Као што знате, код који се извршава у енклави озбиљно је ограничен у својој функционалности. Не може да упућује системске позиве. Не може да обавља И/О операције. Не зна основну адресу сегмента кода апликације домаћина. Не може јмп или позвати код апликације хоста. Нема појма о структури адресног простора која управља апликацијом домаћина (на пример, које странице су мапиране или које врсте података се налазе на тим страницама). Не може тражити од оперативног система да мапира део меморије хост апликације на њега (на пример, преко /проц/пид/мапс). Наивни покушаји слепо читања произвољног меморијског региона хост апликације, а да не помињемо покушаје писања, пре или касније (највероватније први) ће довести до принудног прекида програма енклаве. Ово се дешава кад год је регион виртуелног адресног простора који захтева енклава недоступан апликацији домаћина.

С обзиром на тако оштру стварност, да ли ће писац вируса моћи да користи СГКС енклаве да постигне своје злонамерне циљеве?

– Хак за испитивање адреса да се види да ли се могу прочитати
– Хак за испитивање адреса за могућност уписивања
– Хак за преусмеравање тока контроле
– Шта три горе наведена хака дају зликовцу?
– Како зликовац користи ове хакове да створи ранзовари

На основу свега наведеног, опште је прихваћено да је енклава способна да опслужује само апликацију домаћина и да енклава не може да спроводи сопствену иницијативу, укључујући и злонамерне. То значи да енклаве немају практичну вредност за писце вируса. Ова исхитрена претпоставка је један од разлога зашто је СГКС заштита асиметрична: код апликације хоста не може приступити енклавној меморији, док енклавни код може читати и писати на било коју меморијску адресу хост апликације.

Према томе, ако је злонамерни енклавни код био у стању да изврши произвољне системске позиве у име хост апликације, изврши произвољан код у њено име, скенира меморију хост апликације и пронађе у њој РОП ланце који се могу злоупотребити, могао би да преузме потпуну контролу над апликацијом домаћина, у стеалтх мод. Може не само да краде и шифрује корисничке датотеке, већ и да делује у име корисника. На пример, шаљите е-поруке за „пецање“ у његово име или спроводите ДоС нападе. Без страха од чак и најсавременијих заштитних механизама, као што су канаринци и адреса санитизације.

Показаћемо вам неколико хакова које нападачи користе да би превазишли горе описана ограничења како би искористили СГКС за своје злонамерне сврхе: РОП напади. Или за извршавање произвољног кода прерушеног у процес апликације хоста (слично као удубљење процеса, које често користи малвер), или за прикривање готовог малвера (да би се његов малвер сачувао од прогона антивируса и других одбрамбених механизама).

Хакирајте за испитивање адреса да бисте видели да ли се могу прочитати

Пошто енклава не зна који опсези виртуелног адресног простора су доступни апликацији домаћина, и пошто је енклава принуђена да се прекине када покуша да прочита недоступну адресу, нападач је суочен са задатком да пронађе начин за грешку. толерантно скенирати адресни простор. Пронађите начин да мапирате доступне виртуелне адресе. Зликовац решава овај проблем злоупотребом Интелове ТСКС технологије. Користи један од ТСКС-ових споредних ефеката: ако је функција приступа меморији смештена у ТСКС трансакцију, онда ТСКС потискује изузетке који произилазе из приступа неважећим адресама без достизања оперативног система. Ако се покуша приступити неважећој меморијској адреси, прекида се само тренутна трансакција, а не цео програм енклаве. То. ТСКС омогућава енклави да безбедно приступи било којој адреси из трансакције - без ризика од колапса.

Ако наведена адреса је доступна хост апликација, ТСКС трансакција је најчешће успешна. У ретким случајевима, може да пропадне због спољних утицаја као што су прекиди (као што су прекиди планера), избацивања из кеша или истовремена модификација меморијске локације од стране више процеса. У овим ретким случајевима, ТСКС враћа код грешке који указује да је грешка привремена. У овим случајевима, само треба да поново покренете трансакцију.

Ако наведена адреса је недоступна хост апликација, ТСКС потискује изузетак који се догодио (ОС није обавештен) и прекида трансакцију. Шифра грешке се враћа коду енклаве како би могао да реагује на чињеницу да је трансакција отказана. Ови кодови грешака указују на то да дотична адреса није доступна главној апликацији.

Ова манипулација ТСКС-ом из енклаве има лепу особину за негативца: пошто већина бројача хардверских перформанси није ажурирана у време извршавања кода енклаве, немогуће је пратити ТСКС трансакције извршене унутар енклаве. Дакле, злонамерна манипулација ТСКС-ом остаје потпуно невидљива за оперативни систем.

Додатно, пошто се горњи хак не ослања ни на какве системске позиве, не може се ни открити ни спречити једноставним блокирањем системских позива; што обично даје позитиван резултат у борби против лова на јаја.

