關(guān)于嵌入式代碼的致命漏洞

隨著互聯(lián)網(wǎng)的發(fā)展，嵌入式設(shè)備正分布在一個(gè)充滿可以被攻擊者利用的源代碼級(jí)安全漏洞的環(huán)境中。因此，嵌入式軟件開(kāi)發(fā)人員應(yīng)該了解不同類(lèi)型的安全漏洞——特別是代碼注入。

術(shù)語(yǔ)“代碼注入”意味著對(duì)程序的常規(guī)數(shù)據(jù)輸入可以被制作成“包含代碼”，并且該程序可以被欺騙來(lái)執(zhí)行該代碼。代碼注入缺陷意味著黑客可以劫持現(xiàn)有進(jìn)程，并以與原始進(jìn)程相同的權(quán)限執(zhí)行任何他們喜歡的代碼。

在許多嵌入式系統(tǒng)中，進(jìn)程需要以最高的權(quán)限運(yùn)行，因此成功的代碼注入攻擊可以完全控制機(jī)器以及竊取數(shù)據(jù)，導(dǎo)致設(shè)備發(fā)生故障，將其作為其僵尸網(wǎng)絡(luò)成員或使其永久無(wú)法使用。

代碼注入漏洞的關(guān)鍵方面是：

該程序從輸入通道讀取數(shù)據(jù)

該程序?qū)?shù)據(jù)視為代碼并對(duì)其進(jìn)行編譯

在大多數(shù)情況下，程序故意像執(zhí)行代碼一樣執(zhí)行數(shù)據(jù)是不尋常的，但將數(shù)據(jù)用于構(gòu)造有意執(zhí)行的對(duì)象卻很常見(jiàn)。

格式化字符串漏洞

大多數(shù)C程序員熟悉printf函數(shù)。大體上，這些格式字符串后跟一個(gè)其他參數(shù)的列表，并且該格式字符串被解釋為一組指令，用于將剩余的參數(shù)呈現(xiàn)為字符串。大多數(shù)用戶知道如何編寫(xiě)最常用的格式說(shuō)明符：例如字符串，小數(shù)和浮點(diǎn)數(shù)——％s，％d，％f——但是不知道還有其他格式字符串指令可以被濫用。

以下是printf函數(shù)通常被濫用的一種方式。有些程序員習(xí)慣編譯字符串如下：

printf（str）;

雖然這將在大部分時(shí)間內(nèi)都具有所期望的效果，但它是錯(cuò)誤的，因?yàn)閜rintf的第一個(gè)參數(shù)將被編譯為格式字符串。所以，如果str包含任何格式說(shuō)明符，它們就將被這樣編譯。例如，如果str包含'％d'，它會(huì)將printf參數(shù)列表中的下一個(gè)值解釋為整數(shù)，并將其轉(zhuǎn)換為字符串。在這種情況下，沒(méi)有更多的參數(shù)，但機(jī)器在執(zhí)行的時(shí)候并不了解這一點(diǎn); 它所知道的全部是，函數(shù)的一些參數(shù)已經(jīng)被推送到堆棧。

因?yàn)樵贑運(yùn)行時(shí)沒(méi)有機(jī)制可以告訴機(jī)器已經(jīng)沒(méi)有更多的參數(shù)了，所以printf將簡(jiǎn)單地選擇恰好在堆棧中的下一個(gè)項(xiàng)目，將其編譯為一個(gè)整數(shù)并打印出來(lái)。很容易看出，這可以用來(lái)從棧中打印任意數(shù)量的信息。例如，如果str包含'％d％d％d％d'，則將會(huì)打印堆棧上接下來(lái)四個(gè)字的值。

雖然這是一個(gè)代碼注入安全漏洞，但由于它唯一可能造成的傷害就是可以被用來(lái)獲取棧中的數(shù)據(jù)，所以它還是可以被原諒的?？扇绻挥谀抢锏氖敲舾袛?shù)據(jù)（如密碼或證書(shū)密鑰），情況就會(huì)變得很糟；而且由于攻擊者還可以在那里寫(xiě)入任意內(nèi)存地址，因此情況還可能會(huì)變得更糟。

使這種糟糕情況的發(fā)生成為可能的是格式說(shuō)明符'％n'。通常，相應(yīng)的參數(shù)是指向整數(shù)的指針。當(dāng)格式字符串為了建立結(jié)果字符串而被編譯時(shí)，一遇到'％n'，到目前為止寫(xiě)入的字節(jié)數(shù)就被放置到由該指針?biāo)甘镜拇鎯?chǔ)單元中了。例如，在下面的printf完成之后，i中的值將為4：

printf（“1234％n”，＆i）;

如果函數(shù)的實(shí)際參數(shù)比格式說(shuō)明符更少，那么printf會(huì)將任何在堆棧上的數(shù)據(jù)作為參數(shù)編譯。因此，如果攻擊者可以控制格式字符串，那么它們可以將基本上任意的值寫(xiě)入堆棧位置。因?yàn)槎褩Ｊ蔷植孔兞克诘奈恢?，所以它們的值可以被改變。如果這些變量中有一些是指針，那么這個(gè)平臺(tái)甚至可以到達(dá)其他非堆棧地址。

