搜索

[11055] 2017-02-22_矛与盾二进制漏洞攻防思想对抗

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2017-02-22_矛与盾二进制漏洞攻防思想对抗 矛 与 盾   |   二 进 制 漏 洞 攻 防 思 想 对 抗 泰 格 实 验 室   F r e e B u f   2 0 1 7 - 0 2 - 2 2 * 本 文 原 创 作 者 ： 泰 格 实 验 室 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 有 人 的 地 方 就 有 江 湖 ， 有 江 湖 的 地 方 就 有 争 斗 ， 有 争 斗 就 有 攻 防 。 有 人 的 地 方 就 有 江 湖 ， 有 江 湖 的 地 方 就 有 争 斗 ， 有 争 斗 就 有 攻 防 。 人 类 争 斗 最 初 是 利 用 拳 脚 ， 冷 兵 器 时 代 是 刀 枪 ， 人 类 争 斗 最 初 是 利 用 拳 脚 ， 冷 兵 器 时 代 是 刀 枪 ， 热 兵 器 时 代 是 枪 炮 ， 而 在 计 算 机 平 台 上 ， 人 们 的 武 器 换 成 了 热 兵 器 时 代 是 枪 炮 ， 而 在 计 算 机 平 台 上 ， 人 们 的 武 器 换 成 了 — — 代 码 。 代 码 。 注 ： 本 文 注 重 漏 洞 攻 防 的 思 路 对 抗 过 程 ， 因 此 并 未 完 全 按 照 时 间 先 后 顺 序 描 述 防 护 措 施 。 注 ： 本 文 注 重 漏 洞 攻 防 的 思 路 对 抗 过 程 ， 因 此 并 未 完 全 按 照 时 间 先 后 顺 序 描 述 防 护 措 施 。 0 × 0 二 进 制 漏 洞 二 进 制 漏 洞 二 进 制 漏 洞 是 可 执 行 文 件 （ P E 、 E L F 文 件 等 ） 因 编 码 时 考 虑 不 周 ， 造 成 的 软 件 执 行 了 非 预 期 的 功 能 。 二 进 制 漏 洞 早 期 主 要 以 栈 溢 出 为 主 ， 那 时 候 操 作 系 统 和 软 件 厂 商 还 没 有 相 应 的 安 全 意 识 ， 漏 洞 利 用 在 当 时 来 说 可 谓 是 如 入 无 人 之 境 。 要 理 解 栈 溢 出 ， 首 先 要 掌 握 C 语 言 中 函 数 的 调 用 过 程 ： C 语 言 中 调 用 一 个 函 数 ， 在 编 译 完 成 后 执 行 的 是 汇 编 语 句 C a l l 指 令 。 C a l l 指 令 会 执 行 两 个 操 作 ： （ 1 ） 将 C a l l 指 令 之 后 的 下 一 条 指 令 入 栈 ； （ 2 ） 跳 转 到 函 数 地 址 。 函 数 开 始 执 行 时 ， 主 要 工 作 为 保 存 本 函 数 会 修 改 的 寄 存 器 值 和 申 请 局 部 变 量 空 间 ： 函 数 执 行 结 束 时 ， 主 要 工 作 为 ： （ 1 ） 将 函 数 返 回 值 入 e a x （ 2 ） 恢 复 本 函 数 调 用 前 的 寄 存 器 值 （ 3 ） 释 放 局 部 变 量 空 间 （ 4 ） 调 用 r e t 指 令 跳 转 到 函 数 调 用 结 束 后 的 下 一 条 指 令 （ 返 回 地 址 ）
备 注 ： 备 注 ： 这 里 我 们 顺 带 就 能 理 解 为 什 么 说 局 部 变 量 的 生 存 周 期 随 着 函 数 调 用 结 束 而 结 束 。 函 数 调 用 过 程 中 栈 的 空 间 分 布 如 下 ：
