6.0 KiB
ASLR是如何保护Linux系统免受缓冲区溢出攻击的
地址空间随机化( ASLR )是一种操作系统用来抵御缓冲区溢出攻击的内存保护机制。这种技术使得系统上运行的进程的内存地址无法预测，使得与这些进程有关的漏洞变得更加难以利用。
ASLR目前在 Linux ， Windows 以及 MacOS 系统上都有使用。其最早出现在 2005 的Linux系统上。2007 年，这项技术被 Windows 和 MacOS 部署使用。尽管 ASLR 在各个系统上都提供相同的功能，却有着不同的实现。
ASLR的有效性依赖于整个地址空间布局对于攻击者保持未知。此外，只有编译时作为位置无关可执行文件(PIE)的程序才能得到ASLR最大的保护，因为只有这样，可执行文件的所有代码节区才会被加载在随机地址。PIE 代码不管绝对地址是多少都可以正确执行。
[ 参见:用于排除Linux故障的宝贵提示和技巧 ]
ASLR 的局限性
尽管 ASLR 使得对系统漏洞的利用更加困难了，但其保护系统的能力是有限的。理解关于 ASLR 的以下几点是很重要的：
- 不能解决漏洞，而是增加利用漏洞的难度
- 并不追踪或报告漏洞
- 不能对编译时没有开启 ASLR 支持的二进制文件提供保护
- 不能避免被绕过
ASLR 是如何工作的
ASLR通过对攻击者在进行缓冲区溢出攻击时所要用到的内存布局中的偏移做随机化来加大攻击成功的难度，从而增强了系统的控制流完整性。
通常认为 ASLR 在64位系统上效果更好，因为64位系统提供了更大的熵(可随机的地址范围)。
ASLR 是否正在你的 Linux 系统上运行？
下面展示的两条命令都可以告诉你你的系统是否启用了 ASLR 功能
$ cat /proc/sys/kernel/randomize_va_space
2
$ sysctl -a --pattern randomize
kernel.randomize_va_space = 2
上方指令结果中的数值 (2) 表示 ASLR 工作在全随机化模式。其可能为下面的几个数值之一：
0 = Disabled
1 = Conservative Randomization
2 = Full Randomization
如果你关闭了 ASLR 并且执行下面的指令，你将会注意到前后两条ldd的输出是完全一样的。ldd命令会加载共享对象并显示他们在内存中的地址。
$ sudo sysctl -w kernel.randomize_va_space=0 <== disable
[sudo] password for shs:
kernel.randomize_va_space = 0
$ ldd /bin/bash
linux-vdso.so.1 (0x00007ffff7fd1000) <== same addresses
libtinfo.so.6 => /lib/x86_64-linux-gnu/libtinfo.so.6 (0x00007ffff7c69000)
libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007ffff7c63000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007ffff7a79000)
/lib64/ld-linux-x86-64.so.2 (0x00007ffff7fd3000)
$ ldd /bin/bash
linux-vdso.so.1 (0x00007ffff7fd1000) <== same addresses
libtinfo.so.6 => /lib/x86_64-linux-gnu/libtinfo.so.6 (0x00007ffff7c69000)
libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007ffff7c63000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007ffff7a79000)
/lib64/ld-linux-x86-64.so.2 (0x00007ffff7fd3000)
如果将其重新设置为2来启用 ASLR，你将会看到每次运行ldd，得到的内存地址都不相同。
$ sudo sysctl -w kernel.randomize_va_space=2 <== enable
[sudo] password for shs:
kernel.randomize_va_space = 2
$ ldd /bin/bash
linux-vdso.so.1 (0x00007fff47d0e000) <== first set of addresses
libtinfo.so.6 => /lib/x86_64-linux-gnu/libtinfo.so.6 (0x00007f1cb7ce0000)
libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007f1cb7cda000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f1cb7af0000)
/lib64/ld-linux-x86-64.so.2 (0x00007f1cb8045000)
$ ldd /bin/bash
linux-vdso.so.1 (0x00007ffe1cbd7000) <== second set of addresses
libtinfo.so.6 => /lib/x86_64-linux-gnu/libtinfo.so.6 (0x00007fed59742000)
libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007fed5973c000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007fed59552000)
/lib64/ld-linux-x86-64.so.2 (0x00007fed59aa7000)
尝试绕过 ASLR
尽管这项技术有很多优点，绕过ASLR的攻击并不罕见，主要有以下几类：
- 利用地址泄露
- 访问与特定地址关联的数据
- 针对ASLR 实现的缺陷来猜测地址，常见于系统熵过低或 ASLR 实现不完善。
- 利用侧信道攻击
总结
ASLR 有很大的价值，尤其是在64位系统上运行并被正确实现时。虽然不能避免被绕过，但这项技术的确使得利用系统漏洞变得更加困难了。这份参考资料可以提供更多有关细节 on the Effectiveness of Full-ASLR on 64-bit Linux ，这篇论文介绍了一种利用分支预测绕过ASLR的技术 bypass ASLR。
via: https://www.networkworld.com/article/3331199/linux/what-does-aslr-do-for-linux.html
作者：Sandra Henry-Stocker 选题：lujun9972 译者：leommxj 校对：校对者ID