🙅🏻 👩🏼‍🎨 🖋️ विंडोज 8 में आंतरिक एएसएलआर 🤹🏽 📺 🤱🏻

ASLR एड्रेस स्पेस लेआउट रैंडमाइजेशन, एड्रेस स्पेस रैंडमाइजेशन है। यह एक सुरक्षा तंत्र है जिसमें विभिन्न डेटा संरचनाओं के वर्चुअल मेमोरी एड्रेस का यादृच्छिककरण शामिल है जो हमलों के प्रति संवेदनशील हैं। लक्ष्य संरचना की स्मृति में स्थान का अनुमान लगाना मुश्किल है, इसलिए हमलावर की सफलता की संभावनाएं छोटी हैं।

विंडोज एएसएलआर कार्यान्वयन निष्पादन योग्य चित्रों के स्थानांतरण तंत्र से निकटता से संबंधित है। स्थानांतरण एक पीई फ़ाइल को न केवल एक निश्चित पसंदीदा आधार पर लोड करने की अनुमति देता है। पीई फ़ाइल में स्थानांतरण अनुभाग छवि को स्थानांतरित करते समय महत्वपूर्ण संरचना है। यह वर्णन करता है कि कोड और डेटा के कुछ तत्वों के लिए अलग आधार पते पर एप्लिकेशन के सही कामकाज को सुनिश्चित करने के लिए क्या बदलाव किए जाने की आवश्यकता है।

एएसएलआर के काम में एक महत्वपूर्ण भूमिका एक यादृच्छिक संख्या जनरेटर और कुछ कार्यों द्वारा निभाई जाती है जो लोड किए गए पीई फ़ाइल के आधार पते को संशोधित करती है।

विंडोज 8 एक यादृच्छिक संख्या जनरेटर पर निर्भर करता है, जो अनिवार्य रूप से पैरामीटर j = 24 और k = 55 के साथ एक विलंबित फाइबोनैचि जनरेटर है। इसकी कर्नेल को सिस्टम स्टार्टअप पर winload.exe मॉड्यूल में आरंभीकृत किया गया है। Winload.exe विभिन्न स्रोतों से एन्ट्रॉपी एकत्र करता है: रजिस्ट्री कुंजी, टीपीएम, वर्तमान समय, एसीपीआई, साथ ही नए rdrand निर्देश का उपयोग करते हुए। परमाणु यादृच्छिक संख्या जनरेटर के आरंभीकरण को स्रोत [1] में विस्तार से वर्णित किया गया है।

आइए नए rrrand बयान पर करीब से नज़र डालें। आईवी ब्रिज आर्किटेक्चर पर आधारित प्रोसेसर में, इंटेल-सिक्योर की तकनीक उच्च गुणवत्ता वाले छद्म आयामी संख्या उत्पन्न करने के लिए पेश की गई थी। यह एक हार्डवेयर डिजिटल रैंडम नंबर जनरेटर (DRNG) और rdrand निर्देशों का उपयोग करके प्रोग्रामेटिक रूप से मानों को निकालने के लिए लागू किया जाता है।

हार्डवेयर के दृष्टिकोण से, DRNG एक प्रोसेसर चिप पर एक अलग मॉड्यूल है। यह 3 गीगाहर्ट्ज पर प्रोसेसर कोर के साथ एसिंक्रोनस रूप से काम करता है। DRNG एंट्रोपी के स्रोत के रूप में थर्मल शोर का उपयोग करता है; इसके अलावा, इसमें एक एकीकृत परीक्षण प्रणाली है जो निकाले गए यादृच्छिक मूल्यों की गुणवत्ता जांच की एक श्रृंखला करती है। असंतोषजनक परीक्षा परिणाम के मामले में, DRNG यादृच्छिक मान उत्पन्न करना बंद कर देता है।

रैंड्रान अनुदेश का उपयोग DRNG से यादृच्छिक संख्या निकालने के लिए किया जाता है। इसके लिए प्रलेखन ने उल्लेख किया कि सैद्धांतिक रूप से, DRNG एक असंतोषजनक परीक्षा परिणाम या यादृच्छिक मूल्यों की एक खाली आंतरिक कतार की स्थिति में शून्य मान लौटा सकता है। हालांकि, व्यवहार में, DRNG को खाली करना संभव नहीं था।

