搜索

[8675] 2015-02-09_腾讯电脑管家：Win10安全特性之执行流保护

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2015-02-09_腾讯电脑管家：Win10安全特性之执行流保护 腾 讯 电 脑 管 家 ： W i n 1 0 安 全 特 性 之 执 行 流 保 护 F r e e B u f   2 0 1 5 - 0 2 - 0 9 微 软 在 微 软 在 2 0 1 5 年 年 1 月 月 2 2 日 公 布 了 日 公 布 了 w i n d o w s 1 0 技 术 预 览 版 ， 技 术 预 览 版 ， B u i l d 号 ： 号 ： 9 9 2 6 。 电 脑 管 家 反 病 毒 实 验 室 第 一 时 间 对 其 引 入 的 新 。 电 脑 管 家 反 病 毒 实 验 室 第 一 时 间 对 其 引 入 的 新 安 全 特 性 进 行 了 深 入 分 析 。 安 全 特 性 进 行 了 深 入 分 析 。 众 所 周 知 ， 漏 洞 利 用 过 程 中 攻 击 者 若 要 执 行 恶 意 代 码 ， 需 要 破 坏 程 序 原 有 指 令 的 的 正 常 执 行 。 执 行 流 保 护 的 作 用 就 众 所 周 知 ， 漏 洞 利 用 过 程 中 攻 击 者 若 要 执 行 恶 意 代 码 ， 需 要 破 坏 程 序 原 有 指 令 的 的 正 常 执 行 。 执 行 流 保 护 的 作 用 就 是 在 程 序 执 行 的 过 程 中 检 测 指 令 流 的 正 常 性 ， 当 发 生 不 符 合 预 期 的 情 况 时 ， 及 时 进 行 异 常 处 理 。 是 在 程 序 执 行 的 过 程 中 检 测 指 令 流 的 正 常 性 ， 当 发 生 不 符 合 预 期 的 情 况 时 ， 及 时 进 行 异 常 处 理 。 业 界 针 对 执 行 流 保 护 已 经 有 一 些 相 对 成 熟 的 技 术 方 案 ， 在 微 软 发 布 的 w i n d o w s 1 0 最 新 版 本 中 ， 我 们 看 到 了 这 一 防 护 思 想 的 广 泛 使 用 。 一 、 一 、 C F I C F I 即 控 制 流 完 整 性 即 控 制 流 完 整 性 C o n t r o l - F l o w   I n t e g r i t y ， 主 要 是 通 过 对 二 进 制 可 执 行 文 件 的 动 态 改 写 ， 以 此 为 其 增 加 额 外 的 安 全 性 ， 主 要 是 通 过 对 二 进 制 可 执 行 文 件 的 动 态 改 写 ， 以 此 为 其 增 加 额 外 的 安 全 性 保 障 。 保 障 。 这 是 M i h a i B u d i u 介 绍 C F I 技 术 时 使 用 的 例 子 。 这 里 通 过 对 二 进 制 可 执 行 文 件 的 改 写 ， 对 j m p 的 目 的 地 址 前 插 入 一 个 在 改 写 时 约 定 好 的 校 验 I D ， 在 j m p 的 时 候 看 目 的 地 址 前 的 数 据 是 不 是 我 们 约 定 好 的 校 验 I D ， 如 果 不 是 则 进 入 错 误 处 理 流 程 。
同 理 在 c a l l   和   r e t 的 时 候 也 可 以 进 行 改 写 ： 左 半 部 分 就 是 一 个 对 c a l l 的 改 写 ， 右 半 部 分 是 对 r e t 的 一 个 改 写 ， 在 c a l l 的 目 的 地 址 和 r e t 的 返 回 地 址 之 前 插 入 校 验 I D ， 然 后 改 写 的 c a l l   和 r e t 中 增 加 了 对 校 验 I D 的 检 查 ， 如 果 不 符 合 预 期 ， 进 入 错 误 处 理 流 程 ， 这 个 思 路 和 上 边 对 j m p 的 处 理 是 完 全 一 样 的 。 