विंडोज के नवीनतम रिलीज में एएसएलआर

हमने बार-बार एएसएलआर का उल्लेख किया है, जैसा कि एमएस ने सही टिप्पणी की है, यह तकनीक विकास को और अधिक महंगी घटना बनाती है, क्योंकि सॉफ्टवेयर में भेद्यता का शोषण करने के अलावा, एक हमलावर को ऑपरेशन के समय कुछ पूर्वानुमान योग्य स्मृति पतों पर भरोसा करने की आवश्यकता होती है, जो एएसएलआर उसे वंचित करता है। जैसा कि हम देख सकते हैं, हाल ही में, नवीनतम विंडोज 8 / 8.1 की रिलीज सहित, एमएस ने सिस्टम में इस सुविधा को तैनात करने के लिए अधिक गंभीर दृष्टिकोण लेने का फैसला किया। यदि संकीर्ण अर्थ में ASLR को केवल प्रत्येक रीबूट के साथ छवि को अप्रत्याशित पते पर ले जाने के रूप में समझा जाता है, तो अधिक सामान्य अर्थों में, सिस्टम स्तर पर इस संभावना को हमलावरों को सिस्टम लाइब्रेरी और अन्य सिस्टम ऑब्जेक्ट्स (ASLR बाईपास शमन) के कार्यों के कुछ पते से चिपके हुए किसी भी अवसर से वंचित करना चाहिए। पता अंतरिक्ष सूचना प्रकटीकरण हार्डिंग) उन कुछ दसियों बाइट्स शेल कोड में जिन्हें डीईपी (आरओपी) को दरकिनार किया जा सकता है।

हम एएसएलआर के इतिहास को नहीं छूएंगे, जो पहले से ही लगभग सभी को पता है, हम केवल कुछ स्पष्ट विशेषताओं पर ध्यान नहीं देते हैं जो माइक्रोसॉफ्ट अपने प्रमुख विंडोज 7-8-8.1 में एएसएलआर में सुधार के लिए उपयोग करता है।

ASLR नियम

Microsoft ASLR के संबंध में DEP के समान एक दृष्टिकोण का उपयोग करता है, अर्थात, यदि यह आवश्यक हो तो उपयोग करने की अनुमति दें, यदि एप्लिकेशन को समर्थन के साथ संकलित किया गया हो। यह अभ्यास उन स्पष्ट संगतता समस्याओं के मद्देनजर लागू किया जाता है, जो जब प्रौद्योगिकियों के साथ चलने वाले कार्यक्रम होते हैं, तो वे अनुचित तरीके से प्रतिक्रिया दे सकते हैं। लेकिन एएसएलआर के मामले में, यह स्थिति अधिक प्रतिबंधों के साथ काम करती है। उदाहरण के लिए, विंडोज 8 / 8.1 के आधुनिक संस्करणों पर, डीईपी को हमेशा अनुप्रयोगों के लिए सक्षम किया जाता है, भले ही वे इसके समर्थन के साथ संकलित हों या नहीं (कम से कम 64-बिट प्रोसेसर और ओएस और बूटलोडर पैरामीटर की थोड़ी गहराई की परवाह किए बिना)। ASLR के साथ, स्थिति अलग है, यहां तक ​​कि जब विंडोज 8 / 8.1 पर चल रहा है, तो यह एप्लिकेशन द्वारा अपने समर्थन के लिए नियमों पर निर्भर करता है और हेडर में यह ध्वज नहीं होने पर छवि रैंडमाइजेशन शामिल नहीं करता है।

हमलावर सिस्टम लाइब्रेरी का लाभ उठा सकते हैं, जो एएसएलआर समर्थन के साथ संकलित नहीं है, अपने स्वयं के प्रयोजनों के लिए, उदाहरण के लिए, एक स्थिर आरओपी श्रृंखला को लागू करने के लिए जो सभी समर्थित ओएस में काम करेगा। जैसा कि हाल के वर्षों के अभ्यास से पता चलता है, लक्षित हमलों के संगठन में इस अवसर का एक से अधिक बार उपयोग किया गया था। निम्नलिखित आरसीई (ड्राइव-बाय डाउनलोड) जैसी जंगली कमजोरियों का फायदा उठाया जाता है।



