જેમ તમે જાણો છો, એન્ક્લેવમાં ચલાવવામાં આવેલ કોડ તેની કાર્યક્ષમતામાં ગંભીરપણે મર્યાદિત છે. તે સિસ્ટમ કૉલ્સ કરી શકતું નથી. તે I/O કામગીરી કરી શકતું નથી. તે હોસ્ટ એપ્લિકેશનના કોડ સેગમેન્ટનું મૂળ સરનામું જાણતું નથી. તે હોસ્ટ એપ્લિકેશન કોડને jmp અથવા કૉલ કરી શકતું નથી. તેને એડ્રેસ સ્પેસ સ્ટ્રક્ચર વિશે કોઈ ખ્યાલ નથી જે હોસ્ટ એપ્લિકેશનને સંચાલિત કરે છે (ઉદાહરણ તરીકે, કયા પૃષ્ઠો મેપ કરવામાં આવ્યા છે અથવા તે પૃષ્ઠો પર કયા પ્રકારનો ડેટા સ્થિત છે). તે ઓપરેટિંગ સિસ્ટમને હોસ્ટ એપ્લિકેશનની મેમરીનો એક ભાગ તેની સાથે મેપ કરવા માટે કહી શકતું નથી (ઉદાહરણ તરીકે, /proc/pid/maps દ્વારા). હોસ્ટ એપ્લિકેશનના મનસ્વી મેમરી પ્રદેશને આંધળાપણે વાંચવાના નિષ્કપટ પ્રયાસો, લખવાના પ્રયાસોનો ઉલ્લેખ ન કરવો, વહેલા અથવા પછીના (મોટા ભાગે અગાઉના) એન્ક્લેવ પ્રોગ્રામની ફરજિયાત સમાપ્તિ તરફ દોરી જશે. જ્યારે પણ એન્ક્લેવ દ્વારા વિનંતી કરાયેલ વર્ચ્યુઅલ એડ્રેસ સ્પેસ પ્રદેશ હોસ્ટ એપ્લિકેશન માટે અગમ્ય હોય ત્યારે આવું થાય છે.

આવી કઠોર વાસ્તવિકતાઓને જોતાં, શું વાયરસ લેખક તેના દૂષિત લક્ષ્યોને પ્રાપ્ત કરવા માટે SGX એન્ક્લેવનો ઉપયોગ કરી શકશે?

- સરનામાંઓ વાંચી શકાય છે કે કેમ તે જોવા માટે તપાસવા માટે હેક
- લેખનક્ષમતા માટે સરનામાંની તપાસ કરવા માટે હેક કરો
- નિયંત્રણ પ્રવાહને રીડાયરેક્ટ કરવા માટે હેક કરો
- ઉપર સૂચિબદ્ધ ત્રણ હેક્સ વિલનને શું આપે છે?
- કેવી રીતે વિલન આ હેક્સનો ઉપયોગ રંઝોવારી બનાવવા માટે કરે છે

ઉપરોક્ત તમામ બાબતોના આધારે, તે સામાન્ય રીતે સ્વીકારવામાં આવે છે કે એન્ક્લેવ ફક્ત હોસ્ટ એપ્લિકેશનને સેવા આપવા માટે સક્ષમ છે, અને એન્ક્લેવ દૂષિત લોકો સહિત તેની પોતાની પહેલનો ઉપયોગ કરી શકતો નથી. આનો અર્થ એ છે કે વાયરસ લેખકો માટે એન્ક્લેવનું કોઈ વ્યવહારુ મૂલ્ય નથી. આ ઉતાવળની ધારણા એ એક કારણ છે કે શા માટે SGX સંરક્ષણ અસમપ્રમાણ છે: હોસ્ટ એપ્લિકેશન કોડ એન્ક્લેવ મેમરીને ઍક્સેસ કરી શકતો નથી, જ્યારે એન્ક્લેવ કોડ કોઈપણ હોસ્ટ એપ્લિકેશન મેમરી સરનામાં પર વાંચી અને લખી શકે છે.

