Desbordamiento del búfer de pila

En software, un desbordamiento de búfer de pila o sobrecarga de búfer de pila ocurre cuando un programa escribe en una dirección de memoria en la pila de llamadas del programa fuera de la estructura de datos prevista, que suele ser un búfer de longitud fija . ^{[ 1 ] [ 2 ]} Los errores de desbordamiento de búfer de pila se producen cuando un programa escribe más datos en un búfer ubicado en la pila de los que realmente se han asignado para ese búfer. Esto casi siempre resulta en la corrupción de datos adyacentes en la pila, y en los casos en que el desbordamiento se activó por error, a menudo provocará que el programa falle o funcione incorrectamente. El desbordamiento de búfer de pila es un tipo de mal funcionamiento de programación más general conocido como desbordamiento de búfer (o sobrecarga de búfer). ^{[ 1 ]} Es más probable que sobrellenar un búfer en la pila descarrile la ejecución del programa que sobrellenar un búfer en el montón porque la pila contiene las direcciones de retorno para todas las llamadas a funciones activas.

Un desbordamiento de búfer de pila puede ser provocado deliberadamente como parte de un ataque conocido comoAtaque de pila . Si el programa afectado se ejecuta con privilegios especiales o acepta datos de hosts de red no confiables (por ejemplo, unservidor web), entonces el error representa unavulnerabilidad de seguridad. Si el búfer de pila se llena con datos proporcionados por un usuario no confiable, dicho usuario puede corromper la pila de tal manera que inyecte código ejecutable en el programa en ejecución y tome el control del proceso. Este es uno de los métodos más antiguos y confiables que utilizanlos atacantespara obtener acceso no autorizado a una computadora. ^{[ 3 ] [ 4 ] [ 5 ]}

El método canónico para explotar un desbordamiento de búfer basado en la pila consiste en sobrescribir la dirección de retorno de la función con un puntero a datos controlados por el atacante (generalmente en la propia pila). ^{[ 3 ] [ 6 ]} Esto se ilustra en strcpy()el siguiente ejemplo:

#include <string.h>void foo ( char * bar ) { char c [ 12 ];strcpy ( c , bar ); // sin comprobación de límites }int main ( int argc , char * argv []) { foo ( argv [ 1 ]); return 0 ; }

Este código toma un argumento de la línea de comandos y lo copia a una variable de pila local c. Esto funciona correctamente para argumentos de línea de comandos menores de 12 caracteres (como se puede ver en la figura B a continuación). Cualquier argumento mayor de 11 caracteres provocará la corrupción de la pila. (El número máximo de caracteres que se puede almacenar de forma segura es uno menos que el tamaño del búfer, ya que en el lenguaje de programación C, las cadenas terminan con un byte nulo. Por lo tanto, una entrada de doce caracteres requiere trece bytes para su almacenamiento: la entrada seguida del byte cero centinela. El byte cero termina sobrescribiendo una ubicación de memoria que se encuentra un byte más allá del final del búfer).

El programa se carga foo()con varias entradas:

En la figura C anterior, cuando se proporciona un argumento mayor de 11 bytes en la línea de comandos, foo()se sobrescriben los datos de la pila local, el puntero de marco guardado y, lo que es más importante, la dirección de retorno. Cuando foo()regresa, se extrae la dirección de retorno de la pila y se salta a esa dirección (es decir, se empiezan a ejecutar instrucciones desde esa dirección). Por lo tanto, el atacante ha sobrescrito la dirección de retorno con un puntero al búfer de la pila char c[12], que ahora contiene datos proporcionados por el atacante. En una explotación real de desbordamiento de búfer de pila, la cadena de "A" sería en su lugar un shellcode adecuado para la plataforma y la función deseada. Si este programa tuviera privilegios especiales (por ejemplo, el bit SUID configurado para ejecutarse como superusuario ), el atacante podría usar esta vulnerabilidad para obtener privilegios de superusuario en la máquina afectada. ^{[ 3 ]}

El atacante también puede modificar los valores de las variables internas para explotar ciertos errores. Con este ejemplo:

#include <stdio.h> #include <string.h>void foo ( char * bar ) { float myFloat = 10.5 ; // Addr = 0x0023FF4C char c [ 28 ]; // Addr = 0x0023FF30// Imprimirá 10.500000 printf ( "myFloat value = %f \n " , myFloat );/* ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~  Mapa de memoria:  @ : c memoria asignada  # : myFloat memoria asignada *c *myFloat  0x0023FF30 0x0023FF4C  | |  @@@@@@@@@@@@@@@@@@@@@@@@@@@@@#####  foo("¡¡¡¡¡mi cadena es demasiado larga!!!!! XXXXX"); memcpy pondrá 0x1010C042 (little endian) en el valor myFloat.  ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~*/memcpy ( c , bar , strlen ( bar )); // sin comprobación de límites...// Imprimirá 96.031372 printf ( "myFloat value = %f \n " , myFloat ); }int main ( int argc , char * argv []) { foo ( "mi cadena es demasiado larga !!!!! \x10\x10\xc0\x42 " ); return 0 ; }

Generalmente se utilizan dos métodos para alterar la dirección almacenada en la pila: directo e indirecto. Los atacantes comenzaron a desarrollar ataques indirectos, que tienen menos dependencias, para eludir las medidas de protección implementadas para reducir los ataques directos. ^{[ 7 ]}

Varias plataformas presentan sutiles diferencias en la implementación de la pila de llamadas que pueden afectar el funcionamiento de un exploit de desbordamiento de búfer de pila. Algunas arquitecturas de máquina almacenan la dirección de retorno de nivel superior de la pila de llamadas en un registro. Esto significa que cualquier dirección de retorno sobrescrita no se utilizará hasta un desenrollado posterior de la pila de llamadas. Otro ejemplo de un detalle específico de la máquina que puede afectar la elección de técnicas de explotación es el hecho de que la mayoría de las arquitecturas de máquina de estilo RISC no permiten el acceso no alineado a la memoria. ^{[ 8 ]} Combinado con una longitud fija para los códigos de operación de la máquina, esta limitación puede hacer que la técnica de salto a la pila sea casi imposible de implementar (con la única excepción de cuando el programa contiene el improbable código para saltar explícitamente al registro de la pila). ^{[ 9 ] [ 10 ]}

A lo largo de los años, se han desarrollado varios esquemas de integridad del flujo de control para inhibir la explotación maliciosa del desbordamiento del búfer de pila. Estos generalmente se pueden clasificar en tres categorías:

• Detectar que se ha producido un desbordamiento del búfer de la pila y, por lo tanto, evitar la redirección del puntero de instrucción a código malicioso.
• Evita la ejecución de código malicioso desde la pila sin detectar directamente el desbordamiento del búfer de la pila.
• Aleatorizar el espacio de memoria de tal manera que encontrar código ejecutable se vuelva poco fiable.

• El gusano Morris, en 1988, se propagó en parte explotando un desbordamiento de búfer de pila en el servidor finger de Unix . ^{[ 20 ]}
• El gusano Slammer se propagó en 2003 explotando un desbordamiento de búfer de pila en el servidor SQL de Microsoft . ^{[ 21 ]}
• El gusano Blaster se propagó en 2003 aprovechando un desbordamiento de búfer de pila en el servicio DCOM de Microsoft .
• El gusano Witty se propagó en 2004 explotando un desbordamiento de búfer de pila en el agente de escritorio BlackICE de Internet Security Systems . ^{[ 22 ]}
• Hay un par de ejemplos de la Wii que permiten ejecutar código arbitrario en un sistema sin modificar. El "Twilight hack", que consiste en darle un nombre largo al caballo del personaje principal en The Legend of Zelda: Twilight Princess , ^{[ 23 ]} y "Smash Stack" para Super Smash Bros. Brawl, que consiste en usar una tarjeta SD para cargar un archivo especialmente preparado en el editor de niveles del juego. Aunque ambos pueden usarse para ejecutar cualquier código arbitrario, el último se usa a menudo simplemente para recargar Brawl con las modificaciones aplicadas. ^{[ 24 ]}

• Delitos cibernéticos
• ExecShield
• Desbordamiento de montón
• Desbordamiento de enteros
• Bit NX : bit de no ejecución para áreas de memoria
• Linux con seguridad mejorada
• Desbordamiento de pila : cuando la propia pila se desborda.
• Violación de almacenamiento