तपाईलाई थाहा छ, एन्क्लेभमा कार्यान्वयन गरिएको कोड यसको कार्यक्षमतामा गम्भीर रूपमा सीमित छ। यसले प्रणाली कल गर्न सक्दैन। यसले I/O कार्यहरू गर्न सक्दैन। यसलाई होस्ट अनुप्रयोगको कोड खण्डको आधार ठेगाना थाहा छैन। यसले jmp वा होस्ट अनुप्रयोग कोड कल गर्न सक्दैन। यसमा होस्ट एपलाई नियन्त्रण गर्ने ठेगाना स्पेस संरचनाको बारेमा कुनै जानकारी छैन (उदाहरणका लागि, कुन पृष्ठहरू म्याप गरिएका छन् वा ती पृष्ठहरूमा कुन प्रकारको डाटा अवस्थित छ)। यसले अपरेटिङ सिस्टमलाई होस्ट एप्लिकेसनको मेमोरीको एउटा टुक्रा यसमा नक्सा गर्न सोध्न सक्दैन (उदाहरणका लागि, /proc/pid/maps मार्फत)। एक होस्ट अनुप्रयोगको मनमानी मेमोरी क्षेत्रलाई अन्धाधुन्ध रूपमा पढ्ने भोली प्रयास, लेख्ने प्रयासहरू उल्लेख नगर्ने, ढिलो वा ढिलो (सम्भवतः पहिले) एन्क्लेभ कार्यक्रमको जबरजस्ती समाप्तिमा नेतृत्व गर्दछ। यो तब हुन्छ जब एन्क्लेभ द्वारा अनुरोध गरिएको भर्चुअल ठेगाना स्पेस क्षेत्र होस्ट अनुप्रयोगको लागि पहुँच योग्य छैन।

यस्ता कठोर वास्तविकताहरूलाई ध्यानमा राख्दै, के भाइरस लेखकले आफ्नो दुर्भावनापूर्ण लक्ष्यहरू प्राप्त गर्न SGX एन्क्लेभहरू प्रयोग गर्न सक्षम हुनेछ?

- ठेगानाहरू पढ्न सकिन्छ कि भनेर जाँच गर्नका लागि ह्याक
- लेखन योग्यताको लागि ठेगानाहरू जाँच गर्न ह्याक गर्नुहोस्
- नियन्त्रण प्रवाह रिडिरेक्ट गर्न ह्याक
- माथि सूचीबद्ध तीन ह्याकहरूले खलनायकलाई के दिन्छ?
- कसरी खलनायकले रणजोवारी सिर्जना गर्न यी ह्याकहरू प्रयोग गर्दछ

माथिका सबैको आधारमा, यो सामान्यतया स्वीकार गरिन्छ कि एन्क्लेभले मात्र होस्ट अनुप्रयोगलाई सेवा दिन सक्षम छ, र त्यो एन्क्लेभले दुर्भावनापूर्णहरू सहित आफ्नै पहल गर्न सक्दैन। यसको मतलब यो हो कि एन्क्लेभहरू भाइरस लेखकहरूको लागि कुनै व्यावहारिक मूल्य होइन। SGX सुरक्षा असममित हुनुको एउटा कारण यो हतारको धारणा हो: होस्ट अनुप्रयोग कोडले एन्क्लेभ मेमोरीमा पहुँच गर्न सक्दैन, जबकि एन्क्लेभ कोडले कुनै पनि होस्ट अनुप्रयोग मेमोरी ठेगानामा पढ्न र लेख्न सक्छ।