इंटेल सिक्योर की एक शक्तिशाली यादृच्छिक संख्या जनरेटर है जो बहुत उच्च गति पर उच्च गुणवत्ता वाले यादृच्छिक मूल्यों का उत्पादन करता है। Rdrand अनुदेश (एन्ट्रापी के अन्य स्रोतों के विपरीत) का उपयोग करके जेनरेटर की प्रारंभिक स्थिति की भविष्यवाणी करना लगभग असंभव है।

परमाणु PRNG का आंतरिक इंटरफ़ेस फ़ंक्शन ExGenRandom () है। इसमें एक एक्सपोर्टेड रैपर फंक्शन RtlRandomEx () भी है। विंडोज 8 पर ASLR ExGenRandom () का उपयोग करता है - पिछले संस्करणों के विपरीत जो rdtsc निर्देश पर निर्भर था। उत्तरार्द्ध का उपयोग सीपीयू पर एक समय काउंटर प्राप्त करने के लिए किया जाता है, जो रैखिक रूप से भिन्न होता है और इसलिए, उत्पन्न मूल्यों की उचित गुणवत्ता प्रदान नहीं कर सकता है, जो असुरक्षित है।

ASLR तंत्र का मुख्य कार्य MiSelectImageBase () है। विंडोज 8 में, इसे निम्नलिखित छद्म कोड द्वारा वर्णित किया जा सकता है।

