ຕາມທີ່ທ່ານຮູ້, ລະຫັດທີ່ປະຕິບັດຢູ່ໃນ enclave ແມ່ນຖືກຈໍາກັດຢ່າງຈິງຈັງໃນການເຮັດວຽກຂອງມັນ. ມັນບໍ່ສາມາດໂທລະບົບໄດ້. ມັນບໍ່ສາມາດປະຕິບັດການ I/O ໄດ້. ມັນບໍ່ຮູ້ທີ່ຢູ່ພື້ນຖານຂອງພາກສ່ວນລະຫັດຂອງແອັບພລິເຄຊັນເຈົ້າພາບ. ມັນບໍ່ສາມາດ jmp ຫຼືໂທຫາລະຫັດຄໍາຮ້ອງສະຫມັກເຈົ້າພາບ. ມັນບໍ່ມີຄວາມຄິດກ່ຽວກັບໂຄງສ້າງພື້ນທີ່ທີ່ຢູ່ທີ່ຄວບຄຸມຄໍາຮ້ອງສະຫມັກຂອງເຈົ້າພາບ (ຕົວຢ່າງ, ຫນ້າໃດທີ່ຖືກແຜນທີ່ຫຼືປະເພດຂອງຂໍ້ມູນໃດທີ່ຢູ່ໃນຫນ້າເຫຼົ່ານັ້ນ). ມັນບໍ່ສາມາດຂໍໃຫ້ລະບົບປະຕິບັດການແຜນທີ່ຊິ້ນສ່ວນຂອງຫນ່ວຍຄວາມຈໍາຂອງແອັບພລິເຄຊັນໂຮດກັບມັນ (ຕົວຢ່າງ, ຜ່ານ /proc/pid/maps). ຄວາມພະຍາຍາມ Naive ທີ່ຈະອ່ານ blindly ພື້ນທີ່ຄວາມຊົງຈໍາ arbitrary ຂອງຄໍາຮ້ອງສະຫມັກເປັນເຈົ້າພາບ, ບໍ່ໃຫ້ເວົ້າເຖິງຄວາມພະຍາຍາມຂຽນ, ຈະໄວຫຼືຫຼັງຈາກນັ້ນ (ສ່ວນຫຼາຍອາດຈະເປັນອະດີດ) ນໍາໄປສູ່ການຢຸດເຊົາການບັງຄັບຂອງໂຄງການ enclave. ອັນນີ້ເກີດຂຶ້ນທຸກຄັ້ງທີ່ພື້ນທີ່ທີ່ຢູ່ virtual ທີ່ຮ້ອງຂໍໂດຍ enclave ບໍ່ສາມາດເຂົ້າເຖິງແອັບພລິເຄຊັນໂຮດໄດ້.

ເນື່ອງຈາກຄວາມເປັນຈິງທີ່ຮຸນແຮງດັ່ງກ່າວ, ນັກຂຽນໄວຣັດຈະສາມາດໃຊ້ SGX enclaves ເພື່ອບັນລຸເປົ້າຫມາຍທີ່ເປັນອັນຕະລາຍຂອງລາວບໍ?

– Hack ສໍາລັບ probing ທີ່ຢູ່ເພື່ອເບິ່ງວ່າພວກເຂົາສາມາດອ່ານໄດ້
– Hack ທີ່ຢູ່ probe ສໍາລັບ writability
– Hack ເພື່ອປ່ຽນເສັ້ນທາງການຄວບຄຸມ
– ສາມ hacks ທີ່ລະບຸໄວ້ຂ້າງເທິງໃຫ້ຄົນຮ້າຍແມ່ນຫຍັງ?
– ວິທີທີ່ຄົນຮ້າຍໃຊ້ hacks ເຫຼົ່ານີ້ເພື່ອສ້າງ ranzowari

