আপনি জানেন যে, ছিটমহলে কার্যকর করা কোডটি এর কার্যকারিতা গুরুতরভাবে সীমিত। এটি সিস্টেম কল করতে পারে না। এটি I/O ক্রিয়াকলাপ সম্পাদন করতে পারে না। এটি হোস্ট অ্যাপ্লিকেশনের কোড সেগমেন্টের মূল ঠিকানা জানে না। এটি জেএমপি বা হোস্ট অ্যাপ্লিকেশন কোড কল করতে পারে না। হোস্ট অ্যাপ্লিকেশন পরিচালনা করে এমন ঠিকানা স্থান কাঠামো সম্পর্কে এটির কোন ধারণা নেই (উদাহরণস্বরূপ, কোন পৃষ্ঠাগুলি ম্যাপ করা হয়েছে বা সেই পৃষ্ঠাগুলিতে কী ধরণের ডেটা রয়েছে)৷ এটি অপারেটিং সিস্টেমকে হোস্ট অ্যাপ্লিকেশনের মেমরির একটি অংশ ম্যাপ করতে বলতে পারে না (উদাহরণস্বরূপ, /proc/pid/maps এর মাধ্যমে)। একটি হোস্ট অ্যাপ্লিকেশনের একটি নির্বিচারে মেমরি অঞ্চলকে অন্ধভাবে পড়ার নিষ্পাপ প্রচেষ্টা, লেখার প্রচেষ্টার উল্লেখ না করে, শীঘ্র বা পরে (সম্ভবত প্রাক্তন) ছিটমহল প্রোগ্রামের বাধ্যতামূলক সমাপ্তির দিকে নিয়ে যাবে। যখনই ছিটমহল দ্বারা অনুরোধ করা ভার্চুয়াল ঠিকানা স্থান অঞ্চল হোস্ট অ্যাপ্লিকেশনের কাছে অ্যাক্সেসযোগ্য নয় তখনই এটি ঘটে।

এই ধরনের কঠোর বাস্তবতার পরিপ্রেক্ষিতে, একজন ভাইরাস লেখক কি তার দূষিত লক্ষ্য অর্জনের জন্য SGX ছিটমহল ব্যবহার করতে সক্ষম হবেন?

- তারা পড়া যায় কিনা দেখতে ঠিকানা অনুসন্ধানের জন্য হ্যাক
- লিখনযোগ্যতার জন্য অনুসন্ধানের ঠিকানাগুলি হ্যাক করুন
- নিয়ন্ত্রণ প্রবাহ পুনর্নির্দেশ করতে হ্যাক
- উপরে তালিকাভুক্ত তিনটি হ্যাক ভিলেনকে কী দেয়?
- কীভাবে ভিলেন এই হ্যাকগুলি ব্যবহার করে রঞ্জোয়ারি তৈরি করে

উপরোক্ত সকলের উপর ভিত্তি করে, এটি সাধারণত গৃহীত হয় যে একটি ছিটমহল শুধুমাত্র হোস্ট অ্যাপ্লিকেশন পরিবেশন করতে সক্ষম, এবং ছিটমহলটি দূষিত ব্যক্তি সহ নিজস্ব উদ্যোগ ব্যবহার করতে পারে না। এর মানে ভাইরাস লেখকদের কাছে ছিটমহলের কোনো ব্যবহারিক মূল্য নেই। এই তাড়াহুড়ো অনুমান হল SGX সুরক্ষা অসমমিত হওয়ার কারণগুলির মধ্যে একটি: হোস্ট অ্যাপ্লিকেশন কোড এনক্লেভ মেমরি অ্যাক্সেস করতে পারে না, যখন এনক্লেভ কোড যেকোনো হোস্ট অ্যাপ্লিকেশন মেমরি ঠিকানা পড়তে এবং লিখতে পারে।