તેથી, જો દૂષિત એન્ક્લેવ કોડ હોસ્ટ એપ્લિકેશન વતી મનસ્વી સિસ્ટમ કૉલ્સ કરવા, તેના વતી આર્બિટરી કોડ ચલાવવા, હોસ્ટ એપ્લિકેશનની મેમરીને સ્કેન કરવા અને તેમાં દુરુપયોગ લાયક આરઓપી સાંકળો શોધવામાં સક્ષમ હોય, તો તે હોસ્ટ એપ્લિકેશન પર સંપૂર્ણ નિયંત્રણ મેળવી શકે છે. સ્ટીલ્થ મોડ. તે માત્ર વપરાશકર્તાની ફાઇલોને ચોરી અને એન્ક્રિપ્ટ કરી શકતું નથી, પણ વપરાશકર્તા વતી કાર્ય પણ કરી શકે છે. ઉદાહરણ તરીકે, તેના વતી ફિશિંગ ઇમેઇલ્સ મોકલો અથવા DoS હુમલાઓ કરો. સ્ટેક કેનેરી અને એડ્રેસ સેનિટાઈઝેશન જેવી અત્યંત આધુનિક રક્ષણાત્મક પદ્ધતિઓના પણ ડર વિના.

અમે તમને થોડા હેક્સ બતાવીશું જેનો ઉપયોગ હુમલાખોરો તેમના પોતાના દૂષિત હેતુઓ માટે SGX નો લાભ લેવા ઉપર વર્ણવેલ મર્યાદાઓને દૂર કરવા માટે કરે છે: ROP હુમલા. ક્યાં તો હોસ્ટ એપ્લીકેશન પ્રક્રિયા (પ્રોસેસ હોલોઇંગની જેમ, જેનો વારંવાર માલવેર દ્વારા ઉપયોગ કરવામાં આવે છે) તરીકે છૂપાયેલા મનસ્વી કોડને અમલમાં મૂકવા અથવા તૈયાર માલવેરને છૂપાવવા માટે (તેના માલવેરને એન્ટિવાયરસ અને અન્ય સંરક્ષણ પદ્ધતિઓ દ્વારા સતાવણીથી બચાવવા માટે).

તેઓ વાંચી શકાય છે કે કેમ તે જોવા માટે સરનામાંની તપાસ માટે હેક કરો

કારણ કે એન્ક્લેવને ખબર નથી કે વર્ચ્યુઅલ એડ્રેસ સ્પેસની કઈ રેન્જ હોસ્ટ એપ્લિકેશન માટે સુલભ છે, અને કારણ કે જ્યારે એન્ક્લેવને અગમ્ય સરનામું વાંચવાનો પ્રયાસ કરવામાં આવે ત્યારે તેને સમાપ્ત કરવાની ફરજ પાડવામાં આવે છે, તેથી હુમલાખોરને ખામીનો માર્ગ શોધવાના કાર્યનો સામનો કરવો પડે છે- સહનશીલતાપૂર્વક સરનામાંની જગ્યા સ્કેન કરો. ઉપલબ્ધ વર્ચ્યુઅલ સરનામાંને મેપ કરવાની રીત શોધો. વિલન ઇન્ટેલની TSX ટેક્નોલોજીનો દુરુપયોગ કરીને આ સમસ્યાનું નિરાકરણ લાવે છે. TSX ની આડઅસરોમાંથી એકનો ઉપયોગ કરે છે: જો મેમરી એક્સેસ ફંક્શન TSX ટ્રાન્ઝેક્શનમાં મૂકવામાં આવે છે, તો પછી અમાન્ય સરનામાંને ઍક્સેસ કરવાથી ઉદ્ભવતા અપવાદો ઓપરેટિંગ સિસ્ટમ સુધી પહોંચ્યા વિના TSX દ્વારા દબાવવામાં આવે છે. જો અમાન્ય મેમરી એડ્રેસને એક્સેસ કરવાનો પ્રયાસ કરવામાં આવે છે, તો માત્ર વર્તમાન ટ્રાન્ઝેક્શન જ રદ કરવામાં આવે છે, સમગ્ર એન્ક્લેવ પ્રોગ્રામને નહીં. તે. TSX એક એન્ક્લેવને ટ્રાન્ઝેક્શનની અંદરથી કોઈપણ સરનામાંને સુરક્ષિત રીતે ઍક્સેસ કરવાની મંજૂરી આપે છે - પતનના જોખમ વિના.

જો ઉલ્લેખિત સરનામું ઉપલબ્ધ છે હોસ્ટ એપ્લિકેશન, TSX વ્યવહાર મોટાભાગે સફળ થાય છે. દુર્લભ કિસ્સાઓમાં, તે વિક્ષેપો (જેમ કે શેડ્યૂલર વિક્ષેપ), કેશ ખાલી કરાવવા અથવા બહુવિધ પ્રક્રિયાઓ દ્વારા મેમરી સ્થાનના એક સાથે ફેરફાર જેવા બાહ્ય પ્રભાવોને કારણે નિષ્ફળ થઈ શકે છે. આ દુર્લભ કિસ્સાઓમાં, TSX એક ભૂલ કોડ પરત કરે છે જે દર્શાવે છે કે નિષ્ફળતા અસ્થાયી છે. આ કિસ્સાઓમાં, તમારે ફક્ત વ્યવહાર ફરીથી શરૂ કરવાની જરૂર છે.

