搜索

[460] 2015-03-26_ASLRDEP绕过技术概览

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2015-03-26_ASLRDEP绕过技术概览 A S L R / D E P 绕 过 技 术 概 览 w i n s 0 n   A r k T e a m   2 0 1 5 - 0 3 - 2 6 在 经 典 的 栈 溢 出 模 型 中 ， 通 过 覆 盖 函 数 的 返 回 地 址 来 达 到 控 制 程 序 执 行 流 程 （ E I P 寄 存 器 ） ， 通 常 将 返 回 地 址 覆 盖 为 0 x 7 F F A 4 5 1 2 ， 这 个 地 址 是 一 条 J M P   E S P 指 令 ， 在 函 数 返 回 时 就 会 跳 转 到 这 个 地 址 去 执 行 ， 也 就 是 执 行 J M P   E S P ， 而 此 时 E S P 刚 好 指 向 我 们 在 栈 上 布 置 的 S h e l l c o d e ， 于 是 就 执 行 了 S h e l l c o d e 。 之 所 以 栈 上 的 数 据 能 被 执 行 ， 是 因 为 早 期 操 作 系 统 没 有 区 分 数 据 和 代 码 ， E I P 指 向 哪 里 就 去 哪 里 执 行 。 当 引 入 D E P （ D a t a E x e c u t i o n   P r e v e n t i o n   数 据 执 行 保 护 ） 之 后 ， 堆 、 栈 上 的 内 存 页 属 性 默 认 不 再 具 有 可 执 行 属 性 ， 此 时 如 果 想 直 接 在 栈 上 执 行 数 据 ， 就 会 发 生 错 误 ： 常 用 的 绕 过 D E P 的 技 术 室 R O P （ R e t u r n O r i e n t e d   P r o g r a m m i n g ， 早 期 也 叫 R e t 2 L i b c ） ， R O P 由 一 系 列 的   G a d g e t 组 成 。 所 谓 R O P   G a d g e t ， 就 是 一 系 列 以 r e t n 结 尾 的 指 令 ， 所 有 的 这 些 G a d g e t 组 合 起 来 就 能 完 成 特 定 的 任 务 ， 比 如 调 用 V i r t u a l P r o t e c t 给 指 定 的 内 存 块 添 加 可 执 行 属 性 。 为 了 达 到 稳 定 利 用 的 目 的 ， 要 求 选 取 的 G a d g e t 的 地 址 是 固 定 的 ， 无 论 是 什 么 时 候 ， 其 指 向 的 都 是 我 们 想 要 的 指 令 。 这 里
引 入 了 A S L R 的 概 念 。 A S L R 全 称 A d d r e s s S p a c e   L a y o u t   R a n d o m i z a t i o n ， 即 地 址 空 间 格 局 随 机 化 。 A S L R 使 得 加 载 程 序 时 不 再 使 用 固 定 的 加 载 基 地 址 加 载 。 该 技 术 需 要 操 作 系 统 以 及 应 用 程 序 的 双 重 支 持 ， A S L R 才 能 发 挥 正 常 的 作 用 。 支 持 A S L R 的 程 序 在 P E 头 中 会 设 置 I M A G E _ D L L _ C H A R A C T E R I S T I C S _ D Y N A M I C _ B A S E 标 识 表 明 其 支 持 A S L R 。 通 过 V i s u a l   S t u d i o 对 项 目 属 性 的 配 置 ， 可 以 使 二 进 制 文 件 支 持 A S L R ： A S L R 主 要 影 响 以 下 几 个 部 分 ， 分 别 为 ： 主 要 影 响 以 下 几 个 部 分 ， 分 别 为 ： 1 .   模 块 随 机 化 模 块 随 机 化 系 统 将 P E 文 件 映 射 到 内 存 时 ， 对 其 加 载 基 地 址 进 行 随 机 化 处 理 ， 这 个 地 址 在 系 统 启 动 时 确 定 ， 系 统 重 启 后 会 变 化 。 如 图 所 示 ， 用 O l l y d b g 加 载 一 个 应 用 程 序 ， 查 看 模 块 列 表 ：
重 启 操 作 系 统 后 再 次 查 看 ， 发 现 基 地 址 全 改 变 了 ： 2 .   堆 栈 随 机 化 堆 栈 随 机 化 每 次 程 序 加 载 后 ， 其 内 存 空 间 中 堆 、 栈 的 基 址 都 会 发 生 变 化 。 于 是 内 存 中 的 变 量 所 在 的 地 址 也 会 发 生 变 化 。 3 .   P E B / T E B 随 机 化 随 机 化 从 W i n d o w s   X P   S P 2 开 始 ， P E B 、 T E B 的 地 址 不 再 固 定 不 变 。 不 过 ， 几 乎 很 少 简 单 有 人 用 固 定 的 地 址 去 获 取 P E B 、 T E B 指 针 ， 而 是 通 过 f s 寄 存 器 进 行 定 位 。 