WikiSort.ru - Не сортированное

Heap spraying в информационной безопасности — это атака, использующая ошибки в работе с памятью приложения. Атакуя при помощи heap spraying, хакер заставляет приложение выделить память под большое количество объектов, содержащих вредоносный код. При этом повышается вероятность успеха эксплойта, который переносит поток исполнения на некоторую позицию внутри кучи. Важно понимать, что без эксплойта, позволяющего изменять поток исполнения, heap spraying не нанесет какого-либо вреда. Атака основана на предсказуемости положения кучи в адресном пространстве процесса. Помимо этого, выделение памяти в куче – это детерминированная операция, которая и позволяет с успехом применять эту технику. Heap spraying особенно эффективна в браузерах, где хакер может выделять память, используя несколько строк JavaScript на веб-странице. Важную роль играет сходство выделения памяти в различных операционных системах, что делает эту атаку кроссплатформенной. В результате можно внести определенную последовательность байт (например, машинную инструкцию) в заранее предсказанный адрес в памяти целевого процесса^[1].

При создании процесса в операционной системе под его нужды выделяется адресное пространство^[2][3][4], в котором расположены пользовательские данные, исполняемый код и некоторая системная информация, которая зависит от конкретной операционной системы. Пользовательские данные распределяются между кучей и стеком в зависимости от способа выделения памяти под них^[5]. Так, в сегменте стека хранятся переменные с автоматическим классом размещения, а также информация, которая сохраняется при каждом вызове функции, например, статические переменные и адрес возврата при вызове функции. Куча — это область динамической памяти, то есть при динамическом выделении памяти место выделяется в куче. Традиционно куча и стек растут навстречу друг другу^[2][3][4].

Основная концепция

Heap spraying сама по себе не является уязвимостью. Однако она может быть использована для доставки вредоносного кода в исполняемую область памяти процесса. Эта техника использует детерминированность операции выделения памяти в системе. Имеется в виду, что большой объём памяти часто располагается с одним и тем же смещением в адресном пространстве процесса. Однако эта техника не в состоянии создать брешь в самой системе безопасности. Поэтому для её использования необходима уязвимость, позволяющая изменить порядок исполнения команд (машинных инструкций)^[6].

Использовать эту технику трудно, поскольку очень велико число факторов, влияющих на исполнение процесса (с точки зрения хакера). Тем не менее, с помощью heap spraying можно выполнить большое число инструкций, что частично компенсирует эту трудность и позволяет повысить вероятность успешного взлома^[7].

Heap spraying может быть реализована для большинства операционных систем и архитектур. Основная трудность – нахождение уязвимости, позволяющей перенаправить поток исполнения. Динамическое выделение большого количества памяти, как говорилось ранее, — операция, позволяющая предсказать положение кучи в памяти (в момент проецирования виртуальной памяти на физическую)^[8] . Каждый раз выполняя одну и ту же последовательность обращений к памяти, куча будет с большой долей вероятности оказываться на одном и том же месте^[6][7].

Однако, чтобы повысить эту вероятность, необходимо чтобы размер куска выделяемой памяти был сопоставим с размером сегмента или страницы, в зависимости от способа организации памяти^[7].

Основная проблема этой атаки – изменение потока исполнения. Без возможности перехвата выполнения данный вид атаки не имеет смысла. Некоторые функции могут хранить адрес возврата в куче, тогда хакер может попытаться изменить их. В этом случае при возврате из такой функции произойдет перемещение в участок памяти, удобный для хакера, и, как следствие, начнет исполняться вредоносный код. Любая функция, считывающая адрес, находящийся в куче, может быть использована как уязвимость. Хакер может подменить этот адрес на адрес модифицированного им участка памяти. Это может привести к перенаправлению потока исполнения на вредоносный код. Однако это не так просто, как кажется^[1][8].

Корректность адреса (его размер, смещение относительно начала страницы), используемого для подмены, сильно зависит от архитектуры. Потому на практике используют блоки, состоящие в основном из NOPов, дописывая в конце необходимый код. Этот прием позволяет не задумываться о точности высчитывания адреса и направить поток исполнения в приблизительное место в адресном пространстве^[1].

Шаги, направленные на реализацию heap spraying:

• Определение размера куска выделяемой памяти таким образом, чтобы одно выделение соответствовало размеру страницы.
• Выделение нескольких кусков, в которых располагаются NOP и shell-код.
• Использование известной уязвимости для перенаправления счетчика команд на предполагаемое положение кусков, например, при помощи переполнения стека.
• Исполнение выделенной области^[1][6].