ອີງຕາມການທັງຫມົດຂ້າງເທິງ, ມັນເປັນການຍອມຮັບໂດຍທົ່ວໄປວ່າ enclave ພຽງແຕ່ສາມາດໃຫ້ບໍລິການຄໍາຮ້ອງສະຫມັກເປັນເຈົ້າພາບ, ແລະ enclave ບໍ່ສາມາດປະຕິບັດການລິເລີ່ມຂອງຕົນເອງ, ລວມທັງສິ່ງທີ່ເປັນອັນຕະລາຍ. ນີ້ຫມາຍຄວາມວ່າ enclaves ແມ່ນບໍ່ມີມູນຄ່າປະຕິບັດຕໍ່ນັກຂຽນໄວຣັດ. ການສົມມຸດຕິຖານທີ່ຮີບດ່ວນນີ້ແມ່ນເຫດຜົນຫນຶ່ງທີ່ເຮັດໃຫ້ການປົກປ້ອງ SGX ມີຄວາມສົມດຸນ: ລະຫັດຄໍາຮ້ອງສະຫມັກຂອງໂຮດບໍ່ສາມາດເຂົ້າເຖິງຫນ່ວຍຄວາມຈໍາ enclave, ໃນຂະນະທີ່ລະຫັດ enclave ສາມາດອ່ານແລະຂຽນໄປຫາທີ່ຢູ່ຫນ່ວຍຄວາມຈໍາຂອງແອັບພລິເຄຊັນໃດນຶ່ງ.

ດັ່ງນັ້ນ, ຖ້າລະຫັດ enclave ທີ່ເປັນອັນຕະລາຍສາມາດໂທຫາລະບົບ arbitrary ໃນນາມຂອງ host application, ປະຕິບັດລະຫັດ arbitrary ໃນນາມຂອງມັນ, scan ຫນ່ວຍຄວາມຈໍາຂອງ host app ແລະຊອກຫາລະບົບຕ່ອງໂສ້ ROP ທີ່ບໍ່ຖືກຕ້ອງຢູ່ໃນມັນ, ມັນສາມາດຍຶດເອົາການຄວບຄຸມທີ່ສົມບູນຂອງ host application, ໃນ. ໂໝດ stealth. ມັນບໍ່ພຽງແຕ່ສາມາດລັກແລະເຂົ້າລະຫັດໄຟລ໌ຂອງຜູ້ໃຊ້, ແຕ່ຍັງປະຕິບັດໃນນາມຂອງຜູ້ໃຊ້. ຕົວຢ່າງ, ສົ່ງອີເມວ phishing ໃນນາມຂອງລາວຫຼືດໍາເນີນການໂຈມຕີ DoS. ໂດຍບໍ່ມີການຢ້ານກົວເຖິງແມ່ນກົນໄກປ້ອງກັນທີ່ທັນສະໄຫມທີ່ສຸດ, ເຊັ່ນ stack canaries ແລະການອະນາໄມທີ່ຢູ່.

ພວກເຮົາຈະສະແດງໃຫ້ທ່ານເຫັນການແຮັກຈຳນວນໜຶ່ງທີ່ຜູ້ໂຈມຕີໃຊ້ເພື່ອເອົາຊະນະຂໍ້ຈຳກັດທີ່ອະທິບາຍໄວ້ຂ້າງເທິງເພື່ອໃຊ້ປະໂຫຍດຈາກ SGX ເພື່ອຈຸດປະສົງທີ່ເປັນອັນຕະລາຍຂອງຕົນເອງ: ການໂຈມຕີ ROP. ທັງເພື່ອປະຕິບັດລະຫັດທີ່ຕົນເອງມັກປອມຕົວເປັນຂະບວນການຄໍາຮ້ອງສະຫມັກເປັນເຈົ້າພາບ (ຄ້າຍກັບຂະບວນການທີ່ຮວບຮວມ, ເຊິ່ງມັກຈະຖືກໃຊ້ໂດຍ malware), ຫຼືເພື່ອປອມແປງ malware ທີ່ກຽມພ້ອມ (ເພື່ອຊ່ວຍປະຢັດ malware ຂອງມັນຈາກການຂົ່ມເຫັງໂດຍ antiviruses ແລະກົນໄກການປ້ອງກັນອື່ນໆ).

