ដូចដែលអ្នកបានដឹងហើយថា កូដដែលបានប្រតិបត្តិនៅក្នុង enclave ត្រូវបានកំណត់យ៉ាងធ្ងន់ធ្ងរនៅក្នុងមុខងាររបស់វា។ វាមិនអាចធ្វើការហៅជាប្រព័ន្ធបានទេ។ វាមិនអាចអនុវត្តប្រតិបត្តិការ I/O បានទេ។ វាមិនស្គាល់អាសយដ្ឋានមូលដ្ឋាននៃផ្នែកកូដរបស់កម្មវិធីម៉ាស៊ីនទេ។ វាមិនអាច jmp ឬហៅកូដកម្មវិធីម៉ាស៊ីនបានទេ។ វាមិនមានគំនិតអំពីរចនាសម្ព័ន្ធលំហអាសយដ្ឋានដែលគ្រប់គ្រងកម្មវិធីម៉ាស៊ីនទេ (ឧទាហរណ៍ ទំព័រណាដែលត្រូវបានគូសផែនទី ឬប្រភេទទិន្នន័យណាដែលមានទីតាំងនៅលើទំព័រទាំងនោះ)។ វាមិនអាចសុំឱ្យប្រព័ន្ធប្រតិបត្តិការផ្គូផ្គងផ្នែកនៃអង្គចងចាំរបស់កម្មវិធីម៉ាស៊ីនទៅវាបានទេ (ឧទាហរណ៍តាមរយៈ /proc/pid/maps) ។ ភាពឆោតល្ងង់ ព្យាយាមអានតំបន់អង្គចងចាំតាមអំពើចិត្តនៃកម្មវិធីម៉ាស៊ីន ដោយមិននិយាយអំពីការព្យាយាមសរសេរ វានឹងឆាប់ឬក្រោយមក (ភាគច្រើនទំនងជាអតីត) នាំទៅដល់ការបញ្ចប់ដោយបង្ខំនៃកម្មវិធី enclave ។ វាកើតឡើងនៅពេលណាដែលតំបន់លំហអាសយដ្ឋាននិម្មិតដែលបានស្នើសុំដោយ enclave មិនអាចចូលប្រើកម្មវិធីម៉ាស៊ីនបានទេ។

ដោយសារការពិតដ៏អាក្រក់បែបនេះ តើអ្នកនិពន្ធមេរោគនឹងអាចប្រើ SGX enclaves ដើម្បីសម្រេចបាននូវគោលដៅព្យាបាទរបស់គាត់ដែរឬទេ?

- Hack សម្រាប់ស៊ើបអង្កេតអាសយដ្ឋានដើម្បីមើលថាតើពួកគេអាចអានបាន។
- Hack ដើម្បីស៊ើបអង្កេតអាសយដ្ឋានសម្រាប់ការសរសេរ
- ការ Hack ដើម្បីប្តូរទិសលំហូរការគ្រប់គ្រង
- តើការ hack ទាំងបីដែលបានរាយខាងលើផ្តល់ឱ្យមនុស្សអាក្រក់អ្វីខ្លះ?
- របៀបដែលមនុស្សអាក្រក់ប្រើការលួចចូលទាំងនេះដើម្បីបង្កើត ranzowari

ដោយផ្អែកលើអ្វីទាំងអស់ខាងលើ វាត្រូវបានទទួលយកជាទូទៅថា បរិក្ខារគឺគ្រាន់តែអាចបម្រើកម្មវិធីម៉ាស៊ីនប៉ុណ្ណោះ ហើយបរិក្ខារមិនអាចអនុវត្តគំនិតផ្តួចផ្តើមរបស់ខ្លួនបានទេ រួមទាំងកម្មវិធីព្យាបាទផងដែរ។ នេះមានន័យថា enclaves មិនមានតម្លៃជាក់ស្តែងចំពោះអ្នកសរសេរមេរោគទេ។ ការសន្មត់យ៉ាងរហ័សនេះគឺជាហេតុផលមួយដែលហេតុអ្វីបានជាការការពារ SGX មានភាពមិនស៊ីសង្វាក់គ្នា៖ កូដកម្មវិធីម៉ាស៊ីនមិនអាចចូលប្រើអង្គចងចាំ enclave ខណៈពេលដែលលេខកូដ enclave អាចអាន និងសរសេរទៅកាន់អាសយដ្ឋានអង្គចងចាំកម្មវិធីម៉ាស៊ីនណាមួយ។

