Heap spraying (Heap spraying)

Расположение стека и кучи в адресном пространстве

Heap spraying в информационной безопасности — это атака, использующая ошибки в работе с памятью приложения. Атакуя при помощи heap spraying, хакер заставляет приложение выделить память под большое количество объектов, содержащих вредоносный код. При этом повышается вероятность успеха эксплойта, который переносит поток исполнения на некоторую позицию внутри кучи. Важно понимать, что без эксплойта, позволяющего изменять поток исполнения, heap spraying не нанесёт какого-либо вреда. Атака основана на предсказуемости положения кучи в адресном пространстве процесса. Помимо этого, выделение памяти в куче — это детерминированная операция, которая и позволяет с успехом применять эту технику. Heap spraying особенно эффективна в браузерах, где хакер может выделять память, используя несколько строк JavaScript на веб-странице. Важную роль играет сходство выделения памяти в различных операционных системах, что делает эту атаку кроссплатформенной. В результате можно внести определённую последовательность байт (например, машинную инструкцию) в заранее предсказанный адрес в памяти целевого процесса.

При создании процесса в операционной системе под его нужды выделяется адресное пространство, в котором расположены пользовательские данные, исполняемый код и некоторая системная информация, которая зависит от конкретной операционной системы. Пользовательские данные распределяются между кучей и стеком в зависимости от способа выделения памяти под них. Так, в сегменте стека хранятся переменные с автоматическим классом размещения, а также информация, которая сохраняется при каждом вызове функции, например, адрес возврата. Куча — это область динамической памяти, то есть при динамическом выделении памяти место выделяется в куче. Традиционно куча и стек растут навстречу друг другу.

Основная концепция

Память "До" и "После" heap spraying

Heap spraying сама по себе не является уязвимостью. Однако она может быть использована для доставки вредоносного кода в исполняемую область памяти процесса. Эта техника использует детерминированность операции выделения памяти в системе. Имеется в виду, что большой объём памяти часто располагается с одним и тем же смещением в адресном пространстве процесса. Однако эта техника не в состоянии создать брешь в самой системе безопасности. Поэтому для её использования необходима уязвимость, позволяющая изменить порядок исполнения команд (машинных инструкций).

Использовать эту технику трудно, поскольку очень велико число факторов, влияющих на исполнение процесса (с точки зрения хакера). Тем не менее, с помощью heap spraying можно выполнить большое число инструкций, что частично компенсирует эту трудность и позволяет повысить вероятность успешного взлома.

Heap spraying может быть реализована для большинства операционных систем и архитектур. Основная трудность – нахождение уязвимости, позволяющей перенаправить поток исполнения. Динамическое выделение большого количества памяти, как говорилось ранее, — операция, позволяющая предсказать положение кучи в памяти (в момент проецирования виртуальной памяти на физическую). Каждый раз выполняя одну и ту же последовательность обращений к памяти, куча будет с большой долей вероятности оказываться на одном и том же месте.

Характерный вид блоков

Однако, чтобы повысить эту вероятность, необходимо чтобы размер куска выделяемой памяти был сопоставим с размером сегмента или страницы, в зависимости от способа организации памяти.

Основная проблема этой атаки — изменение потока исполнения. Без возможности перехвата выполнения данный вид атаки не имеет смысла. Некоторые функции могут хранить адрес возврата в куче, тогда хакер может попытаться изменить их. В этом случае при возврате из такой функции произойдет перемещение в участок памяти, удобный для хакера, и, как следствие, начнет исполняться вредоносный код. Любая функция, считывающая адрес, находящийся в куче, может быть использована как уязвимость. Хакер может подменить этот адрес на адрес модифицированного им участка памяти. Это может привести к перенаправлению потока исполнения на вредоносный код. Однако это не так просто, как кажется.

