მოგეხსენებათ, ანკლავში შესრულებული კოდი სერიოზულად არის შეზღუდული ფუნქციონალურობით. მას არ შეუძლია სისტემური ზარების განხორციელება. მას არ შეუძლია შეასრულოს I/O ოპერაციები. მან არ იცის ჰოსტის აპლიკაციის კოდის სეგმენტის საბაზისო მისამართი. მას არ შეუძლია jmp ან დაურეკოს მასპინძლის აპლიკაციის კოდს. მას არ აქვს წარმოდგენა მისამართების სივრცის სტრუქტურის შესახებ, რომელიც მართავს მასპინძელ აპლიკაციას (მაგალითად, რომელი გვერდებია შედგენილი ან რა სახის მონაცემებია განთავსებული ამ გვერდებზე). მას არ შეუძლია სთხოვოს ოპერაციულ სისტემას მასპინძელი აპლიკაციის მეხსიერების ნაწილის დახატვა (მაგალითად, /proc/pid/maps-ის საშუალებით). გულუბრყვილო მცდელობა, ბრმად წაიკითხოს მასპინძელი აპლიკაციის თვითნებური მეხსიერების რეგიონი, რომ აღარაფერი ვთქვათ ჩაწერის მცდელობებზე, ადრე თუ გვიან (სავარაუდოდ პირველი) გამოიწვევს ანკლავური პროგრამის იძულებით შეწყვეტას. ეს ხდება მაშინ, როდესაც ანკლავის მიერ მოთხოვნილი ვირტუალური მისამართის სივრცის რეგიონი მიუწვდომელია მასპინძელი აპლიკაციისთვის.

ასეთი მკაცრი რეალობის გათვალისწინებით, შეძლებს თუ არა ვირუსის ავტორი SGX ანკლავების გამოყენებას თავისი მავნე მიზნების მისაღწევად?

– გატეხეთ მისამართები, რათა ნახოთ მათი წაკითხვა
– ჩაწერისთვის მისამართების გატეხვა
– გატეხეთ კონტროლის ნაკადის გადამისამართება
– რას აძლევს ბოროტმოქმედს ზემოთ ჩამოთვლილი სამი ჰაკი?
– როგორ იყენებს ბოროტმოქმედი ამ ჰაკებს რანზომვარის შესაქმნელად

ყოველივე ზემოაღნიშნულიდან გამომდინარე, ზოგადად მიღებულია, რომ ანკლავს შეუძლია მხოლოდ მასპინძელი განაცხადის მომსახურება და რომ ანკლავს არ შეუძლია განახორციელოს საკუთარი ინიციატივა, მათ შორის მავნე. ეს ნიშნავს, რომ ანკლავებს პრაქტიკული მნიშვნელობა არ აქვთ ვირუსების დამწერებისთვის. ეს ნაჩქარევი ვარაუდი არის ერთ-ერთი მიზეზი, რის გამოც SGX დაცვა ასიმეტრიულია: ჰოსტის აპლიკაციის კოდს არ შეუძლია წვდომა ანკლავურ მეხსიერებაზე, ხოლო ანკლავის კოდს შეუძლია წაიკითხოს და ჩაწეროს ნებისმიერი ჰოსტის აპლიკაციის მეხსიერების მისამართი.

ამიტომ, თუ მავნე ანკლავის კოდს შეეძლო თვითნებური სისტემური ზარები განეხორციელებინა მასპინძელი აპლიკაციის სახელით, შესრულებულიყო თვითნებური კოდი მისი სახელით, სკანირებდა მასპინძელი აპლიკაციის მეხსიერებას და იპოვებდა მასში შეურაცხმყოფელ ROP ჯაჭვებს, მას შეეძლო დაეუფლა სრულ კონტროლს ჰოსტის აპლიკაციაზე. Stealth Mode. მას შეუძლია არა მხოლოდ მოიპაროს და დაშიფროს მომხმარებლის ფაილები, არამედ იმოქმედოს მომხმარებლის სახელით. მაგალითად, გაუგზავნეთ ფიშინგ წერილებს მისი სახელით ან განახორციელეთ DoS შეტევები. თუნდაც ყველაზე თანამედროვე დამცავი მექანიზმების შიშის გარეშე, როგორიცაა კანარის დასტა და სანიტარიზაცია.