Зликовац користи горе описани хак да би претражио код апликације домаћина за уређаје погодне за формирање РОП ланца. У исто време, он не мора да испитује сваку адресу. Довољно је испитати једну адресу са сваке странице виртуелног адресног простора. Испитивање свих 16 гигабајта меморије траје око 45 минута (на Интел и7-6700К). Као резултат тога, негативац добија листу извршних страница које су погодне за конструисање РОП ланца.

Хак за испитивање адреса за могућност уписивања

Да би извршио енклавну верзију РОП напада, нападач мора да буде у стању да претражи неискоришћене меморијске области које се могу писати у апликацији домаћина. Нападач користи ове меморијске локације да убаци лажни оквир стека и да убаци корисни терет (шеллцоде). Суштина је да злонамерна енклава није у стању да захтева од хост апликације да додели меморију за себе, већ уместо тога може да злоупотреби меморију коју је већ доделила хост апликација. Ако, наравно, успе да пронађе таква подручја без урушавања енклаве.

Зликовац спроводи ову претрагу користећи још један нежељени ефекат ТСКС-а. Прво, као иу претходном случају, испитује адресу да ли постоји, а затим проверава да ли је страница која одговара овој адреси уписива. Да би то урадио, негативац користи следећи хак: он поставља функцију писања у ТСКС трансакцију, и након што се заврши, али пре него што се заврши, насилно прекида трансакцију (експлицитно прекидање).

Гледајући повратни код из ТСКС трансакције, нападач разуме да ли је у њега могуће писати. Ако је реч о „експлицитном абортусу”, негативац разуме да би снимак био успешан да је он то наставио. Ако је страница само за читање, трансакција се завршава са грешком која није „експлицитно прекидање“.

Ова манипулација ТСКС-ом има још једну особину која је згодна за зликовца (поред немогућности праћења преко бројача хардверских перформанси): пошто се све команде за уписивање меморије обавезују само ако је трансакција успешна, присиљавање трансакције да се заврши осигурава да ће испитана меморијска ћелија остаје непромењена.

Хак за преусмеравање тока контроле

Када изводи РОП напад из енклаве – за разлику од традиционалних РОП напада – нападач може добити контролу над РИП регистром без искоришћавања грешака у нападнутом програму (преливање бафера или нешто слично). Нападач може директно да препише вредност РИП регистра ускладиштеног на стеку. Конкретно, може заменити вредност овог регистра сопственим РОП ланцем.

Међутим, ако је РОП ланац дугачак, онда преписивање великог дела стека апликације домаћина може довести до оштећења података и неочекиваног понашања програма. Зликовац, који настоји да тајно изведе свој напад, није задовољан оваквим стањем ствари. Стога, он ствара лажни привремени стек оквир за себе и складишти свој РОП ланац у њему. Лажни стек оквир се поставља на случајно уписану меморијску локацију, остављајући прави стек нетакнутим.

Шта три горе наведена хака дају негативцу?

(1) Прво, злонамерна енклава кроз хак за испитивање адреса да се види да ли се могу прочитати, – претражује хост апликацију у потрази за РОП гаџетима који се могу злоупотребити.

(2) Затим по хак за испитивање адреса за могућност уписивања, – злонамерна енклава идентификује области у меморији апликације домаћина које су погодне за убацивање корисног оптерећења.

(3) Затим, енклава креира РОП ланац од гаџета откривених у кораку (1) и убризгава овај ланац у стек апликација домаћина.

(4) Коначно, када хост апликација наиђе на РОП ланац креиран у претходном кораку, почиње да се извршава злонамерно оптерећење – са привилегијама хост апликације и могућношћу упућивања системских позива.

Како зликовац користи ове хакове да створи ранзовари

Након што апликација хост пренесе контролу на енклаву преко једног од ЕЦАЛЛ-ова (без сумње да је ова енклава злонамерна), злонамерна енклава тражи слободан простор у меморији хост апликације за убацивање кода (узимајући као слободни простор те секвенце ћелија који је испуњен нулама). Онда кроз хак за испитивање адреса да се види да ли се могу прочитати, – енклава тражи извршне странице у главној апликацији и генерише РОП ланац који креира нову датотеку под називом „РАНСОМ“ у тренутном директоријуму (у стварном нападу, енклава шифрује постојеће корисничке датотеке) и приказује поруку о откупнини. Истовремено, апликација домаћин наивно верује да енклава једноставно сабира два броја. Како ово изгледа у коду?

Ради лакше перцепције, хајде да уведемо неке мнемонике кроз дефиниције:

Чувамо оригиналне вредности РСП и РБП регистара да бисмо вратили нормалан рад хост апликације након извршавања корисног оптерећења:

Тражимо одговарајући оквир стека (погледајте код из одељка „хацк за преусмеравање тока контроле“).

Проналажење одговарајућих РОП уређаја:

Проналажење места за убризгавање терета:

Градимо РОП ланац:

Овако зликовци користе Интелову СГКС технологију, дизајнирану за сузбијање злонамерних програма, за постизање супротних циљева.

Извор: ввв.хабр.цом