Windows下DEP保护机制详解及其绕过

一、DEP保护机制概述

数据执行保护(Data Execution Prevention, DEP)是现代操作系统中的一种安全机制，旨在防止存储在数据区的数据被当作代码执行。DEP通过明确区分内存中的代码区和数据区，阻止数据页(如默认的堆页、各种堆栈页以及内存池页)执行代码。

1. DEP的分类

(1) 软件DEP

• 实际上是SafeSEH机制
• 主要目的是阻止利用SEH(结构化异常处理)的攻击
• 阻止数据区代码执行

(2) 硬件DEP

• 真正的DEP保护机制
• 需要CPU硬件支持：
  • AMD称之为No-Execute Page-Protection(NX)
  • Intel称之为Execute Disable Bit(XD)
• 工作原理：当指令指针指向数据区时抛出异常

二、DEP的配置模式

可以通过系统设置或修改C:\boot.ini中的/noexecute启动项来控制DEP模式：

1. 仅为基本Windows程序和服务启用(Option)

   • 默认模式
   • 只对Windows系统组件和服务启用保护
   • 可以被应用程序动态关闭

2. 为除下列选定的程序之外的所有程序和服务启用(Optout)

   • 白名单机制
   • 对大多数应用程序提供保护
   • 可以被应用程序动态关闭

3. AlwaysOn

   • 对所有进程启用DEP保护
   • 不存在排序列表
   • DEP不可被关闭
   • 仅64位操作系统支持

4. AlwaysOff

   • 对所有进程禁止使用DEP
   • DEP能被动态开启
   • 仅在特定情况下使用(如DEP干扰应用程序运行)

三、DEP的绕过方式

1. 攻击未启用DEP的程序

• 针对未开启DEP保护的应用程序或DLL
• 直接执行数据区的shellcode

2. 利用Ret2Libc技术绕过DEP

(1) 使用ZwSetInformationProcess

• 原理：修改KPROCESS结构体中的_KEXECUTE_OPTION标识
• 函数原型：

  BOOL SetProcessInformation(
    [in] HANDLE hProcess,
    [in] PROCESS_INFORMATION_CLASS ProcessInformationClass,
    LPVOID ProcessInformation,
    [in] DWORD ProcessInformationSize
  );
  

• 构造合理的栈帧，劫持程序流程关闭DEP后再执行shellcode

(2) 使用VirtualProtect

• 原理：修改指定内存页的属性为可执行
• 函数原型：

  BOOL VirtualProtect(
    [in] LPVOID lpAddress,
    [in] SIZE_T dwSize,
    [in] DWORD flNewProtect,
    [out] PDWORD lpflOldProtect
  );
  

• 挑战：构造栈帧较困难，参数中可能含有\x00会被截断

(3) 使用VirtualAlloc

• 原理：申请一段可执行的内存空间并复制shellcode
• 函数原型：

  LPVOID VirtualAlloc(
    [in, optional] LPVOID lpAddress,
    [in] SIZE_T dwSize,
    [in] DWORD flAllocationType,
    [in] DWORD flProtect
  );
  

• 需要构造ROP链劫持程序流程

3. 利用可执行内存绕过DEP

• 查找程序中已有的可读可写可执行内存区域
• 将shellcode复制到该区域执行
• 攻击步骤：
  1. 找到溢出点，覆盖返回地址
  2. 构造栈帧跳转到memcpy函数
  3. 将shellcode复制到可执行内存
  4. 跳转到shellcode执行

四、DEP绕过技术实现要点

1. ROP链构造

   • 精心选择并串联现有的代码片段(gadgets)
   • 每个gadget执行特定功能后返回
   • 最终实现关闭DEP或修改内存属性的目的

2. 参数传递

   • 确保函数参数正确放置在栈上
   • 处理可能被截断的参数(如包含\x00的参数)

3. 内存布局

   • 了解目标程序的内存布局
   • 定位关键函数地址和可执行内存区域

4. 执行流程控制

   • 精确控制程序执行流程的转移
   • 确保在DEP关闭或内存属性修改后能正确跳转到shellcode

五、防御建议

1. 启用完整的DEP保护(AlwaysOn模式)
2. 结合ASLR(地址空间布局随机化)增加攻击难度
3. 使用最新的安全补丁和更新
4. 对关键应用程序进行安全审计
5. 限制应用程序的权限和功能

六、参考资源

1. [Windows Shellcode学习笔记——通过VirtualProtect绕过DEP]
2. [Windows Shellcode学习笔记——利用VirtualAlloc绕过DEP]
3. 微软官方文档：SetProcessInformation, VirtualProtect, VirtualAlloc函数