જો ઉલ્લેખિત સરનામું અનુપલબ્ધ છે યજમાન એપ્લિકેશન, TSX અપવાદને દબાવી દે છે (OS ને સૂચિત કરવામાં આવ્યું નથી) અને વ્યવહાર રદ કરે છે. એન્ક્લેવ કોડમાં એક ભૂલ કોડ પરત કરવામાં આવે છે જેથી તે એ હકીકત પર પ્રતિક્રિયા આપી શકે કે વ્યવહાર રદ કરવામાં આવ્યો છે. આ ભૂલ કોડ્સ સૂચવે છે કે પ્રશ્નમાંનું સરનામું હોસ્ટ એપ્લિકેશન માટે ઉપલબ્ધ નથી.

એન્ક્લેવની અંદરથી TSX ની આ હેરાફેરી વિલન માટે એક સરસ સુવિધા ધરાવે છે: એન્ક્લેવ કોડ એક્ઝિક્યુટ કરવામાં આવે તે સમયે મોટાભાગના હાર્ડવેર પરફોર્મન્સ કાઉન્ટર્સ અપડેટ કરવામાં આવતાં નથી, તેથી એન્ક્લેવની અંદર એક્ઝિક્યુટ થયેલા TSX વ્યવહારોને ટ્રૅક કરવું અશક્ય છે. આમ, TSX ની દૂષિત મેનીપ્યુલેશન ઓપરેટિંગ સિસ્ટમ માટે સંપૂર્ણપણે અદ્રશ્ય રહે છે.

વધુમાં, ઉપરોક્ત હેક કોઈપણ સિસ્ટમ કૉલ્સ પર આધાર રાખતો નથી, તેથી તેને ન તો શોધી શકાય છે અને ન તો ફક્ત સિસ્ટમ કૉલ્સને અવરોધિત કરીને અટકાવી શકાય છે; જે સામાન્ય રીતે ઈંડાના શિકાર સામેની લડાઈમાં સકારાત્મક પરિણામ આપે છે.

ROP સાંકળ બનાવવા માટે યોગ્ય ગેજેટ્સ માટે હોસ્ટ એપ્લિકેશન કોડ શોધવા માટે વિલન ઉપર વર્ણવેલ હેકનો ઉપયોગ કરે છે. તે જ સમયે, તેણે દરેક સરનામાંની તપાસ કરવાની જરૂર નથી. વર્ચ્યુઅલ એડ્રેસ સ્પેસના દરેક પૃષ્ઠમાંથી એક સરનામું તપાસવા માટે તે પૂરતું છે. બધી 16 ગીગાબાઇટ્સ મેમરીની તપાસ કરવામાં લગભગ 45 મિનિટ લાગે છે (Intel i7-6700K પર). પરિણામે, ખલનાયકને એક્ઝિક્યુટેબલ પૃષ્ઠોની સૂચિ પ્રાપ્ત થાય છે જે ROP સાંકળ બાંધવા માટે યોગ્ય છે.

લેખનક્ષમતા માટે સરનામાંની ચકાસણી માટે હેક

ROP હુમલાના એન્ક્લેવ સંસ્કરણને હાથ ધરવા માટે, હુમલાખોરે હોસ્ટ એપ્લિકેશનના લખી શકાય તેવા બિનઉપયોગી મેમરી વિસ્તારો શોધવા માટે સક્ષમ હોવા જરૂરી છે. હુમલાખોર નકલી સ્ટેક ફ્રેમ ઇન્જેક્ટ કરવા અને પેલોડ (શેલકોડ) ઇન્જેક્ટ કરવા માટે આ મેમરી સ્થાનોનો ઉપયોગ કરે છે. બોટમ લાઇન એ છે કે દૂષિત એન્ક્લેવ હોસ્ટ એપ્લિકેશનને પોતાના માટે મેમરી ફાળવવાની જરૂર પડતી નથી, પરંતુ તેના બદલે હોસ્ટ એપ્લિકેશન દ્વારા પહેલેથી જ ફાળવેલ મેમરીનો દુરુપયોગ કરી શકે છે. જો, અલબત્ત, તે એન્ક્લેવને તોડ્યા વિના આવા વિસ્તારો શોધવાનું સંચાલન કરે છે.

