Pamięć i stos

Gdy program działa, system operacyjny przydziela mu układ pamięci z wyraźnie wydzielonymi obszarami: text (kod), data/BSS (zmienne globalne), heap (alokacja dynamiczna) oraz stack.

Przepełnienia bufora najczęściej wykorzystują stos, dlatego jego zrozumienie jest niezbędne.

Stos to obszar pamięci używany podczas wywołań funkcji. Przechowuje zmienne lokalne, argumenty funkcji i adresy powrotu.

Na platformie x86 rośnie w dół: umieszczanie danych na stosie przesuwa wskaźnik stosu w kierunku niższych adresów. Ten kierunek ma znaczenie, gdy dochodzi do przepełnienia.

Każde wywołanie funkcji tworzy ramkę stosu. Ramka zazwyczaj zawiera zmienne lokalne, zapisany wskaźnik bazowy (EBP) oraz adres powrotu (zapisany EIP).

Adres powrotu wskazuje procesorowi, gdzie wznowić wykonywanie po zakończeniu funkcji. Przejęcie nad nim kontroli jest sednem wykorzystywania przepełnienia stosu.

W 32-bitowym x86 najważniejsze rejestry to:

• ESP: wskaźnik stosu, wskazuje szczyt stosu.
• EBP: wskaźnik bazowy, stanowi punkt odniesienia dla bieżącej ramki.
• EIP: wskaźnik instrukcji, zawiera adres następnej instrukcji.

Jeśli ma się kontrolę nad EIP, ma się kontrolę nad przepływem wykonywania.

Bufor to blok pamięci o stałym rozmiarze, na przykład lokalna tablica znaków. Program oczekuje, że dane zmieszczą się w jego obrębie.

Jeśli program kopiuje więcej danych, niż może pomieścić bufor, bez sprawdzenia długości, nadmiar przelewa się do sąsiedniego obszaru pamięci.

Przepełnienie bufora występuje, gdy dane wejściowe przekraczają rozmiar bufora i nadpisują sąsiednie dane na stosie.

Ponieważ zapisany EBP i adres powrotu znajdują się tuż za lokalnymi buforami, odpowiednio duże dane wejściowe mogą nadpisać adres powrotu, przejmując kontrolę nad przebiegiem wykonania.

Przepełnienia zwykle wynikają z użycia niebezpiecznych funkcji języka C, które nie sprawdzają długości:

• strcpy, strcat, sprintf, gets.

Bezpieczniejsze alternatywy, takie jak strncpy czy snprintf, przyjmują limit rozmiaru, ale starszy kod jest pełen tych niebezpiecznych funkcji.

Gdy podatna funkcja kończy działanie, procesor pobiera adres powrotu (obecnie kontrolowany przez atakującego) do EIP i wykonuje skok pod ten adres.

Jeśli wskażą Państwo w EIP własny wstrzyknięty kod maszynowy (shellcode), procesor wykona go z uprawnieniami programu.

Architektura x86 jest zgodna z konwencją little-endian: wartości wielobajtowe są przechowywane od najmniej znaczącego bajtu. Aby nadpisać adres powrotu wartością 0x080414C3, należy zapisać bajty w odwrotnej kolejności.

Pomylenie kolejności bajtów to częsty błąd początkujących, który powoduje ciche niepowodzenie exploitów.

Współczesne systemy stosują mechanizmy ochrony, które utrudniają wykorzystanie podatności:

• DEP/NX: oznacza stos jako niewykonywalny.
• ASLR: losowo zmienia adresy w pamięci.
• Canary stosu: wykrywa nadpisania przed powrotem z funkcji.

Ten kurs koncentruje się na klasycznym przypadku (przy wyłączonych zabezpieczeniach), aby nauczyć Państwa podstaw.

Choć współczesne mechanizmy ochrony utrudniają klasyczne przepełnienia stosu, podstawy nadal są niezbędne. Systemy wbudowane, urządzenia IoT i starsze oprogramowanie często w ogóle nie mają tych zabezpieczeń.

Opanowanie podstawowego przypadku jest również warunkiem stosowania zaawansowanych technik, takich jak ROP, które omijają współczesne mechanizmy ochrony.

Proszę przypomnieć sobie, nad jaką wartością atakujący chce ostatecznie przejąć kontrolę.

Znają już Państwo podstawy:

• Stos przechowuje zmienne lokalne, zapisany EBP i adres powrotu, a rośnie w dół.
• ESP, EBP, EIP to najważniejsze rejestry x86; kontrolowanie EIP oznacza kontrolowanie wykonania.
• Niebezpieczne funkcje, takie jak strcpy i gets, powodują przepełnienia.
• Architektura x86 jest zgodna z konwencją little-endian; współczesne zabezpieczenia to DEP, ASLR i canary.

W następnym kroku przeprowadzą Państwo fuzzing programu, aby znaleźć przesunięcie powodujące awarię.