ដូច្នេះ ប្រសិនបើកូដ enclave ព្យាបាទអាចធ្វើការហៅតាមប្រព័ន្ធបំពានក្នុងនាមកម្មវិធីម៉ាស៊ីន ប្រតិបត្តិកូដបំពានជំនួសវា ស្កេនអង្គចងចាំរបស់កម្មវិធីម៉ាស៊ីន និងស្វែងរកខ្សែសង្វាក់ ROP ដែលអាចបំពានបាននៅក្នុងវា វាអាចចាប់យកការគ្រប់គ្រងពេញលេញនៃកម្មវិធីម៉ាស៊ីននៅក្នុង របៀបបំបាំងកាយ។ វាមិនត្រឹមតែអាចលួច និងអ៊ិនគ្រីបឯកសារអ្នកប្រើប្រាស់ប៉ុណ្ណោះទេ ថែមទាំងធ្វើសកម្មភាពជំនួសអ្នកប្រើប្រាស់ទៀតផង។ ឧទាហរណ៍ ផ្ញើអ៊ីមែលបន្លំជំនួសគាត់ ឬធ្វើការវាយប្រហារ DoS។ ដោយគ្មានការភ័យខ្លាចសូម្បីតែយន្តការការពារទំនើបបំផុត ដូចជាជង់ Canaries និងអនាម័យអាសយដ្ឋាន។

យើងនឹងបង្ហាញអ្នកនូវការលួចចូលមួយចំនួនដែលអ្នកវាយប្រហារប្រើដើម្បីយកឈ្នះលើដែនកំណត់ដែលបានពិពណ៌នាខាងលើ ដើម្បីទាញយកអត្ថប្រយោជន៍ពី SGX សម្រាប់គោលបំណងព្យាបាទផ្ទាល់ខ្លួនរបស់ពួកគេ៖ ការវាយប្រហារ ROP ។ ទាំងដើម្បីប្រតិបត្តិកូដបំពានដែលក្លែងធ្វើជាដំណើរការកម្មវិធីម៉ាស៊ីន (ស្រដៀងទៅនឹងដំណើរការប្រហោង ដែលជារឿយៗត្រូវបានប្រើប្រាស់ដោយមេរោគ) ឬដើម្បីក្លែងបន្លំមេរោគដែលត្រៀមរួចជាស្រេច (ដើម្បីរក្សាទុកមេរោគរបស់វាពីការបៀតបៀនដោយកំចាត់មេរោគ និងយន្តការការពារផ្សេងទៀត)។

ការ Hack សម្រាប់​ការ​ស៊ើបអង្កេត​អាសយដ្ឋាន​ដើម្បី​មើល​ថា​តើ​ពួក​គេ​អាច​ត្រូវ​បាន​អាន​

ដោយសារ enclave មិនដឹងថាចន្លោះអាសយដ្ឋាននិម្មិតមួយណាដែលអាចចូលប្រើបានក្នុងកម្មវិធីម៉ាស៊ីន ហើយចាប់តាំងពី enclave ត្រូវបានបង្ខំឱ្យបញ្ចប់នៅពេលព្យាយាមអានអាសយដ្ឋានដែលមិនអាចចូលដំណើរការបាន អ្នកវាយប្រហារត្រូវប្រឈមមុខនឹងភារកិច្ចក្នុងការស្វែងរកផ្លូវខុស។ ស្កេនចន្លោះអាសយដ្ឋានដោយអត់ធ្មត់។ ស្វែងរកវិធីដើម្បីផែនទីអាសយដ្ឋាននិម្មិតដែលមាន។ មនុស្សអាក្រក់ដោះស្រាយបញ្ហានេះដោយប្រើប្រាស់បច្ចេកវិទ្យា TSX របស់ Intel ខុស។ ប្រើផលរំខានមួយរបស់ TSX៖ ប្រសិនបើមុខងារចូលប្រើអង្គចងចាំត្រូវបានដាក់ក្នុងប្រតិបត្តិការ TSX នោះករណីលើកលែងដែលកើតឡើងពីការចូលប្រើអាសយដ្ឋានមិនត្រឹមត្រូវត្រូវបានរារាំងដោយ TSX ដោយមិនបានទៅដល់ប្រព័ន្ធប្រតិបត្តិការ។ ប្រសិនបើការប៉ុនប៉ងត្រូវបានធ្វើឡើងដើម្បីចូលប្រើអាសយដ្ឋានអង្គចងចាំមិនត្រឹមត្រូវ មានតែប្រតិបត្តិការបច្ចុប្បន្នប៉ុណ្ណោះដែលត្រូវបានលុបចោល មិនមែនជាកម្មវិធីរួមទាំងមូលនោះទេ។ នោះ។ TSX អនុញ្ញាតឱ្យក្រុមហ៊ុមព័ទ្ធចូលប្រើអាសយដ្ឋានណាមួយដោយសុវត្ថិភាពពីក្នុងប្រតិបត្តិការ - ដោយគ្មានហានិភ័យនៃការដួលរលំ។

