Cybersec Wednesday｜甚么是缓冲区溢出攻击？
缓冲区溢出(Buffer Overflow Attack) 是一种常见的安全漏洞，源于软件编码错误或设计不良。当程式将超出其预期大小的资料写入缓冲区时，就可能发生缓冲区溢出。攻击者利用这个漏洞，将恶意程式码注入到系统中，从而取得非法访问权限或执行未授权的操作。
缓冲区是计算记忆体的连续部分，在资料在不同位置之间传输时暂时储存资料。 当缓冲区的储存容量超过其中的资料量时，就会发生缓冲区溢出，也称为缓冲区超限。 这些额外的资料会溢出到附近的记忆体区域，损坏或覆盖这些区域中的资料。
缓冲区溢位攻击的主要类型：
1. 基于堆叠的缓冲区溢位攻击：这是最常见的缓冲区溢位攻击形式。攻击者将包含恶意程式码的资料传送到应用程式中，通常存储在堆叠缓冲区中。当超出堆叠缓冲区的资料被写入时，它可能会覆盖堆叠上的其他重要资讯，如返回地址，从而控制程式流程。
2. 基于堆的缓冲区溢位攻击：与基于堆叠的攻击相比，这种攻击更加复杂。它涉及攻击程式的记忆体空间，使其超出目前执行时间操作所使用的记忆体。
3. 格式字串攻击：利用了程式对格式字串输入的不当处理。当应用程式将输入资料作为命令处理或未有效验证输入资料时，攻击者可以通过传递特殊格式字串来执行程式码，读取敏感资讯或导致程式崩溃。
缓冲区溢位漏洞
攻击者利用这些漏洞，将额外的资料注入到程式中，这些资料可能含有恶意程式码，从而使攻击者得以触发程式中的其他操作，并向其发送新指令。如果攻击者对程式的记忆体布局非常熟悉，他们可能有意地输入超出缓冲区容量的资料，以覆盖原本储存可执行程式码的记忆体位置，并将其替换为恶意程式码，进而控制该程式的执行。
缓冲区溢位攻击者利用这种技术来破坏 Web 应用程式的执行堆叠、执行任意程式码并接管机器。这种漏洞通常存在于应用程式伺服器和 Web 伺服器中，特别是在使用图形库等库的 Web 应用程式中。自订的 Web 应用程式程式码中也可能存在缓冲区溢位漏洞。这种漏洞更容易在受到较少安全审查的程式中出现，因此攻击者很难发现，但一旦被发现，也很难被利用。
缓冲区溢位漏洞可能的后果：
1. 执行任意程式码：利用缓冲区溢位漏洞可能注入恶意程式码，从而使其能够在受影响的应用程式或系统上执行任意指令。这使攻击者能够完全控制受感染的系统，从而进行各种不当活动，例如窃取敏感资料、发动拒绝服务攻击或进行其他恶意行为。
2. 拒绝服务攻击：利用缓冲区溢位漏洞可能发动拒绝服务攻击，通过使目标系统运行缓慢或完全停止来导致服务中断。这种攻击可能对业务运作造成重大影响，尤其是对于重要的资产。
3. 提升权限：利用缓冲区溢位漏洞可能提升其在系统中的权限水平，从而获得对系统的更高权限访问权限。这可能使攻击者能够执行一些特权操作，例如安装恶意软件、修改系统设定或删除重要档案。
4. 敏感资讯泄漏： 缓冲区溢位漏洞可能导致敏感资讯的泄漏，例如用户密码、金融资讯或其他机密资料。更可能利用这些资讯进一步入侵系统，进行身份盗窃或其他不当行为。
防止缓冲区溢出是关键的网络安全措施之一，以下是一些方法：
1. 使用安全编程技术：开发人员应该遵循安全编程最佳实践，包括确保程式码的输入验证和边界检查。这包括限制使用者输入的大小，以确保它们不会超出预期的范围，从而防止缓冲区溢出。
2. 使用安全函式库：使用经过测试和验证的安全函式库可以帮助防止缓冲区溢出攻击。这些函式库通常包含已经实施了防范溢出攻击的保护机制，减少了开发人员犯错的风险。
3. 程式码审查和漏洞测试：定期进行程式码审查和漏洞测试是防止缓冲区溢出攻击的关键步骤。通过仔细检查程式码，开发人员可以识别潜在的漏洞并采取适当的措施加以修复。
4. 使用ASLR和DEP：位址空间随机化（ASLR）和资料执行预防（DEP）是操作系统提供的安全功能，可帮助防止缓冲区溢出攻击。ASLR使攻击者更难预测内存中的程式码位置，而DEP则防止攻击者执行在可执行内存区域中注入的恶意程式码。
网络安全在很多方面还需要注意，如有任何疑问欢迎加入我们的 Cybersec Infohub 计划，让行业里的网络安全专家为你解决，如果你怀疑自己或公司的电脑被骇或有可疑的行为，亦请尽快联络网络安全专家求助。
关于 Cybersec Wednesday
每逢星期三，HKIRC网络安全团队都会挑选一个网络安全主题，以文章、贴士或最佳实践的形式与大家分享。 请留意每周三的更新，定时掌握最新鲜的网络安全资讯。
