緩衝區溢出

標籤: 暫無標籤

125

更新時間: 2013-09-19

廣告

緩衝區溢出是指當計算機向緩衝區內填充數據位數時超過了緩衝區本身的容量溢出的數據覆蓋在合法數據上,理想的情況是 程序檢查數據長度並不允許輸入超過緩衝區長度的字元,但是絕大多數程序都會假設數據長度總是與所分配的儲存空間想匹配,這就為緩衝區溢出埋下隱患.操作系統所使用的緩衝區

緩衝區溢出 -簡介

  緩衝區溢出攻擊有多種英文名稱:buffer overflow,buffer overrun,smash the stack,trash the stack,scribble the stack, mangle the stack, memory leak,overrun screw;它們指的都是同一種攻擊手段。第一個緩衝區溢出攻擊--Morris蠕蟲,發生在1988年,由羅伯特,莫里斯(R ob。rtMorris)製造,它曾造成了全世界6000多台網路伺服器癱瘓。
緩衝區溢出 -概念

  緩衝區溢出是指當計算機向緩衝區內填充數據位數時超過了緩衝區本身的容量溢出的數據覆蓋在合法數據上,理想的情況是程序檢查數據長度並不允許輸入超過緩衝區長度的字元,但是絕大多數程序都會假設數據長度總是與所分配的儲存空間相匹配,這就為緩衝區溢出埋下隱患.操作系統所使用的緩衝區 又被稱為"堆棧". 在各個操作進程之間,指令會被臨時儲存在"堆棧"當中,"堆棧"也會出現緩衝區溢出。
緩衝區溢出 -危害

廣告

  在當前網路與分散式系統安全中,被廣泛利用的50%以上都是緩衝區溢出,其中最著名的例子是1988年利用fingerd漏洞的蠕蟲。而緩衝區溢出中,最為危險的是堆棧溢出,因為入侵者可以利用堆棧溢出,在函數返回時改變返回程序的地址,讓其跳轉到任意地址,帶來的危害一種是程序崩潰導致拒絕服務,另外一種就是跳轉並且執行一段惡意代碼,比如得到shell,然後為所欲為。
緩衝區溢出 -緩衝區攻擊

緩衝區溢出的原理

  通過往程序的緩衝區寫超出其長度的內容,造成緩衝區的溢出,從而破壞程序的堆棧,造成程序崩潰或使程序轉而執行其它指令,以達到攻擊的目的。造成緩衝區溢出的原因是程序中沒有仔細檢查用戶輸入的參數。例如下面程序:
  void function(char *str) {
  char buffer[16];
  strcpy(buffer,str);
  }
  上面的strcpy()將直接把str中的內容copy到buffer中。這樣只要str的長度大於16,就會造成buffer的溢出,使程序運行出錯。存在象strcpy這樣的問題的標準函數還有strcat(),sprintf(),vsprintf(),gets(),scanf()等。
  當然,隨便往緩衝區中填東西造成它溢出一般只會出現「分段錯誤」(Segmentation fault),而不能達到攻擊的目的。最常見的手段是通過製造緩衝區溢出使程序運行一個用戶shell,再通過shell執行其它命令。如果該程序有root或者suid執行許可權的話,攻擊者就獲得了一個有root許可權的shell,可以對系統進行任意操作了。
  緩衝區溢出攻擊之所以成為一種常見安全攻擊手段其原因在於緩衝區溢出漏洞太普遍了,並且易於實現。而且,緩衝區溢出成為遠程攻擊的主要手段其原因在於緩衝區溢出漏洞給予了攻擊者他所想要的一切:植入並且執行攻擊代碼。被植入的攻擊代碼以一定的許可權運行有緩衝區溢出漏洞的程序,從而得到被攻擊主機的控制權。
  在1998年Lincoln實驗室用來評估入侵檢測的的5種遠程攻擊中,有2種是緩衝區溢出。而在1998年CERT的13份建議中,有9份是是與緩衝區溢出有關的,在1999年,至少有半數的建議是和緩衝區溢出有關的。在Bugtraq的調查中,有2/3的被調查者認為緩衝區溢出漏洞是一個很嚴重的安全問題。
  緩衝區溢出漏洞和攻擊有很多種形式,會在第二節對他們進行描述和分類。相應地防衛手段也隨者攻擊方法的不同而不同,將在第四節描述,它的內容包括針對每種攻擊類型的有效的防衛手段。
緩衝區溢出的漏洞和攻擊

