البرمجة الموجهة نحو إرجاع الإشارة

في حال استخدام آليات مثل منع تنفيذ البيانات ، لن يتمكن المهاجم من وضع شيفرة خبيثة على مكدس الذاكرة وإجبار الجهاز على تنفيذها عن طريق الكتابة فوق عنوان الإرجاع. مع وجود هذه الحماية، لن يُنفذ الجهاز أي شيفرة موجودة في مناطق الذاكرة المصنفة على أنها قابلة للكتابة وغير قابلة للتنفيذ. لذلك، سيضطر المهاجم إلى إعادة استخدام شيفرة موجودة بالفعل في الذاكرة.

لا تحتوي معظم البرامج على وظائف تسمح للمهاجم بتنفيذ الإجراء المطلوب مباشرة (مثل الحصول على إمكانية الوصول إلى واجهة سطر الأوامر )، ولكن التعليمات اللازمة غالباً ما تكون متناثرة في الذاكرة. ^{[ 6 ]}

تتطلب البرمجة الموجهة نحو العودة أن تنتهي هذه التسلسلات من التعليمات، والتي تُسمى الأدوات، بتعليمات RET. وبهذه الطريقة، يستطيع المهاجم كتابة سلسلة من العناوين لهذه الأدوات في المكدس، وبمجرد RETتنفيذ تعليمة في إحدى الأدوات، ينتقل مسار التحكم إلى الأداة التالية في القائمة.

يُمكن استغلال هذا الهجوم بسبب طريقة معالجة الإشارات في معظم الأنظمة الشبيهة بنظام POSIX . فعند ورود أي إشارة، يحتاج نظام التشغيل إلى تبديل السياق إلى معالج الإشارة المُثبَّت. وللقيام بذلك، يحفظ نظام التشغيل سياق التنفيذ الحالي في إطار على المكدس. ^{[ 5 ] [ 6 ]} البنية التي تُدفع إلى المكدس هي نسخة خاصة بالمعمارية من بنية sigcontext ، والتي تحتوي على بيانات متنوعة تشمل محتويات السجلات لحظة تبديل السياق. عند اكتمال تنفيذ معالج الإشارة، sigreturn()يتم استدعاء دالة النظام.

إن استدعاء نظام sigreturn يعني القدرة على ضبط محتويات السجلات بسهولة باستخدام أداة واحدة يمكن العثور عليها بسهولة في معظم الأنظمة. ^{[ 1 ]}

هناك عدة عوامل تميز استغلال ثغرات SROP وتميزه عن استغلال ثغرات البرمجة الموجهة نحو العودة التقليدية. ^{[ 7 ]}

أولًا، تعتمد تقنية ROP على الأدوات المتاحة، والتي قد تختلف اختلافًا كبيرًا بين الملفات الثنائية المختلفة ، مما يجعل سلاسل الأدوات غير قابلة للنقل. كما أن عشوائية تخطيط مساحة العناوين (ASLR) تجعل من الصعب استخدام الأدوات دون تسريب معلومات لتحديد مواقعها الدقيقة في الذاكرة.

على الرغم من وجود مترجمات ROP كاملة تورينج ، ^{[ 8 ]} إلا أن إنشاء سلسلة ROP عادة ما يكون أمراً غير بديهي. ^{[ 7 ]}

تتميز ثغرات SROP عادةً بسهولة نقلها بين مختلف الملفات الثنائية بأقل جهد أو بدون أي جهد، وتتيح ضبط محتويات السجلات بسهولة، وهو أمر قد يكون معقدًا أو مستحيلاً بالنسبة لثغرات ROP في حال عدم توفر الأدوات اللازمة. ^{[ 6 ]} علاوة على ذلك، تتطلب SROP عددًا ضئيلاً من الأدوات، وتتيح إنشاء أكواد برمجية فعالة من خلال ربط استدعاءات النظام. هذه الأدوات موجودة دائمًا في الذاكرة، وفي بعض الحالات تكون دائمًا في مواقع ثابتة: ^{[ 7 ]}

