CET & Shadow Stack

Reading time: 3 minutes

Kontrol Akışı Zorlaması Teknolojisi (CET)

CET, Return-Oriented Programming (ROP) ve Jump-Oriented Programming (JOP) gibi yaygın kontrol akışı ele geçirme saldırılarını engellemek için tasarlanmış, donanım seviyesinde uygulanan bir güvenlik özelliğidir. Bu tür saldırılar, kötü niyetli kodu çalıştırmak veya zararsız kod parçalarını kötü niyetli bir eylem gerçekleştirecek şekilde bir araya getirmek için bir programın yürütme akışını manipüle eder.

CET, iki ana özellik sunar: Dolaylı Dal Takibi (IBT) ve Gölge Yığın.

• IBT, dolaylı atlamaların ve çağrıların geçerli hedeflere yapılmasını sağlar; bu hedefler, dolaylı dallar için yasal varış noktaları olarak açıkça işaretlenmiştir. Bu, geçerli hedefleri işaretleyen yeni bir talimat setinin kullanılmasıyla sağlanır ve böylece saldırganların kontrol akışını rastgele yerlere yönlendirmesi engellenir.
• Gölge Yığın, dönüş adresleri için bütünlük sağlayan bir mekanizmadır. Dönüş adreslerinin güvenli, gizli bir kopyasını, normal çağrı yığınından ayrı tutar. Bir fonksiyon döndüğünde, dönüş adresi gölge yığın ile doğrulanır ve bu, saldırganların yığın üzerindeki dönüş adreslerini geçersiz kılmasını engeller.

Gölge Yığın

Gölge yığın, sadece dönüş adreslerini depolamak için kullanılan özel bir yığındır. Normal yığınla birlikte çalışır ancak normal program yürütmesinden korunmuş ve gizlenmiştir, bu da saldırganların buna müdahale etmesini zorlaştırır. Gölge yığınının temel amacı, geleneksel yığın üzerindeki dönüş adreslerine yapılan herhangi bir değişikliğin kullanılmadan önce tespit edilmesini sağlamaktır; bu, ROP saldırılarını etkili bir şekilde azaltır.

CET ve Gölge Yığın Saldırıları Nasıl Önler

ROP ve JOP saldırıları, bir uygulamanın kontrol akışını ele geçirmek için yığın üzerindeki işaretçileri veya dönüş adreslerini geçersiz kılmalarına olanak tanıyan zayıflıkları kullanma yeteneğine dayanır. Akışı mevcut kod gadget'larına veya dönüş odaklı programlama gadget'larına yönlendirerek, saldırganlar rastgele kod çalıştırabilir.

• CET'in IBT özelliği, dolaylı dalların yalnızca açıkça geçerli hedefler olarak işaretlenmiş adreslere atlama yapabilmesini sağlayarak bu saldırıları önemli ölçüde zorlaştırır. Bu, saldırganların ikili dosya üzerinde yayılmış rastgele gadget'ları çalıştırmasını imkansız hale getirir.
• Gölge yığın ise, bir saldırgan normal yığın üzerindeki bir dönüş adresini geçersiz kılabilse bile, dönüşten sonra gölge yığında saklanan güvenli kopya ile bozulmuş adres karşılaştırıldığında uyumsuzluğun tespit edilmesini sağlar. Adresler eşleşmezse, program sona erebilir veya diğer güvenlik önlemleri alabilir, böylece saldırının başarılı olmasını engeller.