搜索

[11531] 2017-07-05_Gadget构造：从JIT-ROP到对抗XnR

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-07-05_Gadget构造：从JIT-ROP到对抗XnR G a d g e t 构 造 ： 从 J I T - R O P 到 对 抗 X n R c u t e m e   F r e e B u f   2 0 1 7 - 0 7 - 0 5 写 在 前 面 写 在 前 面 简 单 地 说 ， 本 文 介 绍 了 两 种 构 造 g a d g e t 的 思 路 。 （ 在 浏 览 器 支 持 J I T 的 情 况 下 ） 演 进 ： 关 于 演 进 ： 关 于 J I T - R O P 我 们 知 道 ， 最 初 D E P 的 出 现 是 为 了 对 抗 的 栈 溢 出 、 堆 溢 出 等 这 类 劫 持 程 序 执 行 流 的 攻 击 手 法 。 在 这 之 后 ， 攻 击 者 为 了 绕 过 D E P ， 开 始 利 用 l i b c . s o 中 的 函 数 获 取 s h e l l ， 也 就 是 我 们 所 说 的 R e t 2 l i b c 攻 击 。 更 有 效 的 防 御 手 段 还 有 A S L R 地 址 随 机 化 ， 使 得 l i b c . s o 加 载 的 基 址 每 次 都 会 发 生 变 化 。 当 然 ， 如 果 存 在 地 址 泄 露 等 ， A S L R 仍 可 以 被 绕 过 。 于 是 乎 ， 学 术 界 前 几 年 开 始 研 究 细 粒 度 的 A S L R ， 即 使 基 址 被 泄 露 ， 攻 击 者 也 得 不 到 准 确 的 地 址 。 2 0 1 3 年 s & p 上 发 表 了 一 篇 文 章 提 出 J I T - R O P ， 这 项 工 作 极 具 创 新 性 。 其 意 义 在 于 它 提 出 了 在 运 行 时 寻 找 g a d g e t 同 时 构 造 R O P 链 的 概 念 。 详 细 的 过 程 是 这 样 的 ： 在 存 在 一 个 内 存 泄 露 漏 洞 的 情 况 下 ， 得 到 一 个 运 行 时 代 码 指 针 ， 它 泄 露 当 前 4 k 内 存 页 ， 因 为 当 前 页 可 能 会 有 分 支 指 向 其 他 页 ， 所 以 通 过 这 个 指 针 可 以 得 到 尽 可 能 多 的 页 。 将 当 前 页 运 行 时 反 汇 编 后 ， 获 得 所 需 要 的 g a d g e t 并 构 造 R O P 链 。 也 就 是 说 ， J I T - R O P 是 通 过 即 时 扫 描 有 效 内 存 ， 即 时 反 汇 编 搜 寻 r o p   g a d g e t s ， 即 时 拼 接 s h e l l c o d e ， 从 而 绕 过 d e p / a s l r 的 ， 它 在 程 序 运 行 过 程 中 动 态 执 行 ， 所 依 赖 的 资 源 在 进 程 地 址 空 间 中 获 取 。 所 以 它 和 传 统 r o p 最 大 的 不 同 在 于 ： 它 可 以 使 用 任 何 代 码 指 针 初 始 化 攻 击 环 境 ， 而 传 统 的 r o p 需 要 泄 露 函 数 的 具 体 地 址 。 这 种 攻 击 手 段 可 以 绕 过 学 术 界 过 去 提 出 的 任 意 粒 度 的 A S L R 。 演 进 ： 关 于 演 进 ： 关 于 X n R 为 了 针 对 J I T - R O P ， 1 4 年 c c s 有 一 篇 文 章 提 出 了 X n R ， 利 用 软 件 模 拟 的 方 式 实 现 了 页 的 不 可 读 。 既 然 页 不 可 读 ， 那 么 J I T - R O P 所 提 出 的 运 行 时 读 内 存 页 然 后 搜 寻 可 用 g a d g e t 这 一 思 想 就 行 不 通 了 。 那 么 如 何 对 抗 不 可 读 ， 提 出 使 J I T - R O P 攻 击 不 需 要 “ 可 读 ” 这 一 条 件 ， 也 可 达 成 呢 ？ 这 就 是 下 面 要 讨 论 的 内 容 了 。 相 关 ： 关 于 相 关 ： 关 于 J I T 在 进 入 正 题 之 前 ， 先 简 单 说 说 J I T 引 擎 是 什 么 。 2 0 0 8 年 ， 浏 览 器 的 J a v a S c r i p t 引 擎 引 入 J I T 技 术 。 J I T 是 一 种 即 时 编 译 技 术 ， 是 一 种 解 决 浏 览 器 效 率 低 下 的 方 案 。 例 如 J a v a s c r i p t ， 它 是 典 型 的 解 释 型 语 言 。 