ASLR Bypass

Définition

ASLR (Address Space Layout Randomization) est un mécanisme de sécurité qui randomise les adresses de chargement du code exécutable, des bibliothèques partagées, de la pile et du heap à chaque exécution du programme. L'objectif est d'empêcher les attaquants de calculer les adresses des fonctions, gadgets ROP, ou shellcodes nécessaires à l'exploitation. Les techniques de bypass ASLR permettent de contourner cette protection. Les principales techniques de bypass incluent : les information leaks (fuites d'adresses mémoire via des vulnérabilités secondaires révélant des pointeurs, permettant de calculer les offsets ASLR), le brute-force (efficace sur les systèmes 32-bit où seulement 12-16 bits sont randomisés, soit 4096-65536 positions possibles), les spraying techniques (NOP sleds, heap spraying avec un sled géant augmentant la probabilité de succès), et l'exploitation de régions non randomisées (sur les binaires sans PIE, le code principal reste à une adresse fixe). Sur les systèmes Linux 64-bit, ASLR randomise 28-40 bits selon la configuration, rendant le brute-force impraticable. Cependant, plusieurs faiblesses persistent : les fuites partielles d'adresses (révélant les 4-6 octets de poids faible d'une adresse connue, révélant la page de base de la bibliothèque), les fork() loops (le fork préserve l'espace d'adressage, permettant une exploitation déterministe dans les processus fils), et les attaques de type BROP (Blind ROP) qui exploitent sans connaître les adresses exactes. Blind Return-Oriented Programming (BROP) est une technique remarquable d'exploitation sans leak initial : l'attaquant effectue des milliers de tentatives avec des adresses différentes, inferant progressivement des gadgets ROP utilisables depuis les comportements du programme (crash vs. survie). Elle a été démontrée sur OpenSSH et des serveurs web Nginx/Apache. Le partage d'espaces d'adressage entre processus liés (ASLR appliqué au démarrage mais hérité par fork) est exploitable : des serveurs web ou d'applications qui fork sans exec préservent leur espace d'adressage, permettant la réutilisation de leaks entre tentatives.