二 、 二 、 C F G 实 现 C F I 需 要 在 j m p 、 c a l l   一 个 寄 存 器 （ 或 者 使 用 寄 存 器 间 接 寻 址 ） 的 时 候 ， 目 的 地 址 有 时 必 须 通 过 动 态 获 得 ， 且 改 写 的 开 销 又 很 大 ， 这 些 都 给 C F I 的 实 际 应 用 造 成 了 一 定 的 困 难 。 微 软 在 最 新 的 操 作 系 统 微 软 在 最 新 的 操 作 系 统 w i n 1 0 当 中 ， 对 基 于 执 行 流 防 护 的 实 际 应 用 中 采 用 了 当 中 ， 对 基 于 执 行 流 防 护 的 实 际 应 用 中 采 用 了 C F G 技 术 。 技 术 。 C F G 是 是 C o n t r o l   F l o w   G u a r d 的 缩 的 缩 写 ， 就 是 控 制 流 保 护 ， 它 是 一 种 编 译 器 和 操 作 系 统 相 结 合 的 防 护 手 段 ， 目 的 在 于 防 止 不 可 信 的 间 接 调 用 。 写 ， 就 是 控 制 流 保 护 ， 它 是 一 种 编 译 器 和 操 作 系 统 相 结 合 的 防 护 手 段 ， 目 的 在 于 防 止 不 可 信 的 间 接 调 用 。 漏 洞 攻 击 过 程 中 ， 常 见 的 利 用 手 法 是 通 过 溢 出 覆 盖 或 者 直 接 篡 改 某 个 寄 存 器 的 值 ， 篡 改 间 接 调 用 的 地 址 ， 进 而 控 制 了 程 序 的 执 行 流 程 。 C F G 通 过 在 编 译 和 链 接 期 间 ， 记 录 下 所 有 的 间 接 调 用 信 息 ， 并 把 他 们 记 录 在 最 终 的 可 执 行 文 件 中 ， 并 且 在 所 有 的 间 接 调 用 之 前 插 入 额 外 的 校 验 ， 当 间 接 调 用 的 地 址 被 篡 改 时 ， 会 触 发 一 个 异 常 ， 操 作 系 统 介 入 处 理 。 以 w i n 1 0   p r e v i e w   9 9 2 6 中 I E 1 1 的 S p a r t a n   h t m l 解 析 模 块 为 例 ， 看 一 下 C F G 的 具 体 情 况 ： 这 里 就 是 被 编 译 器 插 入 的 C F G 校 验 函 数 。 但 是 静 态 情 况 下 默 认 的 检 测 函 数 是 一 个 直 接 r e t u r n 的 空 函 数 ， 是 微 软 在 和 我 们 开 玩 笑 吗 ？ 通 过 动 态 调 试 看 一 下 从 上 图 我 们 可 以 看 出 ， 实 际 运 行 时 的 地 址 和 我 们 通 过 I D A 静 态 看 到 的 地 址 是 不 一 样 的 ， 这 里 就 涉 及 到 C F G 和 操 作 系 统 相 关 的 那 部 分 。 支 持 C F G 版 本 的 操 作 系 统 加 载 器 在 加 载 支 持 C F G 的 模 块 时 ， 会 把 这 个 地 址 替 换 成 n t d l l 中 的 一 个 函 数 地 址 。 不 支 持 C F G 版 本 的 操 作 系 统 不 用 理 会 这 个 检 测 ， 程 序 执 行 时 直 接 r e t n 。 这 是 n t d l l 中 的 检 测 函 数
原 理 是 在 进 入 检 测 函 数 之 前 ， 把 即 将 原 理 是 在 进 入 检 测 函 数 之 前 ， 把 即 将 c a l l 的 寄 存 器 值 （ 或 者 是 带 偏 移 的 寄 存 器 间 接 寻 址 ） 赋 值 给 的 寄 存 器 值 （ 或 者 是 带 偏 移 的 寄 存 器 间 接 寻 址 ） 赋 值 给 e c x ， 在 检 测 函 数 中 ， 在 检 测 函 数 中 通 过 编 译 期 间 记 录 的 数 据 ， 来 校 验 这 个 值 是 否 有 效 。 通 过 编 译 期 间 记 录 的 数 据 ， 来 校 验 这 个 值 是 否 有 效 。 