带你认识绕不开的ASLR

微软从windows vista/windows server 2008（kernel version 6.0）开始采用ASLR技术，主要目的是为了防止缓冲区溢出ASLR技术会使PE文件每次加载到内存的起始地址随机变化，并且进程的栈和堆的起始地址也会随机改变。

ASLR（Address space layout randomization）是一种针对缓冲区溢出的安全保护技术，通过对堆、栈、共享库映射等线性区布局的随机化，通过增加攻击者预测目的地址的难度，防止攻击者直接定位攻击代码位置，达到阻止溢出攻击的目的。据研究表明ASLR可以有效的降低缓冲区溢出攻击的成功率，如今Linux、FreeBSD、MacOS、Windows等主流操作系统都已采用了该技术。

一、主要特点

1、映像随机化

经典的方法是用注册表项HKLM\SYSTEM\CurrentControlSet\Session Manager\Memory Management的方法对映像随机化禁用设置为0 禁用，-1强制对可随机化的映像进行处理，其他值正常工作；

各模块的低位2位不变；

只是对加载基址的前2个字节做了随机处理；

2、堆栈随机化

XP 下不具备，VISTA具备，每次获取堆地址不同；不需要精确跳转的，溢出手段影响有限；

3、PEB TEB随机化

XP SP2中已经引入了，使用随机性的基址。

提取代码：

unsigned int teb;
unsigned int peb;
__asm
{
      mov eax,fs:[0x18]
      mov teb,eax
      mov eax,dword ptr [eax+0x30
      mov teb,eax]
}
printf("PEB:%#x\nTEB:%#x",peb,teb);
getchar();

4、VS2019中支持ASLR

该技术需要操作系统和编译工具的双重支持（主要是操作系统的支持，编译工具主要作用是生成支持ASLR的PE格式）; 若不想使用ASLR功能，可以在VS(2019)编译的时候将“配置属性->链接器->高级->随机基址”的值修改为否即可。

5、工具鉴别

这里我们用一个工具ASLRProcessScanner来查看下ASLR是否打开，

发现这个程序是打开了ASLR。

这个程序有如下的用法，

可以批量指出当前运行的进程有哪些具备ASLR，也可以对指定进程、程序进行检测。

二、比对PE信息

准备两个PE程序，一个有ASLR，一个没有 ASLR，用PEView查看，

ASLR.exe比NoASLR.exe多了一个.reloc节区，这个节区存储了程序中的硬编码信息。

IMAGE_FILE_HEADER\Characteristics

发现ASLR.exe比NoASLR.exe少了一个“IMAGE_FILE_RELOCS_STRRIPED(0001) ”标志，该标志的含义是：

Relocation information was stripped from the file. The file must be loaded at its preferred base address. If the base address is not available, the loader reports an error.