设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 系统 › [10476] 2016-09-07_“风水逆转”获取云端虚拟机的完整 ...
返回列表 发新帖
查看: 3|回复: 0

[10476] 2016-09-07_“风水逆转”获取云端虚拟机的完整控制权其实很容易

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2016-09-07_“风水逆转”获取云端虚拟机的完整控制权其实很容易 “ 风 水 逆 转 ”   |   获 取 云 端 虚 拟 机 的 完 整 控 制 权 其 实 很 容 易 欧 阳 洋 葱   F r e e B u f   2 0 1 6 - 0 9 - 0 7 我 们 先 前 介 绍 过 一 种 名 为 B i t s q u a t t i n g 的 攻 击 手 法 ， 这 是 一 种 超 高 端 的 钓 鱼 攻 击 ： 我 们 假 定 内 存 、 C P U 缓 存 由 于 环 境 ， 或 者 制 造 缺 陷 ， 产 生 内 存 的 比 特 位 翻 转 ， 就 可 能 导 致 原 本 我 们 要 访 问 某 家 网 站 ， 最 终 由 于 这 种 硬 件 错 误 ， 却 访 问 了 与 这 家 网 站 域 名 相 近 的 钓 鱼 站 点 。 这 种 听 起 来 很 玄 幻 的 攻 击 其 实 不 算 新 鲜 ， 虽 然 看 起 来 具 有 很 强 的 不 可 控 性 ， 但 实 际 还 是 可 以 人 为 触 发 其 中 的 “ 硬 件 ” 漏 洞 。 这 个 漏 洞 名 为 R o w h a m m e r ， 前 两 年 就 有 人 提 出 了 ， 可 能 是 有 史 以 来 最 理 想 化 的 漏 洞 。 由 于 其 不 可 控 性 ， 很 多 人 认 为 R o w h a m m e r 停 留 在 理 论 阶 段 。 不 过 最 近 有 安 全 研 究 人 员 提 出 一 种 名 为 不 过 最 近 有 安 全 研 究 人 员 提 出 一 种 名 为 “ 风 水 翻 转 风 水 翻 转 ” 的 攻 击 技 术 ， 主 要 针 对 同 处 一 个 云 环 境 下 的 其 他 虚 拟 机 。 其 本 质 也 是 的 攻 击 技 术 ， 主 要 针 对 同 处 一 个 云 环 境 下 的 其 他 虚 拟 机 。 其 本 质 也 是 R o w h a m m e r 攻 击 ， 据 说 具 备 了 攻 击 ， 据 说 具 备 了 “ 高 准 确 性 高 准 确 性 ” 和 和 “ 可 控 可 控 ” 的 特 点 ， 可 从 其 他 虚 拟 机 盗 取 加 密 密 钥 。 的 特 点 ， 可 从 其 他 虚 拟 机 盗 取 加 密 密 钥 。 颠 覆 攻 击 逻 辑 的 颠 覆 攻 击 逻 辑 的 R o w h a m m e r 技 术 技 术 去 网 上 查 资 料 ， 会 发 现 R o w h a m m e r 的 描 绘 极 为 晦 涩 。 但 R o w h a m m e r 漏 洞 其 实 很 容 易 理 解 ， 这 是 个 特 别 针 对 内 存 的 攻 击 技 术 ， 但 不 是 内 存 破 坏 或 溢 出 攻 击 。 计 算 机 内 存 中 ， 每 个 存 储 单 元 （ 晶 体 管 + 电 容 器 ） 存 放 1 b i t 数 据 ， 这 个 比 特 位 要 么 是 0 ， 要 么 是 1 — — 存 储 单 元 中 充 满 电 子 表 示 1 ， 清 空 表 示 0 。 内 存 就 是 由 上 亿 这 样 的 存 储 单 元 构 成 的 ， 数 据 也 因 此 得 以 存 储 。 不 过 电 容 器 会 泄 露 ， 一 个 电 容 器 充 满 电 子 后 ， 只 需 要 几 毫 秒 就 会 泄 露 殆 尽 。 这 就 要 求 C P U （ 内 存 控 制 器 ） 对 电 容 进 行 充 电 ， 让 “ 1 ” 这 个 值 能 够 保 持 住 。 