книги хакеры / журнал хакер / 118_Optimized

xàêåð 10 /118/ 08

057

скриптможетвыделитьблокпамяти,записатьтудавсе,чтоугодно,

ется—иладно.Даистековыхпеременныхнамногобольше,чемчленов

освободитьего,и…припоследующихзапросахпамятинаразмещение

объекта,размещаемыхвдинамическойпамяти,апотомувероятность

очередногосоздаваемогообъектаснекоторойстепеньювероятности

нарватьсянанеинициализированнуюпеременнуюздесьвыше.

будетиспользованименнонашблок.Каковастепеньэтойвероятности

Ксожалению(иликсчастью—смотряскакойсторонысмотреть),воз-

икакможноееповысить—мыещерасскажем,апокаподведемкраткий

можностинаправленноговоздействиянастековыепеременныеочень

итогпричинвозникновениянеинициализированныхпеременных.

ограничены,асамаатакавесьмаспецифичнаизаслуживаетотдельной

статьи.Отложимэтотразговордолучшихдней,апокавернемсяккучеи

• Вынос инициализирующего кода из конструктора (вызывае-

посмотрим:чтотамможносделать.

мого автоматически) в метод(ы)-инициализаторы, вызывае-

мые вручную или не вызываемые вообще

Реализация направленной атаки

• Гибридное Си/Си++ программирование с «эмуляцией» вир-

Указателисоставляютмалуючастьотвсехтиповпеременных,номы

туальных функций посредством чистого Си

сосредоточимсяименнонаних.Болеетого,извсехуказателейнасбудут

• Объекты с многочисленными properties, инициализируемы-

интересоватьтолькоуказателинафункции,посколькуонинамногоболее

ми из закрепленных за ними методов

уязвимы,чемвсеостальные.Достаточнопросто«дотянуться»доне-

• Разнотравье неклассифицируемых ошибок

инициализированногоуказателянафункцию,записавтудаадрессвоей

функции(shell-кода),авсеостальноезанассделаетавтоматика.Нодаже

Недостроенные объекты на стеке

такоесвидупростоемероприятиереализуетсядовольноэкзотическим

Неинициализированныепеременныевстречаютсянетольковкуче,но

способомвстиле«недокументированныепозициикама-сутры».

инастеке.Взятьхотябытакоеинтересноеявление,какавтоматическая

Какмыужеговорили,стандартныйаллокаторприплюснутогосиразме-

инициализацияглобальныхистатическихпеременных,обращаемыхв

щаетобъектывдинамическойпамяти(куче).Причем,длядостижения

нольещенестадиизагрузкиисполняемогофайлавпамять(потому«int

максимальнойпроизводительностиобнулениевыделенныхблоковпа-

a = 0;»и«static a;»содержатвсебеодноитожезначение).Писать

мятинепроизводитсяитамоказываетсямусор.Ачтотакоемусорсточки

«static a = 0;»совершеннонеобязательно.

зренияпрограммиста?Правильно,отходыжизнедеятельностипреды-

Однако,еслипокаким-топричинампрограммиствдругудалитключевое

дущихобъектов.Другимисловами,возможность(хотябытеоретическая)

слово static,превращаяпеременную«а»изстатическойвавтомати-

воздействиянанеинициализированныеуказателиунасесть.Правда,

ческую,внейтутжеокажетсямусор,оставленныйнастекекем-тоеще,и

практическаяреализациянаталкиваетсянамножествоподводныхкам-

программапойдетвразнос.Конечно,такоеслучаетсянетакужчасто,и

нейипрочихпрепятствий.Нодавайтевсепопорядку.

компиляторначнетругатьсяматом,выдаваяwarning’и,носовременные

Идеятакова:выделяемблокпамяти(чтоможносделатьнапрямуюиз

программистынапредупреждающиесообщениянесмотрят.Компилиру-

JavaScriptилиVBScript),копируемтудаshell-код,послечегоотъедаем

058

xàêåð 10 /118/ 08

всюпамять,заполняяееуказателяминанашshell-код.Икогдапамять

совсемподойдеткконцу,освобождаемвсеблоки,кромепервого(с

Исходныйкод,демонстрирующийреализациюнаправлен-

shell-кодом).Последующиезапросынавыделениепамятивозвратятуяз-

нойатакинанеинициализированныеуказатели

вимомуприложениюблок,заполненныйссылкаминаshell-код.Еслихотя

#define NNN

(2048)

быодинизуказателейобъектаокажетсянеинициализированным,вместо

// #define NSZ (4096)

