290-内存管理的安全问题

女爷i 2023-01-15 13:27 81阅读 0赞

## 安全问题 ##

内存和虚拟内存是容易受到安全威胁的系统资源，因此需要采取一些安全对策来保护它们。**最明显的安全需求是防止进程内存中的内容遭受未授权访问**。如果进程没有声明共享其部分内存，则其他程序不得访问这部分内存内容。如果进程声明其某部分内存可以被指定程序共享，那么操作系统的安全服务必须保证只有这些指定进程可以访问这部分内存。

## 缓冲区溢出攻击 ##

**这是一种内存管理的很严重的安全威胁：缓冲区溢出，也叫内存越界**，NIST（美国国家标准技术研究院）的关键信息安全术语词汇表中对其定义如下：  
**缓冲区溢出：输入到一个缓冲区或者数据保存区域的数据量超过了其容量，从而导致覆盖了其他信息的一种状况。攻击者造成并利用这种状况使系统崩溃或者通过插入特制的代码来控制系统。**  
当一个进程试图向一个固定大小的缓冲区中存储的数据量超过了这个缓冲区的限制时，会覆盖相邻的内存单元，**这种缓冲区溢出可能是由编程错误造成的**。相邻的内存单元中可能存有其他程序的变量、参数或者类似于返回地址或指向前一个栈帧的指针等程序控制流数据。缓冲区可以位于堆、栈或进程的数据段。这种错误的后果包括程序使用的数据损坏，程序中控制流发生意外改变，违法的内存访问，并且最终很有可能造成程序终止。当攻击者成功地攻击了一个系统之后，作为攻击的一部分，程序的控制流可能会跳转到攻击者选择的代码处，造成的结果是被攻击的进程可以执行任意的特权代码。缓冲区溢出攻击是最普遍和最危险的计算机安全攻击类型之一。  
**为了说明一种常见类型的缓冲区溢出（即堆栈溢出）的基本过程，请看图7.13a中给出的C语言main函数**。函数包括3个变量（valid,str1和str2）。它们的值将被存放在相邻的内存单元中。它们的顺序和位置取决于变量类型（局部的或全局的）、所使用的语言和编译器以及目标机器的体系结构。对于这个例子，假设它们从高到低存储在连续的内存单元中，如图7.14所示。这是一个典型的基于常见处理器体系结构（如Intel奔腾系统）的C语言函数中局部变量的例子。程序段的目的在于调用函数next\_tag(str1)将一些预期的标记值复制给str1，假定这个标记值为字符串START。然后使用C语言的标准库函数gets()从标准输入中读取下一行，接‘、 ’着用读到的字符串与预期的值做比较。如果下一行确实包含字符串START，比较将会成功，变量valid将被置为TRUE。  
**本例为图7.13b中演示的三个例子程序的第一个**。其他任何输入标记都会使valid的值为FALSE。这种代码段可以用于解析结构化的网络协议交互或者格式化的文本文件。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xJTlpFWVU2NjY_size_16_color_FFFFFF_t_70]  
这段代码存在问题，因为传统的C语言库函数gets()不包括数据复制总数的任何检查。它从程序标准输入中读取下一行文本，直到出现第一个换行符，并且把复制内容放在提供的缓冲区中，再以C语言字符串所用的NULL终结符作为其结尾。如果输入行多于7个字符，那么在读入这些字符（带NULL终结符）时所需的空间就会大于str2缓冲区可以提供的空间。因此，多余的字符将会覆盖与其相邻的变量值，本例中为str1。例如，如果输入行包括EVILINPUTVALUE，结果则是str1被字符TVALUE覆盖，str2不仅占据为其分配的8个字符位置，还占据str1中大于7个字符的位置。这个可以参考图7.13b中的第二个程序运行实例。这个溢出导致没有直接用于保存此输入的一个变量的数据毁坏。由于两个字符不相等，valid值则依然为FALSE。此外，如果输入16个或更多字符，将会覆盖更多额外的内存单元。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xJTlpFWVU2NjY_size_16_color_FFFFFF_t_70 1]  
前面举例说明了缓冲区溢出的基本过程。简单地说，任何未经检查的向缓冲区复制数据的行为都有可能导致相邻内存单元数据毁坏，这些单元可能存储其他变量，也可能是用于程序控制的地址和数据。即使如此简单的例子也可能会被进一步利用。理解了处理它的代码结构，攻击者可以设计改写str2的值，从而使得str1与str2的值相等，进而影响比较结果。例如，输入行是字符串BADINPUTBADINPUT，随后比较的结果参见图7.13b中第三个程序运行示例，并且图7.14显示了在调用gets()函数之前和之后的局部变量的值。仍需注意输入字符串的NULL终止符被写入紧跟str1之后的内存空间。这意味着当读取的tag值与预期值完全不同时，程序控制流却像发现预期值一样继续运行，这自然会导致程序不按预期运行。**这种情况的严重性很大程度上取决于被攻击程序的逻辑，如果内存中存放的不是tag值，而是用于访问特权管理的预期密码和输入密码，这时可能会发生危险**。如果是这种情况，缓冲区溢出为攻击者提供了即便不清楚正确密码也可以访问特权管理的方式。  
**为了利用在此已经提到的各种缓冲区溢出类型，攻击者需要：**  
1、找出一些程序中可能被攻击者控制的外源数据触发的缓冲区溢出漏洞；  
2、了解缓冲区将如何在进程内存中存储，从而发现毁坏相邻内存单元以及改变程序执行流的可能性。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xJTlpFWVU2NjY_size_16_color_FFFFFF_t_70 2]  
发现易受攻击程序可以通过观察程序源码，追踪程序处理特大型输入时的执行情况，或者使用特定工具，如fuzzing，可以自动发现潜在的易受攻击的程序。攻击者会对其导致的内存数据毁坏做什么处理相当多样化，这要取决于被改写的数据内容。