整 个 过 程 是 由 内 存 控 制 器 先 读 取 电 容 器 中 的 值 ， 然 后 再 把 数 据 写 回 去 。 这 种 刷 新 操 作 ， 每 秒 会 执 行 几 千 次 。 这 几 年 的 内 存 容 量 正 在 大 幅 度 上 涨 ， 所 以 存 储 比 特 位 的 电 容 器 也 就 越 来 越 小 ， 排 列 越 来 越 近 。 要 防 止 相 邻 的 电 容 之 间 相 互 干 扰 ， 难 度 也 就 变 得 更 大 。 如 果 能 够 快 速 、 反 复 访 问 一 排 电 容 ， 相 邻 行 的 电 容 更 容 易 产 生 干 扰 错 误 和 所 谓 的 “ 比 特 位 翻 转 ” ， 也 就 是 0 变 成 1 。
其 实 正 常 的 数 据 读 写 一 般 是 不 会 发 生 比 特 位 翻 转 的 ， 可 是 如 果 对 某 些 行 进 行 反 复 读 写 ， 问 题 就 有 可 能 产 生 。 2 0 1 4 年 卡 内 基 梅 陇 大 学 的 研 究 人 员 层 发 表 过 一 篇 论 文 ， 题 为 《 无 访 问 情 况 下 的 内 存 比 特 位 翻 转 — — D R A M 干 扰 行 错 误 的 试 验 研 究 》 ， 其 本 质 是 通 过 机 器 码 指 令 C L F U S H 或 C a c h e   L i n e   F l u s h ， 强 制 进 行 这 种 比 特 位 的 读 取 和 更 新 。 据 说 利 用 这 种 方 式 ， 可 引 起 大 量 比 特 位 翻 转 。 利 用 比 特 位 翻 转 ， 很 多 事 情 都 可 以 做 ， 比 如 说 执 行 未 经 授 权 的 代 码 。 这 就 是 所 谓 的 这 就 是 所 谓 的 R o w h a m m e r 。 。 这 是 一 种 颠 覆 人 类 对 安 全 认 知 的 攻 击 技 术 ， 软 件 层 面 几 乎 解 决 无 望 。 先 前 已 经 有 研 究 人 员 演 示 ， 如 何 用 R o w h a m m e r 来 进 行 提 权 ， 以 及 打 破 安 全 沙 盒 。 不 过 看 原 理 就 知 道 ， 这 种 攻 击 实 在 有 够 理 想 化 ， 存 在 诸 多 不 确 定 性 ， 因 为 攻 击 者 根 本 无 法 精 准 控 制 比 特 位 如 何 翻 转 。 比 如 说 ， 这 种 攻 击 对 数 据 所 在 的 内 存 位 置 首 先 就 有 要 求 ， 这 样 才 能 实 施 内 存 翻 转 ： 但 敏 感 数 据 存 储 在 这 些 位 置 的 几 率 可 能 并 不 算 高 。 实 现 内 存 实 现 内 存 “ 风 水 逆 转 风 水 逆 转 ” 针 对 R o w h a m m e r 的 内 存 位 置 限 制 ， 最 近 有 人 开 发 出 一 种 名 为 有 人 开 发 出 一 种 名 为 F l i p   F e n g   S h u i （ 风 水 翻 转 ） 的 攻 击 技 术 （ 风 水 翻 转 ） 的 攻 击 技 术 ， 这 本 质 上 也 是 R o w h a m m e r
。 这 种 攻 击 就 是 篡 改 d e d u p l i c a t i o n 操 作 — — d e d u p l i c a t i o n 在 云 端 主 机 中 应 用 得 很 常 见 ， 这 种 技 术 可 让 两 个 或 者 更 多 虚 拟 主 机 共 享 特 定 的 数 据 块 ， 起 到 节 约 内 存 资 源 的 作 用 。 F l i p   F e n g   S h u i 在 物 理 内 存 上 做 手 脚 ， 可 致 加 密 密 钥 和 其 他 敏 感 数 据 存 储 到 内 存 特 定 的 位 置 — — 这 些 位 置 就 很 容 易 受 R o w h a m m e r 的 影 响 了 。 所 以 才 叫 风 水 翻 转 ， 就 是 让 数 据 在 内 存 中 的 “ 风 水 ” 位 置 变 更 好 ， R o w h a m m e r 攻 击 变 得 更 可 靠 。 