قائمة بالأجهزة لأنظمة مختلفة

نظام التشغيل	ASLR	أداة	خريطة الذاكرة	موقع الذاكرة الثابت
لينكس i386		sigreturn	[vdso]
لينكس < 3.11 ARM		sigreturn	[متجهات]	0xffff0000
لينكس < 3.3 x86-64		استدعاء النظام والعودة	[vsyscall]	0xffffffffff600000
لينكس ≥ 3.3 x86-64		استدعاء النظام والعودة	مكتبة
لينكس x86-64		sigreturn	مكتبة
FreeBSD 9.2 x86-64		sigreturn		0x7ffffffff000
نظام التشغيل ماك أو إس إكس x86-64		sigreturn	مكتبة
نظام التشغيل iOS ARM		sigreturn	نظام المكتبة
نظام التشغيل iOS ARM		استدعاء النظام والعودة	نظام المكتبة

يمكن دائمًا العثور على مثال لنوع الأداة اللازمة لاستغلال ثغرات SROP في منطقة ذاكرة الكائن المشترك الديناميكي الافتراضي (VDSO) على أنظمة x86- Linux :

__kernel_sigreturn proc قريب : pop eax mov eax , 77h int 80h ; لينكس - sys_sigreturn nop lea esi , [ esi + 0 ] __kernel_sigreturn endp

في بعض إصدارات نواة لينكس ، يمكن تعطيل ASLR عن طريق ضبط الحد الأقصى لحجم المكدس على غير محدود، ^{[ 9 ]} مما يؤدي فعليًا إلى تجاوز ASLR والسماح بالوصول السهل إلى الأداة الموجودة في VDSO.

بالنسبة لنوى لينكس قبل الإصدار 3.3، من الممكن أيضًا العثور على أداة مناسبة داخل صفحة vsyscall، وهي آلية لتسريع الوصول إلى استدعاءات نظام معينة تستخدمها البرامج القديمة وتوجد دائمًا في موقع ثابت.

من الممكن استخدام أدوات للكتابة في محتويات إطارات المكدس، مما يُتيح إنشاء برنامج ذاتي التعديل . باستخدام هذه التقنية، يُمكن تصميم آلة افتراضية بسيطة ، يُمكن استخدامها كهدف تجميع للغة كاملة تورينج . يُمكن إيجاد مثال على هذا النهج في ورقة بوسمان، التي تُوضح بناء مُفسِّر للغة مُشابهة للغة برمجة Brainfuck . تُوفر هذه اللغة عدادًا للبرنامج PC، ومؤشرًا للذاكرة P، وسجلًا مؤقتًا يُستخدم لجمع 8 بتات A. هذا يعني أنه يُمكن أيضًا تصميم أبواب خلفية مُعقدة أو هجمات مُبهمة. ^{[ 1 ]}

يؤدي التوزيع العشوائي لتخطيط مساحة العناوين إلى صعوبة استخدام الأدوات المناسبة من خلال جعل مواقعها غير قابلة للتنبؤ.

تم اقتراح حل لتخفيف مشكلة SROP يُسمى ملفات تعريف الارتباط للإشارة . ويتمثل هذا الحل في طريقة للتحقق من عدم التلاعب ببنية sigcontext باستخدام ملف تعريف ارتباط عشوائي يتم دمجه مع عنوان موقع المكدس الذي سيتم تخزينه فيه. وبهذه الطريقة، لا يحتاج استدعاء النظام sigreturn إلا إلى التحقق من وجود ملف تعريف الارتباط في الموقع المتوقع، مما يخفف بشكل فعال من مشكلة SROP مع تأثير ضئيل على الأداء. ^{[ 1 ] [ 10 ]}

في إصدارات نواة لينكس الأحدث من 3.3، تتم محاكاة واجهة vsyscall، وأي محاولة لتنفيذ الأدوات مباشرةً في الصفحة ستؤدي إلى استثناء. ^{[ 11 ] [ 12 ]}

Grsecurity عبارة عن مجموعة من التصحيحات لنواة لينكس لتعزيز وتحسين أمان النظام. ^{[ 13 ]} وهي تتضمن ما يُسمى بحماية عنوان الإرجاع (RAP) للمساعدة في الحماية من هجمات إعادة استخدام التعليمات البرمجية. ^{[ 14 ]}

بدأت شركة إنتل في عام 2016 بتطوير تقنية فرض التحكم في التدفق ( CET ) للمساعدة في التخفيف من ثغرات استغلال تجاوزات المكدس ومنعها. تعمل تقنية CET من خلال إنشاء مكدس ظل في ذاكرة الوصول العشوائي (RAM) يحتوي فقط على عناوين العودة، وهو محمي بواسطة وحدة إدارة الذاكرة في وحدة المعالجة المركزية . ^{[ 15 ] [ 16 ]}