অতএব, যদি দূষিত ছিটমহল কোড হোস্ট অ্যাপ্লিকেশনের পক্ষ থেকে নির্বিচারে সিস্টেম কল করতে সক্ষম হয়, তার পক্ষে স্বেচ্ছাচারী কোড কার্যকর করতে পারে, হোস্ট অ্যাপ্লিকেশনের মেমরি স্ক্যান করতে পারে এবং এতে অপব্যবহারযোগ্য ROP চেইন খুঁজে পেতে পারে, তাহলে এটি হোস্ট অ্যাপ্লিকেশনের সম্পূর্ণ নিয়ন্ত্রণ দখল করতে পারে। চোরের মত ভাব. এটি শুধুমাত্র ব্যবহারকারীর ফাইল চুরি এবং এনক্রিপ্ট করতে পারে না, কিন্তু ব্যবহারকারীর পক্ষে কাজও করতে পারে। উদাহরণস্বরূপ, তার পক্ষে ফিশিং ইমেল পাঠান বা DoS আক্রমণ পরিচালনা করুন। এমনকি সবচেয়ে আধুনিক প্রতিরক্ষামূলক ব্যবস্থার ভয় ছাড়াই, যেমন স্ট্যাক ক্যানারি এবং অ্যাড্রেস স্যানিটাইজেশন।

আমরা আপনাকে কয়েকটি হ্যাক দেখাব যা আক্রমণকারীরা তাদের নিজস্ব দূষিত উদ্দেশ্যে SGX এর সুবিধা নেওয়ার জন্য উপরে বর্ণিত সীমাবদ্ধতাগুলি কাটিয়ে উঠতে ব্যবহার করে: ROP আক্রমণ। হয় একটি হোস্ট অ্যাপ্লিকেশন প্রক্রিয়ার ছদ্মবেশে নির্বিচারে কোড চালানোর জন্য (প্রসেস হোলো করার অনুরূপ, যা প্রায়শই ম্যালওয়্যার দ্বারা ব্যবহৃত হয়), বা একটি তৈরি ম্যালওয়্যার ছদ্মবেশে (এটির ম্যালওয়্যারকে অ্যান্টিভাইরাস এবং অন্যান্য প্রতিরক্ষা ব্যবস্থার দ্বারা তাড়না থেকে বাঁচাতে)।

তারা পড়া যায় কিনা দেখতে ঠিকানা অনুসন্ধানের জন্য হ্যাক

যেহেতু ছিটমহল জানে না ভার্চুয়াল অ্যাড্রেস স্পেসের কোন রেঞ্জগুলি হোস্ট অ্যাপ্লিকেশনে অ্যাক্সেসযোগ্য, এবং যেহেতু একটি দুর্গম ঠিকানা পড়ার চেষ্টা করার সময় ছিটমহলটি বন্ধ করতে বাধ্য হয়, তাই আক্রমণকারীকে ত্রুটির উপায় খুঁজে বের করার কাজটির সম্মুখীন হয়- সহনশীলভাবে ঠিকানা স্থান স্ক্যান করুন. উপলব্ধ ভার্চুয়াল ঠিকানা ম্যাপ করার একটি উপায় খুঁজুন. ভিলেন ইন্টেলের টিএসএক্স প্রযুক্তির অপব্যবহার করে এই সমস্যার সমাধান করে। TSX এর পার্শ্বপ্রতিক্রিয়াগুলির মধ্যে একটি ব্যবহার করে: যদি মেমরি অ্যাক্সেস ফাংশনটি একটি TSX লেনদেনে স্থাপন করা হয়, তাহলে অবৈধ ঠিকানাগুলি অ্যাক্সেস করার ফলে উদ্ভূত ব্যতিক্রমগুলি অপারেটিং সিস্টেমে না পৌঁছে TSX দ্বারা দমন করা হয়। যদি একটি অবৈধ মেমরি ঠিকানা অ্যাক্সেস করার চেষ্টা করা হয়, শুধুমাত্র বর্তমান লেনদেন বাতিল করা হয়, সমগ্র ছিটমহল প্রোগ্রাম নয়। যে. টিএসএক্স একটি ছিটমহলকে একটি লেনদেনের মধ্যে থেকে নিরাপদে যেকোনো ঠিকানা অ্যাক্সেস করতে দেয় - ধসের ঝুঁকি ছাড়াই।

যদি নির্দিষ্ট ঠিকানা পাওয়া যায় হোস্ট অ্যাপ্লিকেশন, TSX লেনদেন প্রায়ই সফল হয়। বিরল ক্ষেত্রে, এটি বাহ্যিক প্রভাবের কারণে ব্যর্থ হতে পারে যেমন ইন্টারাপ্ট (যেমন শিডিউলার ইন্টারাপ্ট), ক্যাশে উচ্ছেদ, বা একাধিক প্রক্রিয়ার মাধ্যমে মেমরি অবস্থানের একযোগে পরিবর্তন। এই বিরল ক্ষেত্রে, TSX একটি ত্রুটি কোড প্রদান করে যা নির্দেশ করে যে ব্যর্থতা অস্থায়ী। এই ক্ষেত্রে, আপনাকে শুধু লেনদেন পুনরায় আরম্ভ করতে হবে।