程 序 员 写 了 一 个 f o r 循 环 ， 解 释 器 是 不 知 道 这 是 一 个 循 环 的 ， 所 以 它 将 会 一 句 一 句 的 去 循 环 执 行 这 个 循 环 。 这 也 是 为 什 么 解 释 型 语 言 的 效 率 特 别 低 ， 因 为 它 不 会 预 先 编 译 。 J I T 引 擎 的 出 现 就 是 为 了 改 善 这 一 情 况 。 它 通 过 在 运 行 时 将 部 分 语 句 编 译 为 机 器 码 ， 于 是 下 次 执 行 不 需 要 再 翻 译 ， 从 而 省 去 了 解 释 开 销 ， 使 得 浏 览 器 性 能 大 幅 度 改 善 。 J I T 与 攻 击 与 攻 击 早 期 利 用 J I T 新 特 性 进 行 攻 击 的 方 案 是 在 2 0 1 0 年 b l a c k h a t 大 会 上 提 出 的 P o i n t e r   I n f e r e n c e   a n d   J I T   S p r a y i n g ， 将 A c t i o n S c r i p t 代 码 中 进 行 大 量 的 X O R 操 作 。 然 后 编 译 成 字 节 码 ， 并 且 多 次 更 新 到 F l a s h   V M 中 ， 这 样 它 会 建 立 很 多 带 有 恶 意 X o r 操 作 的 内 存 块 。
但 一 方 面 这 样 的 方 法 比 较 旧 ， 另 一 方 面 ， 学 术 界 中 早 已 提 出 防 御 方 法 J I T D e f e n d e r 。 准 备 工 作 准 备 工 作 攻 击 模 型 攻 击 模 型 （ 1 ） 存 在 内 存 泄 露 漏 洞 （ 2 ） 不 考 虑 C F I （ 3 ） J a v a S c r i p t 环 境 之 所 以 如 此 ， 因 为 这 篇 文 章 的 中 心 思 想 是 ， 攻 击 者 可 以 通 过 自 己 注 入 g a d g e t 实 现 绕 过 其 他 限 制 手 段 如 X n R 。 关 注 点 并 非 实 现 真 实 过 程 的 控 制 流 转 移 。 防 御 环 境 防 御 环 境 （ 1 ） D E P ： N X ， 可 写 不 可 执 行 （ 2 ） A S L R :   f i n e - g r a i n e d ， X n R 应 用 于 可 执 行 文 件 ， 库 ， J I T 编 译 而 成 的 代 码 （ 3 ） N o n - R e a d a b l e   C o d e :   所 有 代 码 段 不 可 读 （ 4 ） H i d d e n   C o d e   P o i n t e r s :   除 了 J I T - c o m p i l e d 的 指 针 均 已 匿 名 （ 5 ） J I T   H a r d e n i n g :   J I T 上 的 防 御 手 段 ， 比 如 r a n d o m i z e d   J I T   p a g e s ,   c o n s t a n t   b l i n d i n g , g u a r d   p a g e s 攻 击 方 法 攻 击 方 法 方 法 一 ： 利 用 条 件 跳 转 语 句 方 法 一 ： 利 用 条 件 跳 转 语 句 原 理 ： 构 造 i f / e l s e , f o r / w h i l e ， 编 译 成 包 含 可 预 知 的 条 件 跳 转 指 令 。 举 例 说 明 一 下 ， 如 果 我 们 需 要 的 g a d g e t 是 i n t   0 x 8 0 ; r e t   ， 翻 译 成 机 器 码 也 就 是 0 x c d 8 0 c 3 。 那 么 ， 则 往 i f 中 写 入 0 x c 3 8 0 c d 字 节 大 小 的 J S 代 码 。 如 上 右 图 ， 攻 击 者 是 可 以 确 定 ， 编 译 结 果 中 肯 定 包 含 ‘ j e   0 x c 3 8 0 c d ’ 这 一 句 的 （ x 8 6 / x 6 4   架 构 采 用 小 端 存 储 ） 。 所 以 说 ， 通 过 变 化 i f 中 j s 代 码 的 大 小 ， 我 们 可 以 修 改 代 码 长 度 ， 改 变 跳 转 的 距 离 。 而 每 句 J S 代 码 编 译 后 的 大 小 是 已 知 固 定 的 。 所 以 攻 击 者 可 以 精 确 的 控 制 所 生 成 的 代 码 长 度 。 即 ， j e 后 面 的 值 ， 可 以 随 意 控 制 。 举 个 更 具 体 的 例 子 ， 在 C h r o m e   3 3   ( 3 2 - b i t ) / C h r o m e   5 1 ( 6 4 - b i t ) 上 ， 如 果 需 要 一 个 g a d g e t ： 0 x c d 8 0 c 3 。 S 1 :   v = v 1 + v 2 ,   c o m p i l i n g   t o   0 x 1 0   b y t e s （ 6 4 位   v = v ）