T E B 可 以 用 F S   :   [ 1 8 h ] 获 取 P E B 可 以 从 T E B 偏 移 3 0 h 处 获 取 常 用 的 绕 过 常 用 的 绕 过 A S L R 的 方 法 有 ： 的 方 法 有 ： 1 .   攻 击 未 启 用 攻 击 未 启 用 A S L R 的 模 块 的 模 块 虽 然 有 映 像 随 机 化 ， 但 有 可 能 进 程 中 存 在 未 启 用 A S L R 的 模 块 。   前 面 提 到 的 R O P 技 术 要 求 从 一 个 固 定 的 地 址 获 取 G a d g e t ， 如 果 进 程 中 存 在 未 启 用 A S L R 的 模 块 ， 那 么 就 可 以 从 那 个 模 块 获 取 G a d g e t 了 。 使 用 O D 的 O l l y F i n d A d d r 插 件 可 以 快 速 找 到 进 程 空 间 中 未 启 用 A S L R 的 模 块 。 2 .   堆 喷 射 （ 堆 喷 射 （ H e a p S p r a y ） 技 术 ） 技 术 虽 然 有 堆 栈 随 机 化 ， 不 过 H e a p S p r a y 技 术 将 S h e l l C o d e 布 局 到 0 x 0 C 0 C 0 C 0 C （ 或 者 其 他 指 定 的 地 址 上 ， 通 常 这 个 地 址 要 比 较 大 ） ， 并 不 会 受 堆 栈 随 机 化 的 影 响 。 其 实 ， H e a p S p r a y 中 使 用 R O P 绕 过 D E P 的 时 候 ， 就 使 用 了 前 面 提 到 的 “ 攻 击 未 启 用 A S L R 的 模 块 ” 。 只 是 ， H e a p S p r a y 把 S h e l l C o d e 布 局 在 堆 上 。 3 .   覆 盖 部 分 返 回 地 址 覆 盖 部 分 返 回 地 址 映 像 随 机 化 中 ， 虽 然 模 块 的 加 载 基 地 址 发 生 变 化 ， 但 是 各 模 块 的 入 口 点 地 址 的 低 位 字 不 变 ， 只 有 高 位 字 进 行 了 随 机 化 处 理 。 对 于 地 址 0 x 1 2 3 4 5 6 7 8 ， 其 中 5 6 7 8 部 分 是 固 定 的 ， 如 果 存 在 缓 冲 区 溢 出 ， 可 以 通 过 m e m c p y 对 后 两 个 字 节 进 行 覆 盖 ， 可 以
将 其 设 置 为 0 x 1 2 3 4 0 0 0 0   ~   0 x 1 2 3 4 F F F F 中 的 任 意 一 个 值 。 如 果 通 过 s t r c p y 进 行 覆 盖 ， 因 为 s t r c p y 会 复 制 末 尾 的 结 束 符 0 x 0 0 ， 那 么 可 以 将 0 x 1 2 3 4 5 6 7 8 覆 盖 为 0 x 1 2 3 4 5 6 0 0 ， 或 者 0 x 1 2 3 4 0 0 0 1 ~   0 x 1 2 3 4 0 0 F F 。 部 分 返 回 地 址 覆 盖 ， 可 以 使 得 覆 盖 后 的 地 址 相 对 于 基 地 址 的 距 离 是 固 定 的 ， 可 以 从 基 地 址 附 近 找 可 以 利 用 的 跳 转 指 令 。 这 种 方 法 的 通 用 性 不 是 很 强 ， 因 为 覆 盖 返 回 地 址 时 栈 上 的 C o o k i e 会 被 破 坏 。 不 过 具 体 问 题 具 体 分 析 ， 为 了 绕 过 操 作 系 统 的 安 全 保 护 机 制 需 要 考 虑 各 种 各 样 的 情 况 。 4 .   J a v a   A p p l e t   S p r a y J a v a   A p p l e t 中 动 态 申 请 的 内 存 空 间 具 有 可 执 行 属 性 （ P A G E _ E X E C U T E _ R E A D W R I T E ） ， 类 似 H e a p S p r a y 技 术 ， 可 以 在 固 定 的 地 址 上 分 配 滑 板 指 令 ( 如 N O P ) 和 S h e l l C o d e ， 然 后 跳 转 到 那 个 地 址 上 面 去 执 行 。 和 常 规 的 H e a p S p r a y 不 同 ， A p p l e t 申 请 空 间 的 上 限 为 1 0 0 M B ， 而 常 规 的 H e a p S p r a y 可 以 达 到 1 G B 。 5 .   J I T   S p r a y J I T   ( J u s t   I n T i m e   C o m p i l a t i o n )   即 时 编 译 ， 也 就 是 解 释 器 （ 比 如 P y t h o n 解 释 器 ） 。 主 要 思 想 是 将   A c t i o n S c r i p t 代 码 中 进 行 大 量 的 X O R 操 作 。 然 后 编 译 成 字 节 码 ， 并 且 多 次 更 新 到 F l a s h   V M 中 ， 这 样 它 会 建 立 很 多 带 有 恶 意 X o r 操 作 的 内 存 块 。 