## 预防缓冲区溢出 ##

**发现并利用堆栈缓冲区溢出并不困难**。在过去几十年中利用其攻击成功的显著效果已经清楚地说明了这点。因此非常有需要来保护系统以免受缓冲区攻击，可以预防或者至少要能够检测并且阻止此类攻击。  
**广义上保护对策分为两类：**  
1、**编译时防御系统**，目的是强化系统以抵制潜伏于新程序中的恶意攻击。  
2、**运行时防御系统**，目的是检测并中止现有程序中的恶意攻击。  
尽管合适的防御系统已经出现几十年了，但是大量现有的脆弱的软件和系统阻碍了它们的部署。因此运行时防御有趣的地方是它能够部署在操作系统中，可以更新，并能为现有的易受攻击的程序提供保护。

## 小结 ##

内存管理是操作系统中最重要、最复杂的任务之一。**内存管理把内存看做是一个资源，可以分配给多个活动进程，或者由多个活动进程共享**。为了有效地使用处理器和I/O设备，需要在内存中保留尽可能多的进程。此外，程序员在进行程序开发时最好能不受程序大小的限制。  
**内存管理的基本工具是分页和分段**。采用分页技术，每个进程被划分成相对比较小的、大小固定的页。采用分段技术可以使用大小不同的块。还可以在一个单独的内存管理方案中把分页技术和分段技术结合起来使用。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xJTlpFWVU2NjY_size_16_color_FFFFFF_t_70]: /images/20221022/c66461d5f6134b94b418c11c599a61f1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xJTlpFWVU2NjY_size_16_color_FFFFFF_t_70 1]: /images/20221022/4f3a9324029448dba86d3ec6a0825cd0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xJTlpFWVU2NjY_size_16_color_FFFFFF_t_70 2]: /images/20221022/197d946e911b4a81a327c00b8356f96f.png