जैसा कि आप देख सकते हैं, MS Office लाइब्रेरी (hxds.dll) ASLR (Office 2007-2010) का समर्थन नहीं करती है और हमलावर भेद्यता का सफलतापूर्वक उपयोग करने के लिए इसके अपरिवर्तित डाउनलोड पते का उपयोग करने में सक्षम थे। दिसंबर पैच टेसडे के एक हिस्से के रूप में, कंपनी ने MS13-106 के साथ इस ओवरसाइट (सिक्योरिटी फ़ीचर बाईपास कहा जाता है) को बंद कर दिया, जो विंडोज उपयोगकर्ताओं को कार्यालय के इस संस्करण के साथ सुरक्षा के उचित स्तर के साथ काम करता है।



मुख्य ASLR सपोर्ट फीचर्स में से एक है जिसे MS ने विंडोज 8 के साथ पेश किया है, यह फोर्स ASLR फीचर है। यह सुविधा कुछ हद तक पूरे सिस्टम के लिए ऑप्ट इन डीईपी पॉलिसी सेटिंग के समान है। अब छवि फ़ाइल निष्पादन विकल्प (IFEO) रजिस्ट्री कुंजी HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ NT \ CurrentVersion \ Image फ़ाइल निष्पादन विकल्प और शमन विकल्प पैरामीटर का उपयोग करते हुए, उपयोगकर्ता PE निष्पादन योग्य फ़ाइलों के लिए ASLR को मैन्युअल रूप से कर सकता है। नीचे दी गई तालिका ओएस के व्यवहार को दिखाती है जब एक निष्पादन योग्य फ़ाइल को फोर्सएएसएलआर के साथ मेमोरी में लोड किए बिना।



वैकल्पिक 7 KB2639308 को स्थापित करते समय विंडोज 7 उपयोगकर्ताओं के लिए एक समान सुविधा भी उपलब्ध है।

इंटरनेट एक्सप्लोरर (10+) को अधिक सुरक्षित बनाने के लिए, कंपनी ने ब्राउज़र पता स्थान (ForceASLR) में लोड किए गए सभी पुस्तकालयों के लिए ASLR प्रवर्तन फ़ंक्शन (विंडोज 8+ और KB2639308 स्थापित के साथ विंडोज 7) के लिए समर्थन पेश किया। इस प्रकार, यदि किसी भी लाइब्रेरी या प्लगइन्स को मूल रूप से इस फ़ंक्शन के लिए समर्थन के बिना संकलित किया गया था, तो इसे जबरन लागू किया जाएगा।



हमलावर विंडोज का लाभ उठाते हैं, जो वर्चुअलऑलोक के माध्यम से क्लाइंट (प्रक्रियाओं) के लिए सही आकार के आसन्न क्षेत्रों को क्रमिक रूप से आवंटित करके वर्चुअल मेमोरी के साथ काम करते समय कुछ अनुकूलन लागू करता है । कोई एप्लिकेशन वर्चुअल मेमोरी के एक ब्लॉक को बॉटम-अप (डिफ़ॉल्ट रूप से), टॉप-डाउन (MEM_TOP_DOWN) या एक निर्धारित पते (फ़ंक्शन द्वारा निर्दिष्ट पते) के रूप में आवंटित करने के तरीके का अनुरोध कर सकता है। डिफ़ॉल्ट रूप से, विंडोज नीचे-ऊपर आवंटन विधि का उपयोग करता है, अर्थात, निचले से उच्च पते तक, यह आवेदन को देने के लिए आवश्यक आकार के एक ब्लॉक की तलाश करेगा।

