Kingcope: A Windows 7/8 címtér randomizálásának támadása

Titkosítás, biztonság, privát szféra

A 0day exploitjairól ismert Kingcope ma egy linket tett közzé a full-disclosure levelezési listán. A link az "Attacking the Windows 7/8 Address Space Randomization" című blogbejegyzésére mutat. A blogbejegyzésben arról ír, hogy hogyan lehet megkerülni a Windows 7/8 operációs rendszerek memóriavédelmi mechanizmusait annak érdekében, hogy a támadó tetszőleges assembly kódot futtathasson a rendszeren. Kingcope szerint a téma meglehetősen összetett, ráadásul a blogbejegyzésben leírt metódusok nem hibamentesek és lehet még rajtuk javítani. Ennek ellenére számos esetben lehetséges ezen módszerek felhasználásával teljesen megkerülni a Windows 7, és kiváltképp a Windows 8 ASLR-jét.

( siposa v | 2013. 01. 25., p – 09:13 )

Ami számomra nem világos, hogy az A.S.L.R. módszerrel van probléma, vagy csak ezzel az implementációjával?

Ugytunik, hogy az implementacioval. Azon belul is 32bites rendszerek. Viszont a PoC patchelesre kerult (ami nem teszi invalida a ASLR kiszamithatosagat 32 bitten):
"The PoC makes use of the following vulnerability and therefore for testing the PoC the patch must not be installed. MS12-063 Microsoft Internet Explorer execCommand Use-After-Free Vulnerability. This vulnerability is identified as CVE-2012-4969."

( sh4d0w808 | 2013. 01. 25., p – 11:28 )

Kiváltképp a Windows 8 ASLR-jét azt jelenti, hogy a Windows 8-ban rosszabb ASLR van implementálva, mint a 7-esben?

-------------------------
Trust is a weakness...

Helyes a forditas:

Testcases have shown that Windows 8 behaves more vulnerable to the method than Windows 7. In Windows 8 the DLL will be loaded at the very low address 0x10000 and more reliable than in Windows 7. Windows 7 is much more persistant in loading the DLL at a fixed memory address. The testcases for Windows 7 have shown that the DLL will be loaded at the predictable address at least 7 out of 10 times of loading the exploit.