2017-2018-2 20179226 《网络攻防》第11周作业

Posted 2020-11-07

研究缓冲区溢出的原理，至少针对两种数据库进行差异化研究

原理

在计算机内部，输入数据通常被存放在一个临时空间内，这个临时存放的空间就被称为缓冲区，缓冲区的长度事先已经被程序或者操作系统定义好了。向缓冲区内填充数据，如果数据的长度很长，超过了缓冲区本身的容量，那么数据就会溢出存储空间，而这些溢出的数据还会覆盖在合法的数据上，这就是缓冲区和缓冲区溢出的道理。

对抗缓冲区溢出攻击

1、栈随机化

为了在系统中插入攻击代码，攻击者不但要插入代码，还要插入指向这段代码的指针，这个指针也是攻击字符串的一部分。产生这个指针需要知道这个字符串放置的栈地址。在过去，程序的栈地址非常容易预测，在不同的机器之间，栈的位置是相当固定的。
栈随机化的思想使得栈的位置在程序每次运行时都有变化。因此，即使许多机器都运行相同的代码。它们的栈地址都是不同的。
实现的方式是：程序开始时，在栈上分配一段0--n字节之间的随机大小空间。程序不使用这段空间，但是它会导致程序每次执行时后续的栈位置发生了变化。

在Linux系统中，栈随机化已经变成了标准行为。（在linux上每次运行相同的程序，其同一局部变量的地址都不相同）

2、栈破坏检测

在C语言中，没有可靠的方法来防止对数组的越界写，但是，我们能够在发生了越界写的时候，在没有造成任何有害结果之前，尝试检测到它。
最近的GCC版本在产生的代码中加入了一种栈保护者机制，用来检测缓冲区越界，其思想是在栈中任何局部缓冲区与栈状态之间存储一个特殊的金丝雀值。这个金丝雀值是在程序每次运行时随机产生的，因此，攻击者没有简单的办法知道它是什么。
在恢复寄存器状态和从函数返回之前，程序检查这个金丝雀值是否被该函数的某个操作或者函数调用的某个操作改变了。如果是，那么程序异常终止。

3、限制可执行代码区域

限制那些能够存放可执行代码的存储器区域。在典型的程序中，只有保存编译器产生的代码的那部分存储器才需要是可执行的，其他部分可以被限制为只允许读和写。
现在的64位处理器的内存保护引入了”NX”(不执行)位。有了这个特性，栈可以被标记为可读和可写，但是不可执行，检查页是否可执行由硬件来完成，效率上没有损失。

针对不同数据类型，研究SQL注入点的发现与注入技术

根据注入时提交的变量参数类型，SQL注入点有不同的分类，不同的注入点，其注入时需要注意的事项也有所不同。按提交参数类型，SQL注入点主要分为下面3种：

数字型注入点

形如“http://****?ID=55”，这类注入的参数是“数字”，因此称为“数字型注入点”。

此类注入点提交的SQL语句，其原形大致为：Select * from 表名 where 字段=55

当我们提交注入参数为“http://****?ID=55 And[查询条件]”时，向数据库提交的完整 SQL 语句为：Select * from 表名 where 字段=55 And [查询条件]

字符型注入点

形如“http://****?Class=日期”这类注入的参数是“字符”，因此称为“字符型”注入点。

此类注入点提交的 SQL 语句，其原形大致为：select * from 表名 where 字段=\'日期\'

当我们提交注入参数为“http://****Class=日期 And[查询条件]时，向数据库提交的完整 SQL 语句为”：select * from 表名 where 字段=\'日期\' and [查询条件]

搜索型注入点

这是一类特殊的注入类型。这类注入主要是指在进行数据搜索时没过滤搜索参数，一般在链接地址有“keyword=关键字”，有的不显示的链接地址，而是直接通过搜索框表单提交。

此类注入点提交的 SQL 语句，其原形大致为：select * from 表名 where 字段 like \'%关键字%\'

当我们提交注入参数为“keyword=\'and[查询条件] and \'%\'=\',则向数据库提交的完事SQL语句为：
select * from 表名 where 字段 like \'%\' and [查询条件] and \'%\'=\'%\'

研究缓冲区溢出的防范方法，至少针对两种编程语言进行差异化研究

根据缓冲区溢出攻击的步骤，可将常用的缓冲区溢出攻击检测技术分为以下3种类型：基于输入字符串的检测方法，基于保护堆栈中的返回地址的检测方法和基于监视系统调用的检测方法

基于输入字符串的检测方法

对输入的字符串进行检测，确定其为溢出攻击字符串时采取阻拦措施，使攻击者无法注入攻击代码。一般有以下3 种方法构建溢出攻击字符串
第1种溢出攻击字符串适用于缓冲区大于ShellCode 长度的情况；第2种溢出攻击字符串一般用于缓冲区小于ShellCode 长度的情况；第3种方法是将ShellCode 放在环境变量里，是目前较为常用的方法。

基于保护堆栈中返回地址的检测方法

缓冲区溢出攻击最关键的步骤是要通过修改函数返回地址来改变程序的流程，因此，在函数调用返回前，通过检查返回地址是否被修改可以判断是否有缓冲区溢出攻击发生。
缓冲区溢出攻击占了远程网络攻击的绝大多数，这种攻击可以使得一个匿名的Internet用户有机会获得一台主机的部分或全部的控制权。如果能有效地消除缓冲区溢出的漏洞，则很大一部分的安全威胁可以得到缓解。 目前有三种基本的方法保护缓冲区免受缓冲区溢出的攻击和影响： 1、通过操作系统使得缓冲区不可执行，从而阻止攻击者植入攻击代码； 2、强制写正确的代码的方法； 3、利用编译器的边界检查来实现缓冲区的保护，使得缓冲区溢出不可能出现，从而完全消除了缓冲区溢出的威胁。

至少使用两种数据库注入攻击工具

tnscmd10g

允许我们向Oracle数据库中注入命令

Sqlmap

Sqlmap是一个自动SQL 注入工具。其可胜任执行一个广泛的数据库管理系统后端指纹，
检索DBMS数据库、usernames、表格、列、并列举整个DBMS信息。Sqlmap提供转储数据库表以及mysql、PostgreSQL、SQL Server服务器下载或上传任何文件并执行任意代码的能力。