Переповнення буфера

В наступному прикладі програма визначила два суміжні об'єкти в пам'яті: рядок 8 байт завдовжки, A, і двобайтне ціле, B. Початково А містить нульові байти, а В містить число 1979. Символи мають розмір один байт.

Тепер, програма намагається зберегти нуль-термінований рядок excessive в буфер A. Через відсутність перевірки на допустиму довжину рядка, він затирає значення B:

Хоча програміст не збирався змінювати значення B, це значення було перезаписане і тепер містить число, утворене частиною рядка. В цьому випадку, на big-endian системі, що використовує ASCII, "e" і нульовий байт сформують число 25856. Якщо за B слідує недоступна для запису ділянка пам'яті, запис ще довшого рядка може призвести до помилки сегментації, що перерве процес.

Технічно освідомлений і злонамірений користувач може використати стекове переповнення буфера так:

• Для перезапису локальної змінної, змінивши тим самим перебіг програми на вигідніший для нападника.
• Для перезапису адреси повернення в стековому кадрі. Коли буде виконане повернення з функції, виконання програми відновиться за адресою, вказаною нападником (зазвичай це адреса буфера поля вводу). Такий спосіб найбільш розповсюджений в архітектурах, де стек росте донизу (наприклад в архітектурі x86).
• Для перезаписів вказівника на функцію,[1] або обробника винятків, що будуть виконані згодом.

Із методом «трамполайнінга» (англ. trampolining, буквально «стрибки на батуті»), якщо адреса даних, яку ввів користувач, невідома, але їх місцезнаходження зберігається в реєстрі, тоді адреса повернення може бути перезаписана на адресу опкоду, який виконає перехід до даних, введених користувачем. Якщо їх месцезнаходження зберігається в реєстрі R, тоді потрібен стрибок до опкоду для стрибка R, це викличе виконання користувацьких даних. Розташування необхідних опкодів або байтів в пам'яті може бути знайдено в динамічних бібліотеках або самій програмі. Адреси опкодів можуть змінюватися між застосунками і версіями ОС. Metasploit Project - одна з баз даних потрібних опкодів для Windows.[2]

Не варто плутати стекове переповнення буфера з переповненням стека.

Також зауважимо, що наявність таких вразливостей зазвичай перевіряється за допомогою фаззінга.[3]

Переповнення буфера в купі використовується відмінно від переповнення в стеку. Пам'ять в купі динамічно розподіляється застосунком під час виконання і, зазвичай, містить дані програми. Використання відбувається через пошкодження даних особливим чином, що призводить до перезапису внутрішніх структур даних, таких як зв'язний список вказівників.

Уразливість Microsoft GDI+ при обробці JPEGів, приклад наскільки небезпечною може бути переповнення в купі.[4]

За допомогою систем виявлення вторгнення (СВВ) можна виявити і запобігти спробам віддаленого використання переповнення буфера. Через те, що в більшості випадків дані, призначені для переповнення буфера містять довгі масиви інструкцій No Operation (NOP або NOOP), СВВ просто блокує всі вхідні пакети, що містять велику кількість послідовних NOP-ів. Цей спосіб, загалом, не ефективний, бо такі масиви можуть бути записані за допомогою великого різноманіття інструкцій мови асемблера. Останнім часом зламувачі для оминання СВВ почали використовувати коди оболонки (шел-коди) з шифруванням, кодом, що змінює себе сам, поліморфним кодом і абетково-цифровим кодом, а також атаку з поверненням в бібліотеку libc.

Захист від пошкодження стека використовується для виявлення найбільш поширених помилок переповнення буфера. При цьому перевіряється, що стек викликів не був змінений перед виходом з функції. Якщо він був змінений, тоді програма завершує своє виконання з помилкою сегментації.

Існують три такі системи: Libsafe і StackGuard з Stack-Smashing Protector (стара назва — ProPolice), дві останні є розширеннями компілятора gcc. Починаючи з gcc-4.1-stage2, SSP був інтегрований в основний дистрибутив компілятора. Gentoo Linux і OpenBSD мають SSP в складі розповсюджуваного з ними gcc.

