周玉川-2017221302006-第三次作业1

【知识点详解】 1. ROP (Return-Oriented Programming) 检测方法及不足： ROP 是一种利用程序中的短小指令片段构造任意代码执行的技术，常用于绕过DEP(数据执行保护)。目前，有几种常见的检测方法： - **基于控制流程图(CFG)的CFI检测**：这种方法检查跳转指令的目的地址，确保它们只跳转到预定的控制流程路径。但其缺点是可能导致显著的性能开销，并且需要修改内核，使得旧版本的操作系统无法支持。 - **基于地址空间随机化(ASLR)**：通过随机化程序内存布局来防御非JIT-ROP攻击。然而，这种方法在某些旧版Windows系统中不兼容，并且可以通过特定的绕过技术被攻破。 2. DEP (Data Execution Prevention) 机制及其对抗策略： DEP 旨在防止栈溢出攻击，通过区分数据段和代码段，阻止执行栈上的恶意代码。常见的对抗DEP的方法包括： - **ret2libc**：不直接跳转到shellcode，而是利用已有的库函数执行恶意代码。 - **WPM (Write-Protect Bypass) 与 ROP**：将shellcode写入不受DEP保护的内存区域，然后触发执行。 - **关闭进程DEP**：通过系统函数或API关闭特定进程的DEP保护。 3. GS (Guarded Stack) 保护机制： GS 提供了一种栈保护机制，通过动态生成的canary值来检测栈溢出。在函数调用前后，canary值会被计算和验证，异常则会导致程序终止。为了增强安全性，还会额外加入cookie和栈中变量的重新排序，以避免缓冲区溢出。 4. ASLR (Address Space Layout Randomization) 原理与绕过： ASLR 随机化堆、栈和库的地址，增加攻击者预测地址的难度。然而，攻击者可能通过覆盖返回地址的低位字节来定位跳转指令，从而绕过ASLR。 5. SafeSEH (Safe Structured Exception Handling) 原理： SafeSEH 是一种异常处理机制，记录了所有合法的异常处理函数地址，防止非法函数执行。如果异常处理函数不在安全表中，程序会终止。 6. SafeSEH 的弱点和安全性分析： - SafeSEH 的有效性依赖于DEP，DEP被绕过后，SafeSEH也可能失效。 - 许多第三方库未启用SafeSEH，攻击者可以利用这些库来绕过保护。 - 可以通过在堆区布置shellcode，绕过指向堆区的异常处理函数。 以上就是关于ROP检测、DEP机制、GS保护、ASLR原理以及SafeSEH安全性的详细介绍，这些知识点都是网络安全领域的重要组成部分，对于理解和防范现代计算机攻击至关重要。