例 如 ， 一 个 序 列 为 ： v a r   y = ( 0 x 1 1 2 2 3 3 4 4 ^ 0 x 4 4 3 3 2 2 1 1 ^ 0 x 4 4 3 3 2 2 1 ) ; 正 常 情 况 下 被 解 释 器 解 释 为 ： 如 果 非 常 规 的 跳 转 到 中 间 某 一 个 字 节 开 始 执 行 代 码 ， 结 果 就 是 另 一 番 景 象 了 ： 关 于 J I T 的 详 细 介 绍 ， 可 以 参 考 P o i n t e r I n f e r e n c e   a n d   J I T   S p r a y i n g 以 及 W r i t i n g   J I T - S p r a y   s h e l l c o d e   f o r   f u n   a n d   p r o f i t ， 文 章 末 尾 会 给 出 链 接 。 6 .   T o m b k e e p e r 在 在 C a n S e c W e s t   2 0 1 3 上 提 出 的 基 于 上 提 出 的 基 于 S h a r e d U s e r D a t a 的 方 法 的 方 法 从 W i n d o w s   N T   4 到 W i n d o w s   8 ， S h a r e d U s e r D a t a 的 位 置 一 直 固 定 在 地 址 0 x 7 f f e 0 0 0 0 上 。   从 W R K 源 代 码 中 n t i 3 8 6 . h 以 及 n t a m d 6 4 . h 可 以 看 出 ： # d e f i n e   M M _ S H A R E D _ U S E R _ D A T A _ V A   0 x 7 F F E 0 0 0 0 在 x 8 6   W i n d o w s 上 ， 通 过 W i n d b g ， 可 以 看 到 ： 0 : 0 0 1 >   d t   _ K U S E R _ S H A R E D _ D A T A   S y s t e m C a l l 0 x 7 f f e 0 0 0 0 n t d l l ! _ K U S E R _ S H A R E D _ D A T A + 0 x 3 0 0   S y s t e m C a l l   :   0 x 7 7 4 3 6 4 f 0 0 x 7 f f e 0 3 0 0 总 是 指 向 K i F a s t S y s t e m C a l l 0 : 0 0 1 >   u f   p o i ( 0 x 7 f f e 0 3 0 0 ) n t d l l ! K i F a s t S y s t e m C a l l : 7 7 4 3 6 4 f 0   8 b d 4   m o v   e d x , e s p 7 7 4 3 6 4 f 2   0 f 3 4   s y s e n t e r 7 7 4 3 6 4 f 4   c 3   r e t 反 汇 编 N t U s e r L o c k W o r k S t a t i o n 函 数 ， 发 现 其 就 是 通 过 7 f f e 0 3 0 0 进 入 内 核 的 ：
0 : 0 0 1 >   u f   U S E R 3 2 ! N t U s e r L o c k W o r k S t a t i o n U S E R 3 2 ! N t U s e r L o c k W o r k S t a t i o n : 7 5 f 7 0 f a d   b 8 e 6 1 1 0 0 0 0   m o v   e a x , 1 1 E 6 h 7 5 f 7 0 f b 2   b a 0 0 0 3 f e 7 f   m o v   e d x , o f f s e t   S h a r e d U s e r D a t a ! S y s t e m C a l l S t u b   ( 7 f f e 0 3 0 0 ) 7 5 f 7 0 f b 7   f f 1 2   c a l l   d w o r d   p t r   [ e d x ] 7 5 f 7 0 f b 9   c 3   r e t 其 中 1 1 E 6 是 N t U s e r L o c k W o r k S t a t i o n 的 服 务 号 （ S h a d o w S S D T 中 0 x 0 1 E 6 的 服 务 ） ， 通 过 X u e t r 可 以 看 到 ： 这 样 ， 在 触 发 漏 洞 前 合 理 布 局 寄 存 器 内 容 ， 用 函 数 在 系 统 服 务 ( S S D T   /   S h a d o w   S S D T ) 中 服 务 号 填 充 E A X 寄 存 器 ， 然 后 让 E I P 跳 转 到 对 应 的 地 方 去 执 行 ， 就 可 以 调 用 指 定 的 函 数 了 。 但 是 也 存 在 很 大 的 局 限 性 ： 仅 仅 工 作 于 x 8 6   W i n d o w s 上 ； 几 乎 无 法 调 用 有 参 数 的 函 数 。 6 4 位 W i n d o w s 系 统 上 0 x 7 f f e 0 3 5 0 总 是 指 向 函 数 n t d l l ! L d r H o t P a t c h R o u t i n e 。 