S 2 :   v = 0 x 0 1 0 1 0 1 0 1 ,   c o m p i l i n g   t o   0 x d   b y t e s . 使 用 S 1   0 c 3 8 0 c 次 ( 得 到 结 果 0 x c 3 8 0 c 0 ) ， 再 使 用 S 2   一 次 ， 求 和 即 得 到 0 x c 3 8 0 c d 。 以 上 步 骤 可 以 注 入 自 己 想 要 的 g a d g e t ， 接 下 来 就 是 要 找 到 g a d g e t 所 在 的 位 置 。 （ 1 ） 首 先 通 过 内 存 泄 露 漏 洞 ， 得 到 J I T 所 编 译 的 J a v a S c r i p t 代 码 的 函 数 地 址 （ 2 ） 将 这 个 函 数 的 作 为 参 数 传 给 另 一 个 函 数 ， 这 样 它 就 被 p u s h 到 s t a c k 中 了 （ j a v a s c r i p t 的 特 性 ） 。 （ 3 ） 得 到 栈 的 信 息 ， 得 到 函 数 对 象 的 指 针 ， 它 包 含 了 指 向 实 际 地 址 的 指 针 。 方 法 二 ： 利 用 直 接 调 用 语 句 方 法 二 ： 利 用 直 接 调 用 语 句 上 一 种 方 法 对 I E 基 本 是 无 效 的 。 I E 部 署 了 J I T - h a r d e n i n g 策 略 ， 会 随 机 插 入 N O P ， 改 变 条 件 跳 转 语 句 的 值 。 这 样 ， 编 译 后 的 语 句 就 不 可 控 了 。 于 是 作 者 又 提 出 使 用 直 接 调 用 指 令 实 现 攻 击 。 如 ： c a l l   0 x 1 2 3 4 5 6 0 原 理 ： 任 何 两 个 直 接 调 用 指 令 即 时 调 用 同 一 个 函 数 ， 机 器 码 是 不 一 样 的 。 其 实 和 条 件 跳 转 的 原 理 差 不 多 。 之 前 控 制 的 是 j e 指 令 后 边 的 值 ， 那 它 控 制 的 是 什 么 呢 。 其 实 利 用 的 是 c a l l 后 面 的 这 个 值 是 一 个 相 对 地 址 ， 第 一 次 调 用 产 生 的 机 器 码 是 被 调 用 者 和 下 一 次 所 调 用 的 差 。 如 下 图 。 假 设 F U N 函 数 在 2 0 0 0 的 位 置 。 那 么 在 图 中 ， 连 续 C A L L   F U N _ 1 ， 所 以 这 个 常 数 代 表 F U N 1 和 第 二 条 C A L L   F U N 1 （ 即 0 x 5 ） 的 距 离 。 即 0 x 2 0 0 0 - 0 x 5 = 0 x 1 f f b 。 （ 0 x 5 是 一 条 c a l l 指 令 的 大 小 ） 。 这 个 例 子 里 ， 攻 击 者 得 到 的 是 0 x e 8 f b 1 f 0 0 0 0 。 嗯 ， 以 上 是 大 概 思 路 。 具 体 攻 击 流 程 有 三 步 ： （ （ 1 ） 找 到 ） 找 到 c a l l 指 令 后 那 个 被 调 用 函 数 的 地 址 。 指 令 后 那 个 被 调 用 函 数 的 地 址 。 再 列 一 遍 这 个 式 子 ， 0 x 2 0 0 0 - 0 x 5 = 0 x 1 f f b 。 在 这 里 0 x 2 0 0 0 就 是 被 调 用 函 数 的 地 址 。 总 之 ， 一 般 来 说 ， 在 j a v a s c r i p t 环 境 下 ， 可 以 利 用 当 然 是 地 址 已 知 的 h e l p e r 函 数 或 b u i l t - i n 函 数 ( 比 如 M a t h . r a n d o m , S t r i n g . s u b s t r i n g ) 。 另 外 不 得 不 说 到 I E ， 它 的 b u i l t - i n 函 数 在 l i b r a r y 中 ， 而 且 采 用 了 细 粒 度 的 A S L R 。 但 是 它 们 所 产 生 的 J S 对 象 ， 未 启 用 随 机 化 ， 而 且 包 含 指 向 这 个 函 数 的 指 针 。 所 以 对 于 I E 也 是 可 行 的 。 （ （ 2 ） 把 ） 把 c a l l 指 令 放 到 指 定 位 置 。 指 令 放 到 指 定 位 置 。