যদি নির্দিষ্ট ঠিকানা অনুপলব্ধ হোস্ট অ্যাপ্লিকেশন, TSX ঘটে যাওয়া ব্যতিক্রমটিকে দমন করে (OS বিজ্ঞপ্তি দেওয়া হয়নি) এবং লেনদেন বাতিল করে। একটি ত্রুটি কোড ছিটমহল কোডে ফেরত দেওয়া হয় যাতে এটি লেনদেনটি বাতিল করা হয়েছে বলে প্রতিক্রিয়া জানাতে পারে। এই ত্রুটি কোডগুলি নির্দেশ করে যে প্রশ্নে থাকা ঠিকানাটি হোস্ট অ্যাপ্লিকেশনের কাছে উপলব্ধ নয়৷

ছিটমহলের অভ্যন্তরে থেকে TSX-এর এই ম্যানিপুলেশনটি ভিলেনের জন্য একটি চমৎকার বৈশিষ্ট্য রয়েছে: যেহেতু বেশিরভাগ হার্ডওয়্যার পারফরম্যান্স কাউন্টারগুলি ছিটমহল কোডটি কার্যকর করার সময় আপডেট করা হয় না, তাই ছিটমহলের ভিতরে সম্পাদিত TSX লেনদেনগুলি ট্র্যাক করা অসম্ভব। এইভাবে, TSX এর দূষিত ম্যানিপুলেশন অপারেটিং সিস্টেমের কাছে সম্পূর্ণরূপে অদৃশ্য থাকে।

অতিরিক্তভাবে, যেহেতু উপরের হ্যাকটি কোনো সিস্টেম কলের উপর নির্ভর করে না, তাই এটি শুধুমাত্র সিস্টেম কল ব্লক করে সনাক্ত বা প্রতিরোধ করা যায় না; যা সাধারণত ডিম শিকারের বিরুদ্ধে লড়াইয়ে ইতিবাচক ফলাফল দেয়।

ভিলেন একটি ROP চেইন গঠনের জন্য উপযুক্ত গ্যাজেটগুলির জন্য হোস্ট অ্যাপ্লিকেশন কোড অনুসন্ধান করতে উপরে বর্ণিত হ্যাক ব্যবহার করে৷ একই সময়ে, তাকে প্রতিটি ঠিকানা তদন্ত করার প্রয়োজন নেই। ভার্চুয়াল ঠিকানা স্থানের প্রতিটি পৃষ্ঠা থেকে একটি ঠিকানা অনুসন্ধান করা যথেষ্ট। সমস্ত 16 গিগাবাইট মেমরি পরীক্ষা করতে প্রায় 45 মিনিট সময় লাগে (একটি Intel i7-6700K এ)। ফলস্বরূপ, ভিলেন কার্যকরী পৃষ্ঠাগুলির একটি তালিকা পায় যা একটি ROP চেইন নির্মাণের জন্য উপযুক্ত।

লেখার জন্য ঠিকানা অনুসন্ধানের জন্য হ্যাক

একটি ROP আক্রমণের একটি এনক্লেভ সংস্করণ চালানোর জন্য, একজন আক্রমণকারীকে হোস্ট অ্যাপ্লিকেশনের লিখনযোগ্য অব্যবহৃত মেমরি অঞ্চলগুলি অনুসন্ধান করতে সক্ষম হতে হবে। আক্রমণকারী একটি জাল স্ট্যাক ফ্রেম ইনজেক্ট করতে এবং একটি পেলোড (শেলকোড) ইনজেক্ট করতে এই মেমরি অবস্থানগুলি ব্যবহার করে। নীচের লাইন হল যে একটি দূষিত ছিটমহল নিজের জন্য মেমরি বরাদ্দ করার জন্য হোস্ট অ্যাপ্লিকেশনটির প্রয়োজন করতে সক্ষম হয় না, তবে পরিবর্তে হোস্ট অ্যাপ্লিকেশন দ্বারা ইতিমধ্যে বরাদ্দ করা মেমরির অপব্যবহার করতে পারে। যদি, অবশ্যই, তিনি ছিটমহলটি ভেঙে না দিয়ে এই জাতীয় অঞ্চলগুলি খুঁজে পেতে পরিচালনা করেন।