真正對(duì)攻擊者來(lái)說(shuō)有價(jià)值的目標(biāo)是讓攻擊者控制程序的執(zhí)行部分。如果一個(gè)局部變量是一個(gè)函數(shù)指針，則攻擊者可以通過(guò)該指針的后續(xù)調(diào)用來(lái)編寫(xiě)代碼，實(shí)現(xiàn)自己的目標(biāo)。當(dāng)函數(shù)返回時(shí)，攻擊者還可以將指令要被送達(dá)的地址覆蓋重寫(xiě)。

避免代碼注入

避免代碼注入的最佳方法是通過(guò)設(shè)計(jì)。如果您可以使用一種永遠(yuǎn)不會(huì)出現(xiàn)漏洞的語(yǔ)言，那么這是最好的因?yàn)槟拇a在構(gòu)建時(shí)就是對(duì)一切攻擊免疫的。或者您可以通過(guò)設(shè)計(jì)代碼來(lái)禁止可能導(dǎo)致這些問(wèn)題的接口。不幸的是，在嵌入式系統(tǒng)中，這些選擇并不總是可行的。即使C是一種危險(xiǎn)的語(yǔ)言，充斥著漏洞，但它仍然是許多組織架構(gòu)的首選語(yǔ)言。鑒于此，開(kāi)發(fā)人員應(yīng)該了解其他避免代碼注入的方法。

應(yīng)該遵循的兩個(gè)黃金規(guī)則以防止代碼注入漏洞：

1.如果你可以避免的話，盡量不要將數(shù)據(jù)像代碼一樣編譯；

2.如果你無(wú)法避免的話，請(qǐng)確保在使用數(shù)據(jù)之前驗(yàn)證數(shù)據(jù)是否良好。

為避免格式字符串的漏洞，這些規(guī)則中的第一個(gè)是最合適的; 你可以編寫(xiě)代碼如下：

printf（“％s”，str）;

這樣，str的內(nèi)容只被視為數(shù)據(jù)。這是最不費(fèi)腦子的辦法，只要你能找到所有應(yīng)該做出這種修改的地方。但這對(duì)于大型程序來(lái)說(shuō)可能是棘手的，特別是對(duì)于第三方代碼庫(kù)。

測(cè)試漏洞

測(cè)試這些類(lèi)型的漏洞可能很困難; 即使能實(shí)現(xiàn)非常高的代碼覆蓋率的測(cè)試也不能觸發(fā)這些問(wèn)題。測(cè)試安全漏洞時(shí)，測(cè)試人員必須采取一個(gè)攻擊者的心態(tài)。諸如模糊測(cè)試的技術(shù)可能是有用的，但是該技術(shù)通常太隨機(jī)，無(wú)法高度可靠。

靜態(tài)分析可以有效地發(fā)現(xiàn)代碼注入漏洞。注意到早期生成的靜態(tài)分析工具（如lint及其后代衍生產(chǎn)品）很不擅長(zhǎng)發(fā)現(xiàn)這樣的漏洞，因?yàn)橄胍獙?shí)現(xiàn)精確的查找漏洞就需要完成整個(gè)程序的路徑敏感分析。

最近出現(xiàn)的先進(jìn)的靜態(tài)分析工具更加有效。靜態(tài)分析工具廠商對(duì)于哪些接口有危險(xiǎn)，尋找目標(biāo)的知識(shí)基礎(chǔ)以及如何有效地進(jìn)行這些工作已經(jīng)積累了豐富的經(jīng)驗(yàn)。

這里使用的關(guān)鍵技術(shù)是污染分析或危險(xiǎn)信息流分析。這些工具通過(guò)首先識(shí)別潛在風(fēng)險(xiǎn)數(shù)據(jù)的來(lái)源，并對(duì)信息進(jìn)行追蹤，了解信息是如何通過(guò)代碼不經(jīng)過(guò)驗(yàn)證就流入正在使用的位置的。同時(shí)這也是能實(shí)現(xiàn)整個(gè)流程可視化的最好工具。

結(jié)論

代碼注入漏洞是危險(xiǎn)的安全問(wèn)題，因?yàn)樗鼈兛赡茉试S攻擊者中斷程序，有時(shí)甚至完全控制程序。那些關(guān)心如何在一個(gè)充滿潛在惡意的互聯(lián)網(wǎng)環(huán)境中確保他們的嵌入式代碼能夠安全使用的開(kāi)發(fā)人員，應(yīng)該將這樣的代碼注入漏洞，在開(kāi)發(fā)周期和嚴(yán)格的代碼檢查中盡早消除。而上面提到的高級(jí)靜態(tài)分析工具是被推薦使用的。

原文標(biāo)題：嵌入式代碼的致命漏洞

文章出處：【微信公眾號(hào)：嵌入式ARM】歡迎添加關(guān)注！文章轉(zhuǎn)載請(qǐng)注明出處。

責(zé)任編輯：haq