栈 溢 出 指 的 是 局 部 变 量 在 使 用 过 程 中 ， 由 于 代 码 编 写 考 虑 不 当 ， 造 成 了 其 大 小 超 出 了 其 本 身 的 空 间 ， 覆 盖 掉 了 前 栈 帧 E B P 和 返 回 地 址 等 。 由 于 返 回 地 址 不 对 ， 函 数 调 用 结 束 后 跳 转 到 了 不 可 预 期 的 地 址 ， 造 成 了 程 序 崩 溃 。 早 期 的 栈 溢 出 漏 洞 利 用 就 是 将 函 数 的 返 回 地 址 覆 盖 成 一 个 可 预 期 的 地 址 ， 从 而 控 制 程 序 执 行 流 程 触 发 s h e l l c o d e 。 漏 洞 发 生 时 ， 能 控 制 的 数 据 （ 包 含 s h e l l c o d e ） 在 局 部 变 量 中 ， 局 部 变 量 又 存 在 于 栈 上 面 ， 因 此 要 想 执 行 s h e l l c o d e 必 须 将 程 序 执 行 流 程 跳 转 到 栈 上 。 s h e l l c o d e 存 好 了 ， 返 回 地 址 也 可 控 ， 如 果 将 返 回 地 址 改 写 为 s h e l l c o d e 地 址 就 O K 了 ， 可 偏 偏 栈 的 地 址 在 不 同 环 境 中 是 不 固 定 的 。
这 时 候 有 聪 明 的 程 序 员 发 现 了 一 条 妙 计 ， 栈 地 址 不 固 定 ， 但 是 程 序 地 址 是 固 定 的 啊 。 通 过 在 程 序 代 码 中 搜 索 j m p   e s p 指 令 地 址 ， 将 返 回 地 址 改 成 j m p   e s p 的 地 址 ， 就 可 以 实 现 控 制 程 序 执 行 流 程 跳 转 到 栈 上 执 行 s h e l l c o d e ！ 至 此 ， 各 种 栈 溢 出 漏 洞 利 用 粉 墨 登 场 。 浏 览 网 页 、 看 个 视 频 、 听 个 音 乐 、 看 个 文 档 甚 至 聊 个 Q Q 都 可 能 被 别 有 用 心 的 人 控 制 电 脑 。 等 到 M S 0 8 - 0 6 7 远 程 漏 洞 被 曝 出 后 ， 只 要 电 脑 联 网 ， 你 什 么 都 不 干 都 会 被 人 控 制 ， 这 简 直 是 丧 心 病 狂 。 微 软 你 出 来 ， 我 保 证 不 打 死 你 ！ 0 × 1   第 一 回 合 第 一 回 合 G S 守 方 ： 你 不 是 要 覆 盖 返 回 地 址 吗 ？ 我 在 函 数 执 行 一 开 始 先 往 栈 上 保 存 个 数 据 ， 等 函 数 返 回 之 前 先 检 查 这 个 数 据 ， 要 是 不 一 致 那 一 定 是 被 覆 盖 了 ， 我 就 不 返 回 了 ！ 这 一 技 术 可 以 在 编 译 器 选 项 的 设 置 为 启 用 G S 选 项 ， 而 保 存 的 这 个 数 据 称 之 为 “ S e c u r i t y   C o o k i e ” 。 I D A 可 以 清 楚 的 看 到 启 用 G S 选 项 之 后 的 反 汇 编 代 码 ， 函 数 开 始 执 行 时 ： 在 函 数 返 回 前 ， 调 用 C h e c k _ S e c u r i t y _ C o o k i e 检 查 栈 是 否 被 覆 盖 校 验 函 数 代 码 一 旦 校 验 不 通 过 ， 函 数 跳 到 相 应 的 处 理 过 程 ， 不 再 返 回 因 此 s h e l l c o d e 也 就 无 法 获 得 执 行 机 会 。 攻 方 ： 你 以 为 我 只 有 覆 盖 返 回 地 址 这 一 招 吗 ？ 你 忘 记 了 还 有 异 常 处 理 S E H 链 也 在 栈 上 吗 ？ 我 可 以 通 过 覆 盖 S E H 链 为 j m p   e s p 的 地 址 ， 之 后 触 发 异 常 跳 转 到 j m p   e s p 执 行 s h e l l c o d e 。 