[시스템 프로그래밍] 버퍼 오버플로우

 

 

 

 

 

🧐 버퍼 오버플로우

메모리를 다루는 데에 오류가 발생하여 잘못된 동작을 하는 프로그램 취약점을 의미합니다.

C에서는 배열 참조 시 범위를 체크하지 않으며, 지역변수들이  보존용 레지스터와 리턴 주소 같은 정보들과 함께 스택에 저장된다는 것을 배웠습니다.

이러한 조합 때문에 심각한 프로그램 에러가 발생할 수 있는데, 스택에 저장된 상태정보가 범위를 벗어난 배열의 원소에 대한 쓰기 작업에 의하여 변경되는 경우입니다.

 

그러고 나서 프로그램이 레지스터 값을 다시 적재하거나, 이렇게 변경된 상태정보를 사용하여 ret 인스트럭션을 실행할 때 버그를 발생시킵니다.

 

 

일반적으로 배열에 할당된 크기 이상의 메모리를 접근하는 경우 버퍼 오버플로우 가 발생합니다.

 

흔한 형태로는 스트링 입력의 길이를 체크하지 않는 경우가 있습니다.

 

아래는 gets 라이브러리 함수의 구현입니다.

char * gets(char * dest)
{
    int c = getc();
    char * p = dest;
    while(c != EOF && c != '\n') {
        *p ++ = c;
        c = getc();
    }
    *p = '\0';
    return dest;
}

표준 입력으로부터 한 줄을 읽어들이고 엔터 키나 오류상황이 발생했을 때 멈추는 함수입니다.

 

다음은 이를 사용하는 echo 함수입니다.

void echo() 
{
    char buf[4];
    gets(buf);
    puts(buf);
}

위 echo 코드에서 의도적으로 버퍼의 크기를 매우 작게 설정하였습니다.

문자열의 마지막은 '\0'으로 채워지므로, 길이가 3바이트보다 더 긴 문자열들은 모두 범위를 초과하여 버퍼에 쓰여집니다.

int call_echo() 
{
    printf("Type a string");
    echo():
    return 0;
}

 

이제 이 두 함수를 어셈블리어로 변환하여 보면 다음과 같습니다.

<call_echo>:
4006e8: sub $0x8, %rsp
4006ec: mov $0x0, $eax
4006f1: callq 4006cf <echo>
4006f6: add $0x8, %rsp
4006fa: retq

<echo>:
4006cf: sub $0x18, %rsp
4006d3: mov %rsp, %rdi
4006d6: callq 400680 <gets>
4006db: mov %rsp, %rdi
4006de: callq 400520 <puts@ptl>
4006e3: add $0x18, %rsp
4006e7: retq

 

프로그램은 24바이트 만큼 스택을 할당합니다.

echo에서는 gets와 puts 호출 시 인자로 사용하기 위해 %rsp가 %rdi로 복사된다는 사실을 알 수 있습니다.

buf와 저장된 리턴 포인터 사이의 20바이트는 사용되지 않습니다.

 

즉 현재 스택 상태는 다음과 같습니다.

이때 만약 입력 스트링이 24바이트가 들어온 경우, 버퍼 오버플로우는 발생하지만, return address는 변화시키지 않으므로, 문제 없이 동작합니다.

 

그러나 그 이상의 스트링이 들어오는 경우에는 return address까지 손상시켜 전혀 예상하지 못한 곳으로 점프하여 오류를 발생시킬 수 있습니다.

 

 

 

 

 

 

 

 

🧐 exploit code

컴퓨터의 소프트웨어 버그, 보안 취약점 등 설계상 결함을 이용해 공격자의 의도된 동작을 수행하도록 만드는 코드를 의미합니다.

버퍼 오버플로우를 통해 일반적으로 프로그램이 하지 않을 기능들을 실행하도록 할 수 있습니다.

