Black Hat USA 2002 - Third Generation Exploitation

漏洞利用技術的演進反映了軟體安全攻防的根本轉變。第一代的棧溢位利用了返回位址機制這一基本硬體特性，但因利用方式直白，一旦程式碳擊（試圖跳轉到非法位址），異常拋出就暴露了漏洞存在。微軟曾聲稱模糊測試能夠發現多數棧溢位，這就是為什麼這類漏洞如今在開源專案中幾乎絕跡。

第二代漏洞的發現者意識到，邊界外僅一位元組的寫入足以改變框架指標最低位元組，進而偏移棧指標。這類 off-by-one 漏洞巧妙地利用了所有 C 編譯器共通的函數前言結構（mov ebp into esp, pop ebp），使得即使沒有直接控制返回位址也能間接劫持控制流。它們隱蔽性更高，在複雜的解碼邏輯中甚至難以被檢測。

第三代的格式字串漏洞是一個轉折點。當開發者將未驗證的使用者輸入直接傳遞給 printf 作為格式字串時，格式字符（如 %x、%n）可以直接讀寫棧上的任意位址。這類漏洞之所以迅速消滅（開源專案基本絕跡），正是因為它們同時具備「極度危險」（可任意讀寫）與「極度明顯」（格式字串的簽名特徵明確）的特性，使自動化工具能達到接近 100% 的檢測率。

堆溢位則打開了全新的戰場。堆是程式動態記憶體的來源，不同平台有完全不同的實作。講者以 Ball-C++ 和 Windows 2000 堆為例，詳細展示了如何透過覆蓋堆的元資料（控制結構）來實現任意寫入。在 Ball-C++ 中，每個配置的記憶體塊前 4 位元組存儲了大小與狀態資訊。攻擊者先溢位目標緩衝區，然後在下一個記憶體塊的控制結構中偽造「空閒」標記。當堆管理器嘗試合併這兩個「空閒」區塊時，它會執行指標交換操作——讀取攻擊者預置的假造控制結構中的位址和數值，將數值寫入位址指向的位置。只要這兩個位置都映射到合法的記憶體分頁，就能實現任意寫入。

更精妙的是 off-by-one 變體：攻擊者只需修改下一個區塊控制結構的最低位元組為 0，即可改變堆管理器的代碼分支，跳過一些檢查而到達相同的指標交換邏輯。但這要求攻擊者同時控制兩個相鄰的記憶體區塊內容。

Windows 2000 的實作將復雜性提升了一個數量級。控制結構變為 8 位元組，管理器加入了多個檢查條件：特定位的標誌位必須設定、大小字段必須在特定範圍內。這些檢查本意是防禦，卻成了攻擊者必須精心構造數據格式才能通過的關卡。RTL_FREE_HEAP 的合併函數（稱為 RTL_COALESCE）龐大複雜，講者指出即使完整反編譯也難以窮盡所有利用路徑。

堆溢位最難對付的特性在於它無法透過簡單的模糊測試發現。傳統模糊測試往往填充大量 'A' 或隨機位元組，但堆管理器的觸發條件要求特定的數據格式——控制結構的位模式必須完全匹配才能走上利用路徑。絕大多數隨機數據根本無法通過那些檢查。這就是為什麼講者強調，堆溢位的尋找與驗證必須依賴人工代碼審查與反彙編分析，沒有自動化的捷徑。

最後，講者指出庫函數（尤其是 malloc）中隱藏的邏輯漏洞同樣致命。當 malloc 接收使用者提供的大小參數時（如 `malloc(user_count * sizeof(struct))`），整數溢位可能導致配置遠小於預期的記憶體，隨後的寫入會無聲地破壞堆結構。這類漏洞之所以危險，不只因為其隱蔽性，更因為它出現在被廣泛使用的基礎函數中，任何調用不當的地方都可能成為突破口。