Heap Spray

Définition

Le heap spraying est une technique d'exploitation qui consiste à remplir le tas (heap) d'un processus avec de grandes quantités de données contrôlées, généralement un shellcode précédé d'un long NOP sled, afin d'augmenter la probabilité que l'exécution atterrisse dans la zone contrôlée lors d'une exploitation dont l'adresse cible n'est pas précisément connue. Cette technique est particulièrement efficace contre les vulnérabilités où l'attaquant peut déclencher une exécution vers une adresse approximative mais pas exacte. Le principe du NOP sled (glissade NOP) est central au heap spraying : en plaçant des centaines ou milliers d'octets 0x90 (NOP - No Operation) avant le shellcode réel, tout saut atterrissant dans cette zone glisse vers le shellcode à la fin. Avec un heap spray remplissant des centaines de mégaoctets de mémoire avec ces NOP+shellcode répétés, la densité de zones contrôlées est suffisamment élevée pour que même une adresse approximative ait de bonnes chances d'atteindre un NOP sled. Dans les navigateurs web, le heap spraying est réalisé en JavaScript en allouant des milliers de chaînes ou de tableaux de données : une boucle créant 200 chaînes de 1 MB chacune (200 MB au total) remplissant l'heap avec le payload, puis l'exploitation d'une UAF ou autre vulnérabilité mémoire qui redirige l'exécution vers ~0x0c0c0c0c ou une autre adresse dense dans le spray. Des variantes avancées incluent le heap feng shui (arrangement précis des allocations pour créer des structures heap spécifiques favorables à l'exploitation), le TypedArray spraying (utiliser des ArrayBuffers JavaScript pour un contrôle plus précis du contenu mémoire sans overhead de strings), et le JIT spraying (exploiter les compilateurs JIT qui génèrent du code à des adresses partiellement prévisibles). Les mitigations du heap spraying incluent : NX/DEP qui empêche l'exécution de code dans les zones de données (rendant le shellcode classique inutilisable), ASLR qui randomise les adresses heap, et les allocateurs sécurisés qui rendent les adresses heap moins prévisibles.