Hack ສໍາລັບທີ່ຢູ່ probing ເພື່ອເບິ່ງວ່າພວກເຂົາສາມາດອ່ານໄດ້

ເນື່ອງຈາກ enclave ບໍ່ຮູ້ວ່າໄລຍະໃດຂອງພື້ນທີ່ທີ່ຢູ່ virtual ສາມາດເຂົ້າເຖິງຄໍາຮ້ອງສະຫມັກຂອງເຈົ້າພາບ, ແລະເນື່ອງຈາກ enclave ໄດ້ຖືກບັງຄັບໃຫ້ຢຸດເຊົາໃນເວລາທີ່ພະຍາຍາມອ່ານທີ່ຢູ່ທີ່ບໍ່ສາມາດເຂົ້າເຖິງໄດ້, ຜູ້ໂຈມຕີຕ້ອງປະເຊີນກັບຫນ້າທີ່ຊອກຫາວິທີທີ່ຈະຜິດພາດ - ອົດທົນສະແກນພື້ນທີ່ທີ່ຢູ່. ຊອກຫາວິທີແຜນທີ່ທີ່ຢູ່ virtual ທີ່ມີຢູ່. ຄົນຮ້າຍແກ້ໄຂບັນຫານີ້ໂດຍການໃຊ້ເທກໂນໂລຍີ TSX ຂອງ Intel ໃນທາງທີ່ຜິດ. ໃຊ້ຫນຶ່ງໃນຜົນກະທົບຂ້າງຄຽງຂອງ TSX: ຖ້າຟັງຊັນການເຂົ້າເຖິງຫນ່ວຍຄວາມຈໍາແມ່ນຖືກຈັດໃສ່ໃນທຸລະກໍາ TSX, ຫຼັງຈາກນັ້ນ, ຂໍ້ຍົກເວັ້ນທີ່ເກີດຂື້ນຈາກການເຂົ້າເຖິງທີ່ຢູ່ທີ່ບໍ່ຖືກຕ້ອງຈະຖືກສະກັດກັ້ນໂດຍ TSX ໂດຍບໍ່ມີການເຂົ້າເຖິງລະບົບປະຕິບັດການ. ຖ້າມີຄວາມພະຍາຍາມທີ່ຈະເຂົ້າເຖິງທີ່ຢູ່ຫນ່ວຍຄວາມຈໍາທີ່ບໍ່ຖືກຕ້ອງ, ພຽງແຕ່ການເຮັດທຸລະກໍາໃນປັດຈຸບັນຖືກຍົກເລີກ, ບໍ່ແມ່ນໂຄງການ enclave ທັງຫມົດ. ນັ້ນ. TSX ອະນຸຍາດໃຫ້ enclave ເຂົ້າເຖິງທີ່ຢູ່ໃດນຶ່ງຢ່າງປອດໄພຈາກພາຍໃນທຸລະກໍາ - ໂດຍບໍ່ມີຄວາມສ່ຽງຕໍ່ການລົ້ມລົງ.

ຖ້າຫາກວ່າ ທີ່ຢູ່ທີ່ລະບຸໄວ້ແມ່ນມີຢູ່ ຄໍາຮ້ອງສະຫມັກທີ່ເປັນເຈົ້າພາບ, ການເຮັດທຸລະກໍາ TSX ແມ່ນປະສົບຜົນສໍາເລັດຫຼາຍທີ່ສຸດ. ໃນກໍລະນີທີ່ຫາຍາກ, ມັນອາດຈະລົ້ມເຫລວເນື່ອງຈາກອິດທິພົນຈາກພາຍນອກເຊັ່ນການຂັດຂວາງ (ເຊັ່ນການຂັດຂວາງການກໍານົດເວລາ), ການຂັບໄລ່ແຄດ, ຫຼືການດັດແກ້ພ້ອມໆກັນຂອງສະຖານທີ່ຫນ່ວຍຄວາມຈໍາໂດຍຂະບວນການຫຼາຍ. ໃນກໍລະນີທີ່ຫາຍາກເຫຼົ່ານີ້, TSX ສົ່ງຄືນລະຫັດຂໍ້ຜິດພາດທີ່ຊີ້ໃຫ້ເຫັນວ່າຄວາມລົ້ມເຫຼວແມ່ນຊົ່ວຄາວ. ໃນກໍລະນີເຫຼົ່ານີ້, ທ່ານພຽງແຕ່ຕ້ອງການ restart ການເຮັດທຸລະກໍາ.

