Stack Canary Bypass

Définition

Le stack canary (ou stack protector) est un mécanisme de protection anti-exploitation compilé dans les binaires avec GCC (-fstack-protector, -fstack-protector-all, -fstack-protector-strong) ou Clang. Il insère une valeur aléatoire ('canari') sur la pile entre les variables locales et l'adresse de retour, puis vérifie son intégrité avant le retour de la fonction. Une modification du canari (causée par un buffer overflow) déclenche une terminaison immédiate du programme. Les techniques de bypass du stack canary exploitent différentes faiblesses : la fuite du canari via une vulnérabilité secondaire (format string vulnerability, out-of-bounds read) pour l'inclure dans le payload d'exploitation, la brute-force du canari (possible sur des systèmes 32-bit avec fork() car les processus fils héritent du même canari et un crash ne tue pas le père), et les attaques ciblant des structures non protégées par le canari (heap, sections de données, vtables). Les canaris ont plusieurs variantes : le 'terminator canary' (valeur 0x000aff0d contenant des terminateurs de chaînes pour bloquer les overflows via strcpy), le 'random canary' (valeur aléatoire générée au démarrage, la plus courante), et le 'XOR canary' (random XOR avec l'adresse de retour pour lier le canari au frame courant et bloquer les attaques de replay). Une fuite de canari est souvent possible via une format string vulnerability (le canari se trouve sur la pile et est lisible avec %p/%x), via un out-of-bounds read (lecture au-delà d'un buffer sur la même frame de pile), ou via une autre vulnérabilité permettant de lire des données de la pile. Une fois le canari connu, le payload d'exploitation l'inclut à la position correcte pour passer la vérification. Dans un contexte multi-processus avec fork(), le processus fils hérite du même espace mémoire que le père, incluant le canari. Si l'application fork() pour chaque connexion sans re-randomiser le canari et si un crash du fils ne termine pas le père, l'attaquant peut brute-forcer le canari un octet à la fois (256 tentatives par octet, soit 1024 tentatives pour un canari 32-bit).