廣告

  緩衝區溢出攻擊的目的在於擾亂具有某些特權運行的程序的功能,這樣可以使得攻擊者取得程序的控制權,如果該程序具有足夠的許可權,那麼整個主機就被控制了。一般而言,攻擊者攻擊root程序,然後執行類似「exec(sh)」的執行代碼來獲得root許可權的shell。為了達到這個目的,攻擊者必須達到如下的兩個目標:
  1. 在程序的地址空間里安排適當的代碼。
  2. 通過適當的初始化寄存器和內存,讓程序跳轉到入侵者安排的地址空間執行。
  可以根據這兩個目標來對緩衝區溢出攻擊進行分類。
緩衝區溢出 -地址空間里安排適當的代碼的方法

  有兩種在被攻擊程序地址空間里安排攻擊代碼的方法:
植入法

  攻擊者向被攻擊的程序輸入一個字元串,程序會把這個字元串放到緩衝區里。這個字元串包含的資料是可以在這個被攻擊的硬體平台上運行的指令序列。在這裡,攻擊者用被攻擊程序的緩衝區來存放攻擊代碼。緩衝區可以設在任何地方:堆棧(stack,自動變數)、堆(heap,動態分配的內存區)和靜態資料區。
利用已經存在的代碼

廣告

  有時,攻擊者想要的代碼已經在被攻擊的程序中了,攻擊者所要做的只是對代碼傳遞一些參數。比如,攻擊代碼要求執行「exec (「/bin/sh」)」,而在libc庫中的代碼執行「exec (arg)」,其中arg使一個指向一個字元串的指針參數,那麼攻擊者只要把傳入的參數指針改向指向」/bin/sh」。
緩衝區溢出 -控制程序轉移到攻擊代碼的方法

  所有的這些方法都是在尋求改變程序的執行流程,使之跳轉到攻擊代碼。最基本的就是溢出一個沒有邊界檢查或者其它弱點的緩衝區,這樣就擾亂了程序的正常的執行順序。通過溢出一個緩衝區,攻擊者可以用暴力的方法改寫相鄰的程序空間而直接跳過了系統的檢查。
  分類的基準是攻擊者所尋求的緩衝區溢出的程序空間類型。原則上是可以任意的空間。實際上,許多的緩衝區溢出是用暴力的方法來尋求改變程序指針的。這類程序的不同之處就是程序空間的突破和內存空間的定位不同。主要有以下三種:
活動紀錄(Activation Records)

廣告

  每當一個函數調用發生時,調用者會在堆棧中留下一個活動紀錄,它包含了函數結束時返回的地址。攻擊者通過溢出堆棧中的自動變數,使返回地址指向攻擊代碼。通過改變程序的返回地址,當函數調用結束時,程序就跳轉到攻擊者設定的地址,而不是原先的地址。這類的緩衝區溢出被稱為堆棧溢出攻擊(Stack Smashing Attack),是目前最常用的緩衝區溢出攻擊方式。
函數指針(Function Pointers)

