झंडे के बारे में 0x41414141 बार

कोई फर्क नहीं पड़ता कि हम लिंकर और संकलक के झंडे का उपयोग करने की आवश्यकता के बारे में कितना बात करते हैं, जिसका उद्देश्य स्मृति भ्रष्टाचारों की पहचान करना और उनके संचालन को जटिल करना है, एक नियम के रूप में, आरबीएस, एबीएस और विभिन्न प्रमाणित उत्पादों के हमारे डेवलपर्स, इस बारे में बिल्कुल नहीं सुनते हैं। और जब पूर्व-आरसीई सर्वर साइड शोषण का लेखन करते हैं, तो हमारे नवीनतम काम के आधार पर इसके बारे में लिखने का विचार एक बार फिर सामने आया।



इसलिए, स्रोत कोड (विंडोज के लिए क्लाइंट-सर्वर एप्लिकेशन) के बिना एप्लिकेशन सुरक्षा के विश्लेषण पर हमारे अंतिम कार्यों में से एक में, हमने फ़ज़िंग विधि का उपयोग करके एक भेद्यता पाई। हम इस तथ्य से तुरंत प्रसन्न थे कि इसके संचालन के लिए लॉगिन और पासवर्ड को जानने की कोई आवश्यकता नहीं है, क्योंकि आवेदन के दुर्घटनाग्रस्त होने का डेटा प्रमाणीकरण के लिए जिम्मेदार पहले पैकेज में था (2013 में यार्ड में)।

2011 में, हमारे शोधकर्ता ने Oracle PeopleSoft में एक समान भेद्यता पाई (यह भेद्यता सीपीयू जनवरी 2011 में बंद हो गई थी)। एक निश्चित लंबाई के पासवर्ड को दर्ज करते समय भेद्यता स्वयं प्रकट होती है। लेकिन हमें DoS से कुछ भी नहीं मिल सका, क्योंकि संकलन ध्वज / GS (स्टैक कुकी) का उपयोग किया गया था, और हमारे अतिप्रवाहित बफर SEH तक नहीं पहुंचे थे, और हम इसे अपने कोड पर नियंत्रण स्थानांतरित करने के लिए इसे फिर से नहीं लिख सकते थे।

लेकिन हमारे नए लक्ष्य में यह नहीं था। केवल एक चीज उसने इस्तेमाल की डीईपी। इसलिए विंडोज 7 के लिए एक दूरस्थ शोषण लिखना केवल औपचारिकता थी। यह कार्य काफी सरल और उबाऊ था: DEP को अक्षम करने और हमारे शेलकोड पर नियंत्रण स्थानांतरित करने के लिए ROP गैजेट की श्रृंखला में वापसी पते को फिर से लिखना, जो एक ही स्टैक में था।

हमने विंडोज 8 के तहत एक शोषण लिखने का फैसला किया, जिसमें कई अतिरिक्त सुरक्षा तंत्र पेश किए गए थे, जिनमें से हम / DYNAMICBASE (ASLR) ध्वज के बिना संकलित पुस्तकालयों के लदान को यादृच्छिक बनाने के लिए जिम्मेदार तंत्र में रुचि रखते थे। इस सुविधा को ForceASLR कहा जाता है। यह पेश किया गया था, जैसा कि विंडोज 8 में कहा गया था, लेकिन हमारे लिए ब्याज के आवेदन के लिए KB2639308 अपडेट और एक छोटी रजिस्ट्री सेटिंग स्थापित करने के बाद विंडोज 7 के लिए भी उपलब्ध है (चित्र फ़ाइल निष्पादन विकल्प देखें)।

में जोड़ना

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<executable> 

और x64 पर WOW के लिए - में

 HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<executable> 

प्रमुख मिटिगेशन और मूल्य 0x100, आप प्रोग्राम के लिए एएसएलआर को बाध्य कर सकते हैं।

तो यहां तक ​​कि अंतिम ड्रॉपबॉक्स फ़ाइल को फ़ायरफ़ॉक्स या सिस्टम व्यवस्थापक (फ़ायरफ़ॉक्स, क्रोम के लिए विंडोज 7/8 उपयोगकर्ताओं (IE10 इस संबंध में ठीक है) द्वारा आवश्यक कार्यक्रमों के लिए ASLR को सक्षम करके - हालांकि, केवल विंडोज 7/8 में तय किया जा सकता है विंडोज सर्वर 2008 आर 2, और फिर हमेशा नहीं ... लेकिन बाद में उस पर अधिक।