Корректность адреса (его размер, смещение относительно начала страницы), используемого для подмены, сильно зависит от архитектуры. Потому на практике используют блоки, состоящие в основном из NOPов, дописывая в конце необходимый код. Этот приём позволяет не задумываться о точности высчитывания адреса и направить поток исполнения в приблизительное место в адресном пространстве.

Шаги, направленные на реализацию heap spraying:

• Определение размера куска выделяемой памяти таким образом, чтобы одно выделение соответствовало размеру страницы.
• Выделение нескольких кусков, в которых располагаются NOP и shell-код.
• Использование известной уязвимости для перенаправления счётчика команд на предполагаемое положение кусков, например, при помощи переполнения стека.
• Исполнение выделенной области.

Этот тип атак очень эффективен в браузерах. Большинство браузеров поддерживают исполнение скриптов. Хакер может выделить необходимую память, используя несколько строк JavaScript или ActionScript на веб-странице. Важную роль играет схожесть выделения памяти в различных операционных системах, что делает эту атаку кроссплатформенной. Более того, адреса на которые необходимо совершить переход, будут похожи.

История

Первый раз heap spraying использовалась в 2001 году и стала широко распространённой летом 2005 года. После было найдено большое количество уязвимостей в Internet Explorer. Эксплойты были очень похожи между собой. Каждый такой эксплойт состоял из heap spraying, метод реализации которой не изменялся, и переноса счётчика команд на необходимое место в памяти. Потому новый эксплойт получался изменением нескольких строк HTML и переключением на новую уязвимость.

Реализация

JavaScript

Самый простой способ выделить место в памяти браузера — декларировать строчную переменную и инициализировать её.

Примеры выделения памяти на JavaScript:

 
		var myvar = "CORELAN!";
		var myvar2 = new String("CORELAN!");
		var myvar3 = myvar + myvar2;
		var myvar4 = myvar3.substring(0,8);

Это очень простые примеры, так как выделенные строки небольшие. Кусок shell-кода значительно больше, но всё же меньше целой страницы памяти.

Гипотетически можно записать необходимый shell-код много раз в каждый выделяемый нами блок, но тогда злоумышленнику придётся следить, на какой конкретно адрес попадает указатель, так как он не должен попасть на середину исполняемого кода. Обычно поступают по-другому — выделяют куски, содержащие множество NOPов, и в конце прописывают необходимые команды. Тогда в силу линейности расположения блоков в куче проще соблюсти линейность исполнения кода и не нужно заботиться о точности попадания на начало куска памяти.

При правильном выборе размера выделяемые куски памяти должны быть очень близки к размеру элемента кучи. Если выделяемый кусок памяти будет меньше, то оставшееся место будет свободно. Менеджер памяти, в лучшем случае, оставит системный мусор в этом «незанятом пространстве», а в худшем положит объект, подходящий по размеру. В любом случае это приведёт к ошибке при попытке исполнить данный участок памяти.

Таким образом, используемый злоумышленниками скрипт выглядит так:

		<html>
		<script >
		var shellcode = unescape('%u\4141%u\4141'); // это надпись CORELAN
		var bigblock = unescape('%u\9090%u\9090'); //90- это код NOP
		var headersize = 20;
		var slackspace = headersize + shellcode.length;// начальный размер нашего куска: полезный код + размер заголовка
		while (bigblock.length < slackspace) bigblock += bigblock; //заполнение NOP-ами 
		var fillblock = bigblock.substring(0,slackspace);//полезный код- наполнение
		var block = bigblock.substring(0,bigblock.length - slackspace);//просто NOPы
		while (block.length + slackspace < 0x40000) block = block + block + fillblock;
        //заполнение до размера элемента кучи- в данном случае- это 0x40000
		var memory = new Array();
		for (i = 0; i < 500; i++){ memory[i] = block + shellcode }// выделение нескольких таких элементов.
		</script>
		</html>

unescape()- это функция, позволяющая положить байты именно в том порядке, в котором указано в аргументе.

