💬 🧠 👩🏻‍🤝‍👨🏼 कांटा न जानने से, पानी में नहीं उतरता। भाग दो 🕢 ◀️ 🧔🏾

इस बार मैं प्रिंटफ फ़ंक्शन के बारे में बात करना चाहता हूं। सभी ने कार्यक्रमों में कमजोरियों के बारे में सुना है, और प्रिंटफ जैसे कार्य गैरकानूनी हैं। लेकिन यह जानना एक बात है कि इन सुविधाओं का उपयोग न करना बेहतर है। और काफी दूसरे - समझने के लिए क्यों। इस लेख में, मैं प्रिंटफ-संबंधित कार्यक्रमों की दो क्लासिक कमजोरियों का वर्णन करूंगा। आप उसके बाद एक हैकर नहीं बनेंगे, लेकिन हो सकता है कि आप अपने कोड पर नए सिरे से विचार करें। अचानक, आप इसे महसूस किए बिना भी इसी तरह के कमजोर कार्यों को लागू करते हैं।

रोकें। पाठक प्रतीक्षा करें, पास न करें। मुझे पता है कि आपने प्रिंटफ़ शब्द देखा था। और मुझे यकीन है कि लेख के लेखक अब एक भोज कहानी बताएंगे कि फ़ंक्शन पारित किए गए प्रकार के तर्कों को नियंत्रित नहीं करता है। नहीं! लेख इस बारे में नहीं होगा, लेकिन कमजोरियों के बारे में होगा। आओ पढ़ो।

पिछला नोट यहाँ है: भाग एक

परिचय

इस लाइन पर एक नज़र डालें:

 प्रिंटफ (नाम);

वह सरल और हानिरहित लगती है। इस बीच, कार्यक्रम पर हमला करने के लिए कम से कम दो तरीके इसमें छिपे हैं।

आइए लेख को एक डेमो के साथ शुरू करें जहां यह रेखा है। कोड आपको अजीब लग सकता है। तो यह है। यह बाद में उस पर हमला करने के लिए एक कार्यक्रम लिखने के लिए इतना आसान नहीं निकला। बिंदु वह अनुकूलन है जो कंपाइलर उत्पादन करता है। यह पता चला है कि यदि आप बहुत सरल प्रोग्राम लिखते हैं, तो संकलक ऐसा कोड बनाता है जिसमें टूटने की कोई बात नहीं है। यह रजिस्टरों का उपयोग करता है, डेटा स्टोर करने के लिए स्टैक नहीं, फ़ंक्शंस और इस तरह एम्बेड करता है। आप अनावश्यक क्रियाओं और लूप के साथ कोड लिख सकते हैं ताकि कंपाइलर के पास पर्याप्त मुक्त रजिस्टर न हो, और यह स्टैक पर डेटा को पुश करना शुरू कर देता है। दुर्भाग्य से, उदाहरण बहुत बड़ा और भ्रामक है। आप इस सब के बारे में एक अलग जासूसी कहानी लिख सकते हैं, लेकिन हमने नहीं किया।

प्रस्तुत उदाहरण जटिलता और संकलक को "कुछ भी नहीं ढहने" से रोकने के लिए सरल कोड के बीच एक समझौता है। मैं मानता हूं, मैंने वैसे भी खुद की थोड़ी मदद की। मैंने Visual Studio 2010 में उपयोग किए गए कुछ अनुकूलन प्रकारों को अक्षम कर दिया था। सबसे पहले, / GL (संपूर्ण प्रोग्राम ऑप्टिमाइज़ेशन) स्विच अक्षम किया गया था। दूसरे, मैंने __declspec (noinline) विशेषता का उपयोग किया।

मैं इतने लंबे परिचय के लिए माफी चाहता हूं। मैं प्रोग्राम कोड के अनाड़ीपन को स्पष्ट करना चाहता था। और इस विषय पर चर्चा को तुरंत रोक दें कि यह कोड बेहतर लिखा जा सकता है। मुझे पता है आप कर सकते हैं। लेकिन आप एक ही समय में कोड को छोटा नहीं कर सकते हैं, और ताकि आप भेद्यता दिखा सकें।

डेमो

विजुअल स्टूडियो 2010 के लिए पूर्ण कोड और परियोजना यहां उपलब्ध है ।

  const size_t MAX_NAME_LEN = 60;
 Enum ErrorStatus {
   E_ToShortName, E_ToShortPass, E_BigName, E_OK
 };