ប្រសិនបើមាន អាសយដ្ឋានដែលបានបញ្ជាក់គឺអាចរកបាន កម្មវិធីម៉ាស៊ីន ប្រតិបត្តិការ TSX ភាគច្រើនទទួលបានជោគជ័យ។ ក្នុងករណីកម្រ វាអាចនឹងបរាជ័យដោយសារតែឥទ្ធិពលខាងក្រៅដូចជាការរំខាន (ដូចជាការរំខានកម្មវិធីកំណត់ពេល) ការបណ្តេញចេញពីឃ្លាំងសម្ងាត់ ឬការកែប្រែទីតាំងអង្គចងចាំក្នុងពេលដំណាលគ្នាដោយដំណើរការជាច្រើន។ ក្នុងករណីដ៏កម្រនេះ TSX ត្រឡប់លេខកូដកំហុសដែលបង្ហាញថាការបរាជ័យគឺបណ្តោះអាសន្ន។ នៅក្នុងករណីទាំងនេះ អ្នកគ្រាន់តែត្រូវចាប់ផ្តើមប្រតិបត្តិការឡើងវិញ។

ប្រសិនបើមាន អាសយដ្ឋានដែលបានបញ្ជាក់គឺមិនមានទេ។ កម្មវិធីម៉ាស៊ីន TSX ទប់ស្កាត់ករណីលើកលែងដែលបានកើតឡើង (ប្រព័ន្ធប្រតិបត្តិការមិនត្រូវបានជូនដំណឹង) និងបោះបង់ប្រតិបត្តិការ។ លេខកូដកំហុសមួយត្រូវបានត្រលប់ទៅលេខកូដ enclave ដូច្នេះវាអាចប្រតិកម្មទៅនឹងការពិតដែលថាប្រតិបត្តិការត្រូវបានលុបចោល។ លេខកូដកំហុសទាំងនេះបង្ហាញថាអាសយដ្ឋាននៅក្នុងសំណួរមិនមានសម្រាប់កម្មវិធីម៉ាស៊ីនទេ។

ឧបាយកលនៃ TSX នេះពីខាងក្នុងបរិក្ខារមានមុខងារល្អសម្រាប់មនុស្សអាក្រក់៖ ដោយសារឧបករណ៍រាប់ដំណើរការផ្នែករឹងភាគច្រើនមិនត្រូវបានអាប់ដេតនៅពេលដែលកូដ enclave ត្រូវបានប្រតិបត្តិ វាមិនអាចទៅរួចទេក្នុងការតាមដានប្រតិបត្តិការ TSX ដែលបានប្រតិបត្តិនៅខាងក្នុង។ ដូច្នេះ ឧបាយកលព្យាបាទ TSX នៅតែមើលមិនឃើញទាំងស្រុងចំពោះប្រព័ន្ធប្រតិបត្តិការ។

លើសពីនេះទៀត ចាប់តាំងពីការ hack ខាងលើមិនពឹងផ្អែកលើការហៅទូរស័ព្ទណាមួយរបស់ប្រព័ន្ធ វាមិនអាចត្រូវបានរកឃើញ ឬរារាំងដោយគ្រាន់តែរារាំងការហៅតាមប្រព័ន្ធ។ ដែលជាធម្មតាផ្តល់លទ្ធផលវិជ្ជមានក្នុងការប្រយុទ្ធប្រឆាំងនឹងការបរបាញ់ស៊ុត។