H o t P a t c h B u f f e r 结 构 体 的 定 义 如 下 ： s t r u c t   H o t P a t c h B u f f e r   { U L O N G   N o t S o S u r e 0 1 ;   / /   & 0 x 2 0 0 0 0 0 0 0   ! =   0 U L O N G   N o t S o S u r e 0 2 ; U S H O R T   P a t c h e r N a m e O f f s e t ;   / /   结 构 体 相 对 偏 移 地 址 U S H O R T   P a t c h e r N a m e L e n ; U S H O R T   P a t c h e e N a m e O f f s e t ; U S H O R T   P a t c h e e N a m e L e n ; U S H O R T   U n k n o w n N a m e O f f s e t ; U S H O R T   U n k n o w n N a m e L e n } ; L d r H o t P a t c h R o u t i n e 调 用 方 式 ： v o i d   L d r H o t P a t c h R o u t i n e   ( s t r u c t   * H o t P a t c h B u f f e r ) ; 在 触 发 漏 洞 前 合 理 布 局 寄 存 器 内 容 ， 合 理 填 充 H o t P a t c h B u f f e r 结 构 体 的 内 容 ， 然 后 调 用 L d r H o t P a t c h R o u t i n e 。 如 果 是 网 页 挂 马 ， 可 以 指 定 从 远 程 地 址 加 载 一 个 D L L 文 件 ； 如 果 已 经 经 过 其 他 方 法 把 D L L 打 包 发 送 给 受 害 者 ， 执 行 本 地 加 载 D L L 即 可 。 此 方 法 通 常 需 要 H e a p S p r a y 协 助 布 局 内 存 数 据 ； 且 需 要 文 件 共 享 服 务 器 存 放 恶 意 D L L ； 只 工 作 于 6 4 位 系 统 上 的 3 2 位 应 用 程 序 ； 不 适 用 于 W i n d o w s   8 （ 已 经 被 修 补 ） 。 参 考 资 料 与 扩 展 阅 读 ： 参 考 资 料 与 扩 展 阅 读 ： 1 .   《 0 D a y 安 全 * 软 件 漏 洞 分 析 技 术 》 第 二 版 ， 王 清 2 .   P o i n t e r   I n f e r e n c e   a n d   J I T   S p r a y i n g   （ h t t p : / / w w w . s e m a n t i s c o p e . c o m / r e s e a r c h / B H D C 2 0 1 0 / B H D C - 2 0 1 0 - P a p e r . p d f ） 3 .   W r i t i n g   J I T - S p r a y   s h e l l c o d e   f o r   f u n   a n d p r o f i t   （ h t t p : / / d s e c r g . c o m / f i l e s / p u b / p d f / W r i t i n g % 2 0 J I T - S p r a y % 2 0 S h e l l c o d e % 2 0 f o r % 2 0 f u n % 2 0 a n d % 2 0 p r o f i t . p d f ） （ 中 文 版 ： h t t p : / / b b s . p e d i y . c o m / s h o w t h r e a d . p h p ? t = 1 0 8 8 6 1 ） 4 .   D E P - A S L R   b y p a s s   w i t h o u t   R O P - J I T （ h t t p : / / c a n s e c w e s t . c o m / s l i d e s / 2 0 1 3 / D E P - A S L R % 2 0 b y p a s s % 2 0 w i t h o u t % 2 0 R O P - J I T . p d f ） 更 多 精 彩 内 容 ， 请 关 注 ： 1 .   A r k T e a m 官 方 微 信 官 方 微 信 — 公 众 账 号 名 称 ： A r k T e a m
2 .   A r k T e a m 官 方 微 博 ： 官 方 微 博 ： 昵 称 ： A r k T e a m 网 址 ： h t t p : / / w w w . w e i b o . c o m / a r k t e a m 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理