 शून्य PrintNormalizedName (const char * raw_name)
 {
   char का नाम [MAX_NAME_LEN + 1];
   strcpy (नाम, raw_name);

   for (size_t i = 0; name [i]! = '\ 0'; ++ i)
     name [i] = tolower (नाम [i]);
   नाम [0] = टॉपर (नाम [0]);

   प्रिंटफ (नाम);
 }

 ErrorStatus IsCorrectPassword (
   const char * युनिवर्सलपासवर्ड,
   BOOL और retIsOkPass)
 {
   स्ट्रिंग नाम, पासवर्ड;
   प्रिंटफ ("नाम:");  सिन >> नाम;
   प्रिंटफ ("पासवर्ड:");  Cin >> पासवर्ड;
   अगर (name.length () <1) E_ToShortName लौटाएं;
   अगर (name.length) (MAX_NAME_LEN) E_BigName लौटाता है;
   अगर (password.length () <1) E_ToShortPass लौटें;

   retIsOkPass = 
     यूनिवर्सलप्रासवर्ड! = NULL &&
     strcmp (password.c_str (), UniversalPassword) == 0;
   यदि (! retIsOkPass)
     retIsOkPass = नाम [0] == पासवर्ड [0];

   प्रिंटफ ("हैलो,");
   PrintNormalizedName (name.c_str ());

   वापसी E_OK;
 }

 int _tmain (इंट, चार * [])
 {
   _set_printf_count_output (1);
   char Universal [] = "_Universal_Pass_!";
   BOO .OkPassword = FALSE;
   ErrorStatus स्थिति =
     IsCorrectPassword (सार्वभौमिक, isOkPassword);
   अगर (स्थिति == E_OK && isOkPassword)
     प्रिंटफ ("\ nPassword: OK \ n");
   अन्यथा
     प्रिंटफ ("\ nPassword: ERROR \ n");
   वापसी 0;
 }

_Tmain () फ़ंक्शन IsCorrectPassword () फ़ंक्शन को कॉल करता है। यदि पासवर्ड सही है या यदि यह जादू शब्द "_Universal_Pass_!" से मेल खाता है, तो प्रोग्राम स्ट्रिंग "पासवर्ड: ओके" प्रदर्शित करता है। हमलों का उद्देश्य यह सुनिश्चित करना होगा कि कार्यक्रम बिल्कुल इसी लाइन को प्रदर्शित करता है।

IsCorrectPassword () फ़ंक्शन उपयोगकर्ता और उपयोगकर्ता नाम के लिए पूछता है। यदि यह फ़ंक्शन में दिए गए जादू शब्द से मेल खाता है तो पासवर्ड सही माना जाता है। यह सही भी है अगर पासवर्ड का पहला अक्षर नाम के पहले अक्षर से मेल खाता है।

भले ही सही पासवर्ड दर्ज किया गया हो या नहीं, प्रोग्राम उपयोगकर्ता का स्वागत करता है। ऐसा करने के लिए, PrintNormalizedName () फ़ंक्शन को कहा जाता है।

PrintNormalizedName () फ़ंक्शन का सभी मज़ा है। यह इसमें है कि चर्चा की गई "प्रिंटफ (नाम);" स्थित है। प्रोग्राम को ट्रिक करने के लिए इस लाइन का उपयोग करने के बारे में सोचें। यदि आप जानते हैं कि कैसे, तो आप आगे नहीं पढ़ सकते हैं।

क्या कार्य करता है PrintNormalizedName ()? वह नाम छापती है, पहला अक्षर राजधानी और बाकी छोटा। उदाहरण के लिए, यदि आप "andREy2008" नाम दर्ज करते हैं, तो यह "Andrey2008" प्रिंट करता है।

पहला हमला

मान लीजिए हमें सही पासवर्ड नहीं पता है। लेकिन हम जानते हैं कि कहीं न कहीं एक मैजिक पासवर्ड है। चलो प्रिंटफ () का उपयोग करके इसे खोजने का प्रयास करें। यदि इस पासवर्ड का पता कहीं स्टैक पर है, तो हमारे पास सफलता का एक मौका है। कोई भी विचार इस पासवर्ड को स्क्रीन पर कैसे देखें?

