Einführung zum buffer overflow

Angriffe durch « Pufferüberlauf  » (auf englisch « Buffer overflow » ) sollen ein Programm dazu bringen, einen bestimmten Code auszuführen, und sendem ihm dabei größere Datenmengen als vorgesehen.

Programme, die parametrische Eingangsdaten akzeptieren, speichern sie temporär in einem Bereich des Speichers, der Puffer (auf Englischbuffer) genannt wird. Allerdings können manche Lesefunktionen, wie die strcpy() Funktionen derSprache C, nicht mit dieser Art von Überlauf umgehen, das hat den Absturz der Anwendung zur Folge und kann zur Ausführung des beliebigen Codes führen und so Zugang zum System erlauben.

Die Durchführung dieser Art von Angriff ist sehr kompliziert, da genaues Wissen über die Programmarchitektur und Prozessoren von Nöten ist. Allerdings gibt es vieleExploits, die in der Lage sind, diesen Angriff zu automatisieren und ihn damit auch für Quasi-Neulinge zugänglich macht.

Funktionsprinzip

Das Funktionsprinzip eines Pufferüberlaufs hängt stark mit der Architektur des Prozessors zusammen, auf dem die anzugreifende Ausführung läuft.

Die von einer Aufwendung aufgenommenen Daten werden im Arbeitsspeicher gespeichert, in einem Bereich, derPuffer genannt wird. Ein richtig konzipiertes Programm sieht eine Maximalgröße für Eingangsdaten vor und überprüft, ob die aufgenommenen Daten diesen Wert überschreiten.

Die Anweisungen und Daten eines laufenden Programms werden laufend provisorisch gespeichert, in einem Bereich, der Stapelspeicher heißt (auf Englischstack). Die Daten, die hinter den Puffer liegen, enthalten eine Retour-Adresse (genannt Befehlszähler) durch den das Programm weiterläuft. Wenn die Größe der Daten die Größe des Puffers überschreitet, wird die Retour-Adresse überschrieben, das Programm liest dann eine fehlerhafte Adresse ein, was zu einer Schutzverletzung führt (auf Englisch segmentation fault) der Anwendung.

Ein Hacker mit guten technischen Kenntnissen kann kann sicher stellen, dass die überschriebene Speicheradresse einer realen Adresse entspricht, die zum Beispiel im Puffer selbst liegt. Indem er Anweisungen in den Puffer schreibt (beliebiger Code), kann er diese also leicht ausführen.

So ist es möglich, Anweisungen in den Puffer einzuschreiben, die eine Eingabe-Schnittstelle öffnen kann (auf Englischshell) und es dem Hacker ermöglicht, das System zu steuern. Dieser beliebige Code, der die Ausführung der Eingabe-Schnittstelle ermöglicht, heißtshellcode.

So schützt man sich vor Buffer overflow

Vor dieser Art des Angriffs kann man sich schützen, indem man Anwendungen mit hochentwickelten Programmiersprachen erstellt, bei denen die Speicherzuteilung genau geregelt wird, oder mit Sprachen niedrigeren Niveaus, und dabei sichere Funktionsbibliotheken verwendet (zum Beispiel strncpy() Funktionen).

Es werden regelmäßig Sicherheitswarnungen veröffentlicht, die auf die Anfälligkeit bestimmter Anwendungen für Buffer overflow Angriffe hinweisen. Daraufhin veröffentlichen die Herausgeber der betroffenen Software in der Regel Korrekturen (patchs) durch die sich die Schwachstelle ausbessern lässt. Jeder System- und Netzwerkadministrator sollte auf dem laufenden bleiben, was die Sicherheitswarnungen betrifft und die Patches so schnell wie möglich installieren.

Weitere Informationen

• Smashing The Stack For Fun And Profit, Artikel geschrieben vonAleph One im Magazin Phrack