本 回 合 总 结 ： 本 回 合 总 结 ： 有 关 异 常 处 理 S E H 链 的 技 术 可 以 参 考 h t t p : / / b l o g . c s d n . n e t / h u s t d 1 0 / a r t i c l e / d e t a i l s / 5 1 1 6 7 9 7 1 这 边 文 章 ， 这 里 不 再 叙 述 。 有 一 点 得 说 明 一 下 ， 利 用 覆 盖 S E H 链 的 方 法 同 样 是 覆 盖 了 栈 空 间 ， 因 此 必 须 满 足 ： 在 函 数 检 查 S e c u r i t y _ C o o k i e 之 前 就 触 发 异 常 ， 具 体 原 因 读 者 可 以 自 行 思 考 。 为 了 能 够 触 发 异 常 ， 这 里 有 两 个 思 路 可 以 参 考 ： （ 1 ） 尽 可 能 多 的 覆 盖 栈 空 间 。 输 入 的 数 据 如 果 足 够 大 ， 保 证 覆 盖 掉 S E H 链 后 继 续 覆 盖 超 出 栈 空 间 ， O K ， 触 发 异 常 。
（ 2 ） 通 过 控 制 数 据 ， 在 函 数 触 发 漏 洞 之 后 到 返 回 之 前 的 代 码 中 触 发 异 常 。 由 于 G S 选 项 是 软 件 编 译 之 时 加 入 的 ， 使 得 之 前 的 版 本 无 法 添 加 此 安 全 特 性 ， 尤 其 是 在 很 多 用 户 不 喜 欢 更 新 软 件 的 现 实 环 境 中 。 就 算 新 版 ， 也 有 可 以 通 过 覆 盖 S E H 链 来 实 现 漏 洞 利 用 ， 所 以 这 一 次 防 守 短 期 内 基 本 没 有 达 到 预 期 目 的 。 0 × 2   第 二 回 合 第 二 回 合 S a f e S E H 守 方 ： 兵 来 将 挡 ， 水 来 土 屯 。 既 然 可 以 覆 盖 S E H 链 实 现 执 行 s h e l l c o d e ， 那 我 就 改 进 下 溢 出 处 理 的 机 制 。 在 程 序 编 译 的 时 候 ， 就 将 所 有 的 异 常 处 理 函 数 进 行 注 册 。 凡 是 执 行 过 程 中 触 发 异 常 后 ， 都 要 经 过 一 个 检 验 函 数 ， 检 查 S E H 链 指 向 的 地 址 是 否 在 注 册 的 列 表 中 。 如 果 不 在 ， 那 就 不 去 执 行 ， 嗯 ， 这 个 机 制 就 叫 S a f e S E H 吧 。 攻 方 大 神 ： 别 慌 ， 我 们 先 来 分 析 下 他 的 检 验 函 数 的 逻 辑 。 一 袋 烟 功 夫 之 后 ， 嗯 ， 这 逻 辑 有 点 怪 。 阻 止 执 行 的 情 况 只 有 在 S E H 链 指 向 模 块 （ e x e 、 d l l ） 地 址 的 情 况 下 ， 如 果 S E H 链 指 向 的 地 址 不 在 这 些 模 块 中 ， 那 就 可 以 执 行 了 ？ 攻 方 A ： 他 这 是 弄 啥 咧 ， 只 要 不 在 注 册 的 列 表 中 ， 就 不 执 行 ， 多 简 单 的 逻 辑 。 我 觉 得 这 可 能 是 个 阴 谋 ！ 攻 方 B ： 爱 咋 咋 地 ， 搞 起 ！ 攻 方 C ： 这 么 说 在 程 序 中 非 模 块 的 数 据 空 间 找 到 j m p   e s p 就 行 了 呗 ， 比 方 说 n l s 后 缀 的 资 源 文 件 等 。 攻 方 D ： 说 是 这 么 说 ， 第 一 回 合 我 们 就 损 失 了 小 部 分 战 场 ， 要 是 有 软 件 在 数 据 空 间 找 不 到 j m p   e s p 呢 ？ 攻 方 E ： 管 不 了 那 么 多 了 ， 再 说 了 不 是 还 有 浏 览 器 这 类 支 持 J S 脚 本 的 软 件 吗 ？ 那 申 请 点 堆 空 间 自 己 写 个 j m p   e s p 不 就 得 了 。 