ຖ້າຫາກວ່າ ບໍ່ມີທີ່ຢູ່ທີ່ລະບຸໄວ້ ຄໍາຮ້ອງສະຫມັກທີ່ເປັນເຈົ້າພາບ, TSX ສະກັດກັ້ນຂໍ້ຍົກເວັ້ນທີ່ເກີດຂຶ້ນ ( OS ບໍ່ໄດ້ຮັບການແຈ້ງ) ແລະຍົກເລີກການເຮັດທຸລະກໍາ. ລະຫັດຂໍ້ຜິດພາດຖືກສົ່ງຄືນໄປຫາລະຫັດ enclave ເພື່ອໃຫ້ມັນສາມາດປະຕິກິລິຍາກັບຄວາມຈິງທີ່ວ່າການເຮັດທຸລະກໍາໄດ້ຖືກຍົກເລີກ. ລະຫັດຂໍ້ຜິດພາດເຫຼົ່ານີ້ຊີ້ບອກວ່າທີ່ຢູ່ໃນຄໍາຖາມແມ່ນບໍ່ມີໃຫ້ກັບແອັບພລິເຄຊັນເຈົ້າພາບ.

ການຫມູນໃຊ້ຂອງ TSX ນີ້ຈາກພາຍໃນ enclave ມີຄຸນສົມບັດທີ່ດີສໍາລັບຄົນຮ້າຍ: ເນື່ອງຈາກເຄື່ອງນັບການປະຕິບັດຂອງຮາດແວສ່ວນໃຫຍ່ບໍ່ໄດ້ຖືກປັບປຸງໃນເວລາທີ່ລະຫັດ enclave ຖືກປະຕິບັດ, ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະຕິດຕາມທຸລະກໍາ TSX ທີ່ຖືກປະຕິບັດພາຍໃນ enclave. ດັ່ງນັ້ນ, ການຫມູນໃຊ້ທີ່ເປັນອັນຕະລາຍຂອງ TSX ຍັງຄົງເບິ່ງບໍ່ເຫັນກັບລະບົບປະຕິບັດການ.

ນອກຈາກນັ້ນ, ນັບຕັ້ງແຕ່ການ hack ຂ້າງເທິງບໍ່ໄດ້ອີງໃສ່ການໂທລະບົບໃດໆ, ມັນບໍ່ສາມາດກວດພົບຫຼືປ້ອງກັນໄດ້ໂດຍການພຽງແຕ່ສະກັດການໂທລະບົບ; ຊຶ່ງປົກກະຕິແລ້ວໃຫ້ຜົນໄດ້ຮັບໃນທາງບວກໃນການຕໍ່ສູ້ຕ້ານການລ່າສັດໄຂ່.

ຄົນຮ້າຍໃຊ້ການແຮັກທີ່ອະທິບາຍໄວ້ຂ້າງເທິງເພື່ອຄົ້ນຫາລະຫັດຄໍາຮ້ອງສະຫມັກຂອງເຈົ້າພາບສໍາລັບ gadgets ທີ່ເຫມາະສົມສໍາລັບການສ້າງລະບົບຕ່ອງໂສ້ ROP. ໃນເວລາດຽວກັນ, ລາວບໍ່ຈໍາເປັນຕ້ອງສືບສວນທຸກທີ່ຢູ່. ມັນພຽງພໍທີ່ຈະສືບສວນຫນຶ່ງທີ່ຢູ່ຈາກແຕ່ລະຫນ້າຂອງພື້ນທີ່ທີ່ຢູ່ virtual. ການກວດສອບໜ່ວຍຄວາມຈຳທັງໝົດ 16 ກິກາໄບໃຊ້ເວລາປະມານ 45 ນາທີ (ໃນ Intel i7-6700K). ດັ່ງນັ້ນ, ຄົນຮ້າຍໄດ້ຮັບບັນຊີລາຍຊື່ຂອງຫນ້າທີ່ປະຕິບັດໄດ້ທີ່ເຫມາະສົມກັບການກໍ່ສ້າງລະບົບຕ່ອງໂສ້ ROP.