#define MI_64K_ALIGN(x) (x + 0x0F) >> 4 #define MmHighsetUserAddress 0x7FFFFFEFFFF typedef PIMAGE_BASE ULONG_PTR; typedef enum _MI_MEMORY_HIGHLOW { MiMemoryHigh = 0, MiMemoryLow = 1, MiMemoryHighLow = 2 } MI_MEMORY_HIGHLOW, *PMI_MEMORY_HIGHLOW; MI_MEMORY_HIGHLOW MiSelectBitMapForImage(PSEGMENT pSeg) { if (!(pSeg->SegmentFlags & FLAG_BINARY32)) // WOW binary { if (!(pSeg->ImageInformation->ImageFlags & FLAG_BASE_BELOW_4GB)) { if (pSeg->BasedAddress > 0x100000000) { return MiMemoryHighLow; } else { return MiMemoryLow; } } } return MiMemoryHigh; } PIMAGE_BASE MiSelectImageBase(void* a1<rcx>, PSEGMENT pSeg) { MI_MEMORY_HIGHLOW ImageBitmapType; ULONG ImageBias; RTL_BITMAP *pImageBitMap; ULONG_PTR ImageTopAddress; ULONG RelocationSizein64k; MI_SECTION_IMAGE_INFORMATION *pImageInformation; ULONG_PTR RelocDelta; PIMAGE_BASE Result = NULL; // rsi = rcx // rcx = rdx // rdi = rdx pImageInformation = pSeg->ImageInformation; ImageBitmapType = MiSelectBitMapForImage(pSeg); a1->off_40h = ImageBitmapType; if (ImageBitmapType == MiMemoryLow) { // 64-bit executable with image base below 4 GB ImageBias = MiImageBias64Low; pImageBitMap = MiImageBitMap64Low; ImageTopAddress = 0x78000000; } else { if (ImageBitmapType == MiMemoryHighLow) { // 64-bit executable with image base above 4 GB ImageBias = MiImageBias64High; pImageBitMap = MiImageBitMap64High; ImageTopAddress = 0x7FFFFFE0000; } else { // MiMemoryHigh 32-bit executable image ImageBias = MiImageBias; pImageBitMap = MiImageBitMap; ImageTopAddress = 0x78000000; } } // pSeg->ControlArea->BitMap ^= (pSeg->ControlArea->BitMap ^ (ImageBitmapType << 29)) & 0x60000000; // or bitfield form pSeg->ControlArea.BitMap = ImageBitmapType; RelocationSizein64k = MI_64K_ALIGN(pSeg->TotalNumberOfPtes); if (pSeg->ImageInformation->ImageCharacteristics & IMAGE_FILE_DLL) { ULONG StartBit = 0; ULONG GlobalRelocStartBit = 0; StartBit = RtlFindClearBits(pImageBitMap, RelocationSizein64k, ImageBias); if (StartBit != 0xFFFFFFFF) { StartBit = MiObtainRelocationBits(pImageBitMap, RelocationSizein64k, StartBit, 0); if (StartBit != 0xFFFFFFFF) { Result = ImageTopAddress - (((RelocationSizein64k) + StartBit) << 0x10); if (Result == (pSeg->BasedAddress - a1->SelectedBase)) { GlobalRelocStartBit = MiObtainRelocationBits(pImageBitMap, RelocationSizein64k, StartBit, 1); StartBit = (GlobalRelocStartBit != 0xFFFFFFFF) ? GlobalRelocStartBit : StartBit; Result = ImageTopAddress - (RelocationSizein64k + StartBit) << 0x10; } a1->RelocStartBit = StartBit; a1->RelocationSizein64k = RelocationSizein64k; pSeg->ControlArea->ImageRelocationStartBit = StartBit; pSeg->ControlArea->ImageRelocationSizeIn64k = RelocationSizein64k; return Result; } } } else { // EXE image if (a1->SelectedBase != NULL) { return pSeg->BasedAddress; } if (ImageBitmapType == MiMemoryHighLow) { a1->RelocStartBit = 0xFFFFFFFF; a1->RelocationSizein64k = (WORD)RelocationSizein64k; pSeg->ControlArea->ImageRelocationStartBit = 0xFFFFFFFF; pSeg->ControlArea->ImageRelocationSizeIn64k = (WORD)RelocationSizein64k; return ((DWORD)(ExGenRandom(1) % (0x20001 - RelocationSizein64k)) + 0x7F60000) << 16; } } ULONG RandomVal = ExGenRandom(1); RandomVal = (RandomVal % 0xFE + 1) << 0x10; RelocDelta = pSeg->BasedAddress - a1->SelectedBase; if (RelocDelta > MmHighsetUserAddress) { return 0; } if ((RelocationSizein64k << 0x10) > MmHighsetUserAddress) { return 0; } if (RelocDelta + (RelocationSizein64k << 0x10) <= RelocDelta) { return 0; } if (RelocDelta + (RelocationSizein64k << 0x10) > MmHighsetUserAddress) { return 0; } if (a1->SelectedBase + RandomVal == 0) { Result = pSeg->BasedAddress; } else { if (RelocDelta > RandomVal) { Result = RelocDelta - RandomVal; } else { Result = RelocDelta + RandomVal; if (Result < RelocDelta) { return 0; } if (((RelocationSizein64k << 0x10) + RelocDelta + RandomVal) > 0x7FFFFFDFFFF) { return 0; } if (((RelocationSizein64k << 0x10) + RelocDelta + RandomVal) < (RelocDelta + (RelocationSizein64k << 0x10)))) { return 0; } } } //random_epilog a1->RelocStartBit = 0xFFFFFFFF; a1->RelocationSizein64k = RelocationSizein64k; pSeg->ControlArea->ImageRelocationStartBit = 0xFFFFFFFF; pSeg->ControlArea->ImageRelocationSizeIn64k = RelocationSizein64k; return Result; }

जैसा कि आप देख सकते हैं, वहाँ तीन अलग अलग बिटमैप छवियों हैं। पहला 32-बिट निष्पादन योग्य अनुप्रयोगों के लिए है, दूसरा 64-बिट अनुप्रयोगों के लिए है, तीसरा 64-बिट अनुप्रयोगों के लिए है जिसमें 4 जीबी से अधिक का आधार है, जो उन्हें उच्च एन्ट्रापी के साथ एक आभासी पता देता है।

यादृच्छिकीकरण निष्पादन योग्य छवियों सीधे उनके आधार पता प्रभावित करते हैं। पुस्तकालयों को लोड करने के मामले में, एएसएलआर मॉड्यूल स्थानांतरण प्रक्रिया का एक हिस्सा है: नया आधार पता चुनते समय एक यादृच्छिक चर छविबिएस चर होता है, जिसे सिस्टम स्टार्टअप पर आरंभीकृत किया जाता है।