攻 方 大 神 ： 傻 啊 ， 都 能 写 j m p   e s p 了 ， 直 接 把 s h e l l c o d e 写 进 去 不 得 了 ， 脑 残 。 攻 方 ： 干 杯 ！ 本 回 合 总 结 ： 本 回 合 总 结 ： （ 1 ） 对 于 不 支 持 J S 等 脚 本 的 软 件 ， 在 数 据 空 间 中 寻 找 j m p   e s p 地 址 ， 覆 盖 S E H 链 指 向 此 地 址 。 （ 2 ） 对 于 支 持 J S 等 脚 本 的 软 件 ， 直 接 通 过 脚 本 申 请 堆 空 间 写 入 s h e l l c o d e ， 覆 盖 S E H 链 指 向 堆 上 的 s h e l l c o d e 地 址 。 0 × 3   第 三 回 合 第 三 回 合 D E P 守 方 ： 攻 方 太 狡 猾 了 ， 简 直 是 欺 人 太 甚 。 看 来 小 打 小 闹 是 不 行 了 ， 是 你 们 逼 我 的 。 大 招 伺 候 ： 数 据 执 行 保 护 （ D E P ） 。 攻 方 A （ 一 脸 懵 逼 ） ： 数 据 执 行 保 护 是 个 啥 ？ 攻 方 大 神 （ 深 深 的 吸 了 一 口 烟 ） ： 就 是 堆 和 栈 只 有 读 写 权 限 ， 没 有 执 行 权 限 了 。 攻 方 B ： 啥 玩 意 啊 ， 虚 头 巴 脑 的 ， 直 接 叫 “ 堆 栈 不 可 执 行 ” 不 就 得 了 。 攻 方 大 神 ： 照 你 这 么 说 ， 以 后 新 闻 联 播 中 的 “ 与 会 双 方 深 入 交 换 了 意 见 ” 就 得 说 成 “ 与 会 双 方 大 吵 一 架 ” 。 攻 方 B ： … … 攻 方 大 神 ： 这 个 有 点 麻 烦 啊 ， 容 我 三 思 ！ … … 守 方 ： 我 得 意 的 笑 。 很 长 一 段 时 间 后 … … 攻 方 A ： 既 然 堆 栈 都 不 能 执 行 了 ， 我 们 就 从 程 序 自 身 的 代 码 去 拼 凑 s h e l l c o d e 。 攻 方 B ： 你 干 脆 让 所 有 程 序 员 给 你 留 一 个 后 门 得 了 。 攻 方 大 神 ： 还 别 说 ， 这 句 话 提 醒 了 我 ， 我 们 不 去 凑 s h e l l c o d e ， 这 不 现 实 。 s h e l l c o d e 还 在 堆 栈 中 ， 如 果 可 以 从 程 序 自 身 的 代 码 去 凑 到 执 行 V i r t u a l P r o t e c t 将 s h e l l c o d e 所 在 内 存 属 性 添 加 上 可 执 行 权 限 就 可 以 了 。
若 干 天 后 … … 攻 方 全 体 ： 这 个 技 术 好 ， 大 部 分 软 件 可 以 通 过 拼 凑 代 码 片 段 执 行 V i r t u a l P r o t e c t ， 将 函 数 返 回 值 或 者 S E H 链 覆 盖 成 代 码 片 段 的 起 始 地 址 ， 又 可 以 愉 快 的 玩 耍 了 。 守 方 ： 本 回 合 总 结 ： 本 回 合 总 结 ： 这 种 利 用 程 序 自 身 的 代 码 碎 片 绕 过 D E P 的 技 术 称 之 为 R O P 。 有 关 R O P 的 资 料 可 以 参 考 h t t p : / / r i c k g r a y . m e / 2 0 1 4 / 0 8 / 2 6 / b y p a s s - d e p - w i t h - r o p - s t u d y . h t m l 。 R O P 技 术 是 通 过 拼 凑 代 码 碎 片 执 行 A P I ， 在 最 开 始 没 有 相 应 辅 助 工 具 的 时 候 ， 构 建 R O P 链 是 耗 时 耗 力 的 。 