मैं एक संकेत देता हूं। प्रिंटफ़ () फ़ंक्शन फ़ंक्शन के एक परिवार को संदर्भित करता है जिसमें विभिन्न प्रकार के तर्क होते हैं। इस तरह के कार्य इस तरह से काम करते हैं। स्टैक पर डेटा की एक मनमानी राशि लिखी जाती है। प्रिंटफ () फ़ंक्शन को पता नहीं है कि स्टैक को कितना डेटा लिखा गया है और इसका क्या प्रकार है। यह प्रारूप स्ट्रिंग द्वारा विशेष रूप से निर्देशित है। यदि "% d% s" लिखा जाता है, तो इसका मतलब है कि स्टैक से टाइप इंट और एक पॉइंटर का एक मान निकाला जाना चाहिए। चूंकि प्रिंटफ () फ़ंक्शन को यह नहीं पता है कि इसके लिए कितने तर्क पारित किए गए थे, यह स्टैक में गहराई से देख सकता है और डेटा का प्रिंट आउट कर सकता है, जिसका इससे कोई लेना-देना नहीं है। एक नियम के रूप में, यह उल्लंघन का उपयोग करने या कचरे के प्रिंटआउट की ओर जाता है। हालाँकि, इस कचरे का उपयोग किया जा सकता है।

विचार करें कि जब हम प्रिंटफ () फ़ंक्शन कहते हैं तो स्टैक कैसा दिख सकता है:
चित्र 1. डेटा पर योजनाबद्ध लेआउट।

चित्रा 1. स्टैक पर डेटा का योजनाबद्ध लेआउट।

फ़ंक्शन कॉल "प्रिंटफ (नाम);" में केवल एक तर्क है, जो एक प्रारूप स्ट्रिंग है। इसका मतलब है कि अगर हम नाम के बजाय "% d" दर्ज करते हैं, तो हम PrintNormalizedName () फ़ंक्शन में स्टैक पर मौजूद डेटा को रिटर्न एड्रेस पर प्रिंट करेंगे। आइए कोशिश करते हैं:

नाम:% d
पासवर्ड: 1
नमस्ते ३ 37
पासवर्ड: ERROR

जबकि यह कार्रवाई निरर्थक है। कम से कम, पहले हमें रिटर्न पते और चार नाम बफर की पूरी सामग्री को प्रिंट करना होगा [MAX_NAME_LEN + 1]; - जो स्टैक पर भी स्थित है। और तभी, शायद, हमें कुछ दिलचस्प मिलता है।

यदि किसी हमलावर के पास कार्यक्रम को अलग करने या डिबग करने की क्षमता नहीं है, तो उसके लिए यह समझना मुश्किल है कि वह स्टैक पर कुछ ढूंढेगा या नहीं। हालांकि, यह निम्नानुसार कार्य कर सकता है।

शुरुआत में, दर्ज करें: "% s"। फिर "% x% s" दर्ज करें। फिर "% x% x% s" इत्यादि प्रविष्ट करें। यह हैकर स्टैक पर बदले में डेटा पर पुनरावृति करेगा, और उन्हें स्ट्रिंग के रूप में प्रिंट करने का प्रयास करेगा। यहां यह मदद करता है कि स्टैक में सभी डेटा कम से कम 4 बाइट्स की सीमा में संरेखित हैं।

ईमानदार होने के लिए, इस तरह से अभिनय करना, हम सफल नहीं होंगे। हम उपयोगी कुछ भी छापे बिना 60 अक्षरों की सीमा को पार कर जाएंगे। "% F", जो दोहरे मूल्यों को छापने के लिए है, हमारी सहायता के लिए आएगा। इसलिए, इसकी मदद से, हम स्टैक के साथ तुरंत 8 बाइट्स को स्थानांतरित करने में सक्षम होंगे।

और यहाँ वह है - लंबे समय से प्रतीक्षित लाइन:

% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% x (% s)

परिणाम:

चित्रा 2. पासवर्ड प्रिंटआउट। बड़ा करने के लिए छवि पर क्लिक करें।

आइए इस लाइन को जादू के पासवर्ड के रूप में देखें:

नाम: आआ
पासवर्ड: _Universal_Pass_!
नमस्कार, आआ
पासवर्ड: ठीक है

हुर्रे! हम निजी डेटा को खोजने और प्रदर्शित करने में सक्षम थे, जिसमें कार्यक्रम ने हमें एक्सेस देने की योजना नहीं बनाई थी। इसके अलावा, ध्यान दें कि इसके लिए बाइनरी प्रोग्राम कोड तक पहुंचने की आवश्यकता नहीं है। पर्याप्त जोश और दृढ़ता।

