Memoria e stack

Quando un programma viene eseguito, il sistema operativo gli assegna un layout di memoria con regioni distinte: text (codice), data/BSS (variabili globali), heap (allocazione dinamica) e stack.

I buffer overflow sfruttano più spesso lo stack, quindi comprenderlo è essenziale.

Lo stack è una regione di memoria utilizzata per le chiamate di funzione. Contiene variabili locali, argomenti delle funzioni e indirizzi di ritorno.

Su x86 cresce verso il basso: inserire dati sposta lo stack pointer verso indirizzi inferiori. Questa direzione è importante quando si verifica un overflow.

Ogni chiamata di funzione crea uno stack frame. Un frame contiene in genere variabili locali, il saved base pointer (EBP) e il return address (saved EIP).

L'indirizzo di ritorno indica alla CPU da dove proseguire al termine della funzione. Controllarlo è il fulcro dello sfruttamento degli stack overflow.

Su x86 a 32 bit, i registri importanti sono:

• ESP: stack pointer, la cima dello stack.
• EBP: base pointer, l'ancora del frame corrente.
• EIP: instruction pointer, l'indirizzo della prossima istruzione.

Se controlla EIP, controlla il flusso di esecuzione.

Un buffer è un blocco di memoria di dimensione fissa, ad esempio un array locale di caratteri. Il programma si aspetta che i dati vi rientrino.

Se il programma copia più dati di quanti il buffer possa contenere senza verificarne la lunghezza, l'eccesso si riversa nella memoria adiacente.

Si verifica un buffer overflow quando l'input supera le dimensioni del buffer e sovrascrive i dati adiacenti nello stack.

Poiché l'EBP salvato e l'indirizzo di ritorno si trovano subito oltre i buffer locali, un input sufficientemente grande può sovrascrivere l'indirizzo di ritorno, dirottando il flusso di controllo.

Gli overflow derivano solitamente da funzioni C non sicure che non verificano la lunghezza:

• strcpy, strcat, sprintf, gets.

Alternative più sicure come strncpy o snprintf prevedono un limite di dimensione, ma il codice legacy è pieno di quelle pericolose.

Quando la funzione vulnerabile restituisce il controllo, la CPU estrae l'indirizzo di ritorno (ora controllato dall'attaccante) e lo carica in EIP, quindi salta a quell'indirizzo.

Se si fa puntare EIP al proprio codice macchina iniettato (shellcode), la CPU lo esegue con i privilegi del programma.

x86 usa il formato little-endian: i valori composti da più byte vengono memorizzati iniziando dal byte meno significativo. Per sovrascrivere l'indirizzo di ritorno con 0x080414C3, è necessario scrivere i byte nell'ordine inverso.

Sbagliare l'endianness è un errore comune tra i principianti e fa fallire silenziosamente gli exploit.

I sistemi moderni aggiungono difese che rendono lo sfruttamento più complesso:

• DEP/NX: contrassegna lo stack come non eseguibile.
• ASLR: randomizza gli indirizzi di memoria.
• Stack canary: rileva le sovrascritture prima del ritorno.

Questo corso si concentra sul caso classico (con le protezioni disattivate) per insegnare i concetti fondamentali.

Sebbene le difese moderne rendano più difficili i classici stack overflow, i concetti fondamentali restano essenziali. I sistemi embedded, l'IoT e i software legacy spesso non dispongono affatto di queste protezioni.

La padronanza del caso di base è inoltre il prerequisito per tecniche avanzate come ROP, che aggirano le moderne misure di mitigazione.

Ricordi quale valore l'attaccante vuole infine controllare?

Ora conosce i fondamenti:

• Lo stack memorizza le variabili locali, l'EBP salvato e l'indirizzo di ritorno, e cresce verso il basso.
• ESP, EBP, EIP sono i registri x86 principali; controllare EIP significa controllare l'esecuzione.
• Funzioni non sicure come strcpy e gets causano overflow.
• x86 usa il formato little-endian; le difese moderne sono DEP, ASLR e canary.

Nel prossimo passaggio farà il fuzzing di un programma per trovare l'offset del crash.