книги хакеры / журнал хакер / специальные выпуски / Специальный выпуск 45_Optimized

журнал «DVD ЭКСПЕРТ» просто и доступно о домашнем кинотеатре!

30 ОСНОВЫ МАССИВНОЕ ПЕРЕПОЛНЕНИЕ

Мысла Владислав aka DigitalScream (digitalscream@real.xakep.ru)

МАССИВНОЕ

ПЕРЕПОЛНЕНИЕ

ÀТЫ ЗНАЕШЬ, ЧТО ТАКОЕ ARRAY OVERFLOW?

Îставались считанные секунды… "Не может быть, что нельзя угадать 10-значный код для входа, если системой пользуется миллион клиентов", - думал он… Код за кодом - закрыто! Но вдруг блок ввода заморгал…

Массив - это последовательность элементов одинаковой структуры. Например, массив чи- сел - это последовательность чисел и ни- чего другого.

По сути, переполнение массивов - это обычное переполнение буфера, происходящее при обработке массивов.

Óпользуются переполнением буфера в борь-

бе за нужную информацию. Постоянно на-æå много лет хакеры

ходятся новые ошибки, их связывают одну с другой, классифицируют. В наше время найти ошибку переполнения в распространенном продукте довольно сложно. Порой кажется, что ошибки нет или ею нельзя воспользоваться. А чаще всего именно безобидные, на первый взгляд, ошибки приводят к возможности несанкционированного управления работой приложения. Чтобы воспользоваться такими уязвимостями, надо проверить, при обработке каких данных происходит ошибка. В этой статье речь пойдет об ошибках работы с массивами.

В примере 1 описан псевдокласс Door, который занимается управлением входной дверью, причем, перед тем как закончить свою работу, он сохраняет все неправильно введенные пароли в виде логов.

Какую ошибку хранит в себе этот код?

ЧТЕНИЕ ДАННЫХ ИЗ ПАМЯТИ

При работе с массивами данных программист использует массивы. Если необходимо хранить в массиве объекты

ПРИМЕР 1. ПРОТОКОЛИРОВАНИЕ ОШИБОК

...

Door::Door() { lIndex = 0;

TypedUID = new UserID[0xFF]; }

...

void Door::LogBadInput( UserID uidInput ) {

TypedUID[ lIndex ] = uidInput; lIndex ++; }

...

Door::~Door() {

for( long lOffset = 0;lOffset < lIndex; ++lOffset ) WriteToLog(FormatLogMessage( "UserID", TypedUID[lOffset], sizeof(UserID) );

delete [] TypedUID; }

...

сможешь узнать пароль админа.

ПЕРЕЗАПИСЬ ДАННЫХ В ПАМЯТИ

Массивы могут хранить в себе опасность более высокую, чем чтение памяти. Куда интереснее случаи, когда есть возможность записи в массивы (пример 4).

Давай посмотрим, что происходит. SetData - это функция, которая копирует данные юзера в свою область памяти. Причем она не проверяет размер копируемых данных, а приемник lpTable ограничен размером 0xFF(255). И, как ты уже догадался, если передать функции данные, размер которых больше 255, то элементы из lpData с индексом, большим 254 (нумерация с нуля), будут скопированы не в lpTable, а в szPassword, который находится в куче прямо после lpData. Поэтому все числа, что не поместились в lpData, перезапишут пароль. Осталось только передать свой пароль :-). Для этого можно передать функции буфер, состоящий из:

-255*4 байт данных (перезаписать lpTable),

-числа 0x61616161 (перезаписать пароль),

-числа 0x00000000 (закончить строку пароля нулевым байтом).

ПРИМЕР 4. ИСПОЛЬЗОВАНИЕ ПЕРЕПОЛНЕНИЯ МАССИВОВ #2

long lpTable [0xFF]; char szPassword [0xFF];

...

void SetData (long* lpData, long lSize ) {

for (long lOffset = 0; lOffset<lSize; ++lOffset ) lpTable[lOffset] = lpData[lOffset];

}

...

В результате пароль изменится на "аааа" и может быть использован для авторизации в системе.

ПЕРЕЗАПИСЬ ДАННЫХ В СТЕКЕ ИЛИ КУЧЕ

Как видишь, можно манипулировать ходом исполнения программы, используя ошибки в работе с массивами. Взгляни на пример 5. У нас имеется функция, которая создает массив и записывает в указанный элемент какое-либо число, и функция, которая показывает пароль админа.