विंडोज 8 से शुरू होकर, एएसएलआर वर्चुअल मेमोरी आवंटन को प्रभावित कर सकता है। विंडोज 8 से पहले, इस तरह की नीति पहले से ही ढेर पर मेमोरी ब्लॉकों को आवंटित करने के लिए लागू की गई थी जब स्ट्रीम स्टैक के लिए ब्लॉक, साथ ही साथ टीईबी और पीईबी। अंतिम दो संरचनाएं हमलावरों के लिए बहुत उपयोगी हैं क्योंकि उनमें संभावित रूप से विभिन्न सिस्टम फ़ंक्शंस के लिए एक निश्चित संख्या में पॉइंटर्स होते हैं, इस प्रकार स्मृति में पुस्तकालयों के स्थान का पता चलता है। विंडोज 8 में, वर्चुअलाइकॉक टॉप-डाउन और बॉटम-अप चयन विकल्पों के बीच भी अंतर करता है, लेकिन अब इन आवंटन की शुरुआत का आधार पता हर बार एएसएलआर द्वारा निर्धारित किया जाता है, ओएस ओएस, यानी, यह भविष्यवाणी नहीं की जा सकती है। जाहिर है, पता स्थान में तेजी से विखंडन के कारण स्मृति को यादृच्छिक रूप से आवंटित करना असंभव है, इसलिए, एएसएलआर के माध्यम से तय की गई प्रक्रियाओं के लिए ब्लॉकों के आवंटन की शुरुआत का आधार पता है। प्रक्रिया के लिए एमएस के अनुसार, यह विकल्प केवल तभी सक्षम होता है जब ASLR को इसकी निष्पादन योग्य फ़ाइल ( / DYNAMICBASE ) द्वारा ठीक से समर्थन किया जाता है।

उच्च एन्ट्रापी ए.एस.एल.आर.

एएसएलआर संभावित रूप से 64-बिट एड्रेस स्पेस में अधिक कुशलता से काम कर सकता है, क्योंकि इतने बड़े एड्रेस स्पेस में मनमाने ढंग से मेमोरी आवंटन के लिए अधिक से अधिक अवसर है। जाहिर है, इसका उपयोग हीप स्प्रे के लिए पहले से ही एक जटिल कारक है। विंडोज 7 x64 के लिए इंटरनेट एक्सप्लोरर ईपीएम देखें। उसी समय, विंडोज 8 तक के ओएस सबसे पूर्ण तरीके से x64 पर एएसएलआर का उपयोग नहीं करते हैं। यह मुख्य रूप से एन्ट्रॉपी की संभावना की चिंता करता है (यानी, पते की पसंद की यादृच्छिकता / भविष्यवाणी की डिग्री) और इस स्थान की यादृच्छिकता की गणना करने के लिए पते के कितने बिट्स का उपयोग किया जाएगा। विंडोज 8 में, इस सुविधा को हाई एंट्रॉपी रेंडमाइजेशन कहा जाता है।



विंडोज 8+ में उच्च एन्ट्रापी रैंडमाइजेशन को लागू करने वाली विशेषताएं शामिल हैं, और यह तकनीक प्रक्रिया द्वारा आवंटित वर्चुअल मेमोरी ब्लॉक और डाउनलोड करने योग्य निष्पादन योग्य दोनों तक फैली हुई है। / LARGEADDRESSAWARE ध्वज के साथ संकलित 64-बिट अनुप्रयोगों के लिए, विंडोज 8 उपयोग के लिए 8 टीबी की वर्चुअल मेमोरी आवंटित करता है (विंडोज 8.1 में 128 टीबी)। तुलना के लिए, 32-बिट अनुप्रयोगों में पता स्थान के उपयोगकर्ता भाग का आकार 2 जीबी तक सीमित है। इस मामले में, उच्च एन्ट्रापी रेंडमाइजेशन सुविधा आपको एन्ट्रॉप का उपयोग करने के लिए नीचे के मेमोरी आवंटन के आधार पते के लिए एएसएलआर का उपयोग करने की अनुमति देती है, एन्ट्रापी प्राप्त करने के लिए पते के 24 बिट्स का उपयोग करती है और एन्ट्रापी के लिए पते के 17 बिट्स के टॉप-डाउन आवंटन के लिए। इस ASLR स्तर का उपयोग करने के लिए और नीचे-ऊपर चयन (डिफ़ॉल्ट रूप से) का उपयोग करते समय, 64-बिट एप्लिकेशन को / HIGHENTROPYVA और / DYNAMICBASE झंडे के साथ संकलित किया जाना चाहिए।