再 列 一 遍 这 个 式 子 ， 0 x 2 0 0 0 - 0 x 5 = 0 x 1 f f b 。 还 是 假 设 我 们 需 要 的 g a d g e t 是 i n t   0 x 8 0 ; r e t   ( 即 0 x c d 8 0 c 3 ) 。 0 x c d 8 0 c 3 ， 包 含 三 个 字 节 。 也 就 是 说 ， 上 面 那 个 减 法 式 子 的 结 果 必 须 保 证 位 数 满 足 要 求 ， 要 是 你 的 距 离 才 两 位 是 怎 么 也 构 造 不 出 三 位 的 g a d g e t 的 。 于 是 为 保 证 三 字 节 距 离 ， 需 要 创 建 一 个 由 直 接 调 用 语 句 组 成 的 J S 函 数 ， 使 它 在 编 译 后 覆 盖 0 x 1 0 0   0 0   0 0 字 节 。 即 我 们 要 求 第 一 次 和 最 后 一 次 C A L L 之 间 的 距 离 ， 至 少 为 0 x 1   0 0   0 0   0 0 字 节 指 令 。 （ （ 3 ） 检 查 机 制 ） 检 查 机 制 还 是 要 说 到 I E ， 它 在 编 译 时 会 随 机 插 入 N O P ， 所 以 基 本 上 不 能 知 道 函 数 会 被 编 译 到 哪 个 地 址 。 而 且 ， 前 提 条 件 存 在 X n R , 我 们 是 不 可 以 通 过 读 取 代 码 段 来 确 定 那 个 位 置 是 否 是 所 需 要 的 g a d g e t 的 。 那 么 ， 只 能 通 过 取 得 足 够 大 小 的 代 码 空 间 ， 全 部 填 满 c a l l 指 令 ， 从 而 确 保 计 算 结 果 在 距 离 范 围 内 。 J a v a s c r i p t 中 的 c h e c k   a d d r e s s 函 数 会 读 栈 中 数 据 ， 直 到 找 到 c a l l 指 令 放 置 的 r e t ， 可 知 是 否 放 置 正 确 。 如 果 没 有 ， 重 新 编 译 ， 重 复 之 前 的 步 骤 。 其 他 其 他 这 攻 击 主 要 针 对 的 是 x 8 6   ( 3 2 -   o r   6 4 - b i t ) 架 构 。 在 R I S C 架 构 中 ， 如 A R M , M I P S ， 由 于 硬 件 层 次 的 原 因 ， 利 用 上 文 所 述 的 方 法 不 能 成 功 攻 击 。 除 非 在 A R M 架 构 下 ， 攻 击 者 强 制 切 换 为 1 6 - b i t   T H U M B 模 式 。 另 外 ， 虽 然 论 文 中 作 者 是 以 浏 览 器 为 例 ， 但 其 实 采 用 j i t 引 擎 的 东 西 应 该 都 适 用 （ ？ ） 。 比 如 p d f 阅 读 器 是 可 以 的 。 总 结 总 结 实 际 上 本 文 的 核 心 思 想 很 简 单 ： （ 1 ） 攻 击 者 通 过 构 造 J S 代 码 产 生 一 个 j i t - c o m p i l e   g a d g e t （ 2 ） 由 于 所 产 生 的 g a d g e t 是 攻 击 者 控 制 的 ， 所 以 不 需 要 搜 索 ， 不 需 要 读 页 ， 即 可 被 攻 击 者 用 来 构 造 R O P 链 （ 3 ） 以 上 过 程 发 生 在 运 行 时 参 考 文 献 参 考 文 献 [ 1 ]   W h a t   C a n n o t   B e   R e a d ,   C a n n o t   B e   L e v e r a g e d ?   R e v i s i t i n g   A s s u m p t i o n s   o f   J I T - R O P   D e f e n s e s .   U S E N I X   2 0 1 6 [ 2 ]   J u s t - I n - T i m e   C o d e   R e u s e :   O n   t h e   E f f e c t i v e n e s s   o f   F i n e - G r a i n e d   A d d r e s s   S p a c e   L a y o u t   R a n d o m i z a t i o n .   I E E E S & P   2 0 1 3 * 本 文 作 者 ： c u t e m e ， 转 载 请 注 明 F r e e B u f *
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理