Массив lpNewData является временным, и поэтому память для него выделяется в стеке. Учитывая архитектуру стека и местоположение буфера, можно говорить о том, что, если в качестве индекса указать число, превосходящее размеры массива, оно перезапишет собой данные, находящиеся в верхних адресах. А среди них есть и адрес возврата для выхода из функции, поэтому если передать функции параметры 0х101 и любое другое число "A", то при выходе из функции управление передастся на адрес, указанный в переменной "A". Так, например, если знать адрес функции ShowPassword и указать его в качестве второго параметра, то программа покажет пароль

ПРИМЕР 5. ИСПОЛЬЗОВАНИЕ ПЕРЕПОЛНЕНИЯ МАССИВОВ #3

char szPassword [0xFF];

...

void CreateData( long lDefaultIndex, long lValue ) {

long lpNewData[0xFF]; ZeroMemory( lpNewData, 0xFF );

lpNewData[lDefaultIndex] = lValue;

...................................

}

void ShowPassword() { ShowMessage( "Password: %s",

szPassword ); }

...

31

админа. Но это уже - переполнение стека, рассмотрение которого в рамки данной статьи не входит. Если память под массив выделяется в куче, то получить управление можно, перезаписав глобальную таблицу смещений функций. Способов много и все определяется архитектурой уязвимого приложения.

ОБХОД ОГРАНИЧЕНИЙ НА РАЗМЕРНОСТЬ МАССИВА

Однако не все так просто. Во избежание переполнений в обработке массивов программеры используют проверки на указанный индекс элемента. Если он больше размера массива, то операция отменяется (пример 6).

Но и здесь есть выход! Переменная intDefaultIndex является числом, но числом со знаком. Поэтому, хотя проверка на размер производится, значе- ние не проверяется на отрицательность. Это значит, что, если в прошлом примере ты указал номер элемента 0x101, то теперь необходимо просто вычислить его: индекс = старый_индекс + 0x80000000. Таким образом, появляется возможность обхода проверки на указанный индекс элемента.

Теперь ты знаком с уязвимостями класса Array Overflow. Нужно иметь в виду возможность такого взлома и думать о своей защите. E

ПРИМЕР 6. ИСПОЛЬЗОВАНИЕ ПЕРЕПОЛНЕНИЯ МАССИВОВ С ПРОВЕРКОЙ ИНДЕКСА

char szPassword [0xFF];

...

void CreateData(int intDefaultIndex, int intValue ) {

long lpNewData[0xFF]; if( intDefaultIndex > 0xFF ) return;

ZeroMemory( lpNewData, 0xFF ); lpNewData[intDefaultIndex] = intValue;

...................................

}

Более детальную информацию о цело- численных переполнениях ты можешь найти в статье "Integer Overflow".

Атака на переполнение массива может быть использована как способ получе- ния контроля над исполнением программы.

полигон для взломщика.

НАВЯЗЫВАНИЕ СОБСТВЕННЫХ СПЕЦИФИКАТОРОВ

Если пользовательский ввод попадет в строку форматного вывода (что происходит довольно часто) и находящиеся в нем спецификаторы не будут отфильтрованы, злоумышленник сможет манипулировать интерпретатором форматного вывода по своему усмотрению, вызывая ошибки доступа, читая и перезаписывая ячейки памяти и при благоприятных условиях захватывая управление удаленной системой.

Рассмотрим следующий пример, к которому мы не раз будет обращаться в дальнейшем.

f(){

char buf_in[32], buf_out[32]; printf("введи имя:"); gets(buf_in); sprintf(buf_out, "hello, %s!\n", buf_in); printf(buf_out);

}

РЕАЛИЗАЦИЯ DOS

Для аварийного завершения программы достаточно вызвать нарушение доступа, обратившись к невыделенной, несуществующей или заблокированной ячейке памяти. Это легко. Встретив спецификатор "%s", интерпретатор форматного вывода извлекает из стека парный ему аргумент, трактуя его как указатель на строку. Если же тот отсутствует, интерпретатор хватает первый попавшийся указатель и начинает читать содержимое памяти по этому адресу до тех пор, пока не встретит нуль или не нарвется на запрещенную ячейку. Политика запретов варьируется от одной операционной системы к другой, в частности, при обращении по адресам 00000000h - 0000FFFFh и 7FFF000h - FFFFFFFFh Windows NT всегда возбуждает исключение. Остальные же адреса в зависимости от состояния кучи, стека и статической памяти могут быть как доступными, так и нет.