이것은 컴퓨터 네트워크 상의 시스템 보안성을 공격하는 가장 일반적인 방법 중의 하나입니다.

 

일반적으로 exploit code라고 하는 실행코드를 바이트 인코딩하여,

exploit code를 가리키는 포인터로 리턴 주소를 덮어쓰는 약간의 추가적인 바이트들을 포함하는 문자열을 입력합니다.

이후 ret 인스트럭션이 실행되면 exploit code로 점프하게 됩니다.

 

 

 

 

 

 

 

 

🧐 버퍼 오버플로우 대응 기법

최신 컴파일러와 운영체제는 버퍼 오버플로우 공격이 실행되기 어렵게 하는 방법과,

침입자가 버퍼 오버플로우 공격을 통해서 시스템의 제어권을 획득할 수 있는 방법을 제한하는 방법을 구현하였습니다.

 

 

 

⭐️ 스택 랜덤화

공격자는 exploit code를 시스템에 삽입하기 위해서, 공격하기 위한 스트링 내에 코드뿐만 아니라 코드로의 포인터까지 집어넣어야 합니다.

이 포인터를 만들기 위해서는 스트링이 위치하게 될 스택의 주소를 알아야 합니다.

예전에는 스택의 주소를 쉽게 예측할 수 있었습니다.

동일한 프로그램과 운영체제 버전을 실행하는 모든 시스템에서 스택의 위치는 컴퓨터 간에 매우 안정적인 값을 갖습니다.

 

스택 랜덤화의 아이디어는 스택의 위치를 프로그램의 매 실행마다 다르게 해주는 것입니다.

그래서 비록 많은 컴퓨터가 동일한 코드를 실행하고 있을지라도, 이들은 모두 완전히 다른 스택 주소를 사용하게 됩니다.

 

 

 

 

 

 

⭐️ 스택 손상 검출

스택에 카나리(canary) 값을 삽입하여 스택 버퍼 오버플로우를 예방합니다.

스택이 손상되는 것을 감지하는 방법으로 버퍼 오버플로우 공격으로부터 대응할 수 있습니다.

echo 함수의 예제에서 손상이 대개 프로그램이 지역 버퍼의 경계를 벗어날 때 발생한다는 것을 알 수 있습니다.

C에서 배열의 경계를 넘는 쓰기 작업을 방지하는 안정적인 방법은 존재하지 않습니다.

대신, 프로그램은 해로운 효과가 발생하기 전에 이러한 쓰기 작업이 발생하는 것을 감지하는 시도를 할 수 있습니다.

 

GCC에서는 스택 보호 코드를 생성된 코드에 추가하는 기법을 구현합니다.

이 아이디어는 지역 버퍼와 나머지 스택 상태 값 사이에 특별한 카나리(canary) 값을 저장하는 것입니다.

이 카나리 값은 보호값(guard value)이라고도 불리며, 프로그램의 매 실행마다 랜덤으로 생성되므로 공격자가 값을 쉽게 추정하기 어렵습니다.

 

레지스터 상태를 복원하고 함수로부터 리턴하기 전에 프로그램은 카나리 값이 이 함수나, 호출한 함수의 동작에 의해 변경되었는지를 체크합니다.

만일 변경되었다면, 프로그램은 에러를 발생시키면서 종료합니다.

다음은 그 예시입니다.

 

 

 

 

 

⭐️ 실행코드 영역 제한하기

마지막 방법은 공격자가 exploit code 를 시스템에 추가할 가능성을 제거하는 것입니다.

한 가지 방법은 어느 메모리 영역이 실행코드를 저장할지를 제한하는 것입니다.

일반적은 프로그램에서 컴파일러가 만든 코드를 저장하는 메모리 부분만이 실행 가능하면 됩니다.

 

자세히 다루지는 않겠지만 프로그램의 다른 부분들은 읽기와 쓰기만 허용하도록 제한하여, 스택 버퍼 오버플로우로부터 보호할 수 있습니다.