// <-- bad

вызоваоригинальнойфункцииуправлениеполучитshell-код.Описанная

#define NSZ

(sizeof(struct object))

// <-- good

техникаоченьпохожанаheap-spray—известныймеханизматакина

f_ok() { printf("+OK\n"); }

переполняющиесябуфера,заканчивающейсяпередачейуправленияна

f_err() { printf("-ERR\n"); }

shell-код.Присмотревшисьвнимательнее,мыобнаружимсущественное

struct object

различие.Вклассическомheap-spray’евыделенныеблокинеосвобож-

{

даются,авнашем—освобождаютсявсеблоки,кромепервого,стаким

char *s;

расчетом,чтобыбытьиспользованнымиповторно!

int (*bar)();

Авоттеперьграбли.Памятиусовременныхкомпьютеровмногоибыстро

int (*foo)();

откушатьеенеудастся.Атакарастягиваетсянаминутыилидажедесятки

};

минут,демаскируяхакера.Ужертвыестьхорошийзапасповремени,что-

char buf[1023];

бызакрытьподозрительноведущеесебяприложение(IEприэтомкакбы

char** all_p[NNN];

«подвисает»).Нодаженеэтосамоестрашное.Поумолчанию,начальный

размерфайлаподкачкименьшеконечногоивбольшинствесистемон

main()

составляетменьше2хгигабайт—объемапамяти,выделенногокаждому

{

процессуподприкладныенужды.Следовательно,впроцессепожирания

struct object *Obj;

памятинеизбежнонаступаетмомент,когдасистеманачнетувеличивать

int a, b; char *shell, **p;

размерфайлаподкачки.Этопроисходитнемгновенноизапросына

выделениепамяти,осуществляемыевэтовремя(дажепоступающиеот

// attack

постороннихприложений),заканчиваютсявозвращениемошибки.Что

shell = (char*) malloc(1024);

касаетсястека—системавообщевыбрасываетисключение«исчерпа-

*shell = 0xCC;

ниестековойпамяти»,котороемалоктообрабатывает.Корочеговоря,в

процессеувеличенияфайлаподкачкиначинаютсыпатьсясовершенно

// allocate heap blocks and fill them with pointers to

посторонниеприложенияипользователь,чертыхаясь,отправляет

our shell-code

системунаперезагрузку,врезультатечегохакерскаяатаканакрывается

for (a = 0; a < NNN; a++)

меднымтазом.

{

Акакнасчетболееэлегантногосценария?Тутпоходуделавыясняется

p = (char**) malloc(NSZ);

однаоченьинтереснаявещь.Дажееслиотъестьвсюдоступнуюпамять,

for (b = 0;b < NSZ / sizeof(char*); b++)

азатемееосвободить,тоникакихгарантийперезаписинеинициализи-

p[b] = shell;

рованногоуказателяунаснет.Почему?Авсепотому,чтомывыделяли

all_p[a] = p;

памятьбольшимблокам.Еслиразмервыделяемогоблокапревосходит

}

размеруязвимогообъекта,тосистема,стремясьподобратьблокнаибо-

лееадекватныхразмеров,выделитпамятьсовсемиздругихрезервов

// free all blocks to return them in the pool

—спискамаленькихблоков.Ранеезанятых,атеперьосвобожденных,но

for (a = 0; a < NNN; a++)

такинесумевшихобъединитьсясостальнымисвободнымиблокамив

free(all_p[a]);

единоецелое(посколькунапутимеждунимиимеетсяодинилибольше

занятыхблоков,разрывающихединоеадресноепространствонамно-

// IE-like code

жествообособленныхсуверенных«островков»).

Obj = (struct object*) malloc(sizeof(struct object));

Выходит,чтодлядостиженияуспеха,необходимовыделятьблокипамяти

Obj->bar = f_ok;

предельнокомпактногоразмера(4байта)стакимрасчетом,чтобытуда

записатьодин-единственныйуказательнаshell-код?Ну,этовообще

while(1)

дохляк!Деловтом,чторазмервыделяемогоблокаавтоматически

{

xàêåð 10 /118/ 08

059

их очень легко предотвратить. Достаточно заставить аллокатор ав-

fgets(buf, 1023, stdin);

if (strlen(buf) < 8) { Obj->foo(); continue; }

томатически очищать выделяемые блоки памяти. Поскольку боль-

Obj->s = buf; Obj->bar();

шинство приложений взаимодействуют с системным аллокатором не

break;