त्यसकारण, यदि मालिसियस एन्क्लेभ कोडले होस्ट एप्लिकेसनको तर्फबाट स्वेच्छाचारी प्रणाली कलहरू गर्न, यसको तर्फबाट स्वेच्छाचारी कोड कार्यान्वयन गर्न, होस्ट अनुप्रयोगको मेमोरी स्क्यान गर्न र यसमा दुरुपयोगयोग्य ROP चेनहरू फेला पार्न सक्षम भयो भने, यसले होस्ट अनुप्रयोगको पूर्ण नियन्त्रण कब्जा गर्न सक्छ। चुपचाप मोड। यसले प्रयोगकर्ता फाइलहरू चोर्न र इन्क्रिप्ट मात्र गर्न सक्दैन, तर प्रयोगकर्ताको तर्फबाट कार्य पनि गर्न सक्छ। उदाहरणका लागि, उसको तर्फबाट फिसिङ इमेलहरू पठाउनुहोस् वा DoS आक्रमणहरू सञ्चालन गर्नुहोस्। स्ट्याक क्यानरीहरू र ठेगाना सेनिटाइजेशन जस्ता सबैभन्दा आधुनिक सुरक्षात्मक संयन्त्रहरूको डर बिना।

हामी तपाईंलाई केही ह्याकहरू देखाउनेछौं जुन आक्रमणकारीहरूले माथि वर्णन गरिएका सीमितताहरू पार गर्न प्रयोग गर्छन् SGX को आफ्नै दुर्भावनापूर्ण उद्देश्यका लागि फाइदा उठाउन: ROP आक्रमणहरू। या त होस्ट एप्लिकेसन प्रक्रियाको भेषमा स्वेच्छाचारी कोड कार्यान्वयन गर्न (प्रोसेस होलोइङ जस्तै, जुन प्राय मालवेयरद्वारा प्रयोग गरिन्छ), वा रेडिमेड मालवेयर लुकाउन (यसको मालवेयरलाई एन्टिभाइरस र अन्य रक्षा संयन्त्रहरूद्वारा सतावटबाट बचाउन)।

ठेगानाहरू पढ्न सकिन्छ कि भनेर जाँच्नका लागि ह्याक गर्नुहोस्

एन्क्लेभलाई भर्चुअल ठेगाना स्पेसको कुन दायराहरू होस्ट एप्लिकेसनमा पहुँचयोग्य छन् भनेर थाहा नभएकोले, र पहुँचयोग्य ठेगाना पढ्न प्रयास गर्दा एन्क्लेभ समाप्त गर्न बाध्य भएको हुनाले, आक्रमणकारीले गल्तीको बाटो खोज्ने कार्यको सामना गर्नुपरेको छ- सहिष्णुतापूर्वक ठेगाना स्पेस स्क्यान गर्नुहोस्। उपलब्ध भर्चुअल ठेगानाहरू नक्सा गर्ने तरिका खोज्नुहोस्। खलनायकले Intel को TSX प्रविधिको दुरुपयोग गरेर यो समस्या समाधान गर्छ। TSX को साइड इफेक्टहरू मध्ये एक प्रयोग गर्दछ: यदि मेमोरी पहुँच प्रकार्य TSX लेनदेनमा राखिएको छ भने, अमान्य ठेगानाहरू पहुँच गर्दा उत्पन्न हुने अपवादहरू अपरेटिङ सिस्टममा नपुगेको TSX द्वारा दबाइन्छ। यदि अमान्य मेमोरी ठेगाना पहुँच गर्ने प्रयास गरियो भने, हालको लेनदेन मात्र रद्द हुन्छ, सम्पूर्ण एन्क्लेभ कार्यक्रम होइन। त्यो। TSX ले एन्क्लेभलाई लेनदेन भित्रबाट कुनै पनि ठेगाना सुरक्षित रूपमा पहुँच गर्न अनुमति दिन्छ - पतनको जोखिम बिना।

यदि निर्दिष्ट ठेगाना उपलब्ध छ होस्ट अनुप्रयोग, TSX लेनदेन प्रायः सफल हुन्छ। दुर्लभ अवस्थामा, यो बाह्य प्रभावहरू जस्तै अवरोधहरू (जस्तै अनुसूचक अवरोधहरू), क्यास निष्कासन, वा बहु प्रक्रियाहरूद्वारा मेमोरी स्थानको एक साथ परिमार्जनको कारणले असफल हुन सक्छ। यी दुर्लभ अवस्थामा, TSX ले त्रुटि अस्थायी हो भनी संकेत गर्ने त्रुटि कोड फर्काउँछ। यी अवस्थाहरूमा, तपाईंले मात्र लेनदेन पुन: सुरु गर्न आवश्यक छ।

