Антиинжект: отловить смену контекста

unc1e,

Даже если вы захватите тред, то ничего не сможите вызвать. Любая передача управления приведёт к исключению, срабатыванию ловушки.

И вообще данная тема - основа безопасности, есть множество разработок и они не полноценны. Это самая актуальная тема на данный момент. Почему вы думаете что можите найти решение, которое никто не нашёл.

 

Я бы сказал, что _вцелом_ нужно более подробное описание, структурированное и понятное, как сделали авторы доклада о CCFIR.

Мммм..., а почему вы тестируете подобные техники на не современной ОС?

Было бы странно, если бы он хотел найти решение, которое уже найдено

 

Я понял вашу концепцию(надеюсь), но вот к примеру:
1) Мы вклиниваемся в визор
2) В цикле, где он перебирает байты, определяет длину инструкций, копирует их в буфер с необходимыми правами - именно там мы можем вызывать произвольный код/модифицировать регистры.
Те речь не идет о передачи потока управления в read-only память, я имел ввиду выполнение произвольных команд внутри тела визора. Та же цепочка SuspendThread("SomeHypervizorThread") -> SetThreadContext -> ResumeThread позволит нарушить целостность потока управления визора, а, следовательно, и самого приложения

 

Fail,

> Мммм..., а почему вы тестируете подобные техники на не современной ОС?

А какая разница, я в той оси помню нужные мне адреса в км и прочие вещи. Зачем себе создавать помехи.

unc1e,

Эта техника зарубает любой инжект и залив на корню, какие то уязвимости в визоре нет смысла искать его не имея - да, для аллокаций используется штатный код, который выполняется под визором через рекурсивный его вызов, но данные тех детали значения не имеют.

 

Fail,

> Я бы сказал, что _вцелом_ нужно более подробное описание, структурированное и понятное

Основы я описал, причём думаю не плохо. Выполните свою работу, тогда можно обсудить и углубиться в тех детали. Но а пока это не нужно. Любой иной человек не дал бы вам данной инфы - эта железячная техника, она много весит".

 

Спасибо вам за замечательную информацию - было очень полезно узнать про методы борьбы с ROP и подобными инжектами))

 

Indy_, Ваша реализация основана на Intel SGX?

 

Если действительно SGX, то концепция визора не выглядит сложной, был бы дизассемблер. Но если анклав с кодом реализован средствами уже существующих апи, то действительно, подсказки дадут мало, ибо я не вижу способов сделать изолированный кусок памяти, который нельзя прочитать чужим потоком.

 

TermoSINteZ, существуют ли юзермодные способы создать отображение уже выделенной памяти?

 

HoShiMin,

Я ничего не говорил про sgx. Мисье не читает, он гадает ?

https://wasm.in/blogs/softvernye-anklavy.548/

> я не вижу способов сделать изолированный кусок памяти, который нельзя прочитать чужим потоком.

Его в памяти вообще может не быть, это софтверный анклав. Он существует только при наличии выборки данных(DF).

> существуют ли юзермодные способы создать отображение уже выделенной памяти?

Нет. Зачем вам это ?

 

https://exelab.ru/f/index.php?action=vthread&forum=6&topic=24797

Тема создана для поиска решения по OP инжектам и я закрыл её так как решение найдено.

https://exelab.ru/f/index.php?action=vthread&forum=6&topic=24744&page=0

Для увеличения тайминга при работе визора цикличный код должен быть оптимизирован через его изоляцию в буфер.

https://exelab.ru/f/index.php?action=vthread&forum=3&topic=24393&page=0

Поиск лучшего дизасма по профайлу.

 

Indy_, огромное спасибо за матчасть! Теперь есть, от чего отталкиваться

 

Э, не)) это давно еще в 2016 году осенью в виде PoC (ReX) было мной реализовано, Inde, я же писал об этом еще.... потом появились ёлки - метелки - сатаны и пети, визоры -гуано, имхо все встроено в железо, вот сижу и думаю, кто мне чип тюнинг удаленно на матринке делает

 

RET,

Я как то не особо понимаю ваш ход мыслей, вы их описывайте, ну что бы не приходилось задавать эти вопросы.

 

Один раз прочитал, ничего не понял. Второй раз прочитал, опять ничего не понял. Задача тс понятна и очевидна в общем случае нерешаема.
Решение которое привел инди, мне полностью не понятно из-за обрывистого повествования, но что сразу понятно, что производительность у такого решения будет низкая.
Главное, чего я не могу понять, зачем это нужно. Получается такой своего рода JIT с гарантированным (? без полного описания не могу сказать) деревом выполнения, но нах это нужно я хз.

 

spa,

> но что сразу понятно, что производительность у такого решения будет низкая.

Я ранее не раз сказал про профайл. Это важно. Смотрите тут поиск решений по данной задаче:

Оптимизация циклов - цикл выделяется в буфер и там исполняется https://exelab.ru/f/index.php?action=vthread&forum=6&topic=24744&page=0

На кл есть есчо несколько тем по данной проблеме, все эти задачи решены.

Вы можите найти мои примеры тестов, в виде видосов, просадка профайла визуально не заметна даже на тяжёлых апп, типо браузеров.

Тему вернули эту не просто для обсуждения, это был линк из другой темы.

 

Я пока вообще не понял, зачем это может быть нужно. Честно, мне нету смысла вникать слишком глубоко, однако если объясните в чем цель всего этого скажу спасибо, просто любопытно. Пока вижу выполнение кода в контексте другого процесса.

 

ммм, а как же Inde APC? те же TLS или уведомления DllThread? Разъясните почему свой поток с чужим трэдом можно перепутать? или я туплю? Помните на руткисах и кряклабе я выкладывал сорцы, да они на Си и сложны но все же пахали...