पहले हमले पर निष्कर्ष

निजी डेटा प्राप्त करने का एक समान तरीका अधिक व्यापक रूप से माना जाना चाहिए। जब एक चर संख्या वाले तर्कों के साथ कार्यों को विकसित करते हैं, तो विचार करें कि क्या ऐसी परिस्थितियां हैं जहां डेटा बाहरी दुनिया के माध्यम से लीक हो सकता है। यह एक लॉग फ़ाइल, एक पैकेट एक नेटवर्क पर प्रेषित हो सकता है, और इसी तरह।

विचार किए गए मामले में, हमला इस तथ्य के कारण संभव हुआ कि प्रिंटफ () फ़ंक्शन के इनपुट को एक स्ट्रिंग मिलती है जिसमें नियंत्रण कमांड हो सकते हैं। इससे बचने के लिए, यह इस तरह लिखना पर्याप्त था:

  प्रिंटफ ("% s", नाम);

दूसरा हमला

क्या आप जानते हैं कि प्रिंटफ () मेमोरी को संशोधित कर सकता है? सबसे अधिक संभावना है, आप इसके बारे में पढ़ते हैं, लेकिन भूल गए। यह क्वालीफायर "% n" है। यह आपको निर्दिष्ट पते पर लिखने की अनुमति देता है कि प्रिंटफ () फ़ंक्शन की संख्या पहले से ही मुद्रित है।

सच कहें तो% n स्पेसियर पर आधारित हमला पूरी तरह से ऐतिहासिक है। विज़ुअल स्टूडियो 2005 के साथ शुरू, "% n" का उपयोग करने का विकल्प डिफ़ॉल्ट रूप से अक्षम है। इस हमले का संचालन करने के लिए, मुझे इस योग्यता को स्पष्ट रूप से सक्षम करना था। यहाँ जादू की कार्रवाई है:

  _set_printf_count_output (1);

इसे स्पष्ट करने के लिए, मैं "% n" का उपयोग करने का एक उदाहरण दूंगा:

  int i;
 प्रिंटफ ("12345% n6789 \ n", और i);
 प्रिंटफ ("i =% d \ n", i);

कार्यक्रम का आउटपुट:

123456789
मैं = ५

हमने पहले ही सीखा कि स्टैक पर वांछित पॉइंटर को कैसे प्राप्त किया जाए। और अब हमारे हाथ में एक उपकरण है जो हमें इस सूचक द्वारा मेमोरी को संशोधित करने की अनुमति देता है।

बेशक, इसका उपयोग करना असुविधाजनक है। सबसे पहले, हम एक बार में केवल 4 बाइट्स लिख सकते हैं (int type size)। अगर हमें बड़ी संख्या की आवश्यकता है, तो पहले प्रिंटफ () फ़ंक्शन को बहुत सारे वर्णों को प्रिंट करना होगा। इससे बचने के लिए,% 00u विनिर्देशक मदद कर सकता है। विनिर्देशक बाइट्स आउटपुट की वर्तमान संख्या के मूल्य को प्रभावित करता है। हम अधिक विवरण में नहीं गए।

हमारे मामले में, सब कुछ सरल है। हमारे लिए यह पर्याप्त है कि कोई भी isOkPassword वैरिएबल लिखने के लिए कोई मान नहीं है। इस वैरिएबल का पता IsCorrectPassword () फ़ंक्शन से दिया गया है, जिसका अर्थ है कि यह स्टैक पर कहीं है। भ्रमित न हों कि चर को संदर्भ के रूप में पारित किया गया है। निम्न स्तर पर, एक लिंक एक साधारण सूचक है।

यहाँ एक पंक्ति है जो हमें IsCorrectPassword चर को संशोधित करने की अनुमति देगी:

% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एफ% एन% एन

क्वालिफ़ायर "% n" क्वालिफायर का उपयोग करके वर्ण आउटपुट की संख्या को ध्यान में नहीं रखता है जैसे "% f"। इसलिए, हम isOkPassword का मान 1 लिखने के लिए "% n" से पहले एक स्थान रखते हैं।

हम कोशिश करते हैं:

चित्र 3. मेमोरी। बड़ा करने के लिए छवि पर क्लिक करें।

चित्र 3. मेमोरी में लिखें। बड़ा करने के लिए छवि पर क्लिक करें।

प्रभावशाली? लेकिन वह सब से बहुत दूर है। आप एक मनमाने पते पर लगभग रिकॉर्ड कर सकते हैं। यदि आउटपुट लाइन स्टैक पर है, तो हम वांछित पात्रों पर जा सकते हैं और उन्हें पते के रूप में उपयोग कर सकते हैं।