Майкрософтівська функція безпеки по запобіганню виконанню даних не дозволяє виконувати код з області пам'яті з позначкою «тільки для даних»

Захист простору машинного коду може пом'якшити наслідки переповнення буфера, унеможливлюючи більшість дій зловмисника. Це досягається рандомізацією адресного простору (ASLR — англ. Address space layout randomization) і/або забороною одночасного доступу до пам'яті на запис і виконання. Стек без виконання запобігає більшості вразливостей коду оболонки.

Існує два виправлення для ядра Linux, які забезпечують цей захист — PaX і exec-shield. Жоден з них не є частиною основного дистрибутиву ядра. OpenBSD починаючи з версії 3.3 включає систему під назвою W^X, котра також забезпечує контроль простору виконання^{[джерело?]}.

Зауважимо, що такий спосіб захисту не запобігає пошкодженню стека. Тим не менш він часто запобігає успішне виконання «корисного вантажу» експлойта. Програма не взмозі вставити код оболонки в захищену від запису пам'ять, таку як існуючи сегменти коду виконання. Також буде неможливо виконання інструкцій в пам'яті не для виконання, наприклад в стеку або в купі.

ASLR утруднює для зламника визначення адрес функцій в коді програми, за допомогою яких він міг би здійснити успішну атаку, і робить атаки типу ret2libc дуже складним завданням, хоча вони все ще можливі в контрольованому середовищі, якщо нападник вгадає правильну адресу^{[джерело?]}.

Деякі процесори, як от Sparc від Sun, Efficeon від Transmeta, найновіші 64-розрядні x86 процесори фірм AMD (починаючи з Opteron) та Intel (починаючи з версій Pentium 4 Prescott) запобігають виконанню коду, розташованого в областях пам'яті, які позначені особливим бітом NX. AMD називає своє рішення NX (від англ. No eXecute), а Intel своє — XD (від англ. eXecute Disabled).

Зараз існує декілька різних рішень, призначених для захисту виконуваного коду в системах Windows, які пропонує компанія Майкрософт і сторонні компанії.

Майкрософт запропонувала своє рішення під назвою DEP (від англ. Data Execution Prevention — «запобігання виконанню даних»), включила його в пакети оновлень для Windows XP та Windows Server 2003. DEP використовує додаткові можливості нових процесорів Intel і AMD, для подолання обмеження в 4 ГіБ на можливість адресації пам'яті, розмір пам'яті, притаманне 32-розрядним процесорам. Для цих цілей службові структури були збільшені. Ці структури тепер містять зарезервований біт NX. DEP використовує цей біт для запобігання атакам, пов'язаним зі зміною адреси обробника винятків (так званий SEH-експлойт). DEP забезпечує тільки захист від SEH-експлойта, він не захищає сторінки пам'яті з виконуваним кодом.

До того, Майкрософт розробила механізм захисту стека, призначений для Windows Server 2003. Стек позначається за допомогою позначок (англ. canary), цілісність яких перевіряється. Якщо така позначка була змінена, значить, стек пошкоджено.

Існують також рішення від інших компаній, які запобігають виконанню кода, розташованого в областях пам'яті, призначених для даних або реалізуючих механізм ASLR.

Проблема переповнення буфера характерна для мов програмування С та C++, бо вони не приховують деталі низькорівневого представлення буферів як контейнерів для типів даних. Таким чином, задля уникнення переповнення буфера, потрібно забезпечити високий рівень контролю за створенням і зміною програмного коду, який здійснює керування буферами. Використання бібліотек абстрактних типів даних, які виконують централізоване автоматичне керування буферами і включають в себе перевірку на переповнення — один з підходів для запобігання переповнення буфера.

Два основних типи даних, які дозволяють здійснити переповнення буфера в цих мовах — рядки і масиви. Таким чином, використання бібліотек для рядків і спискових структур даних, які були розроблені для запобігання і/або виявлення переповнень буфера, дозволить уникнути багатьох уразливостей.