ჩვენ გაჩვენებთ რამდენიმე ჰაკს, რომლებსაც თავდამსხმელები იყენებენ ზემოთ აღწერილი შეზღუდვების დასაძლევად, რათა ისარგებლონ SGX-ით საკუთარი მავნე მიზნებისთვის: ROP შეტევები. ან თვითნებური კოდის შესასრულებლად, რომელიც გადაცმულია მასპინძლის აპლიკაციის პროცესად (პროცესის ღრუს მსგავსი, რომელსაც ხშირად იყენებს მავნე პროგრამა), ან მზა მავნე პროგრამის შენიღბვის მიზნით (მისი მავნე პროგრამის გადასარჩენად ანტივირუსების და სხვა დამცავი მექანიზმების დევნისგან).

Hack for probing მისამართები რათა ნახოთ თუ არა მათი წაკითხვა

იმის გამო, რომ ანკლავმა არ იცის ვირტუალური მისამართების სივრცის რომელი დიაპაზონი არის ხელმისაწვდომი ჰოსტის აპლიკაციისთვის, და რადგან ანკლავი იძულებულია შეწყვიტოს მიუწვდომელი მისამართის წაკითხვისას, თავდამსხმელს ემუქრება დავალება, იპოვოს შეცდომის გზა- ტოლერანტულად დაასკანირეთ მისამართის სივრცე. იპოვეთ გზა ხელმისაწვდომი ვირტუალური მისამართების რუკაზე. ბოროტმოქმედი ამ პრობლემას წყვეტს Intel-ის TSX ტექნოლოგიის ბოროტად გამოყენებით. იყენებს TSX-ის ერთ-ერთ გვერდით ეფექტს: თუ მეხსიერების წვდომის ფუნქცია მოთავსებულია TSX ტრანზაქციაში, მაშინ გამონაკლისები, რომლებიც წარმოიქმნება არასწორი მისამართების წვდომისგან, თრგუნავს TSX-ს ოპერაციულ სისტემამდე მისვლის გარეშე. თუ არასწორი მეხსიერების მისამართზე წვდომის მცდელობაა, მხოლოდ მიმდინარე ტრანზაქცია წყდება და არა მთელი ანკლავური პროგრამა. რომ. TSX საშუალებას აძლევს ანკლავს უსაფრთხოდ წვდომა ჰქონდეს ნებისმიერ მისამართს ტრანზაქციის შიგნით - დაშლის რისკის გარეშე.

თუ მითითებული მისამართი ხელმისაწვდომია მასპინძელი აპლიკაცია, TSX ტრანზაქცია ყველაზე ხშირად წარმატებულია. იშვიათ შემთხვევებში, ის შეიძლება წარუმატებელი იყოს გარე გავლენის გამო, როგორიცაა შეფერხებები (როგორიცაა გრაფიკის შეფერხებები), ქეშის გამოდევნა ან მეხსიერების მდებარეობის ერთდროული მოდიფიკაცია მრავალი პროცესით. ამ იშვიათ შემთხვევებში, TSX აბრუნებს შეცდომის კოდს, რომელიც მიუთითებს, რომ მარცხი დროებითია. ამ შემთხვევაში, თქვენ უბრალოდ უნდა გადატვირთოთ ტრანზაქცია.

თუ მითითებული მისამართი მიუწვდომელია მასპინძელი აპლიკაცია, TSX თრგუნავს გამონაკლისს, რომელიც მოხდა (OS არ ეცნობება) და აჩერებს ტრანზაქციას. შეცდომის კოდი უბრუნდება ანკლავის კოდს, რათა მან შეძლოს რეაგირება ტრანზაქციის გაუქმების ფაქტზე. შეცდომის ეს კოდები მიუთითებს, რომ განსახილველი მისამართი მიუწვდომელია ჰოსტის აპლიკაციისთვის.

TSX-ის ამ მანიპულაციას ანკლავის შიგნიდან აქვს კარგი თვისება ბოროტმოქმედისთვის: ვინაიდან ტექნიკის მუშაობის მრიცხველების უმეტესობა არ არის განახლებული ანკლავის კოდის შესრულების დროს, შეუძლებელია ანკლავის შიგნით შესრულებული TSX ტრანზაქციების თვალყურის დევნება. ამრიგად, TSX-ის მავნე მანიპულირება ოპერაციული სისტემისთვის სრულიად უხილავი რჩება.

გარდა ამისა, ვინაიდან ზემოაღნიშნული ჰაკი არ ეყრდნობა სისტემურ ზარებს, მისი აღმოჩენა და პრევენცია შეუძლებელია მხოლოდ სისტემური ზარების დაბლოკვით; რაც ჩვეულებრივ დადებით შედეგს იძლევა კვერცხზე ნადირობის წინააღმდეგ ბრძოლაში.