មនុស្សអាក្រក់ប្រើការ hack ដែលបានពិពណ៌នាខាងលើដើម្បីស្វែងរកកូដកម្មវិធីម៉ាស៊ីនសម្រាប់ឧបករណ៍ដែលសមរម្យសម្រាប់បង្កើតខ្សែសង្វាក់ ROP ។ ក្នុងពេលជាមួយគ្នានេះ គាត់មិនចាំបាច់ស៊ើបអង្កេតគ្រប់អាសយដ្ឋានទេ។ វាគ្រប់គ្រាន់ក្នុងការស៊ើបអង្កេតអាសយដ្ឋានមួយពីទំព័រនីមួយៗនៃទំហំអាសយដ្ឋាននិម្មិត។ ការពិនិត្យមើលអង្គចងចាំទាំងអស់ 16 ជីហ្គាបៃត្រូវចំណាយពេលប្រហែល 45 នាទី (នៅលើ Intel i7-6700K) ។ ជាលទ្ធផល មនុស្សអាក្រក់ទទួលបានបញ្ជីទំព័រដែលអាចប្រតិបត្តិបាន ដែលសមរម្យសម្រាប់ការសាងសង់ខ្សែសង្វាក់ ROP ។

ការ Hack សម្រាប់ការស៊ើបអង្កេតអាសយដ្ឋានសម្រាប់ការសរសេរ

ដើម្បីអនុវត្តកំណែ enclave នៃការវាយប្រហារ ROP អ្នកវាយប្រហារត្រូវតែអាចស្វែងរកតំបន់អង្គចងចាំដែលមិនប្រើដែលអាចសរសេរបាននៃកម្មវិធីម៉ាស៊ីន។ អ្នកវាយប្រហារប្រើទីតាំងអង្គចងចាំទាំងនេះ ដើម្បីចាក់ស៊ុមជង់ក្លែងក្លាយ និងដើម្បីចាក់បញ្ចូលបន្ទុក (លេខកូដសែល)។ ចំណុចសំខាន់គឺថា enclave ព្យាបាទមិនអាចតម្រូវឱ្យកម្មវិធីម៉ាស៊ីនដើម្បីបែងចែកអង្គចងចាំសម្រាប់ខ្លួនវាទេ ប៉ុន្តែផ្ទុយទៅវិញអាចប្រើអង្គចងចាំខុសដែលបានបែងចែកដោយកម្មវិធីម៉ាស៊ីន។ ប្រសិនបើជាការពិត គាត់អាចស្វែងរកតំបន់បែបនេះដោយមិនមានការដួលរលំនៃតំបន់នោះ។

មនុស្សអាក្រក់អនុវត្តការស្វែងរកនេះដោយទាញយកផលរំខានមួយផ្សេងទៀតនៃ TSX ។ ដំបូង ដូចករណីមុន វាស៊ើបអង្កេតអាសយដ្ឋានសម្រាប់អត្ថិភាពរបស់វា ហើយបន្ទាប់មកពិនិត្យមើលថាតើទំព័រដែលត្រូវនឹងអាសយដ្ឋាននេះអាចសរសេរបានដែរឬទេ។ ដើម្បីធ្វើដូច្នេះ មនុស្សកំណាចប្រើការ hack ដូចខាងក្រោម៖ គាត់ដាក់មុខងារសរសេរនៅក្នុងប្រតិបត្តិការ TSX ហើយបន្ទាប់ពីវាបានបញ្ចប់ ប៉ុន្តែមុនពេលវាបញ្ចប់ គាត់បានលុបចោលប្រតិបត្តិការដោយបង្ខំ (រំលូតកូនយ៉ាងច្បាស់លាស់)។