વિલન TSX ની બીજી આડ અસરનો ઉપયોગ કરીને આ શોધ કરે છે. પ્રથમ, અગાઉના કેસની જેમ, તે તેના અસ્તિત્વ માટે સરનામાની તપાસ કરે છે, અને પછી તપાસે છે કે આ સરનામાને અનુરૂપ પૃષ્ઠ લખી શકાય તેવું છે કે કેમ. આ કરવા માટે, વિલન નીચેના હેકનો ઉપયોગ કરે છે: તે TSX ટ્રાન્ઝેક્શનમાં રાઇટ ફંક્શન મૂકે છે, અને તે પૂર્ણ થયા પછી, પરંતુ તે પૂર્ણ થાય તે પહેલાં, તે બળજબરીથી ટ્રાન્ઝેક્શનને અટકાવે છે (સ્પષ્ટ એબોર્ટ).

TSX ટ્રાન્ઝેક્શનમાંથી રીટર્ન કોડ જોઈને, હુમલાખોર સમજે છે કે તે લખી શકાય છે કે કેમ. જો તે "સ્પષ્ટ ગર્ભપાત" હોય, તો ખલનાયક સમજે છે કે રેકોર્ડિંગ સફળ થયું હોત જો તેણે તેનું પાલન કર્યું હોત. જો પૃષ્ઠ ફક્ત વાંચવા માટેનું છે, તો પછી વ્યવહાર "સ્પષ્ટ અબૉર્ટ" સિવાયની ભૂલ સાથે સમાપ્ત થાય છે.

TSX ની આ મેનીપ્યુલેશનમાં અન્ય એક વિશેષતા છે જે વિલન માટે સરસ છે (હાર્ડવેર પરફોર્મન્સ કાઉન્ટર દ્વારા ટ્રેકિંગની અશક્યતા ઉપરાંત): તમામ મેમરી રાઈટ કમાન્ડ્સ માત્ર ત્યારે જ પ્રતિબદ્ધ છે જો ટ્રાન્ઝેક્શન સફળ થાય, ટ્રાન્ઝેક્શનને પૂર્ણ કરવા માટે ફરજ પાડવામાં આવે છે તે સુનિશ્ચિત કરે છે કે મેમરી સેલ તપાસવામાં આવે છે. યથાવત રહે છે.

નિયંત્રણ પ્રવાહને રીડાયરેક્ટ કરવા માટે હેક કરો

એન્ક્લેવમાંથી આરઓપી હુમલો કરતી વખતે - પરંપરાગત આરઓપી હુમલાઓથી વિપરીત - હુમલાખોર હુમલો કરાયેલ પ્રોગ્રામ (બફર ઓવરફ્લો અથવા તેના જેવું કંઈક) માં કોઈપણ ભૂલોનો ઉપયોગ કર્યા વિના RIP રજિસ્ટર પર નિયંત્રણ મેળવી શકે છે. હુમલાખોર સ્ટેક પર સંગ્રહિત RIP રજિસ્ટરના મૂલ્યને સીધા જ ઓવરરાઈટ કરી શકે છે. ખાસ કરીને, તે આ રજિસ્ટરની કિંમતને તેની પોતાની ROP ચેઇન સાથે બદલી શકે છે.

જો કે, જો ROP સાંકળ લાંબી હોય, તો હોસ્ટ એપ્લિકેશનના સ્ટેકના મોટા ભાગને ઓવરરાઈટ કરવાથી ડેટા ભ્રષ્ટાચાર અને અનપેક્ષિત પ્રોગ્રામ વર્તન થઈ શકે છે. ખલનાયક, જે તેના હુમલાને ગુપ્ત રીતે હાથ ધરવા માંગે છે, તે આ સ્થિતિથી સંતુષ્ટ નથી. તેથી, તે પોતાના માટે નકલી અસ્થાયી સ્ટેક ફ્રેમ બનાવે છે અને તેની આરઓપી સાંકળ તેમાં સંગ્રહિત કરે છે. નકલી સ્ટેક ફ્રેમને રેન્ડમ લખી શકાય તેવા મેમરી સ્થાનમાં મૂકવામાં આવે છે, જે વાસ્તવિક સ્ટેકને અકબંધ રાખે છે.

ઉપર સૂચિબદ્ધ ત્રણ હેક્સ વિલનને શું આપે છે?

