[論文レビュー] Security Mitigations for Return-Oriented Programming Attacks

Piotr Bania|arXiv (Cornell University)|Aug 24, 2010

Security and Verification in Computing参考文献 1被引用数 14

ひとこと要約

本論文は、x86-32 Windowsシステムにおけるリターン指向プログラミング（ROP）攻撃に対抗するコンパイラレベルおよびバイナリレベルの緩和策を提示する。コール-リターン関係解析、コールの後にマジック値を出力する技術、セグメントベース保護、コードダミー、IATリダイレクトといった手法を提案し、ガジェットのチェインを遮断することで、バイナリレベルの防御においてソースコードの変更を必要とせずに、攻撃の困難さを顕著に高める。

ABSTRACT

With the discovery of new exploit techniques, new protection mechanisms are needed as well. Mitigations like DEP (Data Execution Prevention) or ASLR (Address Space Layout Randomization) created a significantly more difficult environment for vulnerability exploitation. Attackers, however, have recently developed new exploitation methods which are capable of bypassing the operating system's security protection mechanisms. In this paper we present a short summary of novel and known mitigation techniques against return-oriented programming (ROP) attacks. The techniques described in this article are related mostly to x86-32 processors and Microsoft Windows operating systems.

研究の動機と目的

• DEP や ASLR といった従来の保護機構を回避するリターン指向プログラミング（ROP）攻撃の増加する脅威に対処する。
• 既存の緩和策の限界を特定し、ガジェットのチェイン化に強い新しい技術を提案する。
• ソースコードのアクセスを必要としないコンパイラレベルおよびバイナリレベルの防御を構築する。
• パフォーマンスのオーバーヘッドを最小限に抑えつつ、ROPベースの攻撃に対する耐性を最大化する。
• 既存のWindowsおよびPEバイナリフォーマットと互換性のある実用的で展開可能なソリューションを提供する。

提案手法

• コール-リターン命令の関係を解析し、CALLに続く唯一のリターン命令にのみ保護を施すことで、攻撃表面を縮小する。
• 各CALL命令の後にマジックバイトを出力し、関数のエピローグで検証することで、不正なリターンジャンプを検出する。
• x86セグメントディスクリプタを用いてコードセグメントを分離し、実行を正当で保護されたセグメントに限定することで、任意のコード実行を防止する。
• 元のコードセグメントを再配置し、非実行可能にマークすることでコードダミーを実装し、不正な実行が試みられた際にページフォールトを発生させる。
• インポートアドレステーブル（IAT）リダイレクトを適用し、改ざんされたポインタによる関数呼び出しの乗っ取りを防ぐ。
• ページフォールトフィルタリングを用いて、非実行可能メモリでの実行試行を検出しブロックし、正当でミラー化されたコード実行のみを許可する。

実験結果

リサーチクエスチョン

• RQ1 ソースコードの再コンパイルを要しないで、ROP攻撃をどのように緩和できるか。
• RQ2 命令レベルのパターンを用いて、ROPガジェットチェインを検出・ブロックする最も効果的な方法は何か。
• RQ3 既存のx86-32バイナリにセグメントベース保護メカニズムを効果的に適用できるか。
• RQ4 コードダミーと非実行可能メモリ領域を用いて、ROP攻撃の検出および防止は可能か。
• RQ5 実際のWindows環境におけるこれらの緩和技術のパフォーマンスと互換性のトレードオフは何か。

主な発見

• コール-リターン関係解析により、テストされたモジュールでは使用可能なROPガジェットの数が95％以上削減され、ガジェットの2.11％～5.31％しかCALL命令に先行しないためである。
• CALLの後にマジック値を出力することで、不正なリターンシーケンスの検出が強く可能となり、オペコード頻度統計を最適化することでパフォーマンスへの影響は最小限に抑えられる。
• カスタムコードセグメントを用いたセグメントベース保護により、実行可能コードの分離が有効に実現され、不正な実行が防止されるが、リロケーションおよびCSレジスタの状態の取り扱いに注意が必要である。
• ランダムなメモリレイアウトと非実行可能マークを用いたコードダミーは、不正な実行が試みられた際にページフォールトを発生させ、ROP攻撃の検出とブロッキングに成功する。
• IATリダイレクトとページフォールトフィルタリング機構を組み合わせることで、間接呼び出しの乗っ取りを防止できるが、PEローダーとの連携および仮想アドレス範囲の注意深い取り扱いが求められる。
• パフォーマンスおよび互換性の課題が、特にSHELL32.DLLのような大規模モジュールで顕著に現れるが、提案された緩和策により、ROP攻撃の成功の困難さは顕著に向上する。