ដោយមើលលេខកូដត្រឡប់ពីប្រតិបត្តិការ TSX អ្នកវាយប្រហារយល់ថាតើវាអាចសរសេរបានដែរឬទេ។ ប្រសិនបើវាជា "ការរំលូតកូនដោយចេតនា" មនុស្សអាក្រក់យល់ថាការថតនេះនឹងទទួលបានជោគជ័យ ប្រសិនបើគាត់បានធ្វើតាមវា។ ប្រសិនបើទំព័រត្រូវបានអានតែប៉ុណ្ណោះ នោះប្រតិបត្តិការនឹងបញ្ចប់ដោយកំហុសផ្សេងក្រៅពី "ការលុបចោលយ៉ាងច្បាស់លាស់"។

ឧបាយកលនៃ TSX នេះមានលក្ខណៈពិសេសមួយទៀតដែលល្អសម្រាប់មនុស្សអាក្រក់ (ក្រៅពីភាពមិនអាចទៅរួចនៃការតាមដានតាមរយៈឧបករណ៍រាប់ដំណើរការផ្នែករឹង): ដោយសារពាក្យបញ្ជាសរសេរអង្គចងចាំទាំងអស់ត្រូវបានប្រព្រឹត្តលុះត្រាតែប្រតិបត្តិការបានជោគជ័យ បង្ខំឱ្យប្រតិបត្តិការបញ្ចប់ធានាថាកោសិកាអង្គចងចាំដែលបានសាកល្បង។ នៅតែមិនផ្លាស់ប្តូរ។

Hack ដើម្បីប្តូរទិសលំហូរការគ្រប់គ្រង

នៅពេលធ្វើការវាយលុក ROP ពីតំបន់ជុំវិញ - មិនដូចការវាយប្រហារ ROP ប្រពៃណីទេ អ្នកវាយប្រហារអាចគ្រប់គ្រងការចុះឈ្មោះ RIP ដោយមិនប្រើប្រាស់កំហុសណាមួយនៅក្នុងកម្មវិធីដែលត្រូវបានវាយប្រហារ (buffer overflow ឬអ្វីមួយដូចនោះ)។ អ្នកវាយប្រហារអាចសរសេរជាន់លើតម្លៃនៃការចុះឈ្មោះ RIP ដែលផ្ទុកនៅលើជង់ដោយផ្ទាល់។ ជាពិសេស វាអាចជំនួសតម្លៃនៃការចុះឈ្មោះនេះជាមួយនឹងខ្សែសង្វាក់ ROP របស់ខ្លួន។

ទោះយ៉ាងណាក៏ដោយ ប្រសិនបើខ្សែសង្វាក់ ROP វែង នោះការសរសេរជាន់លើផ្នែកធំនៃជង់របស់កម្មវិធីម៉ាស៊ីនអាចនាំឱ្យខូចទិន្នន័យ និងឥរិយាបថកម្មវិធីដែលមិនរំពឹងទុក។ ជនកំណាចដែលស្វែងរកការវាយប្រហារដោយសម្ងាត់ មិនពេញចិត្តនឹងស្ថានភាពនេះទេ។ ដូច្នេះវាបង្កើតស៊ុមជង់បណ្តោះអាសន្នក្លែងក្លាយសម្រាប់ខ្លួនវា ហើយរក្សាទុកខ្សែសង្វាក់ ROP របស់វានៅក្នុងវា។ ស៊ុមជង់ក្លែងក្លាយត្រូវបានដាក់ក្នុងទីតាំងអង្គចងចាំដែលអាចសរសេរបានដោយចៃដន្យ ដោយទុកឱ្យជង់ពិតនៅដដែល។

តើ​ការ​លួច​ចូល​ទាំង​បី​ក្នុង​បញ្ជី​ខាង​លើ​ផ្តល់​អ្វី​ដល់​ជន​ទុច្ចរិត?

(1) ទីមួយ ឧបាយកលព្យាបាទ hack សម្រាប់ការស៊ើបអង្កេតអាសយដ្ឋានដើម្បីមើលថាតើពួកគេអាចអានបាន។, – ស្វែងរកកម្មវិធីម៉ាស៊ីនសម្រាប់ឧបករណ៍ ROP ដែលអាចបំពានបាន។

(2) បន្ទាប់មកដោយ hack សម្រាប់ការស៊ើបអង្កេតអាសយដ្ឋានសម្រាប់ការសរសេរ, – ឧបសម្ព័ន្ធព្យាបាទកំណត់តំបន់នៅក្នុងអង្គចងចាំរបស់កម្មវិធីម៉ាស៊ីន ដែលស័ក្តិសមសម្រាប់ការចាក់បញ្ចូលបន្ទុក។

