Перегляд вихідного коду сторінки Переповнення буфера

У галузі [[комп'ютерна безпека|комп'ютерної безпеки]] і [[програмування]], '''переповнення буфера''' ({{lang-en|buffer overflow}} або {{lang-en|buffer overrun}}), це явище, при якому [[Комп'ютерна програма|програма]], під час запису [[дані|даних]] в [[Буфер (інформатика)|буфер]], перезаписує дані за межами буфера. Це може викликати несподівану поведінку, включно з помилками доступу до даних, хибними результатами, збоєм програми або дірою в системі безпеки.

Переповнення буфера може бути викликане недостатньою перевіркою вхідних даних. Воно є базою для багатьох [[Уразливість (інформаційні технології)|уразливостей]] в програмних продуктах і може бути використане зі злим наміром. Додаткова перевірка може запобігти переповненню буфера, хоча така перевірка вплине на швидкодію програми.

Мови програмування, зазвичай згадувані у зв'язку з переповненням буфера, це здебільшого [[C (мова програмування)|C]] та [[C++]]. Вони не мають вбудованого механізму проти доступу або перезаписування даних у будь-якій частині пам'яті й не провадять автоматичної перевірки даних, які записують в масив, на вихід за межі масиву.

== Технічний опис ==

Переповнення буфера відбувається тоді, коли дані, що записуються в буфер, через недостатню перевірку, пошкоджують дані, розташовані за сусідніми до буфера [[адресація пам'яті|адресами]]. Часто це відбувається, коли копіюється [[Рядок (програмування)|рядок]] з одного буфера в інший.

=== Базовий приклад ===

В наступному прикладі програма визначила два суміжні об'єкти в пам'яті: рядок 8 байтів завдовжки, A, і двобайтове ціле, B. Початково А містить нульові байти, а В містить число 1979. Символи мають розмір один байт.

{| class="wikitable" style="width:30em; text-align:center;"
! style="white-space:nowrap;" | ім'я змінної
! colspan="8" style="background:#ddf;" | A
! colspan="2" style="background:#fdd;" | B
|- style="background:#ddf; font-family:monospace;"
! style="font-family:sans;" | значення
| colspan="8" style="font-size:smaller; font-family:sans;" | [<nowiki/>[[порожній рядок]]<nowiki/>]
| colspan="2" style="background:#fdd;" | 1979
|- style="background:#ddf; font-family:monospace;"
! style="font-family:sans;" | шістнадцяткове значення
| 00 || 00 || 00 || 00 || 00 || 00 || 00 || 00
| style="background:#fdd;" | 07 || style="background:#fdd;" | BB
|}

Тепер, програма намагається зберегти [[нуль-термінований рядок]] ''excessive'' в буфер A. Через відсутність перевірки на допустиму довжину рядка, він затирає значення B:

{| class="wikitable" style="width:30em; text-align:center;"
! style="white-space:nowrap;" | ім'я змінної
! colspan="8" style="background:#ddf;" | A
! colspan="2" style="background:#fdd;" | B
|- style="background:#ddf; font-family:monospace;"
! style="font-family:sans;" | значення
| 'e' || 'x' || 'c' || 'e' || 's' || 's' || 'i' || 'v'
| colspan="2" style="background:#dbd;" | 25856
|- style="background:#ddf; font-family:monospace;"
! style="font-family:sans;" | шістнадцяткове значення
| 65 || 78 || 63 || 65 || 73 || 73 || 69 || 76
| style="background:#dbd;" | 65 || style="background:#dbd;" | 00
|}

Хоча програміст не збирався змінювати значення B, це значення було перезаписане і тепер містить число, утворене частиною рядка. В цьому випадку, на [[Порядок байтів|big-endian]] системі, що використовує [[ASCII]], "e" і нульовий байт сформують число 25856. Якщо за B слідує недоступна для запису ділянка пам'яті, запис ще довшого рядка може призвести до [[помилка сегментації|помилки сегментації]], що перерве процес.

== Використання ==

Техніки [[Експлойт|використання]] уразливості через переповнення буфера залежать від [[Архітектура ЕОМ|архітектури]], [[операційна система|операційної системи]] і ділянки пам'яті. Наприклад, використання купи різниться від використання [[стек викликів|стека викликів]].

=== Використання стека ===
{{Main|Переповнення стекового буфера}}

Технічно освідомлений і злонамірений користувач може використати стекове переповнення буфера так:

* Для перезапису локальної змінної, змінивши тим самим перебіг програми на вигідніший для нападника.
* Для перезапису адреси повернення в [[стековий кадр|стековому кадрі]]. Коли буде виконане повернення з функції, виконання програми відновиться за адресою, вказаною нападником (зазвичай це адреса буфера поля вводу). Такий спосіб найбільш розповсюджений в архітектурах, де стек ''росте донизу'' (наприклад в архітектурі x86).
* Для перезаписів вказівника на функцію,<ref>{{cite web|url=http://www.securityfocus.com/archive/1/462728/30/150/threaded|title=CORE-2007-0219: OpenBSD's IPv6 mbufs remote kernel buffer overflow|accessdate=2007-05-15|archiveurl=https://www.webcitation.org/6HxXksEm8?url=http://www.securityfocus.com/archive/1/462728/30/150/threaded|archivedate=2013-07-08|deadurl=no}}</ref> або обробника винятків, що будуть виконані згодом.