यह ध्यान दिया जाना चाहिए कि OS में HEASLR का उपयोग करने के OptIn प्रतिबंध मोड के रूप में ही / HIGHENTROPYVA का उपयोग किया जाता है। यही है, विंडोज 8 पर अपने सामान्य व्यवहार (बॉटम-अप ब्लॉक आवंटन) में VirtualAlloc इस ध्वज के बिना संकलित अनुप्रयोगों के लिए प्रबलित ASLR का उपयोग नहीं करेगा। यह सीमा संगतता मुद्दों और इस स्थिति में इन अनुप्रयोगों के संभावित अप्रत्याशित व्यवहार से संबंधित है। जैसा कि ऊपर बताया गया है, 64-बिट निष्पादन योग्य फ़ाइलों के लिए उच्च एन्ट्रापी रेंडमाइजेशन सुविधा भी लागू है।

Internet Explorer 10+ हाई एंट्रॉपी ASLR (x64) मोड का उपयोग करता है। विंडोज 8 पर इसकी चलने की प्रक्रिया की संपत्ति नीचे दी गई है। ध्यान दें कि विंडोज 8 में माइक्रोसॉफ्ट के सभी सिस्टम HEASLR का उपयोग करते हैं।



ASLR बाईपास शमन (उर्फ पता अंतरिक्ष सूचना प्रकटीकरण सख्त)

विंडोज 8 की रिलीज के साथ, कंपनी ने सिस्टम फ़ंक्शन और ऑब्जेक्ट्स के विभिन्न पते छिपाने के लिए एक रणनीति का पालन करने की कोशिश की। इन विशेषताओं में से कुछ को विंडोज 7 के लिए अपडेट के रूप में दिया गया था। पते पर हमला करने के लिए पूर्वानुमानित पते पर ऐसी जानकारी की मौजूदगी मौजूदा डीईपी और एएसएलआर प्रौद्योगिकियों की क्षमताओं को काफी कम कर देती है और शोषण में हमलावरों की सफलता की संभावना को बढ़ाती है।

एक महत्वपूर्ण उदाहरण MS13-031 अपडेट है, जो एक शून्य-पृष्ठ मेमोरी आवंटन सीमा (विंडोज 7+) का परिचय देता है। ड्राइवर में भेद्यता के बाद के शोषण के साथ इस पृष्ठ पर कोड रखने का उपयोग हमलावरों द्वारा LPE के रूप में किया जाता है, अर्थात, सिस्टम विशेषाधिकार के लिए उनके विशेषाधिकार बढ़ाने और कर्नेल मोड में उनके कोड को निष्पादित करता है। कर्नेल EPROCESS का उपयोग करता है ! ऐसी स्थितियों को विनियमित करने के लिए न्यूनतम मान का उपयोग करता है, अर्थात्, उस न्यूनतम पते का पता लगाने के लिए जिसमें से वर्चुअल मेमोरी के क्षेत्रों को आरक्षित करना संभव है।

एक अन्य उदाहरण विंडोज विस्टा + (डिफ़ॉल्ट रूप से विंडोज 8) के लिए MS13-063 अपडेट है। यह अपडेट पॉइंटर को ntdll! LdrHotPatchRoutine से UserSaringData (KUSER_SHARED_DATA) को हटाता है, जिसका उपयोग मेमोरी में आवश्यक हमलावरों को जल्दी से लोड करने के लिए किया जाता था। हमलावरों के लिए UserShedData बहुत उपयोगी है, क्योंकि यह सभी प्रक्रियाओं में समान पते पर उपलब्ध है, और कर्नेल मोड में भी उपयोग किया जाता है।

विंडोज 8.1 में, अविश्वासित अनुप्रयोगों (जिनके अखंडता स्तर <मध्यम) के लिए गिरी वस्तुओं के पते के बारे में जानकारी छिपाना संभव हो गया। हमने इस समारोह के बारे में यहां और लिखा है । महत्वपूर्ण ntoskrnl फ़ंक्शन विभिन्न कर्नेल ऑब्जेक्ट्स के पते के बारे में जानकारी के लिए अनुरोध पर एक त्रुटि स्थिति लौटाता है।

PS आप ASLR समर्थन के लिए अपने कार्यक्रमों के मॉड्यूल की जांच करने के लिए Microsoft से मुफ्त BinScope टूल का उपयोग कर सकते हैं (iTunes एक उदाहरण के रूप में लिया गया है)।





blogs.technet.com/b/srd/archive/2013/12/11/software-defense-mitigating-common-exploitation-techniques.aspx