这 种 技 术 是 由 阿 姆 斯 特 丹 自 由 大 学 的 一 名 研 究 人 员 B e n   G r a s 提 出 的 （ 居 然 不 是 中 国 人 ！ ！ ！ ） 。 他 说 ： “ 先 前 就 已 经 有 攻 击 方 法 表 明 ， 共 同 主 机 的 虚 拟 机 彼 此 间 是 可 以 相 互 攻 击 的 ， 比 如 说 获 取 对 方 的 加 密 密 钥 。 不 过 这 次 的 攻 击 更 具 破 坏 性 ， 也 是 此 类 攻 击 的 第 一 例 。 ” “ 我 们 可 以 相 当 高 的 精 度 和 可 控 性 ， 针 对 目 标 虚 拟 机 的 内 存 进 行 篡 改 。 我 们 可 以 相 当 高 的 精 度 和 可 控 性 ， 针 对 目 标 虚 拟 机 的 内 存 进 行 篡 改 。 针 对 这 种 软 件 堆 栈 中 看 似 随 机 化 的 数 据 破 坏 方 式 ， 我 们 首 次 以 极 高 的 准 确 性 和 可 控 的 方 式 ， 对 其 进 行 了 展 示 。 ” 这 里 G r a s 所 谓 的 “ 看 似 随 机 化 的 数 据 破 坏 方 式 ” 也 就 是 R o w h a m m e r 攻 击 。 研 究 团 队 演 示 了 攻 击 者 如 何 利 用 F l i p   F e n g   S h u i 攻 击 ， 获 取 另 一 台 V M 虚 拟 机 上 的 R S A 加 密 密 钥 — — 当 然 这 要 求 被 攻 击 的 虚 拟 主 机 与 攻 击 者 处 在 相 同 的 云 环 境 中 。 在 他 们 进 行 的 某 一 例 实 验 中 ， 进 行 攻 击 的 虚 拟 机 获 取 到 可 用 于 授 权 安 全 s h e l l 访 问 的 密 钥 ， 这 样 一 来 ， 这 台 虚 拟 机 就 可 以 获 取 目 标 虚 拟 机 的 未 授 权 访 问 了 。 研 究 人 员 在 报 告 中 提 到 ， 进 行 攻 击 的 虚 拟 机 获 取 到 G P G 密 钥 — — 该 密 钥 是 U b u n t u 系 统 开 发 者 用 来 确 认 更 新 可 靠 性 的 。 有 了 这 个 G P G 密 钥 ， 攻 击 者 就 能 迫 使 目 标 虚 拟 机 下 载 和 安 装 恶 意 更 新 。 其 实 整 个 攻 击 过 程 描 述 起 来 还 是 比 较 复 杂 的 ， 首 先 需 要 获 取 目 标 公 钥 。 发 起 攻 击 的 虚 拟 机 通 过 F l i p   F e n g   S h u i ， 针 对 公 钥 的 某 个 特 定 部 分 进 行 比 特 位 翻 转 ， 也 就 是 我 们 上 面 提 到 的 R o w h a m m e r 攻 击 方 式 — — 这 里 实 际 上 还 利 用 了 云 环 境 的 d e d u p l i c a t i o n 技 术 。 就 像 前 文 提 到 的 ， 这 种 技 术 在 云 端 主 机 中 很 常 见 ， 这 是 一 种 相 较 数 据 压 缩 粒 度 更 大 、 节 约 存 储 资 源 的 技 术 。 基 于 此 ， 物 理 页 才 会 在 多 个 虚 拟 机 用 户 间 共 享 ， 针 对 共 享 数 据 块 的 比 特 位 翻 转 才 显 得 有 意 义 。 在 公 钥 的 比 特 位 发 生 翻 转 之 后 ， 就 构 造 出 了 一 个 全 新 的 公 钥 ， 这 个 公 钥 会 非 常 简 单 （ 足 以 进 行 因 式 分 解 ） 。 也 就 是 说 ， R o w h a m m e r 攻 击 欺 骗 目 标 虚 拟 机 ， 接 受 新 的 公 钥 ； 攻 击 者 随 后 也 就 能 够 得 到 相 对 应 的 私 钥 ， 并 进 行 未 经 授 权 的 S S H 访 问 ， 签 署 恶 意 U b u n t u 更 新 了 。