З методом «трамполайнінга» ({{lang-en|trampolining}}, буквально «стрибки на батуті»), якщо адреса даних, яку ввів користувач, невідома, але їх місцеперебування зберігається в реєстрі, тоді адреса повернення може бути перезаписана на адресу [[опкод]]у, який виконає перехід до даних, введених користувачем. Якщо їх месцезнаходження зберігається в реєстрі R, тоді потрібен стрибок до опкоду для стрибка R, це викличе виконання користувацьких даних. Розташування необхідних опкодів або байтів в пам'яті може бути знайдено в [[Dll|динамічних бібліотеках]] або самій програмі. Адреси опкодів можуть змінюватися між застосунками й версіями ОС. [[Metasploit Project]] - одна з баз даних потрібних опкодів для [[Microsoft Windows|Windows]].<ref>{{cite web|url=http://metasploit.com/users/opcode/msfopcode.cgi|title=The Metasploit Opcode Database|accessdate=2007-05-15|deadurl=yes|archiveurl=https://web.archive.org/web/20070512195939/http://www.metasploit.com/users/opcode/msfopcode.cgi|archivedate=2007-05-12}}</ref>

Не варто плутати стекове переповнення буфера з [[переповнення стека|переповненням стека]].

Також зауважимо, що наявність таких вразливостей зазвичай перевіряється за допомогою [[фаззінг]]а.<ref>{{cite web|url=http://raykoid666.wordpress.com|title=The Exploitant - Security info and tutorials|accessdate=2009-11-29|archiveurl=https://www.webcitation.org/6HxXluA0L?url=http://raykoid666.wordpress.com/|archivedate=2013-07-08|deadurl=no}}</ref>

=== Використання переповнення в купі ===

Переповнення буфера в купі використовується відмінно від переповнення в стеку. Пам'ять в купі динамічно розподіляється застосунком під час виконання і, зазвичай, містить дані програми. Використання відбувається через пошкодження даних особливим чином, що призводить до перезапису внутрішніх структур даних, таких як зв'язний список вказівників.

Уразливість [[Microsoft]] [[Graphics Device Interface|GDI+]] при обробці [[JPEG]]ів, приклад наскільки небезпечною може бути переповнення в купі.<ref>{{cite web|url=http://www.microsoft.com/technet/security/bulletin/MS04-028.mspx|title=Microsoft Technet Security Bulletin MS04-028|accessdate=2007-05-15|archiveurl=https://www.webcitation.org/6HxXmV60i?url=http://technet.microsoft.com/en-us/security/bulletin/ms04-028|archivedate=2013-07-08|deadurl=no}}</ref>

== Запобігання ==
Для зменшення імовірності переповнення буфера, використовуються наступні заходи.

=== Системи виявлення вторгнення ===
{{Main|Система виявлення вторгнень}}

За допомогою систем виявлення вторгнення (СВВ) можна виявити й запобігти спробам віддаленого використання переповнення буфера. Через те, що в більшості випадків дані, призначені для переповнення буфера містять довгі масиви інструкцій ''No Operation'' (<code>[[NOP]]</code> або <code>NOOP</code>), СВВ просто блокує всі вхідні пакети, що містять велику кількість послідовних NOP-ів. Цей спосіб, загалом, не ефективний, бо такі масиви можуть бути записані за допомогою великого різноманіття інструкцій [[асемблер|мови асемблера]]. Останнім часом зламувачі для оминання СВВ почали використовувати [[код оболонки|коди оболонки]] (шел-коди) з шифруванням, кодом, що змінює себе сам, поліморфним кодом і [[Абетково-цифровий код|абетково-цифровим]] кодом, а також атаку з поверненням в бібліотеку libc.

=== Захист від пошкодження стека ===

Захист від пошкодження стека використовується для виявлення найбільш поширених помилок переповнення буфера. При цьому перевіряється, що [[стек викликів]] не був змінений перед виходом з функції. Якщо він був змінений, тоді програма завершує своє виконання з [[помилка сегментації|помилкою сегментації]].

Існують три такі системи: Libsafe і [[StackGuard]] з [[Stack-Smashing Protector]] (стара назва — ProPolice), дві останні є розширеннями [[компілятор]]а gcc. Починаючи з gcc-4.1-stage2, SSP був інтегрований в основний [[дистрибутив]] компілятора. [[Gentoo Linux]] і [[OpenBSD]] мають SSP в складі розповсюджуваного з ними gcc.