ভিলেন টিএসএক্সের আরেকটি পার্শ্বপ্রতিক্রিয়া কাজে লাগিয়ে এই অনুসন্ধান চালায়। প্রথমত, পূর্ববর্তী ক্ষেত্রের মতো, এটি ঠিকানাটির অস্তিত্বের জন্য অনুসন্ধান করে এবং তারপর এই ঠিকানার সাথে সম্পর্কিত পৃষ্ঠাটি লেখার যোগ্য কিনা তা পরীক্ষা করে। এটি করার জন্য, ভিলেন নিম্নলিখিত হ্যাক ব্যবহার করে: তিনি একটি TSX লেনদেনে একটি লিখন ফাংশন স্থাপন করেন এবং এটি সম্পন্ন হওয়ার পরে, কিন্তু এটি সম্পূর্ণ হওয়ার আগে, তিনি জোরপূর্বক লেনদেনটি বাতিল করে দেন (স্পষ্ট ত্যাগ)।

একটি TSX লেনদেন থেকে রিটার্ন কোড দেখে, আক্রমণকারী বুঝতে পারে এটি লেখার যোগ্য কিনা। যদি এটি একটি "স্পষ্ট গর্ভপাত" হয়, তবে ভিলেন বুঝতে পারে যে রেকর্ডিংটি সফল হত যদি তিনি এটি অনুসরণ করতেন। যদি পৃষ্ঠাটি শুধুমাত্র পঠনযোগ্য হয়, তাহলে লেনদেনটি "স্পষ্ট বাতিল" ছাড়া অন্য একটি ত্রুটির সাথে শেষ হয়।

টিএসএক্স-এর এই ম্যানিপুলেশনের আরেকটি বৈশিষ্ট্য রয়েছে যা ভিলেনের জন্য চমৎকার (হার্ডওয়্যার পারফরম্যান্স কাউন্টারগুলির মাধ্যমে ট্র্যাক করার অসম্ভবতা ছাড়াও): যেহেতু সমস্ত মেমরি লেখার কমান্ড শুধুমাত্র লেনদেন সফল হলেই প্রতিশ্রুতিবদ্ধ হয়, তাই লেনদেন সম্পূর্ণ করতে বাধ্য করা নিশ্চিত করে যে মেমরি কোষের অনুসন্ধান করা হয়। অপরিবর্তিত রয়ে গেছে.

নিয়ন্ত্রণ প্রবাহ পুনর্নির্দেশ করতে হ্যাক

একটি ছিটমহল থেকে একটি ROP আক্রমণ সম্পাদন করার সময় - প্রথাগত ROP আক্রমণের বিপরীতে - আক্রমণকারী আক্রমণকৃত প্রোগ্রামে (বাফার ওভারফ্লো বা এরকম কিছু) কোনো বাগ ব্যবহার না করেই RIP রেজিস্টারের নিয়ন্ত্রণ অর্জন করতে পারে। একজন আক্রমণকারী স্ট্যাকে সংরক্ষিত RIP রেজিস্টারের মান সরাসরি ওভাররাইট করতে পারে। বিশেষ করে, এটি এই রেজিস্টারের মানকে তার নিজস্ব ROP চেইন দিয়ে প্রতিস্থাপন করতে পারে।

যাইহোক, যদি ROP চেইন দীর্ঘ হয়, তাহলে হোস্ট অ্যাপ্লিকেশনের স্ট্যাকের একটি বড় অংশ ওভাররাইট করার ফলে ডেটা দুর্নীতি এবং অপ্রত্যাশিত প্রোগ্রাম আচরণ হতে পারে। খলনায়ক, যে গোপনে তার আক্রমণ চালাতে চায়, এই অবস্থাতে সন্তুষ্ট নয়। অতএব, এটি নিজের জন্য একটি জাল অস্থায়ী স্ট্যাক ফ্রেম তৈরি করে এবং এটিতে এর ROP চেইন সংরক্ষণ করে। নকল স্ট্যাক ফ্রেম একটি এলোমেলোভাবে লেখার যোগ্য মেমরি অবস্থানে স্থাপন করা হয়, আসল স্ট্যাকটি অক্ষত থাকে।

উপরে তালিকাভুক্ত তিনটি হ্যাক ভিলেনকে কী দেয়?

