#Return_Oriented_Programming (Win)
تکنیک برنامه نویسی بازگشتی که اشاره به پرش های خانه EIP در سیستم عامل های ۳۲ بیتی و RIP در سیستم عامل های ۶۴ بیتی داره, همواره در تکنیک های اکسپلویت نویسی بسیار مورد استفاده قرار میگیره,
از این روی در خصوص هر سیستم عاملی عملیات فراخوانی توابعه سییستمی یا همان OS API میتونه برای ما متفاوت باشه, برای مثال در خصوص سیستم عامل های ویندوزی تابعی که بسیار مورد استفاده قرار میگیره تابع ()VirtualProtect هستش که مامور کنترل سطح مکانیزم های امنیتی یک فایل فرمت رو دارا هستش,
هکر با استفاده از بازخوانی این تابع پروسسی که برنامه آسیب پذیر دارد رو به حالت Disable در میاورد و با اینکار مکانیزم هایی همچون DEP/NX که مامور مانع شدن اجرای کد در حافظه Stack هستش خاموش خواهد شد, از طرفی دیگه با تنظیم کردن حالت امنیتی پروسس در مقدار 0 میشود مکانیزم هایی مانند #ASLR رو هم خاموش کرد, در نتیجه تمام مکانیزم های #Mitigation در این تکنیک دور زده خواهد شد...
https://www.exploit-db.com/exploits/20116
https://users.suse.com/~krahmer/no-nx.pdf
@Unk9vvN
تکنیک برنامه نویسی بازگشتی که اشاره به پرش های خانه EIP در سیستم عامل های ۳۲ بیتی و RIP در سیستم عامل های ۶۴ بیتی داره, همواره در تکنیک های اکسپلویت نویسی بسیار مورد استفاده قرار میگیره,
از این روی در خصوص هر سیستم عاملی عملیات فراخوانی توابعه سییستمی یا همان OS API میتونه برای ما متفاوت باشه, برای مثال در خصوص سیستم عامل های ویندوزی تابعی که بسیار مورد استفاده قرار میگیره تابع ()VirtualProtect هستش که مامور کنترل سطح مکانیزم های امنیتی یک فایل فرمت رو دارا هستش,
هکر با استفاده از بازخوانی این تابع پروسسی که برنامه آسیب پذیر دارد رو به حالت Disable در میاورد و با اینکار مکانیزم هایی همچون DEP/NX که مامور مانع شدن اجرای کد در حافظه Stack هستش خاموش خواهد شد, از طرفی دیگه با تنظیم کردن حالت امنیتی پروسس در مقدار 0 میشود مکانیزم هایی مانند #ASLR رو هم خاموش کرد, در نتیجه تمام مکانیزم های #Mitigation در این تکنیک دور زده خواهد شد...
https://www.exploit-db.com/exploits/20116
https://users.suse.com/~krahmer/no-nx.pdf
@Unk9vvN
#Windows 10 Threat #Mitigation
DEP / NX
SEHOP
Mandatory ASLR
Terminate on Heap Corruption
High Entropy ASLR
Disable Win32k System Calls
Arbitrary Code Guard
Control Flow Guard
Code Integrity Guard
Only Allow Microsoft Signed Binaries
Block Remote Image Loads
Block Low Label Image Loads
Return Flow Guard
Enforce Signing Level for Dependent Modules / Loader Integrity Continuity
Only Allow Control Flow Guard Enabled Binaries / Strict CFG
ROP Stack Pivot Detection
ROP Caller Detection
ROP Gadget Detection / ROP SimExec
Export Address Filter Plus
Block Child Process Creation
Import Address Filter
Restrict Indirect Branch Prediction
Memory Disambiguation Disable
Control-flow Enforcement Technology (CET) Shadow Stacks
Module Tampering Protection
Dependent Modules Dont Inherit Tamper Protection
Allow Threads Opt Out Of Arbitrary Code Guard
Allow Non Exported Call Targets
Allow Store Signed Binaries
Restrict Set Thread Context
Win32k Filtering
@Unk9vvN
DEP / NX
SEHOP
Mandatory ASLR
Terminate on Heap Corruption
High Entropy ASLR
Disable Win32k System Calls
Arbitrary Code Guard
Control Flow Guard
Code Integrity Guard
Only Allow Microsoft Signed Binaries
Block Remote Image Loads
Block Low Label Image Loads
Return Flow Guard
Enforce Signing Level for Dependent Modules / Loader Integrity Continuity
Only Allow Control Flow Guard Enabled Binaries / Strict CFG
ROP Stack Pivot Detection
ROP Caller Detection
ROP Gadget Detection / ROP SimExec
Export Address Filter Plus
Block Child Process Creation
Import Address Filter
Restrict Indirect Branch Prediction
Memory Disambiguation Disable
Control-flow Enforcement Technology (CET) Shadow Stacks
Module Tampering Protection
Dependent Modules Dont Inherit Tamper Protection
Allow Threads Opt Out Of Arbitrary Code Guard
Allow Non Exported Call Targets
Allow Store Signed Binaries
Restrict Set Thread Context
Win32k Filtering
@Unk9vvN
#Mitigation and #Protection Challenges
همواره مایکروسافت در تلاش بوده با طراحی مکانیزم های Mitigate کار بهره برداری از آسیب پذیری های باینری بیس رو سخت بکنه،
همونطور که در تصویر پست میبینید هم روش هایی در خصوص محافظت از بهره برداری ها ذکر شده هم باج افزارها یا روش های اجرای کد بصورت Delivery که قالبا مورد استفاده تیم های قرمز هستش، جالبه که در این میان اشاره به روش هایی بر مبنای Deep Learning اشاره شده که امکان رفتار شناسی بصورت Live رو به سیستم عامل مخاطب خواهد داد،
اخیرا شرکت های پیشتاز در دنیا محصولاتی بر مبنای این نوع از تکنولوژی نرم افزاری ارائه دادند که بصورت هرچه بیشتر جایگزین محصولات FileFormat پایه خواهد بود، حالا شما تصور کنید رفتارشناسی حمله چه زیر بنای علمی و تحقیقاتی رو لازم خواهد داشت تا روند تحصیلی علوم سایبری رو برای آینده خودتان پیشبینی کنید، البته در خارج از کشور این اتفاق افتاده ولی برای کشور ما یک آینده پژوهی تحصیلی خواهد بود.
@Unk9vvN
همواره مایکروسافت در تلاش بوده با طراحی مکانیزم های Mitigate کار بهره برداری از آسیب پذیری های باینری بیس رو سخت بکنه،
همونطور که در تصویر پست میبینید هم روش هایی در خصوص محافظت از بهره برداری ها ذکر شده هم باج افزارها یا روش های اجرای کد بصورت Delivery که قالبا مورد استفاده تیم های قرمز هستش، جالبه که در این میان اشاره به روش هایی بر مبنای Deep Learning اشاره شده که امکان رفتار شناسی بصورت Live رو به سیستم عامل مخاطب خواهد داد،
اخیرا شرکت های پیشتاز در دنیا محصولاتی بر مبنای این نوع از تکنولوژی نرم افزاری ارائه دادند که بصورت هرچه بیشتر جایگزین محصولات FileFormat پایه خواهد بود، حالا شما تصور کنید رفتارشناسی حمله چه زیر بنای علمی و تحقیقاتی رو لازم خواهد داشت تا روند تحصیلی علوم سایبری رو برای آینده خودتان پیشبینی کنید، البته در خارج از کشور این اتفاق افتاده ولی برای کشور ما یک آینده پژوهی تحصیلی خواهد بود.
@Unk9vvN