यदि निर्दिष्ट ठेगाना उपलब्ध छैन होस्ट अनुप्रयोग, TSX ले अपवादलाई दबाउँछ (OS लाई सूचित गरिएको छैन) र लेनदेन रद्द गर्दछ। एउटा त्रुटि कोड एन्क्लेभ कोडमा फर्काइन्छ ताकि यसले लेनदेन रद्द गरिएको तथ्यमा प्रतिक्रिया दिन सक्छ। यी त्रुटि कोडहरूले संकेत गर्दछ कि प्रश्नमा रहेको ठेगाना होस्ट अनुप्रयोगमा उपलब्ध छैन।

एन्क्लेभ भित्रबाट TSX को यो हेरफेर खलनायकको लागि राम्रो सुविधा छ: किनकि एन्क्लेभ कोड कार्यान्वयन भएको समयमा अधिकांश हार्डवेयर प्रदर्शन काउन्टरहरू अद्यावधिक गरिएको छैन, एन्क्लेभ भित्र कार्यान्वयन गरिएको TSX लेनदेनहरू ट्र्याक गर्न असम्भव छ। यसरी, TSX को दुर्भावनापूर्ण हेरफेर अपरेटिङ सिस्टममा पूर्ण रूपमा अदृश्य रहन्छ।

थप रूपमा, माथिको ह्याकले कुनै पनि प्रणाली कलहरूमा भर नपर्ने हुनाले, यो न त पत्ता लगाउन सकिन्छ न त केवल प्रणाली कलहरू अवरुद्ध गरेर रोक्न सकिन्छ; जसले सामान्यतया अण्डाको शिकार विरुद्धको लडाईमा सकारात्मक परिणाम दिन्छ।

खलनायकले ROP चेन बनाउनका लागि उपयुक्त ग्याजेटहरूको लागि होस्ट अनुप्रयोग कोड खोज्न माथि वर्णन गरिएको ह्याक प्रयोग गर्दछ। एकै समयमा, उहाँले हरेक ठेगाना जाँच गर्न आवश्यक छैन। भर्चुअल ठेगाना स्पेसको प्रत्येक पृष्ठबाट एउटा ठेगाना जाँच गर्न पर्याप्त छ। सबै 16 गीगाबाइट मेमोरी जाँच गर्न लगभग 45 मिनेट लाग्छ (इन्टेल i7-6700K मा)। नतिजाको रूपमा, खलनायकले कार्यान्वयनयोग्य पृष्ठहरूको सूची प्राप्त गर्दछ जुन ROP श्रृंखला निर्माण गर्न उपयुक्त छन्।

लेखन योग्यताको लागि ठेगानाहरू जाँच गर्नका लागि ह्याक

ROP आक्रमणको एन्क्लेभ संस्करण सञ्चालन गर्न, आक्रमणकर्ताले होस्ट अनुप्रयोगको लेख्न योग्य अप्रयुक्त मेमोरी क्षेत्रहरू खोज्न सक्षम हुन आवश्यक छ। आक्रमणकारीले नक्कली स्ट्याक फ्रेम इन्जेक्सन गर्न र पेलोड (शेलकोड) इन्जेक्सन गर्न यी मेमोरी स्थानहरू प्रयोग गर्दछ। तल्लो रेखा यो हो कि एक मालिसियस एन्क्लेभले होस्ट अनुप्रयोगलाई आफ्नै लागि मेमोरी आवंटित गर्न आवश्यक छैन, तर यसको सट्टा होस्ट अनुप्रयोगद्वारा पहिले नै छुट्याइएको मेमोरीको दुरुपयोग गर्न सक्छ। यदि, निस्सन्देह, उसले एन्क्लेभलाई ध्वस्त नगरी त्यस्ता क्षेत्रहरू फेला पार्न प्रबन्ध गर्दछ।

