從研究者視角看漏洞研究之2010年代
責編：gltian ｜2019-12-12 11:27:18作者：王鐵磊@盤古團隊
隨著2019年進入最后一個月，整個2010年代即將成為過往。過去十年漏洞領域的研究發展，可謂波瀾壯闊、精彩紛呈。我屢次提筆試圖記錄這十年的技術發展，最終都因為這個事情的難度遠遠超出自己的預想而棄筆。不過有些想法不吐不快，索性簡單總結些個人觀點，拋磚引玉供人討論、補充和參考。
1、后PC時代，控制流完整性 (Control flow integrity) 成為新的系統安全基礎性防護機制
2000年代后期，地址空間隨機化(ASLR)和數據執行保護(DEP/W^X)成為兩項通用的基礎性漏洞利用緩解機制。不幸的是，利用漏洞實現內存信息泄漏繞過ASLR進而基于ROP/JOP/Data-only attack等攻擊技巧實現任意代碼執行成為攻擊者的標配 (更多內存漏洞攻防技術信息，參考《SoK: Eternal War in Memory》，https://people.eecs.berkeley.edu/~dawnsong/papers/Oakland13-SoK-CR.pdf）。面對大量繞過ASLR和(DEP/W^X)的漏洞利用樣本，學術界再次掀起了針對細顆粒度ASLR和Anti-ROP的研究高潮。最終，在諸多潛在技術解決方案中，（粗顆粒度的）控制流完整性技術贏得了市場 (不同CFI機制實現細節和對比，參考 《Control-Flow Integrity: Precision, Security, and Performance》https://nebelwelt.net/publications/files/17CSUR.pdf)。為此，英特爾芯片中新增了CET特性（Control-flow Enforcement Technology），支持粗顆粒度前向跳轉地址驗證和基于Shadow Stack Register的返回地址驗證，ARM V8.3標準中增加了PAC（Pointer Authentication Code）特性，支持對數據或者代碼指針完整性的驗證；LLVM、GCC、VisualStudio等主流編譯器中支持開啟CFI特性的編譯選項；Windows、Android、iOS等操作系統都已經在用戶態和內核態實現不同粒度的CFI機制。
CFI機制可以有效緩解控制流劫持類型的漏洞利用技術。但是，如果漏洞利用過程中不依賴于控制流劫持即可獲取任意內存讀寫能力，CFI機制也無法保證內存數據的完整性和機密性。例如，2014年爆發的Heartbleed漏洞是由OpenSSL庫心跳協議解析過程中的內存越界讀引起的；攻擊者可以利用該漏洞讀越界讀取服務器內存中的敏感信息。面對這種“簡單粗暴”的越界讀，CFI也無能為力?，F階段基于軟件的CFI實現，很難對函數返回地址有效驗證；基于硬件的CFI實現，依賴于新型硬件支持，普及范圍有限。此外，實現覆蓋操作系統內核、系統服務和用戶態應用的全棧CFI尚需時間，攻擊者可以對尚未應用CFI或CFI實現不完備的模塊攻擊。
2、令人“驚喜”的硬件安全特性與硬件安全漏洞
過去十年里，64位芯片大范圍普及，在性能大幅提高的同時，增加了很多新的安全特性。Intel芯片相繼支持SMEP (Supervisor Mode Execution Prevention)和SMAP (Supervisor Mode Access Prevention)特性，ARM平臺上實現相應的PXN (Privileged Execute Never)和PAN(Privileged Access Never)特性，強化了內核和用戶態之間的隔離。Intel早在2016年就發布的CET特性，終于有望在下一代Tiger Lake處理器中實現。ARM v8.3 中PAC特性在蘋果A12系列芯片得到了實現，自iPhone Xs起，iPhone家族正式進入到PAC時代；結合新的PPL (Page Protection Layer)機制，iPhone設備上代碼動靜態完整性得到了前所未有的保護。2018年，ARM公布了v8.5，其中MTE（Memory Tagging Extension）特性有望有效緩解內存越界類的安全漏洞。