Этот тип атак очень эффективен в браузерах. Большинство браузеров поддерживают исполнение скриптов. Хакер может выделить необходимую память, используя несколько строк JavaScript или ActionScript на веб-странице. Важную роль играет схожесть выделения памяти в различных операционных системах, что делает эту атаку кроссплатформенной. Более того, адреса на которые необходимо совершить переход, будут похожи^[9].

История

Первый раз heap spraying использовалась в 2001 году и стала широко распространенной летом 2005 года. После было найдено большое количество уязвимостей в Internet Explorer^[10][11]. Эксплойты были очень похожи между собой. Каждый такой эксплойт состоял из heap spraying, метод реализации которой не изменялся, и переноса счетчика команд на необходимое место в памяти. Потому новый эксплойт получался изменением нескольких строк HTML и переключением на новую уязвимость^[1].

Реализация

 
		var myvar = "CORELAN!";
		var myvar2 = new String("CORELAN!");
		var myvar3 = myvar + myvar2;
		var myvar4 = myvar3.substring(0,8);

		<html>
		<script >
		var shellcode = unescape('%u\4141%u\4141'); // это надпись CORELAN
		var bigblock = unescape('%u\9090%u\9090'); //90- это код NOP
		var headersize = 20;
		var slackspace = headersize + shellcode.length;// начальный размер нашего куска: полезный код + размер заголовка
		while (bigblock.length < slackspace) bigblock += bigblock; //заполнение NOP-ами 
		var fillblock = bigblock.substring(0,slackspace);//полезный код- наполнение
		var block = bigblock.substring(0,bigblock.length - slackspace);//просто NOPы
		while (block.length + slackspace < 0x40000) block = block + block + fillblock;
        //заполнение до размера элемента кучи- в данном случае- это 0x40000
		var memory = new Array();
		for (i = 0; i < 500; i++){ memory[i] = block + shellcode }// выделение нескольких таких элементов.
		</script>
		</html>

Способы предотвращения

Как и при любых переполнениях буфера, есть три основных пути защиты.^[1] Часто проще предотвратить изменение потока исполнения, чем само использование буфера. Современные операционные системы используют все перечисленные ниже методы:

1. Предотвращение исполнения путём разделения данных и исполняемого кода, обычно с использованием архитектурных решений, например NX bit. Например, уже в большинстве ОС внедрен DEP^[1]
2. Повышение случайности расположения данных в памяти. Например, чтобы следующий выделенный элемент кучи не имел фиксированного смещения относительно текущего. Уже внедрено в большинстве ОС: ASLR^[7].
3. Увеличение количества проверок соблюдения границ буфера в менеджере памяти.

Проекты, связанные с данным типом атаки:

• проект Nozzle от Microsoft Research ставит своей целью предотвращения heap spraying^[1].
• BuBBle — это другой проект, целью которого является минимизация урона от данной атаки^[13].

См. также

• Переполнение буфера
• Переполнение стека
• Стек вызовов
• Куча (память)
• Хакерская атака
• Data Execution Prevention

Примечания

Литература

• Рихтер Дж. Windows для профессионалов: создание эффективных Win32 приложений с учетом специфики 64х разрядной версии Windows. — М.: Русская Редакция, 2008. — С. 68-118,333-418. — 720 с.
• У. Ричард Стивенс, Стивен А. Раго. UNIX. Профессиональное программирование. — СПб.: Символ-Плюс, 2014. — С. 288-351. — 1104 с.
• Таненбаум Э., Вудхалл А. Операционные системы. Разработка и реализация. — СПб.: Питер, 2007. — С. 78-252. — 704 с.
• Брайан Керниган, Деннис Ритчи. Язык программирования Си. — Вильямс, 2015. — С. 93-123. — 304 с.
• Марк Руссинович, Дэвид Соломон. Внутреннее устройство Windows. — СПб.: Питер, 2013. — С. 104-681. — 800 с.

Ссылки

• Exploit Writing Tutorial (англ.). Corelan Team. Проверено 12 декабря 2015.
• Fundamentals of Garbage Collection (англ.). MSDN. Проверено 12 декабря 2015.
• Запуск процессов с помощью вызова exec() (рус.). OpenNET. Проверено 12 декабря 2015.
• Hungpages (англ.). Debian. Проверено 12 декабря 2015.
• ActionScript Heap Spray (англ.). Julia Wolf. Проверено 12 декабря 2015.
• HTML5 Heap spray (англ.). EUSecWest 2012. Проверено 12 декабря 2015.
• Address Space Layout Randomization (ASLR) (англ.). CISCO. Проверено 12 декабря 2015.

Эта статья входит в число добротных статей русскоязычного раздела Википедии.

Эта статья выставлена на рецензию. Пожалуйста, выскажите своё мнение о ней на подстранице рецензии.