ແຮກສໍາລັບທີ່ຢູ່ probing ສໍາລັບ writability

ເພື່ອປະຕິບັດການໂຈມຕີ ROP ສະບັບ enclave, ຜູ້ໂຈມຕີຈະຕ້ອງສາມາດຄົ້ນຫາພື້ນທີ່ຫນ່ວຍຄວາມຈໍາທີ່ບໍ່ໄດ້ໃຊ້ທີ່ຂຽນໄດ້ຂອງແອັບພລິເຄຊັນແມ່ຂ່າຍ. ຜູ້ໂຈມຕີໃຊ້ສະຖານທີ່ຫນ່ວຍຄວາມຈໍາເຫຼົ່ານີ້ເພື່ອສີດກອບ stack ປອມແລະສີດ payload (shellcode). ເສັ້ນທາງລຸ່ມແມ່ນວ່າ enclave malicious ບໍ່ສາມາດຮຽກຮ້ອງໃຫ້ host application ເພື່ອຈັດສັນຫນ່ວຍຄວາມຈໍາສໍາລັບຕົວມັນເອງ, ແຕ່ແທນທີ່ຈະໃຊ້ຫນ່ວຍຄວາມຈໍາທີ່ຖືກຈັດສັນໂດຍ host application. ຖ້າຫາກວ່າ, ແນ່ນອນ, ລາວຄຸ້ມຄອງເພື່ອຊອກຫາພື້ນທີ່ດັ່ງກ່າວໂດຍບໍ່ມີການຍຸບ enclave ໄດ້.

ຄົນຮ້າຍປະຕິບັດການຄົ້ນຫານີ້ໂດຍການຂຸດຄົ້ນຜົນກະທົບຂ້າງຄຽງອື່ນຂອງ TSX. ຫນ້າທໍາອິດ, ເຊັ່ນດຽວກັບກໍລະນີທີ່ຜ່ານມາ, ມັນ probes ທີ່ຢູ່ສໍາລັບການທີ່ມີຢູ່ແລ້ວຂອງມັນ, ແລະຫຼັງຈາກນັ້ນກວດເບິ່ງວ່າຫນ້າເວັບທີ່ສອດຄ້ອງກັນກັບທີ່ຢູ່ນີ້ແມ່ນສາມາດຂຽນໄດ້. ເພື່ອເຮັດສິ່ງນີ້, ຄົນຮ້າຍໃຊ້ການ hack ດັ່ງຕໍ່ໄປນີ້: ລາວວາງຫນ້າທີ່ຂຽນໃນທຸລະກໍາ TSX, ແລະຫຼັງຈາກມັນສໍາເລັດ, ແຕ່ກ່ອນທີ່ມັນຈະສໍາເລັດ, ລາວໄດ້ຍົກເລີກການເຮັດທຸລະກໍາ (ການເອົາລູກອອກຢ່າງຈະແຈ້ງ).

ໂດຍການເບິ່ງລະຫັດກັບຄືນຈາກການເຮັດທຸລະກໍາ TSX, ຜູ້ໂຈມຕີເຂົ້າໃຈບໍ່ວ່າຈະເປັນການຂຽນ. ຖ້າມັນເປັນ "ການເອົາລູກອອກຢ່າງຈະແຈ້ງ", ຄົນຮ້າຍເຂົ້າໃຈວ່າການບັນທຶກຈະປະສົບຜົນສໍາເລັດຖ້າລາວປະຕິບັດຕາມມັນ. ຖ້າຫນ້າຖືກອ່ານເທົ່ານັ້ນ, ຫຼັງຈາກນັ້ນການເຮັດທຸລະກໍາຈະສິ້ນສຸດລົງດ້ວຍຄວາມຜິດພາດນອກເຫນືອຈາກ "ການຍົກເລີກຢ່າງຈະແຈ້ງ".

ການຫມູນໃຊ້ຂອງ TSX ນີ້ມີຄຸນສົມບັດອີກອັນຫນຶ່ງທີ່ດີສໍາລັບຄົນຮ້າຍ (ນອກເຫນືອໄປຈາກຄວາມເປັນໄປບໍ່ໄດ້ໃນການຕິດຕາມຜ່ານຕົວນັບການປະຕິບັດຂອງຮາດແວ): ເນື່ອງຈາກຄໍາສັ່ງຂຽນຫນ່ວຍຄວາມຈໍາທັງຫມົດແມ່ນຫມັ້ນສັນຍາພຽງແຕ່ຖ້າການເຮັດທຸລະກໍາປະສົບຜົນສໍາເລັດ, ບັງຄັບໃຫ້ການເຮັດທຸລະກໍາສໍາເລັດໃຫ້ແນ່ໃຈວ່າຈຸລັງຫນ່ວຍຄວາມຈໍາທີ່ຖືກສືບສວນ. ຍັງຄົງບໍ່ປ່ຽນແປງ.

