложилось):

void SendToLocal( int Size , void* Data ){
int *dataptr=(int*)Data;
int val = dataptr[0];
}

Если посмотрим чуть выше, на Move_CtoL_PlayerMoveObject, то увидим, что val==Move_CtoL_PlayerMoveObject.command. Я использую это дальше для получения имени пакета по его command id(var packetname=GamePGCommandEnum.enumName(val), где GamePGCommandEnum — самопальная функция по переносу C++ enum в js, а GamePGCommandEnum.enumName — получение названия enum'а по его id).

Прелесть этого вот Interceptor.attach в том, что он вызывается до вызова оригинальной функции, а значит, никто не мешает изменить аргументы или даже перезаписать память передаваемых данных по полученному указателю). К примеру, используем что-нибудь в духе args[1]=10101010101, то поведение функции может крайне озадачить(начиная от краша клиента и заканчивая игнорированием пакета, т.к. изменили размер передаваемых данных).

Перейдем к MakeStruct — функции, нужной для десериализации бинарных данных в подобие структуры.

function toString(buf, length) {
	var binary=new Uint8Array(buf);
	var result=new Uint8Array(length);
	for(var i=0; i<result.length; i++)
		result[i]=binary[i];
	//console.log(length, result);
	return String.fromCharCode.apply(null, result);
}
function fromString(str, length) {
  var buf = new ArrayBuffer(length); // 2 bytes for each char
  var bufView = new Uint8Array(buf);
  for (var i=0, strLen=length; i<strLen; i++) {
  	if(i<str.length)
    	bufView[i] = str.charCodeAt(i);
    else
    	bufView[i] = 0;
  }
  return buf;
}

var MakeStruct = function(Memory, ptr, options){
	var _this=this;
	_this.offset = 0;
	_this.struct={};
	_this.types={
		byte: function(name, size){
			_this.struct[name] = {
				type: 'byte',
				value: Memory.readS8(ptr.add(_this.offset)),
				size: 1,
				offset: _this.offset
			};
			_this.offset+=1;
		},
		short: function(name, size){
			_this.struct[name] = {
				type: 'short',
				value: Memory.readS16(ptr.add(_this.offset)),
				size: 2,
				offset: _this.offset
			};
			_this.offset+=2;
		},
		int: function(name, size){
			_this.struct[name] = {
				type: 'int',
				value: Memory.readS32(ptr.add(_this.offset)),
				size: 4,
				offset: _this.offset
			};
			_this.offset+=4;
		},
		float: function(name, size){
			_this.struct[name] = {
				type: 'float',
				value: Memory.readFloat(ptr.add(_this.offset)),
				size: 4,
				offset: _this.offset
			};
			_this.offset+=4;
		},
		string: function(name, size, typesize){
			//console.log(size, typesize);
			var mem=Memory.readByteArray(ptr.add(_this.offset), typesize);
			_this.struct[name] = {
				type: 'string',
				value: toString(mem, size),
				size: typesize,
				offset: _this.offset
			};
			_this.offset+=typesize;
		},
		bytes: function(name, size){			
			var mem=Memory.readByteArray(ptr.add(_this.offset), size);
			_this.struct[name] = {
				type: 'bytes',
				value: mem,				
				size: size,
				offset: _this.offset
			};
			_this.offset+=size;
		}
	};

	_this.update = function(){
		for(var key in _this.struct){
			if(_this.struct.hasOwnProperty(key)){
				var item=_this.struct[key];
				switch(item.type){
					case 'byte': Memory.writeS8(ptr.add(item.offset), item.value); break;
					case 'short': Memory.writeS16(ptr.add(item.offset), item.value); break;
					case 'int': Memory.writeS32(ptr.add(item.offset), item.value); break;
					case 'float': Memory.writeFloat(ptr.add(item.offset), item.value); break;
					case 'bytes': Memory.writeByteArray(ptr.add(item.offset), item.value); break;
					case 'string': 
						Memory.writeByteArray(ptr.add(item.offset), fromString(item.value, item.size));
					break;
				}
			}
		}
	}
	_this.sizeof = function(){
		var s=0;
		for(var key in _this.struct){
			if(_this.struct.hasOwnProperty(key) && _this.struct[key].size){
				s+=_this.struct[key].size*1;
			}
		}
		return s;
	}
	_this.print = function(){
		for(var key in _this.struct){
			if(_this.struct.hasOwnProperty(key) && _this.struct[key].size){
				console.log(key, _this.struct[key].value);
			}
		}
		console.log('');
	}

	_this.struct['update']=_this.update;
	_this.struct['sizeof']=_this.sizeof;
	_this.struct['print']=_this.print;
	_this.struct['ptr']=ptr;

	for(var key in options){
		if(options.hasOwnProperty(key)){			
			var elem=options[key];
			_this.types[elem.type](key, typeof elem.size==="number" ||
										typeof elem.size==="undefined"?elem.size:_this.struct[elem.size].value, elem.typesize);		

			if(elem.value)
				_this.struct[key].value=elem.value;
		}
	}
	
	return _this.struct;
};