 VOID MiInitializeRelocations() { MiImageBias = ExGenRandom(1) % 256; MiImageBias64Low = ExGenRandom(1) % MiImageBitMap64Low.SizeOfBitMap; MiImageBias64High = ExGenRandom(1) % MiImageBitMap64High.SizeOfBitMap; return; }

निष्पादन योग्य चित्रों के बिटमैप वर्तमान उपयोगकर्ता प्रक्रियाओं का पता स्थान प्रदर्शित करते हैं। निष्पादन योग्य छवि को बूट समय पर आधार पता मिलता है, इसे उसी आधार पते पर अन्य प्रक्रियाओं में पुनः लोड किया जाएगा। बूटलोडर का यह व्यवहार कॉपी-ऑन-राइट तंत्र के निष्पादन योग्य चित्रों के उपयोग के कारण गति और स्मृति बचत के संदर्भ में सबसे प्रभावी है।

विंडोज 8 में वर्तमान एएसएलआर कार्यान्वयन आपको उन अनुप्रयोगों के आधार पते को यादृच्छिक बनाने की अनुमति देता है जो यादृच्छिकरण का समर्थन नहीं करते हैं। नीचे दी गई तालिका बूटलोडर के व्यवहार को एएसएलआर से जुड़े लिंकर झंडे के संयोजन के आधार पर दर्शाती है।

* MSVS का उपयोग करके एक छवि को इकट्ठा करना संभव नहीं है, क्योंकि / DYNAMICBASE ध्वज के लिए / FIXED: NO ध्वज की आवश्यकता होती है, जो एक स्थानांतरण अनुभाग उत्पन्न करता है

आप बूटलोडर के व्यवहार में बदलाव को नोटिस कर सकते हैं, विंडोज 8 के लिए विशिष्ट: यदि निष्पादन योग्य छवि में एक स्थानांतरण अनुभाग है, तो इसे वैसे भी लोड किया जाएगा। यह ASLR और स्थानांतरण तंत्र के बीच संबंधों का और सबूत है।

सामान्य तौर पर, हम यह कह सकते हैं कि विंडोज 8 में नए एएसएलआर कार्यों के कार्यान्वयन से कोड के तर्क को महत्वपूर्ण रूप से प्रभावित नहीं किया जाता है, इसलिए इसमें उपयोगी कमजोरियों का पता लगाना मुश्किल है। विभिन्न वस्तुओं को यादृच्छिक बनाने के लिए एन्ट्रापी बढ़ाना अनिवार्य रूप से कोड में स्थिर अभिव्यक्ति के लिए एक प्रतिस्थापन है। इसके अलावा, कोड उल्लेख किया जा सकता रेखांकन कोड निरीक्षण आचरण।

सूत्रों का कहना है
[१] वैलेसेक च।, मैंडेट टी। विंडोज als हीप इंटर्नल। 2012।
[२] जॉनसन के।, मिलर एम। एक्सप्लॉइट मिटिगेशन इंप्रूवमेंट इन विंडोज।। स्लाइड्स, ब्लैक हैट यूएसए, २०१२।
[३] इंटेल। इंटेल डिजिटल रैंडम नंबर जेनरेटर (DRNG): सॉफ्टवेयर कार्यान्वयन गाइड। इंटेल कॉर्पोरेशन, 2012।
[४] व्हाइटहाउस ओ। विंडोज विस्टा पर एड्रेस स्पेस लेआउट रैंडमाइजेशन का विश्लेषण। सिमेंटेक अग्रिम खतरा रिसर्च, 2007।
[५] सोटरोव ए, डॉवड एम। बाइपासिंग ब्राउज़र मेमोरी प्रोटेक्ट्स। 2008।

लेखक: अर्टिओम शिश्किन ( मानदत्ता ) और इल्या स्मिथ ( ब्लैकज़र्ट ), सकारात्मक अनुसंधान केंद्र।

विंडोज 8 में आंतरिक एएसएलआर

More articles: