Khai thác ngăn xếp bộ đệm tràn [sửa]Phương pháp kinh điển cho khai thác lỗi tràn bộ đệm ngăn xếp dựa là ghi đè địa chỉ trả lại chức năng với một con trỏ đến kẻ tấn công kiểm soát dữ liệu (thường là vào ngăn xếp chính nó).[3][6] điều này được minh họa trong ví dụ dưới đây:Một ví dụ với strcpy#include void foo (char * bar){ Char c [12]; strcpy (c, bar); không có giới hạn kiểm tra} int chính (int argc, char ** argv){ foo(argv[1]);}Mã này cần một đối số từ dòng lệnh và sao chép nó vào một ngăn xếp địa phương biến c. Điều này hoạt động tốt cho đối số dòng lệnh nhỏ hơn 12 ký tự (như bạn có thể nhìn thấy trong hình B dưới đây). Bất kỳ đối số lớn hơn 11 ký tự dài sẽ dẫn đến tham nhũng của ngăn xếp. (Số ký tự tối đa là an toàn là một ít hơn so với kích thước của bộ đệm ở đây bởi vì trong dây ngôn ngữ lập trình được chấm dứt bằng một ký tự byte không. Một đầu vào mười hai ký tự như vậy đòi hỏi mười ba byte để lưu trữ, đầu vào theo sentinel byte không. Các byte không sau đó kết thúc lên ghi đè lên một vị trí bộ nhớ là một byte vượt ra ngoài sự kết thúc của bộ đệm.)Stack chương trình foo() với nhiều đầu vàoA. - trước khi dữ liệu được sao chép.Sinh - các "Xin chào" là đối số dòng lệnh đầu tiên.Kh - "một A A A A A A A A A A A A A A A A A A x08 x35 xC0 x80" là đối số dòng lệnh đầu tiên.Thông báo trong hình C ở trên, khi một cuộc tranh cãi lớn hơn 11 byte được cung cấp trên dòng lệnh foo() ghi đè dữ liệu ngăn xếp địa phương, đã lưu khung con trỏ, và quan trọng nhất, địa chỉ trả lại. Khi foo() trở về nó hiện địa chỉ trả lại ra ngăn xếp và nhảy đến địa chỉ đó (tức là bắt đầu thực hiện hướng dẫn từ địa chỉ đó). Do đó, kẻ tấn công đã ghi đè địa chỉ trả lại với một con trỏ đến ngăn xếp bộ đệm char c [12], mà bây giờ chứa kẻ tấn công cung cấp dữ liệu. Trong một khai thác lỗi tràn bộ đệm thực tế ngăn xếp chuỗi "A" của thay vào đó sẽ shellcode phù hợp với nền tảng và mong muốn chức năng. Nếu chương trình này có các đặc quyền đặc biệt (ví dụ như SUID bit thiết lập để chạy như là siêu người dùng), sau đó những kẻ tấn công có thể sử dụng lỗ hổng này để đạt được quyền siêu người dùng trên máy tính bị ảnh hưởng.[3]Những kẻ tấn công cũng có thể sửa đổi nội bộ thay đổi giá trị để khai thác một số lỗi. Với ví dụ này:#include #include void foo (char * bar){ nổi My_Float = 10,5; Địa chỉ = 0x0023FF4C Char c [28]; Địa chỉ = 0x0023FF30 Sẽ in 10.500000 printf ("My nổi giá trị = %f
", My_Float); /* ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Bản đồ bộ nhớ: @: c cấp phát bộ nhớ #: My_Float cấp phát bộ nhớ * c * My_Float 0x0023FF30 0x0023FF4C | | @@@@@@@@@@@@@@@@@@@@@@@@@@@@##### foo ("chuỗi của tôi là quá dài! XXXXX"); memcpy sẽ đặt 0x1010C042 (về cuối nhỏ) trong giá trị My_Float. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~*/ memcpy (c, thanh, strlen(bar)); không có giới hạn kiểm tra... Sẽ in 96.031372 printf ("My nổi giá trị = %f
", My_Float);} int chính (int argc, char ** argv){ foo ("chuỗi của tôi là quá dài! x10x10xc0x42 "); trở về 0;}Nền tảng liên quan đến sự khác biệt [sửa]Một số nền tảng có sự khác biệt tinh tế trong thực hiện của ngăn xếp cuộc gọi có thể ảnh hưởng đến cách một khai thác lỗi tràn bộ đệm ngăn xếp sẽ làm việc. Một số kiến trúc máy tính lưu trữ địa chỉ trả lại cấp cao nhất của ngăn xếp cuộc gọi trong một đăng ký. Điều này có nghĩa rằng bất kỳ ghi đè địa chỉ trả lại sẽ không được sử dụng cho đến sau đó quấn cuộn của cuộc gọi stack. Một ví dụ khác của một máy cụ thể chi tiết mà có thể ảnh hưởng đến sự lựa chọn của kỹ thuật khai thác là một thực tế rằng hầu hết RISC phong cách kiến trúc máy sẽ không cho phép chiếm quyền truy cập vào bộ nhớ.[7] kết hợp với một chiều dài cố định cho máy mã này giới hạn máy có thể làm cho nhảy ESP kỹ thuật gần như không thể để thực hiện (với một ngoại lệ là khi chương trình thực sự có chứa mã không để nhảy một cách rõ ràng để đăng ký ngăn xếp).[8][9]Ngăn xếp lớn lên [sửa]Trong chủ đề của ngăn xếp tràn bộ đệm, một kiến trúc thường thảo luận nhưng hiếm khi là một trong đó ngăn xếp phát triển theo hướng đối diện. Sự thay đổi này trong kiến trúc thường xuyên được đề nghị như là một giải pháp cho vấn đề tràn bộ đệm ngăn xếp vì bất kỳ tràn của một bộ đệm ngăn xếp xảy ra trong cùng một ngăn xếp khung có thể không ghi đè lên con trỏ trở lại. Các điều tra thêm này bảo vệ tuyên bố tìm thấy nó là một giải pháp ngây thơ lúc tốt nhất. Bất kỳ tràn xảy ra trong một bộ đệm từ một khung stack trước vẫn sẽ ghi đè lên một con trỏ trở lại và cho phép cho khai thác độc hại của các lỗi.[10] Ví dụ, trong ví dụ trên, con trỏ trở lại cho foo sẽ không được ghi đè bởi vì tràn thực sự xảy ra trong khung stack cho strcpy. Tuy nhiên, bởi vì các bộ đệm tràn trong các cuộc gọi đến strcpy nằm trong một khung stack trước, con trỏ trở lại cho strcpy sẽ có một địa chỉ bộ nhớ số lượng cao hơn bộ đệm. Điều này có nghĩa rằng thay vì con trỏ trở lại cho foo được ghi đè, con trỏ trở lại cho strcpy sẽ được ghi đè. Nhất điều này có nghĩa rằng ngày càng tăng ngăn xếp theo hướng đối diện sẽ thay đổi một số chi tiết về làm thế nào ngăn xếp bộ đệm tràn được khai thác, nhưng nó sẽ không làm giảm đáng kể số lượng khai thác lỗi.Chương trình bảo vệ [sửa]Bài chi tiết: bộ đệm tràn bảo vệTrong những năm qua một số đề án đã được phát triển để ức chế độc hại ngăn xếp khai thác lỗi tràn bộ đệm. Chúng thường có thể được phân thành ba loại:Phát hiện rằng một lỗi tràn bộ đệm ngăn xếp đã xảy ra và do đó ngăn chặn chuyển hướng của con trỏ hướng dẫn đến mã độc hại.Ngăn chặn việc thực hiện các mã độc hại từ các ngăn xếp mà không trực tiếp phát hiện lỗi tràn bộ đệm ngăn xếp.Ngẫu nhiên không gian bộ nhớ như vậy mà tìm thực thi mã trở nên không đáng tin cậy.Chim hoàng yến ngăn xếp [sửa]Ngăn xếp chim hoàng yến, đặt theo tên của họ tương tự để một canary tại mỏ than, được sử dụng để phát hiện một lỗi tràn bộ đệm ngăn xếp trước khi thực hiện các mã độc hại có thể xảy ra. Phương pháp này hoạt động bằng cách đặt một số nguyên nhỏ, giá trị trong đó chọn ngẫu nhiên bắt đầu chương trình, trong bộ nhớ ngay trước khi con trỏ trở lại ngăn xếp. Hầu hết các tràn bộ đệm ghi đè lên các bộ nhớ từ thấp đến cao hơn bộ nhớ địa chỉ, do đó, để ghi đè lên con trỏ trở lại (và do đó kiểm soát của quá trình) giá trị canary phải cũng được ghi đè. Giá trị này được kiểm tra để đảm bảo rằng nó đã không thay đổi trước khi một thói quen sử dụng con trỏ trở lại vào ngăn xếp.[2] kỹ thuật này đáng kể có thể làm tăng khó khăn trong việc khai thác lỗi tràn bộ đệm ngăn xếp vì nó buộc kẻ tấn công để giành quyền kiểm soát của con trỏ hướng dẫn bởi một số phương tiện phòng không truyền thống như corrupting biến quan trọng khác vào ngăn xếp.