Майкрософтівська функція безпеки з запобігання виконанню даних не дозволяє виконувати код з області пам'яті з позначкою «тільки для даних»

=== Захист простору машинного коду для UNIX-подібних систем ===

Захист простору машинного коду може пом'якшити наслідки переповнення буфера, унеможливлюючи більшість дій зловмисника. Це досягається [[Рандомізація простору адрес|рандомізацією адресного простору]] (ASLR&nbsp;— {{lang-en|Address space layout randomization}}) і/або забороною одночасного доступу до пам'яті на запис і виконання. Стек без виконання запобігає більшості вразливостей коду оболонки.

Існує два виправлення для [[Ядро Лінукс|ядра Linux]], які забезпечують цей захист&nbsp;— PaX і exec-shield. Жоден з них не є частиною основного дистрибутиву ядра. [[OpenBSD]] починаючи з версії 3.3 включає систему під назвою W^X, котра також забезпечує контроль простору виконання{{fact}}.

Зауважимо, що такий спосіб захисту не запобігає пошкодженню стека. З усім тим він часто запобігає успішне виконання «корисного вантажу» експлойта. Програма не в змозі вставити код оболонки в захищену від запису пам'ять, таку як існуючі сегменти коду виконання. Також буде неможливо виконання інструкцій в пам'яті не для виконання, наприклад в стеку або в купі.

[[ASLR]] утруднює для зламника визначення адрес функцій в коді програми, за допомогою яких він міг би здійснити успішну атаку, і робить атаки типу [[ret2libc]] дуже складним завданням, хоча вони все ще можливі в контрольованому середовищі, якщо нападник вгадає правильну адресу{{fact}}.

Деякі [[процесор]]и, як от [[Sparc]] від [[Sun Microsystems|Sun]], [[Efficeon]] від [[Transmeta]], найновіші 64-розрядні [[x86]] процесори фірм [[AMD]] (починаючи з Opteron) та [[Intel]] (починаючи з версій Pentium 4 Prescott) запобігають виконанню коду, розташованого в областях пам'яті, які позначені особливим бітом NX. AMD називає своє рішення '''NX''' (від {{lang-en|No eXecute}}), а Intel своє&nbsp;— '''XD''' (від {{lang-en|eXecute Disabled}}).

=== Захист простору машинного коду для [[Windows]] ===

Зараз існує декілька різних рішень, призначених для захисту виконуваного коду в системах [[Windows]], які пропонує компанія [[Майкрософт]] і сторонні компанії.

Майкрософт запропонувала своє рішення під назвою DEP (від {{lang-en|Data Execution Prevention}} — «запобігання виконанню даних»), включила його в пакети оновлень для [[Windows XP]] та [[Windows Server 2003]]. DEP використовує додаткові можливості нових процесорів Intel і AMD, для подолання обмеження в 4 [[Двійкові префікси|ГіБ]] на можливість адресації пам'яті, розмір пам'яті, притаманне 32-розрядним процесорам. Для цих цілей службові структури були збільшені. Ці структури тепер містять зарезервований біт NX. DEP використовує цей біт для запобігання атакам, пов'язаним зі зміною адреси обробника винятків (так званий SEH-експлойт). DEP забезпечує тільки захист від SEH-експлойта, він не захищає сторінки пам'яті з виконуваним кодом.

До того, Майкрософт розробила механізм захисту стека, призначений для Windows Server 2003. Стек позначається за допомогою позначок ({{lang-en|canary}}), цілісність яких перевіряється. Якщо така позначка була змінена, значить, стек пошкоджено.

Існують також рішення від інших компаній, які запобігають виконанню кода, розташованого в областях пам'яті, призначених для даних або реалізуючих механізм ASLR.

=== Використання безпечних бібліотек ===

Проблема переповнення буфера характерна для мов програмування [[Сі (мова програмування)|С]] та [[C++]], бо вони не приховують деталі низькорівневого представлення буферів як контейнерів для [[тип даних|типів даних]]. Таким чином, задля уникнення переповнення буфера, потрібно забезпечити високий рівень контролю за створенням і зміною програмного коду, який здійснює керування буферами. Використання [[бібліотека (програмування)|бібліотек]] абстрактних типів даних, які виконують централізоване автоматичне керування буферами й містять в собі перевірку на переповнення — один з підходів для запобігання переповнення буфера.

Два основних типи даних, які дозволяють здійснити переповнення буфера в цих мовах — [[Рядок (програмування)|рядки]] і [[Масив (структура даних)|масиви]]. Таким чином, використання бібліотек для рядків і спискових структур даних, які були розроблені для запобігання і/або виявлення переповнень буфера, дозволить уникнути багатьох уразливостей.

== Примітки ==
{{reflist}}

== Див. також ==
* [[Переповнення стекового буфера]]


{{Compu-prog-stub}}
{{Зловмисне програмне забезпечення}}
{{ВП-портали|Програмування|}}
[[Категорія:Уразливість]]