Hack ເພື່ອປ່ຽນເສັ້ນທາງການຄວບຄຸມ

ເມື່ອປະຕິບັດການໂຈມຕີ ROP ຈາກ enclave - ບໍ່ເຫມືອນກັບການໂຈມຕີ ROP ແບບດັ້ງເດີມ - ຜູ້ໂຈມຕີສາມາດຄວບຄຸມການລົງທະບຽນ RIP ໂດຍບໍ່ຕ້ອງໃຊ້ແມງໄມ້ໃດໆໃນໂຄງການທີ່ຖືກໂຈມຕີ (buffer overflow ຫຼືບາງສິ່ງບາງຢ່າງເຊັ່ນນັ້ນ). ຜູ້ໂຈມຕີສາມາດຂຽນທັບມູນຄ່າຂອງທະບຽນ RIP ທີ່ເກັບໄວ້ໃນ stack ໄດ້ໂດຍກົງ. ໂດຍສະເພາະ, ມັນສາມາດທົດແທນມູນຄ່າຂອງທະບຽນນີ້ດ້ວຍລະບົບຕ່ອງໂສ້ ROP ຂອງຕົນເອງ.

ຢ່າງໃດກໍຕາມ, ຖ້າລະບົບຕ່ອງໂສ້ ROP ຍາວ, ຫຼັງຈາກນັ້ນການຂຽນທັບຂະຫນາດໃຫຍ່ຂອງ stack ຂອງຄໍາຮ້ອງສະຫມັກເຈົ້າພາບສາມາດນໍາໄປສູ່ການສໍ້ລາດບັງຫຼວງຂອງຂໍ້ມູນແລະພຶດຕິກໍາໂຄງການທີ່ບໍ່ຄາດຄິດ. ຄົນຮ້າຍ, ຜູ້ທີ່ຊອກຫາການໂຈມຕີຂອງຕົນຢ່າງລັບໆ, ບໍ່ພໍໃຈກັບສະຖານະການນີ້. ດັ່ງນັ້ນ, ມັນສ້າງກອບ stack ຊົ່ວຄາວປອມສໍາລັບຕົວມັນເອງແລະເກັບຮັກສາລະບົບຕ່ອງໂສ້ ROP ຂອງມັນຢູ່ໃນມັນ. ເຟຣມ stack ປອມແມ່ນຖືກຈັດໃສ່ໃນສະຖານທີ່ຫນ່ວຍຄວາມຈໍາທີ່ສາມາດຂຽນໄດ້ແບບສຸ່ມ, ເຮັດໃຫ້ stack ທີ່ແທ້ຈິງ intact.

ສາມ hacks ທີ່ລະບຸໄວ້ຂ້າງເທິງໃຫ້ຄົນຮ້າຍແມ່ນຫຍັງ?

(1) ຫນ້າທໍາອິດ, malicious enclave ຜ່ານ hack ສໍາລັບທີ່ຢູ່ probing ເພື່ອເບິ່ງວ່າພວກເຂົາສາມາດອ່ານໄດ້, – ຄົ້ນຫາແອັບພລິເຄຊັນເຈົ້າພາບສໍາລັບເຄື່ອງມື ROP ທີ່ຖືກລ່ວງລະເມີດ.

(2) ຫຼັງຈາກນັ້ນໂດຍ hack ສໍາລັບທີ່ຢູ່ probing ສໍາລັບ writability, – a malicious enclave ກໍານົດພື້ນທີ່ຢູ່ໃນຫນ່ວຍຄວາມຈໍາຂອງ host app ທີ່ເຫມາະສົມສໍາລັບ injecting payload.

(3) ຕໍ່ໄປ, enclave ສ້າງລະບົບຕ່ອງໂສ້ ROP ຈາກ gadgets ທີ່ຄົ້ນພົບໃນຂັ້ນຕອນ (1) ແລະ injects ໂສ້ນີ້ເຂົ້າໄປໃນ stack ຄໍາຮ້ອງສະຫມັກເຈົ້າພາບ.