這些已經部署和即將部署的硬件安全特性令人對下一階段系統安全充滿期許，而過去幾年中暴露出來的硬件底層安全漏洞同樣令人吃驚。2014年，CMU的研究人員在計算機體系結構領域頂級會議ISCA上，發表了題目為“Flipping Bits in Memory WithoutAccessing Them: An Experimental Study of DRAM Disturbance Errors”的論文，介紹了影響深遠的Rowhammer問題：高頻訪問DRAM內存單元可能引起臨近內存單元中數據bit反轉。幾個月后，Google Project Zero團隊就成功利用該問題實現了沙盒逃逸和內核提權(https://www.blackhat.com/docs/us-15/materials/us-15-Seaborn-Exploiting-The-DRAM-Rowhammer-Bug-To-Gain-Kernel-Privileges.pdf)；其他研究團隊進一步在瀏覽器環境、移動設備環境里重現和利用了這個問題。盡管很多研究人員提出了緩解Rawhammer問題的方法，從成本、性能、有效性等角度綜合考量，徹底杜絕Rawhammer問題仍面對巨大挑戰。
除了存儲器件，處理器本身也問題重重。長久以來，不斷有研究討論處理器某些新增特性會引起側信道攻擊，安全和性能的沖突愈發嚴重。處理器側信道這一問題在2017年集中爆發。多個研究團隊相繼公開了Spectre、Meltdown以及各種變形攻擊，利用處理器亂序執行、分支預測、推測執行等核心特性，達到繞過內存隔離機制越權讀取內存的效果。這些側信道攻擊不僅可以使ASLR安全防護機制失效，甚至可以導致Container、SGX等執行環境中隱私數據泄漏。考慮到這些芯片的巨大存量以及修復的復雜性，Spectre、Meltdown 這些攻擊的長尾效應會非常明顯。
3、舊瓶裝新酒，移動設備的安全設計實現彎道超車
2010年代，移動互聯網的爆發式增長離不開兩大移動操作系統的發展：iOS和Android。放下了兼容性等沉重包袱，移動操作系統的設計者們獲得了從零開始設計安全架構的機遇。雖然iOS和Android起源于“古老”的XNU和Linux，移動操作系統的設計者們從桌面操作系統陷入安全困局的過程中學習到了足夠多的教訓。移動操作系統從全新視角處理用戶、設備、應用和開發者的關系，打造了新的移動生態環境，在此基礎上全方位的從信任根存儲、可信啟動鏈、固件開放度、版本控制、應用分發、權限管理、沙盒設計、數據加密、硬件隔離環境等角度改進終端安全。在對抗漏洞利用的策略上，移動操作系統不僅快速部署了PC系統中通用的漏洞緩解機制，而且不斷采用軟硬件相結合的漏洞利用封堵機制。與桌面操作系統對比，移動操作系統的安全性實現了彎道超車。
不過，移動設備面對的攻擊也越來越多。盡管難度越來越大，業界一直都存在針對最新iOS設備的越獄；野外針對iPhone的遠程攻擊樣本多次被捕獲；從初代iPhone到iPhone X之間所有iOS設備的Bootrom中都存在安全漏洞，由于Bootrom代碼固化在硬件中，這些漏洞無法通過軟件升級修復，致使這些設備永遠都能越獄。對于Android設備，TEE (Trusted ExecutionEnvironment)是具備最高權限的執行環境；然而，研究人員在不同廠商Android設備的TEE里都發現過高危安全漏洞；隨著承載的功能越來越多、攻擊面越來越大，TEE面臨的考驗依然十分嚴峻。
4、網絡入口爭奪戰愈演愈烈