ბოროტმოქმედი იყენებს ზემოთ აღწერილ ჰაკს, რათა მოძებნოს მასპინძელი აპლიკაციის კოდი ROP ჯაჭვის ფორმირებისთვის შესაფერისი გაჯეტებისთვის. ამავდროულად, მას არ სჭირდება ყველა მისამართის გამოკვლევა. საკმარისია ვირტუალური მისამართების სივრცის თითოეული გვერდიდან ერთი მისამართის გამოკვლევა. ყველა 16 გიგაბაიტი მეხსიერების შემოწმებას დაახლოებით 45 წუთი სჭირდება (Intel i7-6700K-ზე). შედეგად, ბოროტმოქმედი იღებს შესრულებადი გვერდების სიას, რომლებიც შესაფერისია ROP ჯაჭვის შესაქმნელად.

ჰაკი მისამართების ჩასაწერად შესამოწმებლად

ROP შეტევის ანკლავური ვერსიის განსახორციელებლად, თავდამსხმელს უნდა შეეძლოს მასპინძელი აპლიკაციის ჩასაწერი გამოუყენებელი მეხსიერების არეების ძიება. თავდამსხმელი იყენებს ამ მეხსიერების ადგილებს ყალბი სტეკის ჩარჩოს შესაყვანად და დატვირთვის (shellcode) შესაყვანად. დასკვნა ის არის, რომ მავნე ანკლავს არ შეუძლია მოითხოვოს მასპინძელი აპლიკაციის გამოყოფა მეხსიერების თავისთვის, მაგრამ ამის ნაცვლად შეუძლია არასწორად გამოიყენოს მასპინძელი აპლიკაციის მიერ უკვე გამოყოფილი მეხსიერება. თუ, რა თქმა უნდა, მოახერხებს ასეთი ტერიტორიების პოვნას ანკლავის დაშლის გარეშე.

ბოროტმოქმედი ახორციელებს ამ ძიებას TSX-ის კიდევ ერთი გვერდითი ეფექტის გამოყენებით. პირველ რიგში, როგორც წინა შემთხვევაში, ის იკვლევს მისამართს მის არსებობას და შემდეგ ამოწმებს არის თუ არა ამ მისამართის შესაბამისი გვერდი ჩასაწერად. ამისთვის ბოროტმოქმედი იყენებს შემდეგ ჰაკს: ის ათავსებს ჩაწერის ფუნქციას TSX ტრანზაქციაში და მისი დასრულების შემდეგ, მაგრამ დასრულებამდე, იძულებით წყვეტს ტრანზაქციას (გამოკვეთილი შეწყვეტა).

TSX ტრანზაქციის დაბრუნების კოდის დათვალიერებით, თავდამსხმელი ხვდება, არის თუ არა ის ჩასაწერად. თუ ეს არის "გამოკვეთილი აბორტი", ბოროტმოქმედს ესმის, რომ ჩანაწერი წარმატებული იქნებოდა, თუ მას გაჰყვებოდა. თუ გვერდი მხოლოდ წაკითხვადია, მაშინ ტრანზაქცია მთავრდება შეცდომით, გარდა „გამოკვეთილი შეწყვეტისა“.

TSX-ის ამ მანიპულაციას აქვს კიდევ ერთი მახასიათებელი, რომელიც სასიამოვნოა ბოროტმოქმედისთვის (გარდა ტექნიკის შესრულების მრიცხველების საშუალებით თვალყურის დევნების შეუძლებლობისა): ვინაიდან მეხსიერების ჩაწერის ყველა ბრძანება სრულდება მხოლოდ იმ შემთხვევაში, თუ ტრანზაქცია წარმატებულია, ტრანზაქციის დასრულება იძულებით უზრუნველყოფს გამოძიებულ მეხსიერებას. უჯრედი უცვლელი რჩება.

გატეხეთ კონტროლის ნაკადის გადამისამართება

ანკლავიდან ROP შეტევის განხორციელებისას - ტრადიციული ROP შეტევებისგან განსხვავებით - თავდამსხმელს შეუძლია მოიპოვოს კონტროლი RIP რეგისტრზე თავდასხმულ პროგრამაში რაიმე შეცდომის გამოყენების გარეშე (ბუფერული გადადინება ან მსგავსი რამ). თავდამსხმელს შეუძლია პირდაპირ გადაწეროს დასტაზე შენახული RIP რეგისტრის მნიშვნელობა. კერძოდ, მას შეუძლია შეცვალოს ამ რეესტრის ღირებულება საკუთარი ROP ჯაჭვით.