  函數指針可以用來定位任何地址空間。例如:「void (* foo)()」聲明了一個返回值為void的函數指針變數foo。所以攻擊者只需在任何空間內的函數指針附近找到一個能夠溢出的緩衝區,然後溢出這個緩衝區來改變函數指針。在某一時刻,當程序通過函數指針調用函數時,程序的流程就按攻擊者的意圖實現了。它的一個攻擊範例就是在Linux系統下的superprobe程序。
  長跳轉緩衝區(Longjmp buffers
  在C語言中包含了一個簡單的檢驗/恢復系統,稱為setjmp/longjmp。意思是在檢驗點設定「setjmp(buffer)」,用「longjmp(buffer)」來恢複檢驗點。然而,如果攻擊者能夠進入緩衝區的空間,那麼「longjmp(buffer)」實際上是跳轉到攻擊者的代碼。象函數指針一樣,longjmp緩衝區能夠指向任何地方,所以攻擊者所要做的就是找到一個可供溢出的緩衝區。一個典型的例子就是Perl 5.003的緩衝區溢出漏洞;攻擊者首先進入用來恢復緩衝區溢出的的longjmp緩衝區,然後誘導進入恢復模式,這樣就使Perl的解釋器跳轉到攻擊代碼上了。
緩衝區溢出 -代碼植入和流程式控制制技術的綜合分析

廣告

  最簡單和常見的緩衝區溢出攻擊類型就是在一個字元串里綜合了代碼植入和活動紀錄技術。攻擊者定位一個可供溢出的自動變數,然後向程序傳遞一個很大的字元串,在引發緩衝區溢出,改變活動紀錄的同時植入了代碼。這個是由Levy指出的攻擊的模板。因為C在習慣上只為用戶和參數開闢很小的緩衝區,因此這種漏洞攻擊的實例十分常見。
  代碼植入和緩衝區溢出不一定要在在一次動作內完成。攻擊者可以在一個緩衝區內放置代碼,這是不能溢出的緩衝區。然後,攻擊者通過溢出另外一個緩衝區來轉移程序的指針。這種方法一般用來解決可供溢出的緩衝區不夠大(不能放下全部的代碼)的情況。
  如果攻擊者試圖使用已經常駐的代碼而不是從外部植入代碼,他們通常必須把代碼作為參數調用。舉例來說,在libc(幾乎所有的C程序都要它來連接)中的部分代碼段會執行「exec(something)」,其中somthing就是參數。攻擊者然後使用緩衝區溢出改變程序的參數,然後利用另一個緩衝區溢出使程序指針指向libc中的特定的代碼段。
緩衝區溢出 -緩衝區溢出攻擊的實驗分析

廣告

  2000年1月,Cerberus 安全小組發布了微軟的IIS 4/5存在的一個緩衝區溢出漏洞。攻擊該漏洞,可以使Web伺服器崩潰,甚至獲取超級許可權執行任意的代碼。目前,微軟的IIS 4/5 是一種主流的Web伺服器程序;因而,該緩衝區溢出漏洞對於網站的安全構成了極大的威脅;它的描述如下:
  瀏覽器向IIS提出一個HTTP請求,在域名(或IP地址)后,加上一個文件名,該文件名以「.htr」做後綴。於是IIS認為客戶端正在請求一個「.htr」文件,「.htr」擴展文件被映像成ISAPI(Internet Service API)應用程序,IIS會複位向所有針對「.htr」資源的請求到 ISM.DLL程序 ,ISM.DLL 打開這個文件並執行之。
  瀏覽器提交的請求中包含的文件名存儲在局部變數緩衝區中,若它很長,超過600個字元時,會導致局部變數緩衝區溢出,覆蓋返回地址空間,使IIS崩潰。更進一步,在如圖1所示的2K緩衝區中植入一段精心設計的代碼,可以使之以系統超級許可權運行。
緩衝區溢出 -緩衝區溢出攻擊的防範方法

  緩衝區溢出攻擊佔了遠程網路攻擊的絕大多數,這種攻擊可以使得一個匿名的Internet用戶有機會獲得一台主機的部分或全部的控制權。如果能有效地消除緩衝區溢出的漏洞,則很大一部分的安全威脅可以得到緩解。
  目前有四種基本的方法保護緩衝區免受緩衝區溢出的攻擊和影響。在四.1中介紹了通過操作系統使得緩衝區不可執行,從而阻止攻擊者植入攻擊代碼。在四.2中介紹了強制寫正確的代碼的方法。在四.3中介紹了利用編譯器的邊界檢查來實現緩衝區的保護。這個方法使得緩衝區溢出不可能出現,從而完全消除了緩衝區溢出的威脅,但是相對而言代價比較大。在四.4中介紹一種間接的方法,這個方法在程序指針失效前進行完整性檢查。雖然這種方法不能使得所有的緩衝區溢出失效,但它能阻止絕大多數的緩衝區溢出攻擊。然後在四.5,分析這種保護方法的兼容性和性能優勢。
非執行的緩衝區

