TEST: verifichiamo il supporto alle tecnologie DEP e ASLR

[nV 25]

Con un semplice test è possibile verificare se gli eseguibili dei nostri programmi preferiti sono stati correttamente compilati per supportare 2 tecnologie fondamentali per la sicurezza:
DEP e ASLR.



Come si vede anche dall'immagine postata, è sufficiente trascinare l'oggetto della nostra analisi (che può essere anche un'intera cartella) sopra la scritta "Drop files and folders here" e attendere il verdetto.

ANALIZZATORE


L'assenza del supporto a queste tecnologie è indice sicuramente di scarsa attenzione verso il problema "sicurezza" e potrebbe creare qualche problema là dove se ne forzasse l'uso istruendo in tal senso il sistema operativo (mi viene in mente EMET come strumento sfruttabile per operare la forzatura in oggetto).

Non necessariamente comunque un programma "trascurato" sotto il profilo della "sicurezza" è indicatore di pericolo reale per l'utente specie se questo è scarsamente diffuso o non svolge il ruolo di interfaccia per altri servizi.

Parlando però di programmi di sicurezza, se si scoprisse che proprio loro falliscono sarebbe indiscutibilmente una bella figura meschina oltre che un rischio reale per l'utente dato che questi strumenti hanno un installato di milioni di unità.

Confido nei vostri report,
ciao

[Unax]

il link sarebbe questo?

http://icebuddha.com/slopfinder.htm

[nV 25]

si, l'ho scritto a dimensione 4, "ANALIZZATORE"...

[Romagnolo1973]

non c'è verso di farlo andare su 8, non riconosce l'explorer di 8 almeno a me su chrome dev
comunque si può usare processexplorer o processhacker mettendo le colonne relative

[nV 25]

?

8 Pro + Google Chrome permette di fare regolarmente lo spostamento dei file nell'analizzatore...

[Unax]

Originariamente inviato da nV 25

si, l'ho scritto a dimensione 4, "ANALIZZATORE"...

era davanti algi occhi e non lo vedevo,

[Romagnolo1973]

allora la colpa sarà di chrome dev o qualche settaggio restrittivo che ho messo, ma qua non mi funziona proprio

[nV 25]

Originariamente inviato da [Claudio]

Se il metodo (analizzatore) di test è attendibile ...

Lo è.

Per confondere un pò le acque, vi faccio vedere una cosa.
[DA PRENDERE CON LE MOLLE!!]



Allora:
OS = 8 X64
Programma testato = uTorrent

Come da immagine, il file risulta correttamente con le proprietà DEP + ASLR (vedi 1 che è proprio l'esito del nostro servizio on line e 2 che è la sintesi di ProcessExplorer).

Analizzando cmq più a fondo il processo (3), si vede xò che in realtà l'ASLR non è attivo!

Grazie cmq all'apposita forzatura per-processo di EMET, questo risulta rilocato (4). ***EDIT*** Questo punto è sicuramente sbagliato ma non lo modifico di proposito nella speranza di un intervento di eraser.




A questo punto mi vengono in mente una serie di riflessioni ma temo che senza il contributo di eraser sarà alquanto difficile venirne a capo.


Chi vuole cmq riflettere o osservare qualcosa, rifletta che domani si bombardano gli amici di eraser...

[nV 25]

vedo che le riflessioni si sono sprecate ..cosi' come si sono sprecati i contributi di chi, ad es, ha un qualsiasi programma di sicurezza ...


Riallacciandomi cmq all'esempio portato poc'anzi, una riflessione che faccio è questa:
ma se a livello di sistema l'ASLR tanto su 7 che su 8 è impostato su opt-in (vedi anche QUI!), dunque non è abilitato a meno che un processo non lo richieda espressamente (è il caso di tutti i processi di sistema), perchè allora utorrent che è compilato per supportare l'ASLR deve raffidarsi ad EMET per veder rilocata la sua immagine in memoria?

E' evidente che mi scontro con una materia che mi risulta troppo difficile....

[nV 25]

che infatti l'ASLR a livello di sistema sia settato di default su opt-in lo ricavo ad es. anche da questo post proprio di ieri, cliccami.

[done75]

io pure non riesco ad usare l'analizzatore.

