搜索

[12292] 2018-01-28_关于CPU漏洞Spectre的详细分析

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2018-01-28_关于CPU漏洞Spectre的详细分析 关 于 C P U 漏 洞 S p e c t r e 的 详 细 分 析 a l p h a l a b   F r e e B u f   2 0 1 8 - 0 1 - 2 8 一 一   前 言 前 言 阿 尔 法 实 验 室 研 究 人 员 通 过 结 合 阿 尔 法 实 验 室 研 究 人 员 通 过 结 合 P O C 对 整 个 漏 洞 原 理 流 程 还 有 漏 洞 细 节 做 了 进 一 步 更 详 细 的 技 术 分 析 。 对 整 个 漏 洞 原 理 流 程 还 有 漏 洞 细 节 做 了 进 一 步 更 详 细 的 技 术 分 析 。 在 本 文 中 将 详 细 分 析 在 本 文 中 将 详 细 分 析 P O C 中 每 个 环 节 的 关 键 点 和 漏 洞 的 所 有 细 节 ， 包 括 漏 洞 形 成 的 原 因 、 漏 洞 攻 击 思 路 和 方 中 每 个 环 节 的 关 键 点 和 漏 洞 的 所 有 细 节 ， 包 括 漏 洞 形 成 的 原 因 、 漏 洞 攻 击 思 路 和 方 法 、 漏 洞 攻 击 流 程 ， 还 有 如 何 在 浏 览 器 中 利 用 此 漏 洞 ， 造 成 什 么 样 的 影 响 。 法 、 漏 洞 攻 击 流 程 ， 还 有 如 何 在 浏 览 器 中 利 用 此 漏 洞 ， 造 成 什 么 样 的 影 响 。 二 二   P O C 流 程 介 绍 流 程 介 绍 先 介 绍 下 p o c 执 行 流 程 （ 图   2 . 1 ） 图   2 . 1 是 一 段 利 用 分 支 执 行 漏 洞 的 代 码 ， 有 这 段 代 码 才 能 在 分 支 预 算 并 推 测 执 行 ， 我 们 要 获 取 的 是 放 入 内 存 中 的 s e c r e t “ T o p s e c   t e s t   t h i s   v u l ! ! “ 这 段 字 符 。   T o p s e c 中 的 T 的 地 址 用 a d d r （ T ） 表 示 （ 图 2 . 2 ） 图 2 . 2 中 的 编 号 1 （ m a l i c i o u s _ x   会 被 传 入 到 v i c t i m _ f u n c t i o n 中 ， 因 为 m a l i c i o u s _ x   =   a d d r （ T ） - a d d r （ a r r a y 1 ） ， 所 以 a r r a y 1 [ m a l i c i o u s _ x ]   = T   ， 这 个 原 理 跟 数 组 寻 址 有 关 。 我 们 只 要 知 道 a r r a y 1 [ x ] 就 是 我 们 的 s e c r e t 中 的 “ T ” ， 而 且 正 常 情 况 下 ， 如 果 x 比 a r r a y 1 _ s i z e 值 大 ， a r r a y 1 [ x ] 是 没 办 法 读 取 的 ， 但 是 如 果 做 一 个 训 练 让 x 值 前 几 次 都 比 a r r a y 1 _ s i z e 小 ， 然 后 放 入 m a l i c i o u s _ x ， 如 此 循 环 几 次 触 发 了 分 支 预 算 ， c p u 预 算 出 x 比 a r r a y 1 _ s i z e 小 的 概 率 很 大 ， 当 m a l i c i o u s _ x 再 次 放 入 时 候 （ 这 个 m a l i c i o u s _ x 实 际 上 是 比 a r r a y 1 _ s i z e 大 的 ） ， c p u 就 推 测 m a l i c i o u s _ x 比 a r r a y 1 _ s i z e 小 ， 导 致 推 测 执 行 了 读 取 了 （ a r r a y 1 [ x ] 的 值 * 5 1 2 ） 作 为 下 标 放 入 了 a r r a y 2 中 ， 但 是 系 统 是 有 保 护 的 ， 因 为 m a l i c i o u s _ x 已 经 超 出 了 数 组 a r r a y 1 的 大
小 ， 只 是 C P U 缓 存 区 在 计 算 读 取 的 数 据 放 到 了 C P U 的 缓 存 中 ， 因 为 异 常 所 以 并 没 有 真 正 的 执 行 写 入 到 内 存 中 。 这 就 是 漏 洞 产 生 的 原 因 ， 下 面 会 有 数 据 来 更 详 细 的 解 释 。 图 2 . 2 编 号 2 中 的 l e n = 2 4 就 是 我 们 “ T o p s e c   t e s t   t h i s   v u l ! ! “ 的 长 度 ， 图 2 . 2 编 号 3 中 会 打 印 s e c r e t 第 一 个 偏 移 地 址 A 0   R e a d i n g a t   m a l i c i o u s _ x   =   0 0 0 0 0 0 0 0 0 0 0 0 0 0 A 0 … 图 2 . 2 编 号 4 中 r e a d M e m o r y B y t e   函 数 中 可 以 看 到 有 三 个 参 数 ， 第 一 个 是 s e c r e t 的 地 址 ， v u l u e 是 s e c r e c t 的 值 ， s c o r e 中 是 评 分 值 。 以 下 是 介 绍 攻 击 者 模 拟 一 个 训 练 集 让 C P U 执 行 分 支 预 测 并 推 测 执 行 。 （ 图 2 . 3 ） 图 2 . 3 编 号 1 和 3 是 清 空 数 组 的 在 c p u 的 缓 存 ， 图 2 . 3 编 号 2 是 我 们 训 练 集 的 值 ， 开 始 为 7 然 后 递 减 循 环 不 超 过 1 6 这 个 a r r a y 1 _ s i z e 的 大 小 ， 每 个 训 练 5 组 ， 每 组 在 第 六 个 放 入 s e c r e t 的 地 址 ， 图 2 . 3 编 号 4 ， 5 ， 6 是 让 x 的 值 从 7 开 始 递 减 循 环 并 训 练 5 组 的 公 式 ， 图 2 . 3 编 号 7 是 调 用 有 漏 洞 的 函 数 。 如 何 触 发 漏 洞 后 面 会 讲 。 三 三   漏 洞 原 理 详 细 介 绍 漏 洞 原 理 详 细 介 绍 该 漏 洞 触 发 原 因 是 分 支 预 测 ， 什 么 是 分 支 ， 判 断 就 是 分 支 。 什 么 是 预 测 ， 有 一 些 数 据 提 供 判 断 的 依 据 去 推 断 就 是 预 测 。 比 如 有 一 个 数 据 集 x ， 这 个 x 可 以 是 攻 击 者 伪 造 的 ， 攻 击 者 设 计 了 好 多 比 a r r a y 1 _ s i z e 小 的 数 据 集 去 让 系 统 执 行 分 支 预 测 这 个 功 能 ， 让 分 支 预 测 的 结 果 一 直 是 x 比 a r r a y 1 _ s i z e 小 ， 这 里 a r r a y 1 _ s i z e 的 大 小 是 1 6 ， u n s i g n e d   i n t   a r r a y 1 _ s i z e   =   1 6 ; 下 面 的 这 个 图 是 我 打 印 的 x 的 值 ， x 先 从 7 开 始 放 入 v i c t i m _ f u n c t i o n ( x ) 中 ， 每 次 循 环 有 五 组 训 练 集 ， 7 开 始 为 第 一 个 训 练 集 ， 在 这 个 训 练 集 中 ， 每 次 放 入 5 个 7 ， 第 六 个 放 入 m a l i c i o u s _ x 也 就 是 A 0 ,   前 五 次 放 入 v i c t i m _ f u n c t i o n 函 数 中 的 是 5 个 7 <   a r r a y 1 _ s i z e = 1 6 ， 这 是 在 训 练 C P U 的 分 支 预 测 功 能 ， 让 c p u 分 支 预 测 以 为 x 比 a r r a y 1 _ s i z e 的 值 小 ， 再 第 六 个 突 然 放 入 了 一 个 比 a r r a y 1 _ s i z e 大 的 值 也 就 是 i f   ( x   <   a r r a y 1 _ s i z e )
m a l i c i o u s _ x   = 0 x A 0 ， 照 成 了 越 界 访 问 抛 出 了 异 常 ， 但 是 这 时 候 推 测 执 行 已 经 把 ” T * 5 1 2 ” 作 为 a r r a y 2 的 数 组 下 标 并 取 值 放 到 了 c u p 缓 存 中 ， 但 是 并 没 有 真 正 的 去 执 行 ， 如 果 你 在 判 断 里 打 印 x 的 值 ， 你 会 发 现 不 会 有 m a l i c i o u s _ X , 只 有 0 ~ 1 5 这 几 个 值 。 因 为 系 统 还 是 有 保 护 的 ， 发 现 异 常 后 c p u 不 会 把 计 算 后 的 值 写 入 内 存 ， 不 然 这 个 漏 洞 就 不 光 是 可 以 读 数 据 了 ， 如 果 没 有 这 层 保 护 ， 那 这 个 漏 洞 影 响 就 更 大 了 。 接 下 来 的 训 练 集 是 递 减   ( 7 ， 6 ， 5 ， 5 ， 3 ， 2 ， 1 ， 1 5 ， 1 4 ， 1 3 , 1 2 , 1 1 … )   , 每 组 五 次 一 直 循 环 ， 直 到 找 到 我 们 要 的 结 果 。 之 所 以 训 练 这 么 多 组 是 因 为 训 练 的 越 多 ， 让 分 支 预 测 按 攻 击 者 的 逻 辑 判 断 去 执 行 的 成 功 率 越 大 ， 简 单 说 就 是 一 组 不 行 两 组 两 组 不 行 三 组 直 到 计 算 出 来 为 止 。 下 面 我 们 介 绍 r e a d M e m o r y B y t e   函 数 中 的 旁 路 攻 击 ，   因 为 之 前 的 a r r a y 2 的 下 标 a r r a y 1 [ m a l i c i o u s _ x ] * 5 1 2 的 值 已 经 在 c p u 的 缓 存 中 ， 然 后 通 过 遍 历 数 组 a r r a y 2 中 哪 个 地 址 的 访 问 速 度 快 就 是 可 能 是 我 们 的 s e c r e t 。 访 问 时 间 快 就 能 获 取 到 s e c r e t 的 原 因 是 因 为 漏 洞 导 致 & a r r a y 2 [ a r r a y 1 [ m a l i c i o u s _ x ] * 5 1 2 ] 这 个 地 址 中 的 数 据 已 经 在 c p u 缓 存 中 了 ， 同 时 在 循 环 中 清 空 了 训 练 数 （ 1 ~ 1 5 ） 在 c p u 中 的 缓 存 （ 见 图 2 . 3 - 3 ） 。 C p u 访 问 a r r a y 2 时 候 会 先 访 问 c p u 缓 存 中 是 否 有 ， 缓 存 没 有 数 据 再 去 读 内 存 中 数 据 ， 这 是 c p u 缓 存 存 在 的 意 义 ， 因 为 传 统 的 内 存 访 问 速 度 慢 ， 用 这 种 缓 存 机 制 可 以 提 升 c p u 的 运 算 速 度 。 然 后 我 们 的 t i m e 2 其 实 就 是 访 问 a r r a y 2 数 据 的 时 间 差 ， 如 果 这 个 时 间 差 小 于 一 个 阈 值 （ 这 个 阈 值 在 不 同 c p u 不 同 系 统 不 同 解 析 器 中 肯 定 是 不 一 样 的 ） ， 而 且 会 有 个 时 间 上 的 规 律 ， 如 果 t i m e 2 比 这 个 阈 值 小 于 或 者 等 于 ， 就 可 以 认 为 这 个 时 候 的 a r r a y 2 的 的 访 问 时 间 比 没 在 c p u 缓 存 中 的 访 问 时 间 快 ， 因 为 1 ~ 1 5 在 c p u 缓 存 中 被 清 空 了 ， 只 剩 下 了 留 在 c p u 缓 存 中 的 m a l i c o u s _ X , 如 果 他 的 访 问 时 间 快 ， 那 么 这 个 时 候 的 a r r a y 2 中 的 下 标 中 就 是 我 们 的 要 们 要 找 的 s e c r e t 了 。
寻 找 s e c r e t 的 方 法 是 a r r a y 2 [ m i x _ i 5 1 2 ] 中 的 m i x _ i 就 是 我 们 要 找 的 s e c r e t ， 因 为 a r r a y 2 [ v a l u e ( T )   5 1 2 ] ， 只 不 过 需 要 时 间 上 的 判 断 到 底 哪 个 m i x _ i 是 s e c r e t ， 如 果 命 中 ， 给 s c o r e 打 分 加 一 ， 然 后 做 了 命 中 的 筛 选 ， 可 以 看 到 高 命 中 打 分 大 于 = 2 倍 低 命 中 加 5 ， 或 者 只 有 最 高 命 中 s c o r e = 2 时 候 就 代 表 命 中 率 达 到 我 们 需 求 了 。 四 四   J a v a s c r i p t   攻 击 攻 击 c h r o m e 上 面 的 攻 击 过 程 是 可 以 通 过 浏 览 器 加 载 j s 脚 本 实 现 获 取 私 有 内 存 的 攻 击 ， 当 一 个 浏 览 器 网 页 里 嵌 入 攻 击 j s 恶 意 代 码 ， 就 可 以 获 取 到 浏 览 器 中 的 私 有 数 据 ， 比 如 个 人 的 登 陆 凭 证 密 码 等 。 在 原 英 文 版 中 提 到 的 是 在 c h r o m e 浏 览 器 中 实 现 了 这 次 攻 击 。 而 c h r o m e 中 使 用 的 是 v 8 引 擎 ， 他 在 执 行 之 前 把 j a v a s c r i p t 编 译 成 了 机 器 码 来 提 高 性 能 。 经 过 分 析 逻 辑 上 应 用 上 基 本 跟 S p e c t r e 是 一 样 的 。 i n d e x   先 放 入 比 s i m p l e B y t e A r r a y . l e n g t h 小 的 数 ， 然 后 放 入 m a l i c i o u s _ x , 让 c p u 预 测 以 为 m a l i c i o u s _ X 比 l e n g t h 小 ， 然 后 推 测 执 行 后 面 的 c o d e ， 后 面 的 计 算 和 赋 值 只 是 放 到 了 c p u 的 缓 存 中 了 ， 并 没 有 真 正 的 去 执 行 ， 可 以 在 判 断 后 打 印 m a l i c i o u s _ X 试 一 下 ， 肯 定 是 没 办 法 打 印 m a l i c i o u s _ x 的 值 的 ， 这 个 原 理 跟 上 面 是 一 样 的 ， 下 面 让 我 们 通 过 结 合 汇 编 来 分 析 具 体 的 漏 洞 细 节 。 首 先 看 看 触 发 预 测 执 行 的 函 数 V 8   编 译 机 器 码 后 ： 1   c m p l   r 1 5 , [ r b p - 0 x e 0 ]   ; 对 比 i n d e x 和 s i m p l e B y t e A r r a y . l e n g t h 的 大 小 2   j n c   0 x 2 4 d d 0 9 9 b b 8 7 0   ; 如 果   i n d e x   > =   l e n g t h 后 的 分 支 3   R E X . W   l e a q   r s i , [ r 1 2 + r d x * 1 ]   ; 设 置   r s i = r 1 2 + r d x =   s i m p l e B y t e A r r a y   第 一 个 字 节 的 地 址 类 似 我 们 上 面 的 A D D R （ T ） 4   m o v z x b l   r s i , [ r s i + r 1 5 * 1 ]   ; 从   r s i + r 1 5   ( =   基 地 址 + i n d e x )   读 取 数 据 5   s h l l   r s i ,   1 2   ; r s i   *   4 0 9 6 =   T A B L E 1 _ S T R I D E , 使 他 左 移 1 2 字 节 6   a n d l   r s i , 0 x 1 f f f f f f   ; 这 个 是 ， 清 空 r s i 的 前 三 位 为 0 ， 目 的 是 放 入 p r o b e T a b l e 数 据 不 能 超 过 p r o b e T a b l e 的 l e n g t h ，   这 里 的 p r o b e T a b l e 跟 S p e c t r e 中 的 a r r a y 2 一 样 的 ， 不 能 超 过 p r o b e T a b l e （ a r r a y 2 ） 中 的 长 度 ， 因 为 异 常 了 就 没 办 法 推 测 执 行 把 我 们 的 m a l i c i o u s _ X 放 入 到 c p u 缓 存 中 了 7   m o v z x b l   r s i , [ r s i + r 8 * 1 ]   ;
从 p r o b e T a b l e 里 读 数 据 ， 跟 读 a r r a y 2 一 样 8   x o r l   r s i , r d i   ; X O R   t h e   r e a d   r e s u l t   o n t o   l o c a l J u n k 把 读 到 的 结 果 和 l o c a l j u n k 做 异 或 运 算 9   R E X . W   m o v q   r d i , r s i   ; 再 把 l o c a l j u n k   放 到 r d i 寄 存 器 中 五 五   总 结 ： 总 结 ： S p e c t r i a 攻 击 利 用 了 c p u 的 预 测 执 行 导 致 了 提 前 把 私 有 数 据 放 到 了 c p u 缓 存 中 ， 但 是 因 为 保 护 机 制 并 没 有 写 入 数 据 的 能 力 ， 同 时 我 们 并 没 有 直 接 读 取 c p u 缓 存 中 数 据 的 权 限 ， 不 过 可 以 通 过 计 算 访 问 数 组 的 时 间 上 做 判 断 获 取 到 下 标 中 的 之 前 放 入 的 私 有 数 据 。 同 样 对 于 浏 览 器 来 说 ， 漏 洞 触 发 原 理 跟 c 语 言 中 的 p o c 是 一 样 的 ， 只 不 过 因 为 j a v a s c r i p t 语 言 是 脚 本 语 言 有 很 多 不 足 ， 需 要 换 种 形 式 去 执 行 漏 洞 ， 比 如 可 以 看 到 每 个 数 组 下 标 都 有 和 0 去 作 或 的 运 算 ， 结 果 还 是 它 本 身 ， 只 不 过 在 做 数 据 类 型 转 换 成 i n t 了 ， 不 然 j a v a s c r i p t 的 数 组 下 标 是 不 能 获 取 c h a r 类 型 的 会 出 错 的 。 还 有 一 些 c 语 言 p o c 中 的 函 数 j a v a s c r i p t 中 也 没 有 ， 比 如 计 算 时 间 的 函 数 ， 清 空 c p u 缓 存 的 函 数 ， 但 是 都 可 以 通 过 其 他 形 式 去 弥 补 ， 最 终 都 能 实 现 获 取 私 有 数 据 的 能 力 。 目 前 可 以 想 象 到 的 远 程 操 作 的 影 响 是 ， 如 果 在 浏 览 网 站 的 时 候 ， 我 们 的 个 人 数 据 都 在 被 偷 偷 的 窃 取 ， 而 且 是 因 为 c p u 的 漏 洞 问 题 导 致 了 全 平 台 的 沦 陷 ， 范 围 和 影 响 力 都 是 非 常 之 大 。 * 本 文 作 者 ： a l p h a l a b ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理