Τα Windows Vista έφεραν ένα ενδιαφέρον χαρακτηριστικό ασφαλείας που ονομάζεται ASLR - Randomization Layout Layout Layout. Αυτό χρησιμοποιεί μια διεύθυνση τυχαίας μνήμης για την εκτέλεση κώδικα, αλλά στα Windows 8, Windows 8.1 και Windows 10, φαίνεται ότι αυτή η δυνατότητα δεν υλοποιείται πάντα σωστά.

Σύμφωνα με έναν αναλυτή ασφαλείας, σε αυτές τις τρεις τελευταίες εκδόσεις των Windows, το ASLR δεν χρησιμοποιεί τυχαίες διευθύνσεις μνήμης. Με άλλα λόγια, είναι άχρηστο.

Πώς να εφαρμόσετε το ASLR με μη αυτόματο τρόπο

Εκτελώντας τον κώδικα σε μια τυχαία θέση, το ASLR βοηθά στην προστασία από τα εκμεταλλεύματα που προσπαθείτε να εκμεταλλευτείτε τον κώδικα που εκτελείται σε προβλέψιμες ή γνωστές διευθύνσεις μνήμης.

Το πρόβλημα εμφανίζεται όταν το EMET ή το Windows Defender Exploit Guard χρησιμοποιείται για την ενεργοποίηση του υποχρεωτικού ASLR σε ολόκληρη την περιοχή του συστήματος.

Ο ειδικός ασφαλείας που μελέτησε το ζήτημα είναι ο Will Dormann και εξηγεί όλα όσα χρειάζεται να γνωρίζετε για το ζήτημα που οφείλεται σε μια καταχώρηση μητρώου.

Σύμφωνα με τον Dormann, τόσο το Windows Defender Exploit Guard όσο και το EMET ενεργοποιούν το σύστημα ASLR σε επίπεδο συστήματος, χωρίς όμως να επιτρέπουν και το σύστημα ASLR από κάτω προς τα πάνω.

Ακόμη και αν το Windows Defender Exploit Guard διαθέτει μια επιλογή σε επίπεδο συστήματος για σύστημα από κάτω προς τα πάνω ASLR, η προεπιλεγμένη τιμή GUI του "Ενεργοποιημένη από προεπιλογή" δεν αντικατοπτρίζει την υποκείμενη τιμή μητρώου.

Αυτό θα οδηγήσει στο γεγονός ότι τα προγράμματα χωρίς / DYNAMICBASE για να μετεγκατασταθούν χωρίς μια εντροπία. Τα προγράμματα θα μεταφερθούν στην ίδια διεύθυνση κάθε φορά σε όλες τις επανεκκινήσεις και σε διαφορετικά συστήματα.

Η λύση είναι ότι πρέπει να δημιουργήσετε ένα αρχείο.reg με το ακόλουθο κείμενο:

Επεξεργαστής μητρώου των Windows έκδοση 5.00

"Επιλογές μετριασμού" = hex: 00, 01, 01, 00, 00, 00, 00, 00, 00, 00, 00, 00, 0, 00, 00

Στη συνέχεια, θα πρέπει να εισαγάγετε αυτό το αρχείο στον Επεξεργαστή Μητρώου και όλα θα πρέπει να ταξινομηθούν.

Ορισμένοι χρήστες δηλώνουν ότι το πρόβλημα προέρχεται από το EMET και την αντικατάστασή του, το οποίο είναι ένα εργαλείο για sysadmins που "έχουν πολύ χρόνο στα χέρια τους" και αυτό έχει διακοπεί χωρίς αντικατάσταση. Δεν πιστεύουν ότι το πρόβλημα είναι με το υποκείμενο σύστημα ASLR.