VBScript

VBScript используют в Internet Explorer для создания строк с помощью string. Концептуально не отличается от реализации на JavaScript, только названия функций изменяются.

ActionScript

В июле 2009 были найдены эксплойты, позволяющие использовать ActionScript для реализации heap spraying в Adobe Flash.

HTML5

В сентябре 2012 на EuSecWest 2012 была представлена новая реализация. Федерико Муттис (Federico Muttis) и Анибаль Сакко (Anibal Sacco) показали, что heap spraying с высокой степенью гранулярности может быть реализован при помощи технологий HTML5. Они использовали низкоуровневый растровый интерфейс, предоставляемый canvas API.

Изображения

Существуют методы, использующие загрузку изображений. Изображение составляют из NOPов и далее действуют, как и в предыдущих случаях.

Способы предотвращения

Как и при любых переполнениях буфера, есть три основных пути защиты. Часто проще предотвратить изменение потока исполнения, чем само использование буфера. Современные операционные системы используют все перечисленные ниже методы:

1. Предотвращение исполнения путём разделения данных и исполняемого кода, обычно с использованием архитектурных решений, например NX bit. Например, уже в большинстве ОС внедрён DEP
2. Повышение случайности расположения данных в памяти. Например, чтобы следующий выделенный элемент кучи не имел фиксированного смещения относительно текущего. Уже внедрено в большинстве ОС: ASLR.
3. Увеличение количества проверок соблюдения границ буфера в менеджере памяти.

Проекты, связанные с данным типом атаки:

• проект Nozzle от Microsoft Research ставит своей целью предотвращения heap spraying.
• BuBBle — это другой проект, целью которого является минимизация урона от данной атаки.

См. также

• Переполнение буфера
• Переполнение стека
• Стек вызовов
• Куча (память)
• Хакерская атака
• Data Execution Prevention

Литература

• Рихтер Дж. Windows для профессионалов: создание эффективных Win32 приложений с учетом специфики 64х разрядной версии Windows. — М.: Русская Редакция, 2008. — С. 68-118,333-418. — 720 с.
• У. Ричард Стивенс, Стивен А. Раго. UNIX. Профессиональное программирование. — СПб.: Символ-Плюс, 2014. — С. 288-351. — 1104 с.
• Таненбаум Э., Вудхалл А. Операционные системы. Разработка и реализация. — СПб.: Питер, 2007. — С. 78-252. — 704 с.
• Брайан Керниган, Деннис Ритчи. Язык программирования Си. — Вильямс, 2015. — С. 93-123. — 304 с.
• Марк Руссинович, Дэвид Соломон. Внутреннее устройство Windows. — СПб.: Питер, 2013. — С. 104-681. — 800 с.

Ссылки

• Exploit Writing Tutorial (англ.). Corelan Team. Дата обращения: 12 декабря 2015. Архивировано из оригинала 25 апреля 2015 года.
• Fundamentals of Garbage Collection (англ.). MSDN. Дата обращения: 12 декабря 2015. Архивировано из оригинала 22 декабря 2015 года.
• Запуск процессов с помощью вызова exec()  (рус.). OpenNET. Дата обращения: 12 декабря 2015. Архивировано из оригинала 22 декабря 2015 года.
• Hungpages (англ.). Debian. Дата обращения: 12 декабря 2015. Архивировано из оригинала 22 декабря 2015 года.
• ActionScript Heap Spray (англ.). Julia Wolf. Дата обращения: 12 декабря 2015. Архивировано из оригинала 22 декабря 2015 года.
• HTML5 Heap spray (англ.). EUSecWest 2012. Дата обращения: 12 декабря 2015. Архивировано из оригинала 22 декабря 2015 года.
• Address Space Layout Randomization (ASLR) (англ.). CISCO. Дата обращения: 12 декабря 2015. Архивировано из оригинала 22 декабря 2015 года.