부호 있는 정수 경계
오버플로우
부호 있는 정수 취약점 예
char *read_data(int sockfd)
{
char *buf;
int length = network_get_int(sockfd);
if(!(buf = (char *)malloc(MAXCHARS)))
die("malloc: %m");
if(length < 0 || length + 1 >= MAXCHARS) {
free(buf);
die("bad length: %d", value);
}
if(read(sockfd, buf, length) <= 0) {
free(buf);
die("read: %m");
}
buf[value] = '\0';
return buf;
}
먼저 length가 MAXCHARS 보다 작은지 검사한다. 그리고 2 번째 length 검사에서 length 값에 1을 더한다. 이것이 공격 벡터가 된다. 값이 0x7FFFFFFF라면 이 값은 0보다 크기 때문에 첫 번째 검사를 통과하며, 두 번째 length 검사를 통과한다. (0x7FFFFFFF + 1은 0x80000000이 되고 이는 음수 값이다.) 결과적으로 read()는 경게가 없는, 즉 음수 값을 가진 length 인자로 호출되고, 이는 잠재적으로 버퍼 오버플로우 상황을 만든다.
OpenSSL 0.9.6I에서 정부 부호 경계 취약점 예
BIO(buffered IO) 스트림으로부터 ASN.1 객체를 읽어 들이는 crypto/asn1/a_d2i_fp.c - ASN1_d2i_fp() 함수의 일부분이다.
c.inf=ASN1_get_object(&(c.p),&(c.slen),&(c.tag),&(c.xclass), len - off);
...
{
/* c.slen 바이트만큼 데이터를 읽어 들임 */
want = (int)c.slen;
if (want > (len - off))
{
want -=(len - off);
if (!BUF_MEM_grow(b, len + want))
{
ASN1err(ASN1_F_ASN1_D2I_BIO, ERR_R_MALLOC_FAILURE);
goto err;
}
i = BIO_read(in, &(b->data[len]), want);
ASN1_get_object() 함수는 다음의 ANS.1 객체 길이를 명시한 객체 헤더를 읽어 들인다. 길이는 c.slen 부호 있는 정수에 저장되고 want에 할당된다. ANS.1 객체 함수는 이 숫자가 음수가 아니고 c.slen의 가능한 최댓값은 0x7FFFFFFF이 되도록 확인한다. 이 지점에서 len은 메모리에 이미 읽어 들인 데이터의 양이며, off는 데이터에서 파싱된 객체의 오프셋 값이다. 따라서 (len - off)는 파서에 의해 프로세스되지 않은 메모리에 읽어 들인 데이터의 양을 의미한다. 파싱되지 않은 데이터보다 객체가 크다면 코드는 더 많은 공간을 할당하고 나머지 객체를 읽어 들인다.
BUF_MEM_grow() 함수는 메모리 버퍼 b에서 요구되는 공간을 할당하기 위해 호출된다. 두 번째 인자는 크기 매개변수다. 문제는 두 번째 인자인 len + want 연산식이 오버플로우를 초래할 수 있다는 점이다. len이 200바이트이고 off가 50바이트라면 공격자는 객체 크기를 0x7FFFFFFF로 정하고, 이는 want의 값이 된다. 0x7FFFFFFF는 메모리에 남아있는 데이터인 150바이트보다 큰 값이기 때문에 메모리 할당 부분이 실행된다. want에서 이미 읽어 들인 데이터 값인 150을 빼고 결과 값은 0x7FFFFF69가 된다. BUF_MEM_grow()는 len + want 또는 0x7FFFFF69 + 200바이트 값을 요구하는데, 이 값은 0x80000031이 되고 큰 음수 값으로 해석된다.