鉴 于 篇 幅 关 系 ， 我 们 没 法 细 致 详 述 每 一 环 技 术 细 节 ， 有 兴 趣 的 同 学 可 以 前 往 翻 阅 研 究 人 员 发 表 的 论 文 ， 题 为 《 F l i p   F e n g   S h u i :   H a m m e r i n g   a   N e e d l e   i n   t h e   S o f t w a r e   S t a c k 》 。 G r a s 表 示 ， 这 次 的 实 验 虽 然 只 针 对 R S A 密 钥 ， 但 他 预 期 未 来 这 种 攻 击 方 式 还 能 针 对 数 字 签 名 算 法 、 D i f f i e - H e l l m a n 加 密 算 法 、 E C C 等 等 。 这 样 一 来 ， 攻 击 者 就 不 仅 能 够 进 行 未 授 权 访 问 量 了 ， 还 能 窃 听 合 法 会 话 。 另 外 ， 这 种 攻 击 也 需 要 一 些 条 件 才 能 发 起 ， 比 如 说 像 前 文 提 到 的 ， 要 求 虚 拟 机 开 启 D e d u p l i c a t i o n ； 而 且 本 次 实 验 依 赖 于 基 于 内 核 的 虚 拟 机 ， 以 及 L i n u x 中 的 K e r n e l   S a m e P a g e   M e r g i n g 特 性 。 还 有 ， 内 存 芯 片 本 身 也 需 要 具 备 比 特 位 翻 转 的 基 础 ， 先 前 有 人 做 过 相 应 的 测 试 ， 1 2 9 款 D D R 3 内 存 中 ， 1 1 0 款 存 在 攻 击 可 行 性 ， 还 有 1 2 款 D D R 4 内 存 有 8 款 也 存 在 R o w h a m m e r 漏 洞 。 最 后 ， 研 究 人 员 还 列 出 了 一 些 可 抵 御 F l i p   F e n g   S h u i 攻 击 的 手 段 ， 硬 件 层 面 要 求 D R A M 芯 片 制 造 商 进 行 相 应 的 R o w h a m m e r 测 试 ， 还 有 比 如 针 对 某 些 D D R 4 芯 片 实 施 的 直 接 行 刷 新 机 制 等 。 至 于 软 件 层 面 ， 包 括 禁 用 内 存 的 d e d u p l i c a t i o n ， 开 发 者 和 工 程 师 也 应 该 考 虑 加 入 额 外 的 措 施 ， 比 如 检 查 安 全 敏 感 信 息 完 整 性 。 “ 这 种 攻 击 不 需 要 攻 击 者 进 行 什 么 复 杂 的 操 作 ， 就 能 完 全 控 制 共 用 主 机 的 云 虚 拟 机 。 同 时 ， 我 们 认 为 这 种 攻 击 不 需 要 攻 击 者 进 行 什 么 复 杂 的 操 作 ， 就 能 完 全 控 制 共 用 主 机 的 云 虚 拟 机 。 同 时 ， 我 们 认 为 F l i p   F e n g   S h u i 还 还 能 通 过 更 多 的 形 式 发 起 攻 击 ， 这 就 需 要 系 统 安 全 社 区 能 够 对 这 样 的 威 胁 引 起 足 够 的 重 视 。 能 通 过 更 多 的 形 式 发 起 攻 击 ， 这 就 需 要 系 统 安 全 社 区 能 够 对 这 样 的 威 胁 引 起 足 够 的 重 视 。 ” 预 计 今 年 1 1 月 份 在 伦 敦 举 行 的 B l a c k   H a t 黑 客 大 会 上 ， 研 究 人 员 还 会 特 别 进 行 这 一 议 题 的 演 讲 。 *   F r e e B u f 官 方 报 道 ， 作 者 / 欧 阳 洋 葱 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:28 , Processed in 0.451135 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表