Откомпилируем пример, приведенный выше, и запустим его на выполнение. Вместо своего имени введем

строку "%s". Программа выдаст следующее:

введи имя: %s hello, hello, %s!\n!"

Чтобы понять, что такое "hello, %s!" и откуда оно здесь взялось, необходимо проанализировать состояние стека на момент вызова printf(buf_out), в чем нам поможет отладчик, например тот, который интегрирован в Microsoft Visual Studio (см. скрин).

Первым идет двойное слово 0012FF5Ch (на микропроцессорах архитектуры Intel младший байт располагается по меньшему адресу, то есть все числа записываются в памяти в обратном порядке). Это указатель, соответствующий аргументу функции printf, которому, в свою очередь, соответствует буфер buf_out, содержащий непарный спецификатор "%s" и заставляющий функцию printf извлекать следующее двойное слово из стека, которое представляет собой обыкновенный мусор, оставленный предыдущей функцией. По стечению обстоятельств он (мусор и указатель одновременно) указывает на тот же самый buf_out, и потому нарушения доступа не происходит, зато слово "hello" выводится дважды.

Будем рыть дальше, снимая со стека следующую последовательность адресов: 00408000h (указатель на строку "hello, %s!\n"), 0012FF3Ch (указатель на buf_out), 0012FF3Ch (снова он), 0040800Ch (указатель на строку "введи имя:"), 73257325h (содержимое буфера buf_in, трактуемое как указатель, между прочим указывающий на невыделенную ячейку памяти).

Таким образом, первые пять спецификаторов "%s" проходят сквозь интерпретатор форматного вывода вполне безболезненно, а вот шестой посылает его в космос. Процессор выбрасывает исключение, и выполнение программы аварийно прекращается. Разумеется, спецификаторов не обязательно должно быть ровно шесть - до остальных все равно не дойдет управление.

33

няющимся буферам, для передачи управления на shell-код необходимо знать его абсолютный адрес, который в большинстве случаев неизвестен, и спецификатор "%X" как раз и выводит его на экран!

Теперь введем несколько спецификаторов "%X", для удобства разделив их пробелами:

введи имя: %X %X %X %X %X %X %X hello, 12FF5C 408000 12FF3C 12FF3C 40800C 25205825 58252058!

Обрати внимание на два последних двойных слова. Да это же содержимое буфера пользовательского ввода! Ведь ACSII-строка "%X " в шестнадцатеричном представлении выглядит как "25 58 20".

Идея - сформировать указатель на интересующую нас ячейку памяти, положить его в буфер, а затем натравить на него спецификатор "%s", чи- тающий память вплоть до встречи с нулевым байтом или запрещенной ячейкой. Нулевой байт не помеха, достаточно сформировать новый указатель, расположенный за его хвостом. Запрещенные ячейки намного коварнее - всякая попытка доступа к ним вызывает аварийное завершение программы, и, до тех пор пока администратор не поднимет упавший сервер, атакующему придется скучать и пить пиво. А после перезапуска расположение уязвимых буфером данных может оказаться совсем иным, что обесценит все ранее полученные результаты. Конечно, волков бояться - в лес не ходить, но и соваться в воду, не зная броду, тоже не стоит. В общем, со спецификатором "%s" следует быть предельно осторожным, а то недолго и DoS схлопотать.

Допустим, мы хотим прочитать содержимое памяти по адресу 77F86669h (по ней можно определить версию операционной системы, так как у всех она разная). Расположение буфера пользовательского ввода нам уже известно - актуальные данные на- чинаются с шестого двойного слова (см. листинг). Остается подготовить боевую начинку. Вводим целевой адрес, записывая его в обратном порядке и набирая непечатные символы с помощью <ALT> и цифровой клавиатуры. Добавляем к ним шесть спецификаторов "%X", "%d" или "%c" (поскольку содержимое этих ячеек нас никак не волнует, подойдут любые). Добавляем опознавательный знак, например звездочку или двоеточие, за которым будет идти спецификатор вывода строки "%s". И, наконец, скармливаем полученный результат программе (опознавательный знак необходим для того, чтобы быстро определить, где кончается мусор, а где начинаются актуальные данные)

Если перевести символы в строке после двоеточия в шестнадцатерич- ную форму, получится 8B 46 B3 40 3E »

Если пользовательский ввод попадет в строку форматного вывода, злоумышленник сможет манипулировать интерпретатором форматного вывода по своему усмотрению.

Unicodeфункции используют для завершения строки двойной символ нуля и к одиноч- ным нулям относятся довольно лояльно.