Функции toString/fromString — хэлперы для работы с char array. Остальное, по факту, обертки на считыванием/записью из frida для более удобной работы. Используется это как-то так:

Interceptor.attach(ptr("0x60CCC0"), {
    onEnter: function(args) {
		var dataptr = ptr(args[1]);
		var val = Memory.readS16(dataptr);
		var packetname=GamePGCommandEnum.enumName(val);
		if(packetname=="EM_PG_Move_CtoL_PlayerMoveObject"){
			var Move_CtoL_PlayerMoveObject = new MakeStruct(Memory, dataptr, {
				command: {type: 'int'},
				gitemid: {type: 'int'},
				x: {type: 'float'},
				y: {type: 'float'},
				z: {type: 'float'},
				dir: {type: 'float'},
				type: {type: 'int'},					
				vX: {type: 'float'},
				vY: {type: 'float'},
				vZ: {type: 'float'},
				attachObjID: {type: 'int'}
			});  
			Move_CtoL_PlayerMoveObject.x.value+=100;
			Move_CtoL_PlayerMoveObject.update();
			Move_CtoL_PlayerMoveObject.print();
		}
	}
});

заставит персонажа прикольно телемпаться при беге(координата x будет увеличиваться на 100 относительно реальной, а сервер будет недоумевать по поводу произошедшего).

Ну и на закуску — пример вызова функции.
Я использую обертку над NativeFunction из Frida.

var _sendToLocal=new NativeFunction(ptr("0x60CCC0"), 'void', ['int', 'pointer']);
var _setpos=new NativeFunction(ptr("0x79AE70"), 'void', ['pointer']);
function _Send(obj){
	_sendToLocal(obj.sizeof(),obj.ptr);
}

class Structs{	
	_gmcommand(ptr){
		var memalloc = ptr||Memory.alloc(4096);
		var v = "";
		var Talk_CtoL_GMCommand = new MakeStruct(Memory, memalloc, {
			command: {type: 'int', value: 154},
			gitemid: {type: 'int', value: 0},
			contentsize: {type: 'int', value: v.length},
			content: {type: 'string', typesize: 512, size: 'contentsize', value: v},
		});     
		return Talk_CtoL_GMCommand;
	}
	_moveTest(ptr){
		var memalloc = ptr||Memory.alloc(4096);
		var Move_CtoL_PlayerMoveObject = new MakeStruct(Memory, memalloc, {
			command: {type: 'int', value: 24},
			gitemid: {type: 'int', value: 2045},
			x: {type: 'float', value: 1000.0},
			y: {type: 'float', value: 1000.0},
			z: {type: 'float', value: 1000.0},
			dir: {type: 'float', value: 154},
			type: {type: 'int', value: 0},					
			vX: {type: 'float', value: 0.0},
			vY: {type: 'float', value: 0.0},
			vZ: {type: 'float', value: 0.0},
			attachObjID: {type: 'int', value: 0}
		});   
		return Move_CtoL_PlayerMoveObject;
	}
};

function _call(name, args, ptr){
	var struct = new Structs();
	var s=struct[name](ptr);
	for(var i in args){
		s[i].value=args[i];
	}
	s.update();
	_Send(s);
}

Немножко поподробнее: class — сахарок для js-прототипов, в данном случае позволяющий легко получить функцию по имени без извращений с eval'ом или что-там-еще-может-прийти-в-голову-в-3-часа-ночи.
_call вызывается как-то так:

	var cmd="give 0x31194";
	_call('_gmcommand', {
		contentsize: cmd.length,
		content: cmd
	});

в данном случае эквивалентно вызову в чате /gm? give 0x31994(гм-команда для выдачи вещи по ее ID).

_setpos — еще один биндинг к реальной полу-гм функции клиента, позволяющей изменять координаты персонажа в клиенте и на сервере, принимая в качестве аргумента строку с 3 координатами. Зарядив что-нибудь в духе

        var memalloc = Memory.alloc(128);
	var q=-4050.7;
	setInterval(function(){
		Memory.writeUtf8String(memalloc, q+++", 244.5, -8251.9");
		_setpos(memalloc);
	}, 100);

получаем персонажа в состоянии delirium tremens(его неслабо колбасит, кстати).

В общем и целом, на данный момент я использовал frida больше для развлечения и разминки мозгов, однако, при должном подходе, она может превратиться в весьма достойный инструмент для исследования различного рода процессов.
Спасибо за внимание, надеюсь, вам понравилось.

И напоследок, материалы:

Сайт Frida
Frida JS API
Frida-node
Class в ECMAScript 6
Конь