8 pro + chrome dev

[nV 25]

per una volta, ie no?

[nV 25]

sono di fronte al portatile e non sto proprio facendo niente ....

Fronte ASUS (portatile):
analizzati n-programmi "embedded" (ASUS AI Recovery/Splendid/ Wireless Console/ATK Package/...) ---> andrebbero ammazzati

nVidia driver (in verità, un pò vecchiotti)--> anche qui, da disperazione...

driver audio Realtek--> senza parole...


La situazione, dunque, è disperata...

Lato positivo?
Chi fa exploit colpisce gira e rigira i soliti nomi altrimenti bisognerebbe emetizzare proprio tutto...

[Chill-Out]

EMSI = NO DEP - NO ASLR

[nV 25]

in effetti, si fa prima a dire CHI è in regola...

Parto io:
oltre ai processi MS, abbiamo DefenseWall da un bel pò, Sandboxie da qualche mese...poi?


Poi fondamentalmente il vuoto...

Perchè gira e rigira, qualche .dll compilata col pennato ci sarà sicuramente in tutti gli altri programmi...


@ chill-out:
dov'è l'errore nel mio ragionamento su utorrent?
Opt-in/opt-out è interpretato bene?
Dove sbaglio, insomma?


***ATTENZIONE***
il post n°9 contiene sicuramente un errore ma ho scelto di proposito di non modificarlo per dar modo ad eraser di poterlo correggere.

[Chill-Out]

Load <<< >>> Layout

[nV 25]

?





.............

è che ci capisco poco o nulla, cmq da una ricerca su google per "image base address 0x400000" sembra che quel particolare indirizzo di memoria sia uno degli indirizzi "preferiti" cui forzare un file .EXE, che "some EXE's might not have reloc tables....as EXE's aren't supposed to need them" ma, al contempo, che sia possibile compilare un file .exe "with /FIXED:NO option in visual studio, which will generate executable with relocation information".


Non ci capisco nulla ma mi pongo ugualmente il problema perchè sul mio PC, ad es., sia l'eseguibile di Winamp che quello di utorrent sono sempre caricati all'indirizzo di cui sopra (0x400000) indipendentemente da reboot e compagnia...

Bah,

[nV 25]

grazie




---------------------------------------------
Nel frattempo, confesso di essere entrato in una fase di confusione tale da farmi preferibile il silenzio piuttosto che continuare con esternazioni su questo tema.
Ho superato infatti il mio limite e tutto quello che credevo consolidato è di nuovo in discussione.
Voci da Perugia dicono cmq che con l'anno nuovo eraser dovrebbe ritrovare i suoi tradizionali 5 minuti per portare avanti l'opera di "volontariato" :
ecco, per quanto mi riguarda è meglio rimandare tutto a quella data...

Ciao

[nV 25]

sto indagando ma ci sono sviluppi...

Al massimo in giornata esterno le novità, perchè a questo punto ho elementi per dire che non fossi fesso io fermo restando tutti i miei limiti sulla materia.

[nV 25]

ok, molto semplice:
c'è voluta un pò di testardaggine e circa 10 reboot per capire il mistero ma alla fine ho risolto quello che si è rivelato essere solo un mio problema (spero).

Credo, peraltro, nato tutto da EMET.


In sostanza, mi sono accorto che sul mio PC non veniva riallocata nessuna dll tra un reboot e l'altro.

ZERO.

Ogni dll era mappata sempre al solito indirizzo (di memoria, verificato su quelle "critiche" come user32/kernel32/gdi32).

Il problema, e importante, esisteva.

La "lampadina":
resettato EMET lato protezioni di sistema da massimo @ default.

"Magia":
le 3 dll vengono rimappate correttamente tra un riavvio e l'altro.

Provato di nuovo a riportare le protezioni di sistema su massimo:
la riallocazione degli indirizzi di memoria permane.

Morale:
non chiedetemi cosa fosse successo ma era come sparito il supporto ASLR dal mio PC...



Per la cronaca, le protezioni di sistema continuo ad averle impostate sul loro settaggio massimo (Always on/Always on/Opt-in).

Questi misteri dell'informatica, cmq, proprio non li capisco...