★NIX下的缓冲区溢出深度防御体系
文/ayazero www.ph4nt0m.org
Contact：zhaoyan@nsfocus.com
Version：2004/10/05 draft ----------------------------------------------------------------------------
| 该文档的txt版，修改过格式，方便C&P ^_^
http://overflow.nease.net/aya/inside_unix_defense.txt"
| ----------------------------------------------------------------------------
谈及防御之前
首先简要回顾一下缓冲区溢出的攻击大系：
l 栈溢出（stack smashing）
未检查输入缓冲区长度，导致数组越界，覆盖栈中局部变量空间之上的栈桢指针雙以及函数返回地址retaddr,当函数返回执行ret指令时，retaddr从栈中弹出，作为下一条指令的地址赋给%eip寄存器，继而改变原程序的执行流程指向我们的shellcode.
l 堆溢出（malloc/free heap corruption）
一种是和传统的栈溢出一样,当输入超出malloc()预先分配的空间大小，就会覆盖掉这段空间之后的一段存储区域，如果该存储区域有一个重要的变量比如euid，那么我就可以用它来攻击。另一种是典型的double-free堆腐败，在内存回收操作中，合并相邻空闲块重新插入双向链表时会有一个写4字节内存的操作，如果弱点程序由于编程错误free()一个不存在的块，我们就可以精心伪造这个块，从而覆盖任何我们想要的值：函数的返回地址、库函数的.plt地址等
l 格式化字符窜漏洞（format string vulnerability）
如果格式窜由用户定制，攻击者就可以任意伪造格式窜，利用*printf()系列函数的特性就可以窥探堆栈空间的内容，超常输入可以引发传统的缓冲区溢出，或是用”%n”覆盖指针、返回地址等。
l 整形变量溢出（integer variable overflow）
利用整数的范围、符号等问题触发安全漏洞，大多数整形溢出不能直接利用，但如果该整形变量决定内存分配等操作，我们就有可能间接利用该漏洞。
l 其他的攻击手法（others）
只能算是手法，不能算是一种单独的类别。利用ELF文件格式的特性如：覆盖.plt（过程连接表）、.dtor（析构函数指针）、.got（全局偏移表）、return-to-libc（返回库函数）等的方式进行攻击。
一、编译保护技术
Stackguard
因为缓冲区溢出的通常都会改写函数返回地址，stackguard是个编译器补丁，它产生一个＂canary＂值(一个单字)放到返回地址的前面，如果当函数返回时，发现这个canary的值被改变了，就证明可能有人正在试图进行缓冲区 溢出攻击，程序会立刻响应，发送一条入侵警告消息给syslogd,然后终止进程。＂canary＂包含：NULL（0x00）， CR （0x0d）， LF （0x0a） 和 EOF （0xff）四个字 符，它们应该可以阻止大部分的字符串操作，使溢出攻击无效。一个随机数canary在程序执行的时候被产生。所以攻击者不能通过搜索程序的二进制文件得到＂canary＂值。如果/dev/urandom存在，随机数就从那里取得。否则，就从通过对当前时间进行编码得到。其随机性足以阻止绝大部分的预测攻击。
Immunix系统为采用stackguard编译的Red Hat Linux,但stackguard所提供的保护并非绝对安全，满足一些条件就可以突破限制：如覆盖一个函数指针、可能存在的exit()或_exit()系统调用地址、GOT等。
Stackguard官方链接：
http://immunix.org/
Stackshield
StackShield使用了另外一种不同的技术。它的做法是创建一个特别的堆栈用来储存函数返回地址的一份拷贝。它在受保护的函数的开头和结尾分别增加一段代码，开头处的代码用来将函数返回地址拷贝到一个特殊的表中，而结尾处的代码用来将返回地址从表中拷贝回堆栈。因此函数执行流程不会改变，将总是正确返回到主调函数中。在新的版本中已经增加了一些新的保护措施，当调用一个地址在非文本段内的函数指针时，将终止函数的执行。
Stackshield无法防御只覆盖雙的单字节溢出，同样，我们也可以通过覆盖其他的ELF结构来绕过限制。
www.angelfire.com/sk/stackshield/download.html 二、 库函数链接保护
Formatguard
Formatguard是个Glibc的补丁，遵循GPL，它使用特殊的CPP（gcc预编译程序）宏取代原有的*printf()的参数统计方式，它会比较传递给*printf的参数的个数和格式窜的个数，如果格式窜的个数大于实际参数的个数，就判定为攻击行为，像syslogd发送消息并终止进程。
如果弱点程序调用Glibc以外的库，formatguard就无法保护。
www.immunix.org
Libsafe
Libsafe是一个动态链接库，在标准的C库之前被加载，主要加固了gets()，strcpy()，strcat()，sprintf()……等容易发生安全问题的C函数，它设计为只针对stack smashing && format string类型的攻击。Alert7很早也写过如何绕过libsafe保护的文章。
http://www.research.avayalabs.com/project/libsafe/
三、 栈不可执行
Solar designer’s nonexec kernel patch
从名字可以看出这是一个Linux上的内核补丁，该补丁最主要的特性是：用户区堆栈不可执行（Non-executable User Stack）,由于x86 CPU上并没有提供页（page）执行的bit位，所以该补丁通过减小代码段的虚拟地址来区分数据段和代码段，程序执行流返回 0xC0000000以下一段用户堆栈空间的操作都被认为是缓冲区溢出攻击行为，随即产生一个通用保护异常而终止进程。这样把shellcode安置在buffer或环境变量（都位于堆栈段）的exploit都会失效。当然其安全也不是绝对的，利用PLT返回库函数的文章里详细描述了突破该补丁的攻击方法。
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