检 测 过 程 如 下 检 测 过 程 如 下 : 首 先 从 L d r S y s t e m D l l I n i t B l o c k + 0 x 6 0 处 读 取 一 个 位 图 ( b i t m a p ) ， 这 个 位 图 表 明 了 哪 些 函 数 地 址 是 有 效 的 ， 通 过 间 接 调 用 的 函 数 地 址 的 高 3 个 字 节 作 为 一 个 索 引 ， 获 取 该 函 数 地 址 所 在 的 位 图 的 一 个 D W O R D 值 ， 一 共 3 2 位 ， 证 明 1 位 代 表 了 8 个 字 节 ， 但 一 般 来 说 间 接 调 用 的 函 数 地 址 都 是 0 x 1 0 对 齐 的 ， 因 此 一 般 奇 数 位 是 不 使 用 的 。 通 过 函 数 地 址 的 高 3 个 字 节 作 为 索 引 拿 到 了 一 个 所 在 的 位 图 的 D W O R D 值 ， 然 后 检 查 低 1 字 节 的 0 - 3 位 是 否 为 0 ， 如 果 为 0 ， 证 明 函 数 是 0 x 1 0 对 齐 的 ， 则 用 3 - 7 b i t 共 5 个 b i t 就 作 为 这 个 D W O R D 值 的 索 引 ， 这 样 通 过 一 个 函 数 地 址 就 能 找 到 位 图 中 所 对 应 的 位 了 。 如 果 置 位 了 ， 表 明 函 数 地 址 有 效 ， 反 之 则 会 触 发 异 常 。 这 里 有 个 有 趣 的 东 西 ， 虽 然 使 用 t e s t   c l , 0 F h 检 测 是 否 0 x 1 0 对 齐 ， 如 果 对 齐 的 话 实 际 上 用 3 - 7 位 作 为 索 引 ， 也 就 是 说 第 3 位 一 定 是 0 。 但 如 果 函 数 地 址 不 是 0 x 1 0 对 齐 的 话 ， 则 会 对 3 - 7 位   o r 1 ， 然 后 再 作 为 索 引 。 这 样 就 有 一 个 弊 端 ， 如 果 一 个 有 效 的 间 接 调 用 的 函 数 地 址 是 8 字 节 对 齐 的 ， 那 么 其 实 是 允 许 一 个 8 字 节 的 一 个 错 位 调 用 的 ， 这 样 可 能 导 致 的 结 果 就 是 可 能 造 成 虽 然 通 过 了 校 验 ， 但 是 实 际 调 用 的 地 址 并 不 是 原 始 记 录 的 函 数 地 址 。 还 有 一 点 ， 如 果 这 时 候 漏 洞 触 发 成 功 ， 间 接 调 用 的 寄 存 器 值 已 经 被 攻 击 者 修 改 了 ， 这 时 候 从 b i t m a p 中 取 值 的 时 候 可 能 造 成 内 存 访 问 无 效 。 请 看 L d r p V a l i d a t e U s e r C a l l T a r g e t B i t M a p C h e c k 符 号 处 的 这 条 指 令 ： m o v   e d x , d w o r d   p t r [ e d x + e a x * 4 ]   e d x 是 b i t m a p 地 址 , e a x 是 索 引 ， 但 如 果 e a x 不 可 信 了 ， 这 个 很 有 可 能 ， 则 会 导 致 内 存 访 问 异 常 ， 并 且 这 个 函 数 并 没 有 异 常 处 理 。 这 是 因 为 微 软 为 了 效 率 考 虑 （ 毕 竟 这 个 校 验 函 数 的 调 用 十 分 频 繁 ， 一 个 开 启 C F G 的 模 块 可 能 会 有 上 万 个 调 用 处 ） ， 微 软 在 n t d l l ! R t l D i s p a t c h E x c e p t i o n 中 对 该 地 址 发 生 的 异 常 做 了 一 个 处 理 : 如 果 异 常 发 生 的 地 址 命 中 L d r p V a l i d a t e U s e r C a l l T a r g e t B i t M a p C h e c k ， 则 进 行 一 个 单 独 处 理 ， R t l p H a n d l e I n v a l i d U s e r C a l l T a r g e t 会 校 验 当 前 进 程 的 D E P 状 态 和 要 间 接 调 用 的 地 址 ( e c x ) 的 内 存 属 性 ， 如 果 当 前 进 程 关 闭 了 D E P 并 且 要 间 接 调 用 的 地 址 有 可 执 行 属 性 ， 则 触 发 C F G 异 常 ， 否 则 通 过 修 改 p C o n t e x t 把 E I P 修 正 到 r e t 返 回 处 ， 并 且 表 明 异 常 已 被 处 理 。 最 后 再 说 下 这 个 原 始 的 b i t m a p ， 在 系 统 初 始 化 的 时 候 ， 内 存 管 理 器 初 始 化 中 会 创 建 一 个 S e c t i o n ( M i C f g B i t M a p S e c t i o n 3 2 ) ， 这 个 S e c t i o n 在 W i n 8 . 1 上 的 大 小 是 通 过 M m S y s t e m R a n g e S t a r t ( 3 2 位 下 是 0 x 8 0 0 0 0 0 0 0 ) 计 算 的 ， 前 面 提 到 过 b i t m a p 里 面 1 位 代 表 8 字 节 ， 计 算 完 后 正 好 是 3 2 M B 而 在 W i n 1 0 上 M i C f g B i t M a p S e c t i o n 3 2 的 大 小 有 了 变 化 ， 直 接 写 死 成 了 0 x 3 0 0 0 0 0 0 ( 4 8 M B ) S e c t i o n 创 建 完 成 后 在 每 个 进 程 启 动 的 时 候 会 映 射 进 去 （ N t C r e a t e U s e r P r o c e s s - > P s p A l l o c a t e P r o c e s s - > M m I n i t i a l i z e P r o c e s s A d d r e s s S p a c e - > M i M a p P r o c e s s E x e c u t a b l e - > M i C f g I n i t i a l i z e P r o c e s s ） ， 映 射 的 时 候 作 为 s h a r e d   v i e w ， 除 非 某 一 个
进 程 修 改 了 这 片 内 存 。 在 一 个 C F G 模 块 映 射 进 来 的 时 候 ， 重 定 位 过 程 中 会 重 新 解 析 P E 文 件 L O A D C O N F I G 中 的 G u a r d   F u n c t i o n   T a b l e 以 重 新 计 算 该 模 块 对 应 的 b i t m a p （ M i P a r s e I m a g e C f g B i t s ） ， 最 后 更 新 到 M i C f g B i t M a p S e c t i o n 3 2 中 去 （ M i U p d a t e C f g S y s t e m W i d e B i t m a p ） 。 三 、 电 脑 管 家 三 、 电 脑 管 家 X P 防 护 的 执 行 流 保 护 防 护 的 执 行 流 保 护 早 些 年 的 漏 洞 攻 击 代 码 可 以 直 接 在 栈 空 间 或 堆 空 间 执 行 指 令 ， 但 近 几 年 ， 微 软 操 作 系 统 在 安 全 性 方 面 逐 渐 加 早 些 年 的 漏 洞 攻 击 代 码 可 以 直 接 在 栈 空 间 或 堆 空 间 执 行 指 令 ， 但 近 几 年 ， 微 软 操 作 系 统 在 安 全 性 方 面 逐 渐 加 强 ， 强 ， D E P 、 、 A S L R 等 防 护 手 段 的 应 用 ， 使 得 攻 击 者 必 须 借 助 等 防 护 手 段 的 应 用 ， 使 得 攻 击 者 必 须 借 助 R O P 等 绕 过 手 段 来 实 现 漏 洞 利 用 。 在 等 绕 过 手 段 来 实 现 漏 洞 利 用 。 在 R O P 利 用 中 ， 栈 交 换 利 用 中 ， 栈 交 换 指 令 指 令 S t a c k   p i v o t 必 不 可 少 。 必 不 可 少 。 针 对 R O P 攻 击 的 防 御 长 久 以 来 是 漏 洞 防 御 的 一 个 难 题 ， 因 为 R O P 指 令 在 静 态 层 面 分 析 与 程 序 的 正 常 指 令 流 毫 无 差 别 ， 且 运 行 时 也 是 在 合 法 模 块 内 执 行 ， 因 此 极 难 防 御 。 管 家 漏 洞 防 御 团 队 针 对 R O P 利 用 的 特 点 ， 从 整 个 程 序 的 执 行 流 层 面 进 行 分 析 ， 研 究 出 在 动 态 运 行 时 区 分 是 合 法 指 令 流 还 是 异 常 指 令 流 的 方 法 ， 其 思 想 与 C F I 不 谋 而 合 。 下 边 就 是 一 个 由 于 错 位 汇 编 形 成 的 比 较 常 用 的 栈 交 换 指 令 而 实 际 正 常 的 执 行 流 程 是 这 样 的 以 上 是 没 有 开 启 X P 防 护 的 情 况 开 启 电 脑 管 家 X P 防 护 之 后 ： 此 时 如 果 攻 击 者 依 靠 静 态 分 析 时 得 到 栈 交 换 指 令 位 置 来 执 行 R O P 攻 击 的 话 ， 会 被 执 行 流 保 护 逻 辑 发 现 异 常 ， 后 续 攻 击 则 无 法 实 现 。 四 、 尾 声 四 、 尾 声 C F G 防 护 方 法 需 要 在 编 译 链 接 阶 段 来 完 成 准 备 工 作 ， 同 时 需 要 操 作 系 统 的 支 持 。 防 护 方 法 需 要 在 编 译 链 接 阶 段 来 完 成 准 备 工 作 ， 同 时 需 要 操 作 系 统 的 支 持 。 C F I 无 需 编 译 时 的 帮 助 ， 且 不 仅 能 无 需 编 译 时 的 帮 助 ， 且 不 仅 能 够 防 御 够 防 御 c a l l 调 用 ， 能 够 对 全 部 执 行 流 进 行 保 护 。 但 调 用 ， 能 够 对 全 部 执 行 流 进 行 保 护 。 但 C F I 需 要 插 入 大 量 的 检 测 点 ， 并 且 在 执 行 过 程 中 检 测 的 频 率 极 高 ， 需 要 插 入 大 量 的 检 测 点 ， 并 且 在 执 行 过 程 中 检 测 的 频 率 极 高 ， 难 免 对 程 序 执 行 效 率 带 来 影 响 。 难 免 对 程 序 执 行 效 率 带 来 影 响 。 电 脑 管 家 X P 版 的 防 御 方 法 相 比 于 前 两 者 ， 对 性 能 的 影 响 更 小 ， 但 这 种 方 法 是 针 对 旧 版 操 作 系 统 的 缓 解 方 案 ， 通 用 性 会 打 折 扣 。 所 以 建 议 广 大 w i n d o w s 用 户 尽 量 升 级 到 最 新 操 作 系 统 ， 享 受 全 面 的 安 全 保 护 。 而 由 于 某 些 原 因 无 法 升 级 的 用 户 也 不 必 担 心 ， 管 家 X P 版 会 继 续 提 供 最 高 的 安 全 防 护 能 力 。 [ 文 文 / 腾 讯 电 脑 管 家 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 腾 讯 电 脑 管 家 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ]
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理