खलनायकले TSX को अर्को साइड इफेक्टको शोषण गरेर यो खोजी गर्छ। पहिले, अघिल्लो अवस्थामा जस्तै, यसले यसको अस्तित्वको लागि ठेगानाको जाँच गर्छ, र त्यसपछि यो ठेगानासँग सम्बन्धित पृष्ठ लेख्न योग्य छ कि छैन भनेर जाँच गर्दछ। यो गर्नको लागि, खलनायकले निम्न ह्याक प्रयोग गर्दछ: उसले TSX लेनदेनमा लेखन प्रकार्य राख्छ, र यो पूरा भएपछि, तर यो पूरा हुनु अघि, उसले जबरजस्ती लेनदेन रद्द गर्दछ (स्पष्ट रद्द)।

TSX लेनदेनबाट फिर्ता कोड हेरेर, आक्रमणकर्ताले यो लेख्न योग्य छ कि छैन भनेर बुझ्दछ। यदि यो "स्पष्ट गर्भपात" हो भने, खलनायकले बुझ्दछ कि यदि उसले यसलाई पछ्याएको भए रेकर्डिङ सफल हुने थियो। यदि पृष्ठ पढ्ने मात्र हो भने, लेनदेन "स्पष्ट रद्द" बाहेक अन्य त्रुटि संग समाप्त हुन्छ।

TSX को यो हेरफेरमा अर्को विशेषता छ जुन खलनायकको लागि राम्रो छ (हार्डवेयर प्रदर्शन काउन्टरहरू मार्फत ट्र्याक गर्ने असम्भवता बाहेक): सबै मेमोरी लेखन आदेशहरू लेनदेन सफल भएमा मात्र प्रतिबद्ध हुन्छन्, लेनदेन पूरा गर्न जबरजस्ती जाँच गरिएको मेमोरी सुनिश्चित गर्दछ। सेल अपरिवर्तित रहन्छ।

नियन्त्रण प्रवाह रिडिरेक्ट गर्न ह्याक

एन्क्लेभबाट आरओपी आक्रमण गर्दा - परम्परागत आरओपी आक्रमणहरू भन्दा फरक - आक्रमणकारीले आक्रमण गरिएको कार्यक्रममा कुनै पनि बगहरू (बफर ओभरफ्लो वा यस्तै केहि) शोषण नगरी RIP दर्ताको नियन्त्रण प्राप्त गर्न सक्छ। एक आक्रमणकर्ताले स्ट्याकमा भण्डारण गरिएको RIP दर्ताको मान सीधै अधिलेखन गर्न सक्छ। विशेष गरी, यसले यस दर्ताको मूल्यलाई आफ्नै ROP चेनसँग बदल्न सक्छ।

यद्यपि, यदि ROP श्रृंखला लामो छ भने, होस्ट अनुप्रयोगको स्ट्याकको ठूलो भागलाई अधिलेखन गर्दा डेटा भ्रष्टाचार र अप्रत्याशित कार्यक्रम व्यवहार हुन सक्छ। लुकेर आफ्नो आक्रमण गर्न खोज्ने खलनायक यो अवस्थाबाट सन्तुष्ट छैनन्। त्यसकारण, यसले आफैंको लागि नक्कली अस्थायी स्ट्याक फ्रेम सिर्जना गर्दछ र यसमा यसको ROP चेन भण्डार गर्दछ। नक्कली स्ट्याक फ्रेम वास्तविक स्ट्याक अक्षुण्ण छोडेर, अनियमित लेखन योग्य मेमोरी स्थानमा राखिएको छ।

माथि सूचीबद्ध तीन ह्याकहरूले खलनायकलाई के दिन्छ?