напрямую, а через библиотечные переходники типа malloc и new, то

}

для защиты потребуется перекомпиляция всего ранее написанного

}

кода. Вывод: определенный запас по времени у хакеров все-таки есть

— весь вопрос в том, успеют ли они им воспользоваться. z

Конструктивнопрограммасостоитиздвухчастей.Первая—реализует

атакующийсценарий,вторая(начинаетсяскомментария«IE-likecode»)

—имитируетуязвимыйкод,содержащийся,например,вIE.Чтокасается

shell-кода,тоонпредставляетсобойоднобайтовуюмашиннуюкоманду

DEPиборьбасним

INT 03h сопкодомССh(программнаяточкаостанова,отлавливаемая

отладчикомтипаOllyDbgилиSoftICE).Впоследнемслучаенеобходи-

моотдатькоманду«I3HERE ON»,чтобыSoftICEреагировалнаточки

останова,установленныевпользовательскихприложениях,анетолько

Процессоров,поддерживающихNX/XD-биты,скаждымднемста-

драйверах,каконэтоделаетпоумолчанию.

новитсявсебольшеибольше,аначинаясXPSP2,исполнениекода

Естественно, INT 03h—неоченьинтересныйshell-кодипотомус

настекеивкучеразрешенотолькодлянесистемныхприложений.

практическойточкизрениянамногополезнеестянутьготовыйshell-кодс

IE,увы,непопадаетвкатегорию«амнистированных»ипотому

metaspot.com,открывающийbackdoorилизапускающий«Калькулятор».

приходитсяосуществлятьдополнительныетелодвижения.Какие

Ноэтоужетехническиедетали,неимеющиекописываемомусценарию

именно—зависитотспецификиуязвимогоприложенияиопять-

атакинималейшегоотношения.

такидалековыходитзарамкисценарияатакинанеинициализи-

Атаки на неинициализированные указатели только начинаются! К

рованныеуказатели.Сталобыть,внашемконтекстезаслуживает

счастью для пользователей и большому хакерскому разочарованию,

лишьбеглогоупоминания.

060

xàêåð 10 /118/ 08

erface

Остап Бендер

lication programming interface Application programming interface

A

Application programmingApplicationinterfaceprogramming interface

erfaceApplication programming interface

Application programming interface

Application programmingApplicationinterfaceprogramming interface

A

Application programmingApplicationinterfaceprogramming interface

Application programmingApplicationin erfaceApplicationrogrammingprogramminginterfaceinterface

A

Application programming interface Application programming interface

Application programming interface

Application programming inter

Application programming interfaceApplication programming inter

Надругательство

Application programmingApplicationinterfaceprogramming interface

надAPI

plicationAprogrammingplication programminginterfacepplicationinterfaceprogrammingApplinterfacecationprogramming interface

plication programmingApplicationinterfaceprogrammingApplicationinterfaceprogrammingApplicationinterfaceprogramming interface

Модификация API-функций конкретным приложением

062

xàêåð 10 /118/ 08

pplica

lce

pplica

l

face

face

Функция уже перенесена в секцию кода, но нуждается в патчинге

Вот что рассказала нам Microsoft о функции VirtualProtect

—размерэтойобластипамяти(внашемслучае—8байт).Третий—байт-

PUSH DWORD PTR SS:[EBP+14]

;|Style

PUSH DWORD PTR SS:[EBP+10]

;|Title

код,представляющийсобойновыеатрибутыдляобластипамяти.Из

PUSH DWORD PTR SS:[EBP+C]

; |Text

справочнойлитературыилиспомощьютакойутилиты,какLordPE,

PUSH DWORD PTR SS:[EBP+8]

; |hOwner

узнаем,чтозначение,соответствующееатрибуту«RWE»,будетравно40h.

CALL user32.MessageBoxExA

; MessageBoxExA

Наконец,последнийпараметр—этоуказательнапеременную,которая

содержитстарыеатрибуты.Вкачествеэтогопараметравстекможно

Поменяемместамиатрибуты«Title»и«Text»(тоестьзаголовококнаиего

положитьлюбойадрес,покоторомунаходитсянулеваяпеременная.Я

текст).Дляэтогопростопоменяеминструкцию,расположеннуюпоадресу

выбраладрес00401060.Естественно,встеквсепараметрыкладутся,

7E3A05C1наинструкцию,котораянаходитсяпоадресу7E3A05C7,—и

начинаяспоследнего.