随 着 研 究 人 员 的 增 多 ， 相 应 的 辅 助 工 具 也 被 开 发 出 来 ， R O P 链 的 构 建 已 经 相 对 容 易 了 。 0 × 4   第 四 回 合 第 四 回 合 A S L R 守 方 ： 本 以 为 堆 栈 不 可 执 行 就 世 界 太 平 了 ， 没 想 到 这 帮 小 子 居 然 还 可 以 这 么 玩 。 老 虎 不 发 威 ， 你 当 我 是 病 猫 啊 。 依 我 看 ， R O P 技 术 的 前 提 是 代 码 片 段 的 地 址 固 定 ， 这 样 才 能 知 道 往 函 数 返 回 值 或 者 S E H 链 中 填 写 哪 个 地 址 。 这 次 再 放 一 个 大 招 ， 地 址 空 间 布 局 随 机 化 （ A S L R ） ， 我 就 不 信 了 。 不 是 要 构 建 R O P 么 ， 我 让 e x e 、 d l l 的 地 址 全 都 随 机 ， 有 本 事 来 战 啊 。 攻 方 A ： 给 跪 了 ， 膜 拜 。 攻 方 B ： 洗 洗 睡 了 。 攻 方 C ： 收 拾 东 西 ， 摆 地 摊 手 机 贴 膜 去 。 … … 攻 方 大 神 ： 别 慌 ， 我 们 不 是 还 有 一 些 不 能 利 用 的 漏 洞 吗 ？ 如 果 这 些 漏 洞 能 够 泄 露 出 模 块 地 址 ， 两 个 漏 洞 结 合 起 来 ， 不 是 还 有 一 线 生 机 吗 ？ 攻 方 A ： 听 上 去 有 点 道 理 。 若 干 天 后 攻 方 A ： 这 个 方 法 很 不 通 用 啊 ， 而 且 泄 露 地 址 的 漏 洞 得 不 能 让 程 序 崩 溃 才 能 有 机 会 触 发 后 面 的 可 执 行 漏 洞 。 攻 方 B ： 洗 洗 睡 了 。 攻 方 C ： 收 拾 东 西 ， 摆 地 摊 手 机 贴 膜 去 。 … … 攻 方 大 神 ： 你 们 够 了 ！ 再 不 行 ， 我 们 暴 力 把 程 序 空 间 占 满 ， 全 铺 上 s h e l l c o d e ， 只 要 跳 转 地 址 没 落 在 已 有 模 块 中 ， 落 在 我 们 的 空 间 中 不 就 可 以 执 行 了 s h e l l c o d e 了 么 ？ 攻 方 B ： 这 样 不 好 吧 ， 把 内 存 全 占 满 了 ， 系 统 都 卡 的 不 行 了 。 另 外 这 样 也 绕 不 过 D E P 吧 ？ 攻 方 大 神 ： 你 有 更 好 的 办 法 吗 ？ … …
本 回 合 总 结 ： 本 回 合 总 结 ： A S L R + D E P 的 双 重 防 护 使 得 大 多 数 软 件 的 漏 洞 只 能 造 成 崩 溃 ， 无 法 稳 定 利 用 。 将 程 序 空 间 占 满 的 技 术 ， 称 之 为 堆 喷 射 （ H e a p   S p r a y i n g ） ， 这 种 技 术 只 能 应 用 在 可 以 执 行 J S 等 脚 本 的 软 件 上 ， 如 浏 览 器 等 。 堆 喷 射 通 过 大 面 积 的 申 请 内 存 空 间 并 构 造 适 当 的 数 据 ， 一 旦 E I P 指 向 这 片 空 间 ， 就 可 以 执 行 s h e l l c o d e 。 堆 喷 射 已 经 是 不 得 已 而 为 之 ， 有 时 候 会 造 成 系 统 卡 一 段 时 间 ， 容 易 被 发 现 ； 另 一 点 ， 如 果 E I P 恰 好 指 向 s h e l l c o d e 中 间 部 分 就 会 造 成 漏 洞 利 用 失 败 ， 因 此 不 能 保 证 1 0 0 % 成 功 。 堆 喷 射 只 是 绕 过 了 A S L R ， 无 法 绕 过 D E P ， 对 于 A S L R + D E P 的 双 重 防 护 依 然 是 无 效 的 。 