WikiDer > Слайд NOP

NOP slide

В компьютерная безопасность, а Слайд NOP, Сани NOP или же Рампа NOP это последовательность NOP (без операции) инструкции, предназначенные для "сдвига" потока выполнения инструкций ЦП к его окончательному желаемому месту назначения всякий раз, когда программа ветви к адрес памяти в любом месте слайда.

Этот метод широко используется в программном обеспечении. подвиги, где он используется для управления выполнением программы, когда инструкция отделения цель точно не известна. Другие известные приложения включают защитное программирование стратегии, такие как Программирование с учетом ЭМС.

Хотя слайд NOP будет работать, если он состоит из списка канонических инструкций NOP, присутствие такого кода подозрительно и легко обнаруживается автоматически. По этой причине практические слайды NOP часто состоят из неканонических инструкций NOP (таких как перемещение регистра в себя или добавление нуля[1]), или инструкций, которые влияют на состояние программы лишь несущественно, что значительно затрудняет их идентификацию.

NOP-салазки - это старейший и наиболее широко известный метод использования переполнения буфера стека.[2] Он решает проблему нахождения точного адреса буфера за счет эффективного увеличения размера целевой области. Для этого гораздо большие разделы стека повреждаются безоперационный машинная инструкция. В конце предоставленных злоумышленником данных, после инструкций по бездействию, злоумышленник помещает инструкцию для выполнения относительного перехода к верху буфера, где шеллкод расположен. Этот набор запретов операций называется «салазками без операций», потому что, если адрес возврата перезаписывается любым адресом в нерабочей области буфера, выполнение будет «скользить» вниз по запретным операциям, пока оно не будет перенаправляется к собственно вредоносному коду скачком в конце. Этот метод требует, чтобы злоумышленник угадал, где в стеке находится NOP-салазки, а не сравнительно небольшой шелл-код.[3]

Из-за популярности этого метода многие производители системы предотвращения вторжений будет искать этот образец бездействующих машинных инструкций в попытке обнаружить используемый шелл-код. Важно отметить, что NOP-салазки не обязательно содержат только традиционные безоперационные машинные инструкции; любая инструкция, которая не повреждает состояние машины до такой степени, что шеллкод не запускается, может быть использована вместо аппаратного отказа. В результате для разработчиков эксплойтов стало обычной практикой составлять безоперационные салазки со случайно выбранными инструкциями, которые не будут иметь реального влияния на выполнение шелл-кода.[4]

Хотя этот метод значительно увеличивает шансы на успех атаки, он не без проблем. Эксплойты, использующие эту технику, по-прежнему должны полагаться на некоторую удачу, поскольку они угадывают смещения в стеке, которые находятся в области NOP-sled.[5] Неверное предположение обычно приводит к сбою целевой программы и может предупредить Системный администратор действиям злоумышленника. Другая проблема заключается в том, что для салазок с NOP требуется гораздо больший объем памяти, чтобы разместить салазки с NOP, достаточно большие, чтобы их можно было использовать. Это может быть проблемой, когда выделенный размер затронутого буфера слишком мал, а текущая глубина стека мала (т. Е. От конца текущего кадра стека до начала стека не так много места). Несмотря на свои проблемы, NOP-салазки часто являются единственным методом, который работает для данной платформы, среды или ситуации, и как таковой он по-прежнему остается важным методом.

Энтропия слайда NOP зависит от наложенных на него ограничений. Если можно определить, что определенные регистры не используются (то есть, они будут установлены на известное значение перед их следующим использованием), инструкции, которые произвольно ими манипулируют, могут быть использованы на слайде NOP. Кроме того, если выравнивание как слайда NOP, так и указателя инструкций детерминировано, многобайтовые инструкции могут использоваться в слайде NOP без учета результатов невыровненного выполнения. Если ввод, обеспечивающий вектор атаки, в который должны быть введены слайд NOP и полезная нагрузка, фильтруется (например, принимает только печатаемые символы), поле возможных инструкций для включения ограничено. Хотя инструкции, которые являются частью расширения архитектуры (например, SSE) часто могут не иметь отношения к состоянию программы, их нельзя использовать в слайде NOP, нацеленном на компьютер, на котором расширение не поддерживается.

Обнаружение

Существует множество методов обнаружения слайдов NOP в памяти. Например, в 2005 году греческие исследователи обнаружили, что их можно легко обнаружить, проверив, содержит ли образ в памяти длинную последовательность байтов, так что каждое начальное смещение внутри последовательности является допустимым и приводит к выполнению в одном и том же месте.[6]

Смотрите также

Рекомендации

  1. ^ corelanc0d3r (31 декабря 2011 г.). «Учебное пособие по написанию эксплойтов, часть 11: раскрытие тайны кучи». Команда Corelan. Архивировано из оригинал 25 апреля 2015 г.. Получено 15 января 2014.
  2. ^ Вангелис (2004-12-08). «Эксплойт по переполнению на основе стека: Введение в классическую и расширенную технику переполнения». Wowhacker через Neworder. Архивировано из оригинал (текст) 18 августа 2007 г. Цитировать журнал требует | журнал = (помощь)
  3. ^ Балабан, Мурат. "Раскрытие тайны переполнения буфера" (текст). Enderunix.org. Цитировать журнал требует | журнал = (помощь)
  4. ^ Akritidis, P .; Евангелос П. Маркатос; М. Полихронакис; Костас Д. Анагностакис (2005). «STRIDE: обнаружение полиморфных салазок посредством анализа последовательности команд». (PDF). Материалы 20-й Международной конференции по информационной безопасности IFIP (IFIP / SEC 2005). Международная конференция по информационной безопасности ИФИП. Архивировано из оригинал (PDF) на 2012-09-01. Получено 2012-03-04.
  5. ^ Кляйн, Кристиан (сентябрь 2004 г.). "Переполнение буфера" (PDF). Архивировано из оригинал (PDF) на 2007-09-28. Цитировать журнал требует | журнал = (помощь)
  6. ^ Akritidis, P .; Маркатос, Э. П .; Polychronakis, M .; Анагностакис, К. (2005). STRIDE: обнаружение полиморфных салазок посредством анализа последовательности инструкций. Безопасность и конфиденциальность в эпоху повсеместных вычислений: 20-я Международная конференция по информационной безопасности IFIP TC11, 30 мая - 1 июня 2005 г., Чиба, Япония. Достижения ИФИП в области информационных и коммуникационных технологий. 181. С. 375–391. Дои:10.1007/0-387-25660-1_25. ISBN 978-0-387-25658-0.

внешняя ссылка