(3) បន្ទាប់មក បរិក្ខារបង្កើតខ្សែសង្វាក់ ROP ពីឧបករណ៍ដែលបានរកឃើញក្នុងជំហាន (1) ហើយបញ្ចូលខ្សែសង្វាក់នេះទៅក្នុងជង់កម្មវិធីម៉ាស៊ីន។

(4) ជាចុងក្រោយ នៅពេលដែលកម្មវិធីម៉ាស៊ីនជួបប្រទះនឹងខ្សែសង្វាក់ ROP ដែលបានបង្កើតឡើងក្នុងជំហានមុន បន្ទុកព្យាបាទចាប់ផ្តើមដំណើរការ - ជាមួយនឹងសិទ្ធិរបស់កម្មវិធីម៉ាស៊ីន និងសមត្ថភាពក្នុងការហៅប្រព័ន្ធ។

របៀបដែលមនុស្សអាក្រក់ប្រើការ hack ទាំងនេះដើម្បីបង្កើត ranzowari

បន្ទាប់ពីកម្មវិធី host ផ្ទេរការគ្រប់គ្រងទៅ enclave តាមរយៈ ECALLs មួយ (ដោយមិនសង្ស័យថា enclave នេះព្យាបាទ) enclave ព្យាបាទស្វែងរកកន្លែងទំនេរនៅក្នុង memory នៃ host application សម្រាប់ការបញ្ចូល code (យកកន្លែងទំនេរនៃ cells ទាំងនោះ។ ដែលបំពេញដោយសូន្យ)។ បន្ទាប់មកឆ្លងកាត់ hack សម្រាប់ការស៊ើបអង្កេតអាសយដ្ឋានដើម្បីមើលថាតើពួកគេអាចអានបាន។, – enclave ស្វែងរកទំព័រដែលអាចប្រតិបត្តិបាននៅក្នុងកម្មវិធី host និងបង្កើតខ្សែសង្វាក់ ROP ដែលបង្កើតឯកសារថ្មីដែលមានឈ្មោះថា "RANSOM" នៅក្នុងថតបច្ចុប្បន្ន (នៅក្នុងការវាយប្រហារពិតប្រាកដ enclave អ៊ិនគ្រីបឯកសារអ្នកប្រើប្រាស់ដែលមានស្រាប់) និងបង្ហាញសារតម្លៃលោះ។ ក្នុងពេលជាមួយគ្នានេះ កម្មវិធីម៉ាស៊ីនជឿដោយឆោតល្ងង់ថា enclave គ្រាន់តែបន្ថែមលេខពីរ។ តើនេះមើលទៅដូចអ្វីនៅក្នុងកូដ?

ដើម្បីងាយស្រួលក្នុងការយល់ឃើញ សូមណែនាំ mnemonics មួយចំនួនតាមរយៈនិយមន័យ៖

យើងរក្សាទុកតម្លៃដើមនៃការចុះឈ្មោះ RSP និង RBP ដើម្បីស្ដារប្រតិបត្តិការធម្មតានៃកម្មវិធីម៉ាស៊ីន បន្ទាប់ពីដំណើរការបន្ទុក៖

យើងកំពុងស្វែងរកស៊ុមជង់ដែលសមរម្យ (សូមមើលកូដពីផ្នែក "ការ hack សម្រាប់បញ្ជូនបន្តលំហូរការគ្រប់គ្រង") ។

ស្វែងរកឧបករណ៍ ROP សមរម្យ៖

រកកន្លែងចាក់បន្ទុក៖

យើងបង្កើតខ្សែសង្វាក់ ROP៖

នេះជារបៀបដែលបច្ចេកវិទ្យា SGX របស់ Intel ដែលត្រូវបានរចនាឡើងដើម្បីប្រឆាំងនឹងកម្មវិធីព្យាបាទត្រូវបានកេងប្រវ័ញ្ចដោយមនុស្សអាក្រក់ដើម្បីសម្រេចបាននូវគោលដៅផ្ទុយ។

ប្រភព: www.habr.com