Конференция Black Hat: эксперты демонстрируют новые методы обхода ASLR и DEP
04.02.2010
На проходящей в Вашингтоне конференции по компьютерной безопасности Black Hat эксперты показали методы обхода средств защиты последних версий Internet Explorer. В обоих случаях для эксплуатации уязвимостей требовалось наличие Adobe Flash Player.
Воспользовавшись уязвимостями в этом плагине, исследователи смогли обойти такие средства борьбы с хакерами, как ASLR (рандомизация адресного пространства) и DEP (предотвращение выполнения данных).
Обе атаки используют JIT-компилятор Flash, с помощью которого память компьютера заполняется частями идентичного шелл-кода. Эта техника, получившая обозначение JIT-spray, позволяет обойти защиту ASLR, которая обычно предотвращает запуск вредоносного кода, меняя адреса размещения системных компонентов в памяти при каждой загрузке системы.
Автор первого эксплоита, Дионисиус Блазакис, сумел вчера на глазах аудитории с помощью JIT-spray запустить через Internet Explorer 8 калькулятор Windows, продемонстрировав тем самым, что хакер может использовать баг в плагине Adobe для выполнения любого кода по своему желанию.
Данное открытие отнюдь не является чисто академическим, поскольку оно позволяет обойти защиту ASLR и DEP, благодаря которой в IE8 не срабатывал эксплоит, применявшийся хакерами во время знаменитой атаки на Google. По словам исследователя, JIT-spray помогает добиться устойчивого срабатывания эксплоита, позволяя угадывать верный диапазон адресов в 9 случаях из 10.
Похожую атаку продемонстрировал и другой эксперт, сотрудник фирмы ImmunityНиколя Пувесль, продемонстрировавший способ уверенной эксплуатации этого же бага в браузере IE8, работающем в среде операционной системы Windows 7. Воспользовавшись плагином Flash, он сумел записать в память "много больших Flash-файлов", после чего обошел DEP, преобразовав скрипт ActionScript в машинный код и связав его с замаскированным шелл-кодом.
По словам Пувесля, ждать устранения уязвимости, благодаря которой становится возможной эксплуатация подобных брешей, в обозримом будущем не приходится.