(1) প্রথম, দূষিত ছিটমহল মাধ্যমে তারা পড়া যায় কিনা দেখতে ঠিকানা অনুসন্ধানের জন্য হ্যাক, – অপব্যবহারযোগ্য ROP গ্যাজেটগুলির জন্য হোস্ট অ্যাপ্লিকেশন অনুসন্ধান করে৷

(2) তারপর দ্বারা লেখার জন্য ঠিকানা অনুসন্ধানের জন্য হ্যাক, - একটি দূষিত ছিটমহল হোস্ট অ্যাপ্লিকেশনের মেমরিতে এমন এলাকাগুলি চিহ্নিত করে যা একটি পেলোড ইনজেকশনের জন্য উপযুক্ত।

(3) পরবর্তীতে, ছিটমহল ধাপে (1) আবিষ্কৃত গ্যাজেটগুলি থেকে একটি ROP চেইন তৈরি করে এবং এই চেইনটিকে হোস্ট অ্যাপ্লিকেশন স্ট্যাকের মধ্যে ইনজেক্ট করে।

(4) অবশেষে, হোস্ট অ্যাপ্লিকেশনটি যখন পূর্ববর্তী ধাপে তৈরি করা ROP চেইনের মুখোমুখি হয়, তখন ক্ষতিকারক পেলোডটি কার্যকর করা শুরু করে - হোস্ট অ্যাপ্লিকেশনের সুবিধা এবং সিস্টেম কল করার ক্ষমতা সহ।

কীভাবে একজন ভিলেন এই হ্যাকগুলি ব্যবহার করে রঞ্জোয়ারি তৈরি করে

হোস্ট অ্যাপ্লিকেশনটি ECALL-এর একটির মাধ্যমে ছিটমহলে নিয়ন্ত্রণ স্থানান্তর করার পরে (এই ছিটমহলটি দূষিত বলে সন্দেহ না করে), দূষিত ছিটমহল হোস্ট অ্যাপ্লিকেশনের মেমরিতে ইনজেকশন কোডের জন্য খালি স্থান অনুসন্ধান করে (কোষের সেই ক্রমগুলিকে ফাঁকা স্থান হিসাবে গ্রহণ করে) যা শূন্য দিয়ে ভরা)। তারপর মাধ্যমে তারা পড়া যায় কিনা দেখতে ঠিকানা অনুসন্ধানের জন্য হ্যাক, – এনক্লেভ হোস্ট অ্যাপ্লিকেশনে এক্সিকিউটেবল পৃষ্ঠাগুলির জন্য অনুসন্ধান করে এবং একটি ROP চেইন তৈরি করে যা বর্তমান ডিরেক্টরিতে "RANSOM" নামে একটি নতুন ফাইল তৈরি করে (প্রকৃত আক্রমণে, এনক্লেভ বিদ্যমান ব্যবহারকারীর ফাইলগুলিকে এনক্রিপ্ট করে) এবং একটি মুক্তিপণ বার্তা প্রদর্শন করে। একই সময়ে, হোস্ট অ্যাপ্লিকেশনটি সহজভাবে বিশ্বাস করে যে ছিটমহলটি কেবল দুটি সংখ্যা যোগ করছে। এই কোড মত চেহারা কি?

উপলব্ধির স্বাচ্ছন্দ্যের জন্য, আসুন সংজ্ঞাগুলির মাধ্যমে কিছু স্মৃতিবিদ্যার পরিচয় করি:

পেলোড চালানোর পরে হোস্ট অ্যাপ্লিকেশনের স্বাভাবিক ক্রিয়াকলাপ পুনরুদ্ধার করার জন্য আমরা RSP এবং RBP রেজিস্টারের মূল মানগুলি সংরক্ষণ করি:

আমরা একটি উপযুক্ত স্ট্যাক ফ্রেম খুঁজছি ("কন্ট্রোল ফ্লো রিডাইরেক্ট করার জন্য হ্যাক" বিভাগ থেকে কোডটি দেখুন)।

উপযুক্ত ROP গ্যাজেট খোঁজা:

পেলোড ইনজেক্ট করার জন্য একটি জায়গা খোঁজা:

আমরা একটি ROP চেইন তৈরি করি:

এইভাবে ইন্টেলের এসজিএক্স প্রযুক্তি, দূষিত প্রোগ্রামগুলিকে মোকাবেলা করার জন্য ডিজাইন করা হয়েছে, বিপরীত লক্ষ্য অর্জনের জন্য ভিলেনদের দ্বারা শোষিত হয়।

উত্স: www.habr.com