堆 喷 射 技 术 学 习 可 以 参 考 h t t p : / / b l o g . c h i n a u n i x . n e t / u i d - 2 4 9 1 7 5 5 4 - i d - 3 4 9 2 6 1 8 . h t m l 这 篇 文 章 。 0 × 5   第 五 回 合 第 五 回 合 F l a s h 守 方 ： 世 界 上 没 有 什 么 问 题 是 一 个 大 招 不 能 解 决 的 ， 如 果 有 ， 那 就 两 个 。 攻 方 A ： 哎 ， 路 子 越 来 越 窄 ， 日 子 难 过 啊 。 攻 方 B ： 这 J S 也 不 好 用 ， 不 但 卡 ， 还 经 常 挂 ， 成 功 率 受 影 响 啊 ， 要 是 有 别 的 脚 本 语 言 就 好 了 。 攻 方 大 神 （ 眼 前 一 亮 ） ： 别 的 脚 本 语 言 没 有 ， F l a s h 不 是 可 以 自 己 编 写 A S 代 码 吗 ？ 而 且 F l a s h 在 W i n o d w s 、 L i n u x 和 A n d r o i d 上 都 有 应 用 ！ 攻 方 B ： 不 知 道 F l a s h 好 用 不 好 用 ， 试 试 看 吧 。 一 段 时 间 后 … … 攻 方 全 体 ： F l a s h 好 人 啊 ， 上 帝 关 上 门 ， 感 谢 F l a s h 给 我 们 开 了 一 扇 窗 。 本 回 合 总 结 ： 本 回 合 总 结 ： A S L R + D E P 的 防 护 ， 使 得 漏 洞 利 用 稳 定 成 功 率 ， 越 来 越 多 的 研 究 者 从 浏 览 器 + J S 转 向 了 浏 览 器 + F l a s h 。 刚 开 始 的 F l a s h 漏 洞 利 用 和 J S 一 样 也 是 不 稳 定 ， 随 着 研 究 的 深 入 ， F l a s h 漏 洞 利 用 越 来 越 成 熟 。 由 于 二 进 制 漏 洞 破 坏 了 程 序 执 行 流 程 ， 因 此 如 果 执 行 了 s h e l l c o d e 之 后 不 做 其 他 处 理 ， 软 件 会 崩 溃 掉 。 通 常 的 做 法 是 s h e l l c o d e 调 用 E x i t P r o c e s s 退 出 进 程 ， 这 样 会 造 成 软 件 打 开 了 闪 退 掉 。 而 F l a s h 作 为 浏 览 器 插 件 的 存 在 ， 居 然 发 展 出 很 多 不 卡 不 闪 不 挂 的 漏 洞 ， F l a s h 漏 洞 利 用 研 究 如 星 火 燎 原 般 炽 热 。 0 × 6   第 六 回 合 第 六 回 合   混 乱 混 乱 攻 方 ： 整 形 溢 出 、 类 型 混 淆 、 双 重 释 放 、 U A F ， 看 我 万 箭 齐 发 ！ 守 方 ： 无 力 吐 槽 了 ， 不 怕 神 一 样 的 对 手 ， 就 怕 猪 一 样 的 队 友 ， A d o b e ， 你 看 着 办 ！ A d o b e ： 我 补 ， 我 再 补 ， 我 继 续 补 ， 我 接 着 补 ， 我 … … 攻 方 ： 整 形 溢 出 、 类 型 混 淆 、 双 重 释 放 、 U A F ， 万 箭 齐 发 ！ A d o b e ： 来 人 ， 护 驾 ！ 吃 瓜 群 众 ： A d o b e 你 行 不 行 啊 ？ 苹 果 ： 大 家 放 弃 F l a s h 吧 ！ F i r e F o x ： + 1 A m a z o n ： + 2 C h r o m e ： + 3 F a c e B o o k ： 你 们 。 。 。 我 的 游 戏 ， 我 的 收 入 ！ 微 软 ： + 1 0 0 8 6
