Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

• Ursachen von buffer overflows
• Funktionsweise
• Security Scanner
• Updates gegen buffer overflows
Buffer overflows gehören mit zu den gefährlichsten Angriffen überhaupt. Betroffen sind
vornehmlich Internet-Server (WWW), DIAL-IN Router, PROXY-Caches, Newsserver,
Mailserver, FAX-Server, SQL-Server, SSL-Server und viele Sicherheitsprogramme, wie
z.B. PPTP, SSH.... Zunehmend benutzen Angreifer buffer overflows auf Angriffe von
Servern in Unternehmen.
Grund sind mangelhafte Längenabfragen bei den an ein Programm übergebenen Daten.
Hat ein Programm eine bestimmte Anzahl von Bytes für z.B. die Annahme eines
Paßwortes oder einer URL (http://www.xyz.de/index.asp?Name=text.....) reserviert, so
führt die Übergabe eines überlangen Strings zu einer Schutzverletzung in der
Speicherverwaltung des Servers/Clients. Ein Angreifer übergibt dann als String Daten, die
mit NOP Befehlen (No Operation) beginnen, und danach ein paar Byte zum Aufruf eines
Programms (z.B format c:) enthalten. Dieser String überschreibt dann im Speicher andere
Programmteile, die dann evtl. nicht mehr funktionieren. Da ein Server jedoch gewöhnlich
viele unwichtige Programmroutinen im RAM hält, die wenig oder nie gebraucht werden,
fällt dieser Angriff zunächst nicht auf. Irgendwann springt der IP (Instruction Pointer) eines
Programms in diejenige Routine, die von dem buffer overflow überschrieben wurde. Da
die genaue Adresse meist unbekannt ist, wurden mit einigen hundert oder tausend NOP
dafür gesorgt, daß der IP an jeder Adresse einspringen kann. Danach trifft er unweigerlich
auf das eingeschleuste Programm und führt es aus.
Im Internet finden sich hunderte von vorgefertigten Programmen, auch »exploits« genannt,
die diese Fehler in Betriebssystemen ausnutzen. Security Scanner fragen auf dem
Betriebssystem Versionsnummern ab und warnen, falls ein Problem bekanntgeworden ist.
Das bedeutet, daß Security Scanner nicht die Sicherheit eines Betriebssystems testen,
sondern nur darauf, ob ein bereits bekannter exploit an diesem Server/Programm
Schaden anrichten könnte. Security Scanner testen allerdings noch viele zusätzliche
Dinge, vornehmlich bekannte Konfigurationsfehler, die natürlich immer sehr
betriebssystemspezifisch sind. Unbekannte »exploits« können Security-Scanner nicht
testen.
Genaue Recherchen haben aber gezeigt, daß oft schon bis 6 Monate vor dem Erscheinen
eines exploits Gerüchte über einen möglichen buffer overflow auf einem
Betriebssystemen, Router, u.s.w in NEWSGROUPS aufgetaucht sind
(www.dejanews.com).
Es sind aber auch schon Fälle bekanntgeworden, wo buffer overflow Angriffe aus der
ehemaligen SU erfolgreich waren, die erst ca. 2 Jahre später in den Mailing-Listen von
BUGTRAQ aufgedeckt wurden.
Fleißiges Mitlesen der Listen und einspielen von Sicherheits-Patches hilft nur und
ausschließlich gegen den MOB, der sich im Internet breitmacht und exploits testet, gegen
professionelle Angreifer müssen sichere Betriebssysteme und Filter eingesetzt werden.
Wie kann man sich vor buffer overflows schützen?
Es gibt nur 2 Betriebssysteme, die erwiesenermaßen gegen einen solchen Angriff
schützen können. Solaris 2.6/2.7 und SecureLINUX (Canary Stackguard / MemGuard). In
Solaris 2.6+ muß hierzu, geht man von einer »normalen« Installation aus, erst ein Schalter
aktiviert werden, der verhindert, daß Programme in »stack« und »heap« ausgeführt
werden können (noexec_user_stack, noexec_user_heap).
Erstellt von Doc Gonzo - http://kickme.to/plugins