हमारी कहानी पर वापस। हम इस कार्यक्रम के लिए एएसएलआर की उपस्थिति को लगभग कृत्रिम रूप से पेश करना चाहते थे, जो आरओपी श्रृंखला तैयार करने के चरण में हमारी योजना को तोड़ देगा (क्योंकि अब हम अपने आरओपी गैजेट्स के पते नहीं जानते हैं)। लेकिन यहां हम निराश थे, क्योंकि एप्लिकेशन को एक स्थानांतरण तालिका (निश्चित आधार पते) के बिना संकलित किया गया था, और यह इस आधार पर है कि निष्पादन योग्य फ़ाइल के डाउनलोड के यादृच्छिकरण पर आधारित है। इसलिए विंडोज 8 के नएफंगल फीचर ने भी इस सॉफ्टवेयर की मदद नहीं ली।

किसी तरह से ग्राहक को खुश करने और आश्चर्यचकित करने के लिए, हमने एक शेलकोड लिखा, जो ऑपरेटिंग सर्वर के संचालन को स्वयं बहाल करता है, ताकि यह भी ध्यान देने योग्य न हो कि यह दुर्घटनाग्रस्त हो गया है और ग्राहक इसके साथ आसानी से काम कर रहे हैं (समस्या केवल उन ग्राहकों के साथ हो सकती है जो सिर्फ कनेक्ट कर रहे थे सर्वर से) =) ऐसा करने के लिए, मुझे स्ट्रीम को पुनरारंभ करना होगा और सभी सेवा संरचनाओं को सही ढंग से पुनर्निमित करना होगा।

सहायता। ASLR बाईपास तकनीक:

• क्रूर बल
• EIP का आंशिक पुनर्लेखन
• पता लीक
  
  • भेद्यता के माध्यम से
  • समय पर हमला
  • लाइनों / वस्तुओं के साथ खेल के माध्यम से
  • ...
• पूर्व-ज्ञात पतों का उपयोग करना
  
  • ASLR के बिना पुस्तकालय
  • सिस्टम संरचनाएँ ( तकनीक के साथ _ KUSER_SHARED_DATA )
  • जानबूझकर व्यवस्था
  • जेआईटी / हीप स्प्रे
  • ...

इस तथ्य के अलावा कि इस तरह के सॉफ़्टवेयर को संचालित करना आसान है, यह अन्य सुरक्षित कार्यक्रमों जैसे ब्राउज़रों में कमजोरियों का आसानी से दोहन करने का एक अवसर है। मैं समझा दूंगा। ASLR बाईपास तकनीकों में से एक एक विशेष हमलावर द्वारा शुरू किए गए हमले के पते के पते के स्थान में ASLR के बिना एक पुस्तकालय को लोड करने की पहल है (इस तकनीक का अंतिम व्यापक रूप से ज्ञात उपयोग इंटरनेट एक्सप्लोरर में CVE-2013-3893 का उपयोग करके लक्षित हमला है)। और हमलावर ने बैंक के ग्राहकों / कर्मचारियों पर हमला करने का फैसला किया (बेशक, यह एक रहस्य नहीं है कि आरबी सिस्टम का उपयोग किया जाता है) या एक सरकारी एजेंसी (जबकि, निश्चित रूप से, प्रमाणित सॉफ़्टवेयर की सूची जो एन्क्रिप्शन के लिए ऐसी कंपनियों में काम करने की अनुमति है, भेदभाव एक रहस्य नहीं है) पहुंच, स्पष्ट स्मृति, आदि)। एक हमलावर, जिसने इस सॉफ़्टवेयर की जांच की है, उन्हें लोड करने की कोशिश करेगा (यदि वे अपने दम पर लोड नहीं हैं), क्योंकि वे ज्यादातर एएसएलआर के बिना हैं। और एक ही समय में यह एक अच्छा लक्षित हमला करता है। आखिरकार, अगर, उदाहरण के लिए, एक निश्चित आरबीएस सिस्टम के ActiveX तत्व को ब्राउज़र में लोड नहीं किया जाता है, तो पीड़ित को इस बैंक का ग्राहक नहीं होना चाहिए, इसलिए, हमलावर का लक्ष्य।



इस उदाहरण के साथ, मैं यह दिखाना चाहता था कि कैसे विषम प्रणालियाँ अब और परिष्कृत हमले हैं। यह मत भूलो कि सॉफ्टवेयर की एक बड़ी राशि एक साथ उपयोगकर्ता के कंप्यूटर पर रहती है। कमजोर सॉफ़्टवेयर का उपयोग आपके सॉफ़्टवेयर, या आपके सॉफ़्टवेयर को किसी अन्य व्यक्ति से समझौता करने के लिए किया जा सकता है।

ऐतिहासिक पृष्ठभूमि:

• जीएस 2002 में दिखाई दिया
• SafeSEH 2003 में दिखाई दिया
• डीईपी 2004 में दिखाई दिया
• एएसएलआर 2006 में दिखाई दिया
• ForceASLR 2012 में दिखाई दिया

तंत्र की उपस्थिति का मतलब यह नहीं है कि यह VisualStudio में डिफ़ॉल्ट रूप से सक्षम हो गया है। देखें कि आपकी परियोजनाएं इससे क्या उपयोग करती हैं, और सुरक्षा के संदर्भ में उनकी तुलना किस वर्ष से होती है।

याद रखें कि एक नए स्टूडियो में संक्रमण के साथ, आपको न केवल एक नया ग्राफिकल इंटरफ़ेस और प्रोग्रामर समाचार मिलता है, बल्कि कंपाइलर और लिंकर की सभी नई विशेषताएं भी हैं, जिनमें से कई सुरक्षा से संबंधित हैं। यह कुछ के लिए समाचार हो सकता है, लेकिन यहां तक ​​कि / GS ध्वज विकसित हो रहा है और 2010 तक संस्करण 4 है, न कि कई सुधारों का उल्लेख करने के लिए, जैसे कि पॉइंटर प्रोटेक्शन, हीप मेटाडेटा सुरक्षा और वैरिएबल के स्टैक ऑर्डर जो कभी-कभी कोई विशेष नाम भी नहीं होते हैं। ।

पूर्णता की खातिर, मान लें कि ASLR और DEP को न केवल झंडे के माध्यम से कॉन्फ़िगर किया जा सकता है, बल्कि रजिस्ट्री और एक विशेष API का उपयोग करके भी किया जा सकता है: IFEO में मिटिगेशन (छवि फ़ाइल निष्पादन विकल्प), UpdateProcTreadAttribute, SetProcessMitigationPolicy API, लेकिन झंडे के साथ बहुत आसान।

उपयोगकर्ताओं की सुरक्षा बढ़ाने के लिए, ज़ाहिर है, EMET ( संवर्धित शमन अनुभव टूलकिट ) जैसी कोई चीज है, लेकिन हम, दुर्भाग्य से, लिंक पर लेख पर टिप्पणी से सहमत हैं: " और अभी तक यह बात बहुत उन्नत उपयोगकर्ताओं के लिए है "। मेरा मतलब कार्यक्रम के साथ काम करने की जटिलता नहीं है, लेकिन अधिकांश उपयोगकर्ताओं की कमजोर कंप्यूटर साक्षरता है।

कुछ मिनटों का समय बिताएं, संकलक और लिंकर के झंडे सेट करें, और आप कई बार उलझेंगे, और कुछ मामलों में एक स्थिर कार्य शोषण को लिखने की प्रक्रिया को असंभव बना देता है। नतीजतन, हमलावर केवल DoS के साथ ही संतुष्ट रहेगा।

हां, मोबाइल प्लेटफ़ॉर्म के लिए समान (और विशिष्ट) झंडे हैं:
iOS : -fPIE, -fstack-protector-all, -fobjc-arc
Android (देशी पुस्तकालयों के लिए): -स्टैक-प्रोटेक्टर, -फॉर्म-सिक्योरिटी, NX, ASLR, PIE
ब्लैकबेरी 10 (देशी पुस्तकालयों के लिए): - fstack-protector-all, -D_FORTIFY_SOURCE = 2, -fPIE, -Wl, -z, relro, -Wl, -z, now, -pie
WindowsPhone 8 (देशी पुस्तकालयों के लिए): विंडोज 8 के समान

हर कोई सुरक्षित कोड (अवास्तविक) नहीं लिख सकता है, हर कोई कोड सुरक्षा का विश्लेषण करने के लिए सॉफ़्टवेयर का खर्च नहीं उठा सकता है (बजट इसकी अनुमति नहीं देता है), हर कोई एसडीएल को कंपनी में लागू नहीं कर सकता है (यह, ज़ाहिर है, मांग की जानी चाहिए), लेकिन हर कोई कर सकता है झंडे लगाए। इसलिए न्यूनतम प्रयास के साथ, आप सुरक्षा को महत्वपूर्ण रूप से बढ़ा सकते हैं।

पुनश्च: स्वाभाविक रूप से, संकलन झंडे वास्तुकला, तार्किक और विन्यास कमजोरियों को प्रभावित नहीं करते हैं;)
पीपीएस: सैंडबॉक्स और वर्चुअलाइजेशन भी हैं, लेकिन यह भी रामबाण नहीं है। उनके बारे में - पहले से ही ज़ीरोनाइट्स 2013 में !