  通過使被攻擊程序的數據段地址空間不可執行,從而使得攻擊者不可能執行被植入被攻擊程序輸入緩衝區的代碼,這種技術被稱為非執行的緩衝區技術。在早期的Unix系統設計中,只允許程序代碼在代碼段中執行。但是近來的Unix和MS Windows系統由於要實現更好的性能和功能,往往在數據段中動態地放入可執行的代碼,這也是緩衝區溢出的根源。為了保持程序的兼容性,不可能使得所有程序的數據段不可執行。
  但是可以設定堆棧數據段不可執行,這樣就可以保證程序的兼容性。Linux和Solaris都發布了有關這方面的內核補丁。因為幾乎沒有任何合法的程序會在堆棧中存放代碼,這種做法幾乎不產生任何兼容性問題,除了在Linux中的兩個特例,這時可執行的代碼必須被放入堆棧中:
  信號傳遞 
  Linux通過向進程堆棧釋放代碼然後引發中斷來執行在堆棧中的代碼來實現向進程發送Unix信號。非執行緩衝區的補丁在發送信號的時候是允許緩衝區可執行的。
  GCC的在線重用
  研究發現gcc在堆棧區里放置了可執行的代碼作為在線重用之用。然而,關閉這個功能並不產生任何問題,只有部分功能似乎不能使用。
  非執行堆棧的保護可以有效地對付把代碼植入自動變數的緩衝區溢出攻擊,而對於其它形式的攻擊則沒有效果。通過引用一個駐留的程序的指針,就可以跳過這種保護措施。其它的攻擊可以採用把代碼植入堆或者靜態數據段中來跳過保護。
編寫正確的代碼

  編寫正確的代碼是一件非常有意義的工作,特別象編寫C語言那種風格自由而容易出錯的程序,這種風格是由於追求性能而忽視正確性的傳統引起的。儘管花了很長的時間使得人們知道了如何編寫安全的程序,具有安全漏洞的程序依舊出現。因此人們開發了一些工具和技術來幫助經驗不足的程序員編寫安全正確的程序。
  最簡單的方法就是用grep來搜索源代碼中容易產生漏洞的庫的調用,比如對strcpy和sprintf的調用,這兩個函數都沒有檢查輸入參數的長度。事實上,各個版本C的標準庫均有這樣的問題存在。
  此外,人們還開發了一些高級的查錯工具,如fault injection等。這些工具的目的在於通過人為隨機地產生一些緩衝區溢出來尋找代碼的安全漏洞。還有一些靜態分析工具用於偵測緩衝區溢出的存在。
  雖然這些工具幫助程序員開發更安全的程序,但是由於C語言的特點,這些工具不可能找出所有的緩衝區溢出漏洞。所以,偵錯技術只能用來減少緩衝區溢出的可能,並不能完全地消除它的存在。
緩衝區溢出 -預防緩衝區溢出措施

  緩衝區溢出是代碼中固有的漏洞,除了在開發階段要注意編寫正確的代碼之外,對於用戶而言,一般的防範措施為
  1、關閉埠或服務。管理員應該知道自己的系統上安裝了什麼,並且哪些服務正在運行
  2、安裝軟體廠商的補丁,漏洞一公布,大的廠商就會及時提供補丁
  3、在防火牆上過濾特殊的流量,無法阻止內部人員的溢出攻擊
  4、自己檢查關鍵的服務程序,看看是否有可怕的漏洞
  5、以所需要的最小許可權運行軟體

廣告