2010年代，作為最主要的網絡入口，瀏覽器成為各大巨頭公司的爭奪焦點。同樣的，瀏覽器也成為了網絡攻擊的焦點。自2007年起，漏洞軍火商ZDI公司每年都會舉辦PWN2OWN比賽(https://en.wikipedia.org/wiki/Pwn2Own)，瀏覽器一直都是比賽的重頭戲。在這十年里，各家廠商開始了漫長的瀏覽器安全治理之路：一方面不斷強化隔離策略，嘗試將不同功能模塊拆分到不同執行空間，細化內存管理器，實現不同對象堆空間隔離等，提高漏洞利用難度；另一方面采用筑墻策略，不斷細化瀏覽器沙盒規則，縮減系統暴露給瀏覽器的攻擊面，降低已獲取任意代碼執行能力的情況下漏洞造成的危害。這十年中，瀏覽器一再被攻破，但是攻擊的難度也越來越高。諸如Chrome瀏覽器的沙盒逃逸和PAC環境下Safari瀏覽器的任意代碼執行等問題都是當下研究的難點。不過可預見的，瀏覽器攻防對抗仍將是下個十年的熱點。
繼瀏覽器之后，WiFi協處理器、BaseBand基帶、藍牙也都成為攻擊對象。2017年，Google Project Zero成功展示了通過畸形WiFi信號，攻擊WiFi協處理器中漏洞并以此為跳板控制Android和iPhone手機內核的完整攻擊鏈。最近幾期的Mobile Pwn2own比賽中，手機基帶已經成為常規項目：攻擊者通過偽基站信號，攻擊BaseBand基帶的漏洞。另外，作為網絡拓撲中的一個重要緩解，路由器也成為攻擊的重災區。不幸的是，很多路由器廠商顯然還沒有做到準備，旗下產品在各種破解大賽中屢次被攻破；選手所利用的漏洞大多是簡單命令注入或最傳統的堆棧溢出。
針對即時通信工具、社交軟件、郵件客戶端的遠程攻擊威力巨大。2019年的BlackHat USA峰會上，Google Project Zero、盤古團隊、和微軟安全團隊分別披露iMessage、Facetime和OutLook客戶端的遠程漏洞；針對WhatsApp的遠程攻擊樣本在野外捕獲。反觀國內，微信、QQ、微博，這些擁有龐大用戶量的社交軟件，安全性到底如何呢？作為參考，2017年，我們在一個流行解壓庫里發現路徑穿越的問題，結果當時的微博、陌陌、快手、網易云音樂、QQ音樂等應用都受影響；通過流量劫持觸發該漏洞并覆蓋熱補丁文件后，我們在微博應用里獲取了任意代碼執行的能力。
對于傳統PC和服務器而言，網絡服務的安全性仍舊令人擔憂。2017年，Windows SMB 協議的安全漏洞“永恒之藍”披露后，爆發了席卷全球的Wannacry類蠕蟲病毒。
5、自動化漏洞挖掘和利用仍需提高
提到漏洞研究，不能不提自動化漏洞挖掘。2000年代涌現出一大批基于程序靜態分析的漏洞檢測技術，但在2010年代，模糊測試fuzzing贏得了更多檢驗和認可，程序靜態分析則更側重于服務于fuzzing的樣生成和反饋指導。以ClusterFuzz, OSS-Fuzz, AFL等為代表的工業界fuzzing工具在實戰中發現了大批軟件安全漏洞，學術會議上關于fuzzing的論文也越來越多。更可喜的是，關于自動化生成漏洞利用樣本的研究也越來越多。Google Project Zero 所披露的漏洞中，fuzzing所發現的比例高達37%；?不過，人工審計發現的比例是54.2%(https://i.blackhat.com/USA-19/Thursday/us-19-Hawkes-Project-Zero-Five-Years-Of-Make-0day-Hard.pdf)，人力仍然是漏洞挖掘的最寶貴資源。
6、總結
2020年代迎來了5G，真正的萬物互聯時代將到來，漏洞的影響范圍會因此越來越廣。一方面，核心系統的安全防護會繼續提升；面對這些最新、最全面的防護機制，攻擊研究的難度會越來越大，高價值漏洞和利用技巧將成為稀缺資源。另一方面，安全防護的短板效應會進一步放大。在萬物皆可被攻擊的環境里，各種薄弱環節將成為攻擊者的首選目標。如何從單點防護擴展到系統化全局防護體系建設可能迎來新的機會。