(१) पहिले, दुर्भावनापूर्ण एन्क्लेभ मार्फत ठेगानाहरू पढ्न सकिन्छ कि भनेर जाँच गर्नका लागि ह्याक, - दुरुपयोगयोग्य ROP ग्याजेटहरूको लागि होस्ट अनुप्रयोग खोज्छ।

(2) त्यसपछि द्वारा लेखन योग्यताका लागि ठेगानाहरू जाँच गर्नका लागि ह्याक, - एक मालिसियस एन्क्लेभले होस्ट एप्लिकेसनको मेमोरीमा रहेका क्षेत्रहरू पहिचान गर्छ जुन पेलोड इन्जेक्सन गर्न उपयुक्त हुन्छ।

(३) अर्को, एन्क्लेभले चरण (१) मा पत्ता लगाइएका ग्याजेटहरूबाट ROP चेन बनाउँछ र यो चेनलाई होस्ट एप स्ट्याकमा इन्जेक्ट गर्छ।

(४) अन्तमा, जब होस्ट एप्लिकेसनले अघिल्लो चरणमा सिर्जना गरिएको ROP चेनको सामना गर्छ, खराब पेलोडले कार्यान्वयन गर्न थाल्छ - होस्ट एपको विशेषाधिकार र प्रणाली कल गर्ने क्षमताको साथ।

कसरी एक खलनायकले यी ह्याकहरू ranzowari सिर्जना गर्न प्रयोग गर्दछ

होस्ट एप्लिकेसनले एउटा ECALL मार्फत एन्क्लेभमा नियन्त्रण स्थानान्तरण गरेपछि (यो एन्क्लेभ खराब छ भन्ने शंका नगरी), खराब एन्क्लेभले इन्जेक्सन कोडको लागि होस्ट अनुप्रयोगको मेमोरीमा खाली ठाउँ खोज्छ (कोषका ती अनुक्रमहरूलाई खाली ठाउँको रूपमा लिन्छ। जुन शून्यले भरिएको छ)। त्यसपछि मार्फत ठेगानाहरू पढ्न सकिन्छ कि भनेर जाँच गर्नका लागि ह्याक, - एन्क्लेभले होस्ट अनुप्रयोगमा कार्यान्वयनयोग्य पृष्ठहरू खोज्छ र ROP चेन उत्पन्न गर्दछ जसले हालको डाइरेक्टरीमा "RANSOM" नामको नयाँ फाइल सिर्जना गर्दछ (वास्तविक आक्रमणमा, एन्क्लेभले अवस्थित प्रयोगकर्ता फाइलहरूलाई इन्क्रिप्ट गर्दछ) र फिरौती सन्देश प्रदर्शन गर्दछ। एकै समयमा, होस्ट एप्लिकेसनले सहजै विश्वास गर्छ कि एन्क्लेभले मात्र दुई नम्बरहरू थपिरहेको छ। यो कोडमा कस्तो देखिन्छ?

धारणाको सहजताको लागि, परिभाषाहरू मार्फत केही मेमोनिक्स परिचय गरौं:

हामीले पेलोड कार्यान्वयन गरेपछि होस्ट अनुप्रयोगको सामान्य सञ्चालन पुनर्स्थापना गर्न RSP र RBP दर्ताहरूको मूल मानहरू बचत गर्छौं:

हामी उपयुक्त स्ट्याक फ्रेम खोजिरहेका छौं ("नियन्त्रण प्रवाह रिडिरेक्ट गर्न ह्याक" खण्डबाट कोड हेर्नुहोस्)।

उपयुक्त ROP ग्याजेटहरू खोज्दै:

पेलोड इन्जेक्सन गर्न ठाउँ खोज्दै:

हामी ROP चेन बनाउँछौं:

यसरी इंटेलको SGX टेक्नोलोजी, दुर्भावनापूर्ण कार्यक्रमहरूको प्रतिरोध गर्न डिजाइन गरिएको, विपरीत लक्ष्यहरू प्राप्त गर्न खलनायकहरूद्वारा शोषण गरिन्छ।

स्रोत: www.habr.com