उदाहरण के लिए, हम 'xF8', 'x32', 'x01', 'x7F' कोड वाले निरंतर वर्णों वाली एक पंक्ति लिख सकते हैं। यह पता चला है कि स्ट्रिंग में एक हार्ड-कोडित संख्या है, जो मूल्य 0x7F0132F8 के बराबर है। अंत में हम क्वालीफायर "% n" डाल देंगे। "% X" या अन्य क्वालीफायर का उपयोग करके, हम एन्कोड किए गए नंबर 0x7F0132F8 पर जा सकते हैं और इस पते पर मुद्रित वर्णों की संख्या लिख सकते हैं। इस पद्धति की सीमाएं हैं, लेकिन यह अभी भी बहुत उत्सुक है।

दूसरे हमले पर निष्कर्ष

हम कह सकते हैं कि दूसरी तरह का हमला अब शायद ही संभव हो। जैसा कि आप देख सकते हैं, आधुनिक पुस्तकालयों में "% n" विनिर्देशक का समर्थन डिफ़ॉल्ट रूप से बंद है। हालांकि, आप अपना खुद का घर-निर्मित तंत्र बना सकते हैं जो इस प्रकार की भेद्यता के लिए पहले से तैयार होगा। बाहर से दर्ज किए गए डेटा से सावधान रहें कि मेमोरी में क्या और कहां लिखना है।

विशेष रूप से, इस मामले में, समस्या फिर से नहीं उठेगी, यदि आप इस तरह लिखते हैं:

  प्रिंटफ ("% s", नाम);

सामान्य निष्कर्ष

यहां भेद्यता के केवल दो सरल उदाहरणों पर विचार किया जाता है। बेशक, कई और भी हैं। उनका वर्णन करने या कम से कम उन्हें सूचीबद्ध करने के लिए यहां कोई प्रयास नहीं किया गया है। लेख ने यह दिखाने की योजना बनाई कि प्रिंटफ (नाम) के रूप में इस तरह का एक सरल निर्माण भी खतरनाक हो सकता है।

इससे एक महत्वपूर्ण निष्कर्ष निकलता है। यदि आप एक सुरक्षा पेशेवर नहीं हैं, तो उन सभी सिफारिशों का पालन करना सबसे अच्छा है, जिनके बारे में वे लिखते हैं। सिफारिशों का सार अपने दम पर खतरों की पूरी श्रृंखला का आकलन करने के लिए बहुत पतला है। आखिरकार, आप शायद पढ़ते हैं कि प्रिंटफ () एक खतरनाक कार्य है। लेकिन मुझे यकीन है कि इस लेख को पढ़ने वाले कई लोगों ने सबसे पहले खरगोश के छेद की गहराई के बारे में सीखा।

यदि आप एक ऐसा एप्लिकेशन लिख रहे हैं जो संभावित रूप से एक हमले का लक्ष्य हो सकता है, तो बहुत सावधान रहें। आपको लगता है कि पूरी तरह से हानिरहित कोड में भेद्यता हो सकती है। यदि आपको कोड में कोई कैच नहीं दिखता है, तो इसका मतलब यह नहीं है कि यह नहीं है।

स्ट्रिंग फ़ंक्शन के अद्यतन संस्करणों का उपयोग करने के लिए सभी संकलक दिशानिर्देशों का पालन करें। यह स्प्रिंट के बजाय स्प्रिंटफ_ के उपयोग को संदर्भित करता है और इसी तरह।

इससे भी बेहतर - आम तौर पर स्ट्रिंग्स के साथ निम्न-स्तर के काम से इनकार करते हैं। ये कार्य सी भाषा की विरासत हैं। अब std :: string है। स्ट्रिंग्स बनाने के सुरक्षित तरीके हैं, जैसे कि बढ़ावा :: प्रारूप या एसटी :: स्ट्रिंग।

PS किसी ने निष्कर्ष को पढ़ते हुए कहा - "यह पहले से ही स्पष्ट था।" लेकिन ईमानदार बनो। इस लेख को पढ़ने से पहले, क्या आप जानते हैं और याद है कि प्रिंटफ () मेमोरी में लिख सकता है? लेकिन यह एक बड़ी भेद्यता है। कम से कम यह पहले था। अब दूसरे भी हैं, कोई कम तुच्छ नहीं।

कांटा न जानने से, पानी में नहीं उतरता। भाग दो