버퍼 오버플로우

종류

원리
- 프로그램에서 특정 함수를 실행시키면 스택에 이전 함수로 돌아가기 위한 주소가 기록된다. (함수에서 return이 호출되면 그 값과 함께 돌아갈 주소)
- 버퍼에 큰 값을 넣게 되면 이 스택 영역을 침범하게 된다.
- 리턴 주소가 들어갈 곳에 쉘코드나 다른 프로그램의 주소를 넣으면 그것이 실행되게 된다.
- x86 에서 함수의 스택 프레임은 EBP(베이스 포인터)를 기준으로 짜인다. 지역 버퍼는 EBP 아래에 있고 그 위로 저장된 EBP, 복귀 주소가 놓이므로, 넘친 입력은 버퍼 → 저장된 EBP → 복귀 주소 순으로 덮는다 → X86 레지스터

할당된 버퍼의 한계를 넘는 데이터를 써서 인접한 메모리(다른 변수, 복귀 주소, 힙 관리 정보)를 덮어쓰는 것이 버퍼 오버플로우다
원인은 입력 길이를 검사하지 않고 버퍼에 복사하는 코드다. C·C++ 처럼 배열 경계를 검사하지 않는 언어와, 길이를 받지 않는 문자열 함수에서 생긴다
자료형(data type)을 불명확하게 정의해서 생기는 취약점이 아니다. 자료형 범위를 넘는 계산은 정수 오버플로이며, 버퍼 오버플로우로 이어질 수는 있지만 별개의 개념이다
원격 서비스(예: 예전 Sendmail 데몬)의 알려진 패턴의 버퍼 오버플로우 공격은 패치와 함께 IPS 의 시그니처로 탐지·차단한다

스택가드(Stackguard)
- 카나리(canary)라고 불리는 무결성 체크용 값을 복귀주소와 변수 사이에 삽입해 둔다.
- 버퍼 오버플로 시 카나리값이 변하게 되는데, 이 경우 복귀주소를 호출하지 않는다.
- gcc등 각종 컴파일러에 이 기법이 반영되어 업데이트 되었다.
스택쉴드(Stack Shield)
- 함수 시작 시 복귀주소를 Global RET라는 특수 스택에 저장해 둔다.
- 함수 종료 시 저장된 값과 스택의 RET값을 비교해 다를 경우 오버플로우로 간주하고 프로그램 실행을 중단한다.
ASLR(Address Space Layout Randomization)
- 메모리 공격을 방어하기 위해 주소 공간 배치를 난수화 한다.
- 실행 시 마다 메모리 주소를 변경시켜 버퍼 오버플로우를 통한 특정주소 호출을 차단한다.
- 리눅스에서 다음과 같이 설정할 수 있다.

echo 2 > /proc/sys/kernel/randomize_va_space

실행 불가능한 영역
- Solaris 2.7이상 버전에서 /etc/system 파일에 noexec_user_stack, noexec_user_stack_log를 1로 set하여 활성화시킨다
- 스택과 힙을 실행 불가능(No Executable)한 영역으로 만든다.

안전한 개발
- 프로그램 개발 시 입력값에 대한 크기 검증을 적절히 수행하거나 취약하지 않은 함수만을 사용한다면 어느정도 방지할 수 있다.
- 참고
  - 버퍼 오버플로우에 취약한 언어들 : C, C++
  - 버퍼 오버플로우에 취약한 함수들 : strcat(), strcpy(), gets(), scanf(), sscanf(), vscanf(), vsscanf(), sprintf(), vsprintf(), gethostbyname(), realpath(), getopt(), getpass(), streadd(), strecpy(), strtrns()
  - realpath() 는 결과를 담을 버퍼의 크기를 받지 않아, 경로가 길면 넘칠 수 있어 취약 함수로 분류한다. 결과 버퍼를 NULL 로 주어 함수가 메모리를 할당하게 하는 방식이 안전하다
  - 대신 사용이 권장되는 함수들 : strncat(), strncpy(), fgets(), fscanf(), vfscanf(),snprintf(), vsnprintf()