(4) ສຸດທ້າຍ, ເມື່ອຄໍາຮ້ອງສະຫມັກເຈົ້າພາບພົບກັບລະບົບຕ່ອງໂສ້ ROP ທີ່ສ້າງຂຶ້ນໃນຂັ້ນຕອນທີ່ຜ່ານມາ, payload malicious ເລີ່ມຕົ້ນປະຕິບັດ - ດ້ວຍສິດທິພິເສດຂອງຄໍາຮ້ອງສະຫມັກເຈົ້າພາບແລະຄວາມສາມາດໃນການໂທຫາລະບົບ.

ວິທີທີ່ຄົນຮ້າຍໃຊ້ແຮັກເຫຼົ່ານີ້ເພື່ອສ້າງ ranzowari

ຫຼັງຈາກແອັບພລິເຄຊັນໂຮດໂອນການຄວບຄຸມໄປຫາ enclave ໂດຍຜ່ານຫນຶ່ງໃນ ECALLs (ໂດຍບໍ່ມີການສົງໃສວ່າ enclave ນີ້ແມ່ນເປັນອັນຕະລາຍ), enclave malicious ຄົ້ນຫາພື້ນທີ່ຫວ່າງໃນຫນ່ວຍຄວາມຈໍາຂອງ host application ສໍາລັບການ injecting ລະຫັດ (ເອົາເປັນຊ່ອງຫວ່າງ ລໍາດັບຂອງຈຸລັງເຫຼົ່ານັ້ນ. ທີ່ເຕັມໄປດ້ວຍສູນ). ຫຼັງຈາກນັ້ນຜ່ານ hack ສໍາລັບທີ່ຢູ່ probing ເພື່ອເບິ່ງວ່າພວກເຂົາສາມາດອ່ານໄດ້, – enclave ຄົ້ນຫາຫນ້າທີ່ປະຕິບັດໄດ້ໃນຄໍາຮ້ອງສະຫມັກເຈົ້າພາບແລະສ້າງລະບົບຕ່ອງໂສ້ ROP ທີ່ສ້າງໄຟລ໌ໃຫມ່ທີ່ມີຊື່ວ່າ "RANSOM" ໃນໄດເລກະທໍລີປະຈຸບັນ (ໃນການໂຈມຕີທີ່ແທ້ຈິງ, enclave ໄດ້ເຂົ້າລະຫັດໄຟລ໌ຜູ້ໃຊ້ທີ່ມີຢູ່ແລ້ວ) ແລະສະແດງຂໍ້ຄວາມຄ່າໄຖ່. ໃນເວລາດຽວກັນ, ຄໍາຮ້ອງສະຫມັກທີ່ເປັນເຈົ້າພາບເຊື່ອວ່າ enclave ພຽງແຕ່ເພີ່ມສອງຕົວເລກ. ອັນນີ້ເບິ່ງຄືແນວໃດໃນລະຫັດ?

ເພື່ອຄວາມງ່າຍຂອງການຮັບຮູ້, ຂໍແນະນໍາບາງ mnemonics ຜ່ານຄໍານິຍາມ:

ພວກເຮົາບັນທຶກຄ່າຕົ້ນສະບັບຂອງ RSP ແລະ RBP ລົງທະບຽນເພື່ອຟື້ນຟູການເຮັດວຽກປົກກະຕິຂອງຄໍາຮ້ອງສະຫມັກເຈົ້າພາບຫຼັງຈາກປະຕິບັດ payload:

ພວກເຮົາກໍາລັງຊອກຫາກອບ stack ທີ່ເຫມາະສົມ (ເບິ່ງລະຫັດຈາກພາກ "hack ສໍາລັບການປ່ຽນເສັ້ນທາງການຄວບຄຸມ").

ຊອກຫາອຸປະກອນ ROP ທີ່ເຫມາະສົມ:

ຊອກຫາສະຖານທີ່ເພື່ອສັກຢາ payload:

ພວກເຮົາສ້າງລະບົບຕ່ອງໂສ້ ROP:

ນີ້ແມ່ນວິທີການເທກໂນໂລຍີ SGX ຂອງ Intel, ຖືກອອກແບບມາເພື່ອຕ້ານກັບໂຄງການທີ່ເປັນອັນຕະລາຍ, ຖືກຂູດຮີດໂດຍຄົນຮ້າຍເພື່ອບັນລຸເປົ້າຫມາຍທີ່ກົງກັນຂ້າມ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com