თუმცა, თუ ROP ჯაჭვი გრძელია, მაშინ მასპინძელი აპლიკაციის სტეკის დიდი ნაწილის გადაწერამ შეიძლება გამოიწვიოს მონაცემთა გაფუჭება და პროგრამის მოულოდნელი ქცევა. ბოროტმოქმედი, რომელიც ცდილობს ფარულად განახორციელოს თავდასხმა, არ არის კმაყოფილი ამ მდგომარეობით. ამიტომ, ის თავისთვის ქმნის ყალბ დროებით სტეკის ჩარჩოს და ინახავს მასში თავის ROP ჯაჭვს. ყალბი სტეკის ჩარჩო მოთავსებულია შემთხვევით ჩასაწერ მეხსიერების ადგილას, რის შედეგადაც რეალური სტეკი ხელუხლებელი რჩება.

რას აძლევს ბოროტმოქმედს ზემოთ ჩამოთვლილი სამი ჰაკი?

(1) პირველი, მავნე ანკლავი გადის ჰაკი მისამართების შესამოწმებლად, რათა ნახოთ, შეიძლება თუ არა მათი წაკითხვა, – ეძებს მასპინძელ აპლიკაციას ბოროტად გამოყენებული ROP გაჯეტებისთვის.

(2) შემდეგ მიერ ჰაკი მისამართების ჩასაწერად შესამოწმებლად, – მავნე ანკლავი განსაზღვრავს მასპინძელი აპლიკაციის მეხსიერებაში არსებულ უბნებს, რომლებიც შესაფერისია ტვირთის შეყვანისთვის.

(3) შემდეგ, ანკლავი ქმნის ROP ჯაჭვს (1) საფეხურზე აღმოჩენილი გაჯეტებიდან და ამ ჯაჭვს შეჰყავს მასპინძელი აპლიკაციის დასტაში.

(4) და ბოლოს, როდესაც ჰოსტის აპლიკაცია ხვდება წინა საფეხურზე შექმნილ ROP ჯაჭვს, მავნე დატვირთვა იწყებს შესრულებას - ჰოსტის აპლიკაციის პრივილეგიებით და სისტემური ზარების განხორციელების შესაძლებლობით.

როგორ იყენებს ბოროტმოქმედი ამ ჰაკებს რანზოვარის შესაქმნელად

მას შემდეგ, რაც მასპინძელი აპლიკაცია გადასცემს კონტროლს ანკლავზე ერთ-ერთი ECALL-ის მეშვეობით (ეჭვის გარეშე, რომ ეს ანკლავი მავნეა), მავნე ანკლავი ეძებს თავისუფალ ადგილს მასპინძელი აპლიკაციის მეხსიერებაში კოდის ინექციისთვის (თავისუფალ სივრცედ იღებს უჯრედების ამ თანმიმდევრობას. რომ ივსება ნულებით). შემდეგ მეშვეობით ჰაკი მისამართების შესამოწმებლად, რათა ნახოთ, შეიძლება თუ არა მათი წაკითხვა, – ანკლავი ეძებს შესრულებად გვერდებს მასპინძელ აპლიკაციაში და წარმოქმნის ROP ჯაჭვს, რომელიც ქმნის ახალ ფაილს სახელად „RANSOM“ მიმდინარე დირექტორიაში (რეალური შეტევის დროს ანკლავი შიფრავს არსებულ მომხმარებლის ფაილებს) და აჩვენებს გამოსასყიდის შეტყობინებას. ამავდროულად, მასპინძელი აპლიკაცია გულუბრყვილოდ თვლის, რომ ანკლავი უბრალოდ უმატებს ორ რიცხვს. რას ჰგავს ეს კოდში?

აღქმის გასაადვილებლად, მოდით შემოვიტანოთ რამდენიმე მნემონიკა განმარტებების საშუალებით:

ჩვენ ვინახავთ RSP და RBP რეგისტრების თავდაპირველ მნიშვნელობებს, რათა აღვადგინოთ მასპინძელი აპლიკაციის ნორმალური მოქმედება დატვირთვის შესრულების შემდეგ:

ჩვენ ვეძებთ შესაფერის სტეკის ჩარჩოს (იხილეთ კოდი განყოფილებიდან „გატეხვა კონტროლის ნაკადის გადამისამართებისთვის“).

შესაფერისი ROP გაჯეტების პოვნა:

ტვირთის შეყვანის ადგილის პოვნა:

ჩვენ ვაშენებთ ROP ჯაჭვს:

აი, როგორ იყენებენ Intel-ის SGX ტექნოლოგიას, რომელიც შექმნილია მავნე პროგრამების წინააღმდეგ, ბოროტმოქმედების მიერ საპირისპირო მიზნების მისაღწევად.

წყარო: www.habr.com