对CFG漏洞缓解机制的解析研究
发布时间：2022-08-02 14:03:50 所属栏目：安全 来源：互联网
导读：控制流保护(CFG)是Windows的一种安全机制，其目的是通过检查间接调用的目标地址是否是有效的函数来减轻执行流的重定向，我们可以用这个例子作分析。 通过这个例子，我们用MSVC编译器编译一个exe文件，看看在调用main()之前生成和执行了什么代码： 随后执行：
|
控制流保护(CFG)是Windows的一种安全机制，其目的是通过检查间接调用的目标地址是否是有效的函数来减轻执行流的重定向，我们可以用这个例子作分析。 通过这个例子，我们用MSVC编译器编译一个exe文件，看看在调用main()之前生成和执行了什么代码： 随后执行： 复制 __guard_check_icall_fptr dd offset _guard_check_icall_nop _guard_check_icall_nop proc near retn _guard_check_icall_nop endp retn可以绕过，为什么？ 这样程序就可以在不支持CFG的旧操作系统版本中运行 。 在支持它的系统中 ， _guard_check_icall_nop地址会被NT DLL中的Ldrp验证用户调用目标替换： 对于CFG，他们在Load Config目录中的PE中添加了一堆新字段 ： Guard CF Check 函 数 指 针 ， 该 指 针 指 向guard_check_icall_ptr，是要替换的函数地址和Guard CF函数表， 该表包含所有要设置为有效目标的函数的RVA，在加载PE时创建的Bitmap中。 验证用户调用目标的Ldrp从该第一指令中的LdrSystemDllInit块+0xb0获取Bitmap的地址。 Bitmap包含整个过程中每16个字节的“状态”， 当加载PE时，表中的RVAs被转换为偏移量， 然后相应地设置该偏移量处的状态。 （编辑：PHP编程网 - 黄冈站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330482号