[2]Xem thêm thông tin: Canary giá trịNgăn xếp nonexecutable [sửa]Bài chi tiết: ngăn cản thực thi dữ liệuMột cách tiếp cận đến việc phòng chống khai thác lỗi tràn bộ đệm ngăn xếp là để thực hiện một chính sách bộ nhớ trên vùng bộ nhớ ngăn xếp mà không cho phép thực hiện từ ngăn xếp (W ^ X, "Viết XOR Execute"). Điều này có nghĩa là để thực hiện shellcode từ ngăn xếp một kẻ tấn công phải hoặc tìm một cách để vô hiệu hóa bảo vệ thực hiện từ bộ nhớ, hoặc tìm một cách để đưa cô tải trọng shellcode trong một khu vực bảo vệ phòng không của bộ nhớ. Phương pháp này đang trở nên phổ biến hơn bây giờ mà hỗ trợ phần cứng cho cờ no-execute là có sẵn trong hầu hết các bộ vi xử lý máy tính để bàn.Trong khi phương pháp này chắc chắn làm cho phương pháp tiếp cận kinh điển để ngăn xếp thất bại khai thác lỗi tràn bộ đệm, nó không phải là không có vấn đề của nó. Đầu tiên, nó là phổ biến để tìm cách để lưu trữ shellcode trong khu vực bộ nhớ không được bảo vệ như heap, và vì vậy rất ít cần sự thay đổi trong cách của khai thác.[11]Ngay cả nếu điều này là không phải như vậy, có những cách khác. Tổn thương nhất là cái gọi là quay trở lại libc phương pháp để shellcode tạo. Trong cuộc tấn công này trọng độc hại sẽ tải ngăn xếp không với shellcode, nhưng với một cuộc gọi đúng ngăn xếp để thực hiện trán để một chuỗi thư viện chuẩn cuộc gọi, thường với các hiệu ứng của vô hiệu hóa bộ nhớ thực hiện bảo vệ và cho phép shellcode để chạy như bình thường.[12] điều này hoạt động vì thực hiện không bao giờ thực sự vector để ngăn xếp chính nó.Một biến thể của trở lại libc là theo định hướng trở về lập trình, trong đó thiết lập một loạt các trở lại địa chỉ, mỗi trong số đó thực hiện một chuỗi nhỏ của anh đào đã chọn máy hướng dẫn trong các hiện có chương trình mã hoặc hệ thống thư viện, trình tự mà kết thúc với sự quay trở lại. Những cái gọi là tiện ích mỗi thực hiện một số thao tác đơn giản đăng ký hoặc thực hiện tương tự như trước khi trở về, và stringing chúng với nhau đạt được kết thúc của kẻ tấn công. Ta thậm chí có thể sử dụng "returnless" lập trình theo định hướng trở lại bằng cách khai thác hướng dẫn hoặc nhóm hướng dẫn cư xử giống như một hướng dẫn trở lại.[13]Ngẫu nhiên [sửa]Thay vì tách mã từ các dữ liệu kỹ thuật giảm nhẹ khác là để giới thiệu ngẫu nhiên với không gian bộ nhớ của chương trình executing. Kể từ khi những kẻ tấn công phải xác định nơi cư trú của mã thực thi có thể được sử dụng, hoặc là một tải trọng thực thi được cung cấp (với một ngăn xếp thực thi) hoặc một được xây dựng bằng cách sử dụng mã tái sử dụng, chẳng hạn như trong ret2libc hoặc ROP (trở về hướng lập trình) randomizing bố trí bộ nhớ sẽ là một khái niệm ngăn chặn kẻ tấn công từ biết bất kỳ mã ở đâu. Tuy nhiên việc triển khai thông thường sẽ không ngẫu nhiên tất cả mọi thứ, thông thường tập tin thực thi chính nó được nạp tại một địa chỉ cố định và do đó ngay cả khi ASLR (địa chỉ Space giao diện ngẫu nhiên) kết hợp với một chồng nonexecutable những kẻ tấn công có thể sử dụng khu vực cố định này của bộ nhớ. Do đó tất cả chương trình nên được biên soạn với bánh (vị trí độc lập thực thi) như vậy mà ngay cả khu vực này của bộ nhớ ngẫu nhiên. Entropy của ngẫu nhiên là khác nhau từ thực hiện để thực hiện và một e thấp
đang được dịch, vui lòng đợi..
![](//viimg.ilovetranslation.com/pic/loading_3.gif?v=b9814dd30c1d7c59_8619)