наоборот.Ядумаю,тызнаешь,чтовнестинеобходимыеизменениямож-

Чутьраньшемыполучилимашинныйкодизмененныхбиблиотечныхинс-

новокне,котороепоявляетсяподвойномущелчкулевойкнопкимыши

трукций.Поместимихвтеленашейпрограммы.Выделяйвосемьбайт,

нанужнойкоманде.Теперьвыделимтриинструкции,начинаясадреса

начинаясадреса00401100,инажимай<ctrl+e>.Послечеговнижнем

7E3A05C1,иизменюправойкнопкимышивыберем«BinaryBinary

полепоявившегосяокнавписывайсохраненныенамиранеезначе-

copy»дляполучениямашинныхкодовизмененныхинструкций(почему

ния.Подтверждайизменениянажатиемнакнопку«Ok».Самоевремя

триинструкции,анедве,яобъяснюпозже).

написатькод,которыйбудет«патчить»системнуюбиблиотеку.Здесьвсе

Вбуферобменабудетпомещенследующийкод:FF 75 0C FF 75 10 FF

предельнопросто:врегистрEAXприпомощикомандыMOVбудемпоме-

75 08.Последнийбайтнамненужен,—егоотрезаем.Останетсявосемь

щатьданные,которыенеобходимозаписатьповерхоригинальногокода

необходимыхнамбайт.Второезначение,котороепонадобитсявходе

API-функции.ВрегистрEBXспомощьютойжеинструкцииMOVположим

выполнениязадачи:адрес,начинаяскоторогоразмещеныизмененные

адрес,покоторомубудемпроизводитьзапись(егомытакжеполучили

инструкции:7E3A05C1.

ранее,—7E3A05C1).Производитьзаписьбудемприпомощиинструкции

Итак,почемужемыскопировалимашинныйкод,состоящийизвосьми

MOV [EBX], EAX.Послеэтихманипуляцийнеобходимовызватьфункцию

байт,хотямодифицировалиинструкциитольковпределахшестибайт?

MessageBoxA,котораябыламодифицирована,ипередатьуправление

Всеоченьпросто—оперироватьсданнымимыбудем,используячеты-

наинструкцию,следующуюсразузакомандойбезусловногопереходана

рехбайтныерегистры.Соответственно,иписатьвпамятьмыбудемпо4

нашкод.Последнеезамечание—необходимосохранитьвсерегистры

байта.Минимальноечисло,кратноечетыремибольшешести,—вось-

передначаломвыполнениянашегокодаивозвратитьихвисходноесо-

мерка.

стояниепослееговыполненияприпомощипарыкомандpushad/popad.

Приступимкмодификациипрограммы. Перезапускаемотлаживаемый

Врезультатеполучимследующийкод:

процесс.ВызовфункцииMessageBoxA,располагающийсяпоадресу

0040100E,заменяемнабезусловныйпереход: jmp 00401026(начиная

PUSHAD

сэтогоадреса,будетрасполагатьсянаписанныйнамикод).Ксожалению,

PUSH 00401060 ; указатель на нулевой байт — параметр

системныебиблиотеки,располагающиесявконтекстепроцесса,защи-

"lpflOldProtect"

щеныотзаписи(страницыпамяти,вкоторойразмещенаdll,имеютатри-

MOV EAX,40 ; Помещаем в EAX параметр "flNewProtect",

бут«readable»).Намнеобходимовыставитьатрибут«RWE»,—разрешить

который разрешает запись в область памяти, где распола-

записьвобластьпамяти.Легчевсегопроделатьэтоприпомощивызова

гается наша DLL

системнойфункцииVirtualProtectссоответствующимипараметрами,

PUSH EAX

; кладем параметр в стек

переданнымивстек.Вотеепрототип:

PUSH 8

; параметр dwSize

PUSH 7E3A05C1

; параметр lpAddress

function VirtualProtect(

CALL VirtualProtect

; вызываем VirtualProtect

lpAddress: Pointer;

// начальный адрес области памяти

MOV EAX,[401100]; кладем в eax первые 4 байта машинного

dwSize: DWORD;

// размер области памяти

кода

flNewProtect: DWORD;

// новые атрибуты защиты

MOV EBX,7E3A05C1 ; адрес, куда запишется машинное слово

lpflOldProtect: Pointer // указатель на старые атрибуты

MOV [EBX],EAX

; записываем машинный код в тело API-фун-

): BOOL; stdcall; overload;

кции

MOV EAX,[401104] ; помещаем в eax 4 последних байта ма-

Первыйпараметр—адрес,скоторогоначинаетсяобластьпамяти,

шинного кода

атрибутыстраницкоторойподлежатмодификации.Второйпараметр

MOV EBX,7E3A05C5 ; в ebx помещаем адрес, по которому бу-

xàêåð 10 /118/ 08

063

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o