Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

2.3 Buffer-Overflows und Format-String-Schwachstellen 57
eine der Funktionen aus der printf()-Familie auf dieses Zeichen, so wird
der korrespondierende Wert auf dem Stack als unsigned int interpretiert
und in Hexadezimal-Notation ausgegeben. Ein Aufruf der printf()-Funktion,
wie etwa printf("%08x;%08x;%08x;%08x\n");, liefert dem Angreifer damit
einen Auszug aus dem aktuellen Programmstack.
Es ist darüber hinaus sogar möglich, durch das Ausnutzen von Format-String-
Schwachstellen einen Auszug von beliebigen Speicherregionen zu erstellen. Dazu
muß der Angreifer allerdings schon etwas tiefer in die Trickkiste greifen.
Es gilt hier, zunächst eine geeignete Adresse auf dem Stack zu plazieren, ab
der die Ausgabe schließlich erfolgen soll. Danach kann dann über %s ein Speicherauszug
erzeugt werden. Das ganze klingt schwieriger als es ist, denn der
Format-String selbst liegt ja ebenfalls auf dem Stack und über den Format-
String haben wir als Angreifer schließlich die Kontrolle.
Das Umwandlungszeichen %n bietet eine alternative Technik, ein Programm
über eine Format-String-Schwachstelle zum Absturz zu bringen. Trifft eine der
Funktionen aus der printf()-Familie auf dieses Zeichen, so wird die Anzahl
der bislang von der Funktion ausgegebenen Zeichen an die in der Parameterliste
korrespondierende Adresse geschrieben.
2.3.3 Geeignete Gegenmaßnahmen
Nachdem sowohl Buffer-Overflows als auch Format-String-Schwachstellen immer
auf nachlässige und in der Folge fehlerhafte Programmierung zurückzuführen
sind, ist die sicherste Gegenmaßnahme gegen diese beiden Problemfelder
natürlich die Vermeidung derartiger Nachlässigkeiten. In einem
sorgfältig entworfenen Programm werden also u. a. immer alle Eingabewerte
geprüft und die jeweiligen Bereichsgrenzen mit Hilfe geeigneter Funktionen
eingehalten. Darüber hinaus befinden sich die verwendeten Format-Strings
niemals ganz oder auch nur teilweise außerhalb der Kontrolle des Programms.
Diese Form der Fehlervermeidung ist allerdings stets vom Können und auch
von der Aufmerksamkeit der beteiligten Softwareentwickler abhängig, weshalb
der Wunsch nahe liegt, entweder die Fehlerquellen automatisiert aufzudecken
oder zumindest die möglichen Auswirkungen unentdeckter Buffer-Overflows
und Format-String-Schwachstellen effizient einzuschränken [Kle04, BST99,
TS01]. Für die automatisierte Lokalisierung diverser Schwachstellen stehen
eine Menge statischer oder semantischer Analysewerkzeuge wie Flawfinder 12 ,
RATS 13 oder Splint 14 zur Verfügung [WK02, WK03]. Eine Beschränkung
der Auswirkungen von Format-String-Schwachstellen und Buffer-Overflows
beruht dagegen meist auf speziellen Compiler-Anpassungen wie StackGuard 15
12 http://www.dwheeler.com/flawfinder/
13 http://www.securesw.com/rats/
14 http://www.splint.org/
15 http://www.immunix.org/