Простые средства аудита исходных кодов

Пример из жизни. Wu-ftpd 2.6.0

Сервер FTP Вашингтонского университета сильно пострадал во время своей эволюции от версии 2.4 к версии 2.6. Один из уязвимых моментов, которые привлекли внимание Bugtraq на tf8@zolo.freelsd.net (Bugtrq ID 1387), принадлежит к классу уязвимостей на базе строк формата. Поиск ошибок ( Flawfinder ) содержит каталог неверно использованных функций и сообщений о каждом, кто их нашел.

$ flawfinder ftpd.c
Flawfinder version 0.21, (C) 2001 David A. Wheeler.
Number of dangerous functions in C ruleset: 55
Examining ftpd.c
ftpd.c:5593 [5] (race) chown: this accepts filename arguments; if an attacker
can move those files, a race condition results. . Use fchown( ) instead.
ftpd.c:412 [4] (format) vsnprintf: if format strings can be influenced by an
attacker, they can be exploited. Use a constant for the format specification.
ftpd.c:416 [4] (format) snprintf: if format strings can be influenced by an
attacker, they can be exploited. Use a constant for the format specification.
ftpd.c:684 [4] (buffer) strcpy: does not check for buffer overflows. Consider
using strncpy or strlcpy.
ftpd.c:3158 [4] (buffer) sprintf: does not check for buffer overflows. Use
snprintf or vsnprintf.
ftpd.c:5890 [4] (buffer) sprintf: does not check for buffer overflows. Use
snprintf or vsnprintf.
ftpd.c:6160 [4] (format) syslog: if syslog"s format strings can be influenced
by an attacker, they can be exploited. Use a constant format string for syslog.
ftpd.c:6618 [4] (format) vsnprintf: if format strings can be influenced by an
attacker, they can be exploited. Use a constant for the format specification.

Четыре строки жирным шрифтом соответствуют этим строкам в исходном коде.

sprintf(proctitle, "%s: %s", remotehost, pw-pw_name);
...
sprintf(proctitle, "%s: connected", remotehost);

Фактическая эксплуатация повлияла на эти строки немедленно за функциями sprintf. Это демонстрирует, как поиск ошибок ( Flawfinder ) может указать правильное направление для нахождения ошибок в программах. Например, часть вставки в программу для исправления ошибок строки формата выглядит так ("-" в начале строки означает удалить строку; "+" означает добавить ее).

remotehost[sizeof(remotehost) - 1] = '\0';
 sprintf(proctitle, "%s: connected", remotehost);
-setproctitle(proctitle);
+setproctitle("%s", proctitle);

Пример из жизни. Что пропускают автоматизированные средства аудита

Автоматизированные средства понимают синтаксические правила языка программирования. Они обнаруживают проблемы, относящиеся к специфическим функциям или то, что функция использована неправильно. Автоматизированные средства не могут найти или разрешить логические проблемы в исходном коде. Логические проблемы включают арифметические, булевы сравнения и подстановку переменных.

Несовпадение целых чисел. В приложениях C и C++ программисты хранят числовые переменные в разнообразных форматах: 16-ти разрядных, 32-х разрядных, со знаком (могут иметь отрицательные значения) или без знака (только положительные значения). OpenSSH был уязвим к компенсационному взлому CRC-32, обнаруженному Michal Zalewski (Bugtraq ID 2347), который эксплуатировал проблему с хранением двух несовпадающих числовых переменных. Эта уязвимость требовала изменения только лишь одной строки - поменять переменную n с 16-разрядного на 32-х разрядное значение.

- static word 16        n = HASH_MINSIZE / HASH_ENTRYSIZE;
+ static word 32        n = HASH_MINSIZE / HASH_ENTRYSIZE;

Это значение использовалось позже в цикле FOR, который оперировал с 32-х разрядным значением, 1.

u_int32_t   l;
for (l = n; l < HASH_FACTOR(len / SSH_BLOCKSIZE); l = l << 2);
if (h == NULL)
{
    debug("Installing crc compensation attack detector.");
    n = l;
    h = (u_int16_t *) xmalloc(n * HASH_ENTRYSIZE);
}

Изначально значение n было 4096. Цикл FOR будет умножать один на два ( l = l << 2 ) до тех пор, пока он не пересечет определенную границу. Возможно, что 1 достигнет значения 65536, однако максимальное значение для 16-ти разрядного числа - только 65535. Следовательно, n будет обнулено. Это не влияло на Secure Shell (SSH) до тех пор, пока цикл FOR не использовал это значение для последующей функции.

register u_int32_t  i;
for (i = HASH(c)  (n - 1); h[i] != HASH_UNUSED;

Если n равно нулю, то n-1 равно -1, но для положительного 32-разрядного целого числа -1 выглядит как 0xFFFFFFFF в шестнадцатеричной системе счисления (оно не может быть отрицательным). Другими словами, HASH(c) (n-1) становится HASH(c), т.е. значением, которым может манипулировать взломщик.

Булевы тесты. Логические тесты и неявные пограничные значения также приводят к ошибкам - но ошибки не могут быть найдены автоматически. Например, уязвимость OpenSSH Channel Code Off-By-One (Bugtraq ID 4241), обнаруженная Joost Pol, происходит из-за неявной ошибки в проверке числовой границы. Взгляните на уязвимый код (первая строка) и его исправленный вид (вторая строка):

- if (id < 0 || id > channels_alloc) {
+ if (id < 0 || id >= channels_alloc) {

Целиком оператор IF выглядит следующим образом:

if (id < 0 || id = channels_alloc) {
            log("channel_lookup: %d: bad id", id);
            return NULL;
    }
    c = channels[id];

Уязвимый оператор IF не исполняется, если значение id равняется предельному значению channels_alloc. Это вызывает проблемы в следующей команде, когда программа пытается вызвать массив channels [id].

Ранее скомпилированные двоичные коды. Средство ревизии исходящего кода не может проверять исполняемый двоичный код. Можно сделать вывод, что качественная безопасность должна основываться на современных уровнях правки, конфигурациях главных машин, которые поддерживают менее привилегированный дизайн и строгий сетевой контроль. Рассмотрите переполнение буфера .ida в Microsoft IIS:

Даже если у вас есть доступ к исходящему коду, вам, может быть, и не удастся идентифицировать прорехи в системе безопасности. Однако вы можете применить методы из каждой из трех предыдущих концепций, чтобы заблокировать или, по крайней мере, уменьшить уязвимость безопасности в программном обеспечении вашей сети.