(1) પ્રથમ, દૂષિત એન્ક્લેવ દ્વારા તેઓ વાંચી શકાય છે કે કેમ તે જોવા માટે સરનામાંની તપાસ માટે હેક કરો, – અયોગ્ય ROP ગેજેટ્સ માટે હોસ્ટ એપ્લિકેશન શોધે છે.

(2) પછી દ્વારા લેખનક્ષમતા માટે સરનામાંની તપાસ માટે હેક, – દૂષિત એન્ક્લેવ હોસ્ટ એપ્લિકેશનની મેમરીમાં એવા વિસ્તારોને ઓળખે છે જે પેલોડને ઇન્જેક્શન કરવા માટે યોગ્ય છે.

(3) આગળ, એન્ક્લેવ સ્ટેપ (1) માં શોધાયેલ ગેજેટ્સમાંથી ROP ચેઈન બનાવે છે અને આ ચેઈનને હોસ્ટ એપ્લીકેશન સ્ટેકમાં દાખલ કરે છે.

(4) છેલ્લે, જ્યારે હોસ્ટ એપ્લીકેશન પાછલા પગલામાં બનાવેલ ROP ચેઇનનો સામનો કરે છે, ત્યારે દૂષિત પેલોડ એક્ઝેક્યુટ કરવાનું શરૂ કરે છે - હોસ્ટ એપ્લિકેશનના વિશેષાધિકારો અને સિસ્ટમ કૉલ્સ કરવાની ક્ષમતા સાથે.

કેવી રીતે વિલન આ હેક્સનો ઉપયોગ રંઝોવારી બનાવવા માટે કરે છે

હોસ્ટ એપ્લિકેશન ECALLsમાંથી એક દ્વારા એન્ક્લેવમાં નિયંત્રણ સ્થાનાંતરિત કરે છે (આ એન્ક્લેવ દૂષિત છે તેવી શંકા કર્યા વિના), દૂષિત એન્ક્લેવ ઇન્જેક્શન કોડ માટે હોસ્ટ એપ્લિકેશનની મેમરીમાં ખાલી જગ્યા શોધે છે (કોષોના તે ક્રમને ખાલી જગ્યા તરીકે લે છે. જે શૂન્યથી ભરેલું છે). પછી મારફતે તેઓ વાંચી શકાય છે કે કેમ તે જોવા માટે સરનામાંની તપાસ માટે હેક કરો, – એન્ક્લેવ હોસ્ટ એપ્લિકેશનમાં એક્ઝિક્યુટેબલ પૃષ્ઠો માટે શોધ કરે છે અને આરઓપી સાંકળ બનાવે છે જે વર્તમાન ડિરેક્ટરીમાં "RANSOM" નામની નવી ફાઇલ બનાવે છે (વાસ્તવિક હુમલામાં, એન્ક્લેવ હાલની વપરાશકર્તા ફાઇલોને એન્ક્રિપ્ટ કરે છે) અને ખંડણી સંદેશ પ્રદર્શિત કરે છે. તે જ સમયે, હોસ્ટ એપ્લિકેશન નિષ્કપટપણે માને છે કે એન્ક્લેવ ફક્ત બે નંબરો ઉમેરી રહ્યું છે. કોડમાં આ શું દેખાય છે?

સમજણની સરળતા માટે, ચાલો વ્યાખ્યાઓ દ્વારા કેટલાક નેમોનિક્સ રજૂ કરીએ:

પેલોડ એક્ઝિક્યુટ કર્યા પછી હોસ્ટ એપ્લિકેશનની સામાન્ય કામગીરીને પુનઃસ્થાપિત કરવા માટે અમે RSP અને RBP રજિસ્ટરના મૂળ મૂલ્યોને સાચવીએ છીએ:

અમે યોગ્ય સ્ટેક ફ્રેમ શોધી રહ્યા છીએ (“કંટ્રોલ ફ્લો રીડાયરેક્ટ કરવા માટે હેક” વિભાગમાંથી કોડ જુઓ).

યોગ્ય ROP ગેજેટ્સ શોધવી:

પેલોડ ઇન્જેક્ટ કરવા માટે સ્થાન શોધવું:

અમે આરઓપી સાંકળ બનાવીએ છીએ:

આ રીતે ઇન્ટેલની SGX ટેક્નોલોજી, જે દૂષિત કાર્યક્રમોનો સામનો કરવા માટે રચાયેલ છે, તેનો વિલન દ્વારા વિરોધી ધ્યેયો હાંસલ કરવા માટે શોષણ કરવામાં આવે છે.

સોર્સ: www.habr.com