F a c e B o o k ： 算 了 ， 我 还 是 转 H T M L 5 吧 。 攻 方 ： 别 这 样 。 。 。 我 刚 精 通 A S 代 码 。 安 全 厂 商 ： 推 荐 用 户 卸 载 F l a s h ！ 吃 瓜 群 众 ： 卸 载 ？ 网 页 上 全 是 框 框 ， 视 频 看 不 了 ， 页 游 玩 不 了 … . A d o b e ： 不 是 国 军 无 能 ， 是 共 军 太 狡 猾 ！ 全 体 ： 滚 ！ 0 × 7   后 记 后 记 虽 然 F l a s h 的 漏 洞 使 得 其 他 厂 商 有 点 无 奈 ， 但 是 微 软 并 没 有 停 止 防 守 的 脚 步 。 微 软 在 W i n   8 . 1   U p d a t e   3 以 及 W i n   1 0 中 启 用 了 一 种 抵 御 内 存 泄 露 攻 击 的 新 机 制 ， 即 C o n t r o l   F l o w   G u a r d ( C F G ) — — 控 制 流 防 护 。 这 项 技 术 是 为 了 弥 补 此 前 不 完 美 的 保 护 机 制 ， 例 如 地 址 空 间 布 局 随 机 化 ( A S L R ) 导 致 了 堆 喷 射 的 发 展 ， 而 数 据 执 行 保 护 ( D E P ) 造 成 了 漏 洞 利 用 代 码 中 返 回 导 向 编 程 ( R O P ) 技 术 的 发 展 。 有 关 C F G 控 制 流 保 护 的 分 析 可 以 参 考 文 章 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / s e c u r i t y - m a n a g e m e n t / 5 8 3 7 3 . h t m l 。 有 盾 就 有 矛 ， 有 守 就 有 攻 。 绕 过 C F G 的 研 究 也 在 不 断 的 进 行 中 ， 其 中 的 一 些 技 术 可 以 参 考 绿 盟 科 技 的 《 分 析 及 防 护 ： W i n 1 0   执 行 流 保 护 绕 过 问 题 》 ， 地 址 h t t p : / / b l o g . n s f o c u s . n e t / w i n 1 0 - c f g - b y p a s s / ， 以 及 X C o n 2 0 1 6 的 议 题 《 J I T 喷 射 技 术 不 死 — 利 用 W A R P   S h a d e r   J I T 喷 射 绕 过 控 制 流 保 护 （ C F G ） 》 。 这 是 一 场 没 有 硝 烟 的 战 争 ， 这 也 是 一 场 没 有 尽 头 的 战 争 。 曾 经 o f f i c e 默 认 执 行 宏 造 成 了 宏 病 毒 的 泛 滥 ， 之 后 微 软 将 O f f i c e 文 档 的 宏 改 为 手 动 启 用 ， 宏 病 毒 销 声 匿 迹 ， 二 进 制 文 档 漏 洞 开 始 兴 起 。 随 着 A S L R + D E P 防 护 的 加 强 ， O f f i c e 还 额 外 增 加 了 一 些 防 护 手 段 ， 二 进 制 文 档 漏 洞 难 以 为 继 ， 曾 经 的 宏 病 毒 摇 身 一 变 又 杀 了 回 来 。 当 然 ， 宏 依 然 是 不 能 够 自 动 执 行 ， 但 是 可 以 通 过 文 档 内 容 ， 诱 使 人 点 击 执 行 。 攻 也 好 ， 防 也 好 ， 技 术 的 背 后 是 人 。 当 技 术 手 段 的 发 展 受 到 制 约 ， 利 用 人 自 身 弱 点 的 社 会 工 程 学 就 会 兴 起 。 你 躲 得 了 初 一 ， 躲 得 过 十 五 吗 ？ * 本 文 原 创 作 者 ： 泰 格 实 验 室 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理