Windows XP Service Pack 2 (Teil 7): Schutz vor Pufferüberläufen

Pufferüberläufe gehören zu den berüchtigtsten Angriffsformen aus dem Internet. Sie beruhen auf der einfachen Tatsache, dass ein Programmierer Speicherplatz für eine Variable reserviert und ihm dabei ein Fehler unterläuft.

So kann ein Anwender zum Beispiel später eine Eingabe machen, die viel mehr Zeichen umfasst als eigentlich vorgesehen sind. Dabei werden auch benachbarte Speicherstellen beschrieben, die mit der Variablen gar nichts zu tun haben. Im Normalfall wird das Programm einfach abstürzen, ein Angreifer aber kann die Schwachstelle nutzen, um die Kontrolle über Ihren Rechner zu erlangen.

Wie funktioniert ein Pufferüberlauf?

Um zu verstehen, was da im einzelnen passiert, sind ein paar technische Kenntnisse nötig.

Ein Computersystem verfügt über einen gewissen Bestand an Arbeitsspeicher (RAM), den alle Anwendungen gemeinsam nutzen. Damit hier nichts durcheinander kommt, hat Windows eine spezielle Speicherverwaltung, die festhält, welche Bereiche gerade verwendet werden. Startet eine Anwendung neu, wird ihr freier Speicher zugewiesen.

Dieser Speicher ist in 3 Teile aufgeteilt:

• Das Codesegment: hier liegen die ausführbaren Befehle die zu der Anwendung gehören.
• Das Datensegment: hier liegen die Daten, die zu der Anwendung gehören.
• Der Stack (Teil des Datensegments): hier liegt alles, was für Programmfunktionen von Belang ist, Parameter, Puffer, die die lokalen Variablen speichern und vor allem die Rücksprungadresse, die angibt, wo im Programm weitergemacht wird, wenn die Funktion abgearbeitet ist.
  
  
  Bild minimierenBild vergrößern

  
  
  
  Da auch die Eingaben eines Anwenders als Variablen erfaßt werden, gelangt alles, was er eintippt, direkt auf dem Stack. Normalerweise geht das so in Ordnung. Kann aber aufgrund eines Programmierfehlers die Puffergrenze verletzt werden, läßt sich der Stack leicht manipulieren. Wird nämlich die Eingabe geschickt gewählt, kann der gesamte Bereich, der für die lokalen Variablen vorgesehen ist, mit Anweisungen überschrieben werden und die anschließende Rücksprungadresse so geändert werden, dass sie auf den Anfang des schädlichen Codes zeigt. Das Programm macht also nicht wie vorgesehen weiter, sondern folgt den Zielen des Angreifers.
  
  
  Bild minimierenBild vergrößern

  
  
  
  

Was macht die Datenausführungsverhinderung?

Die Datenausführungsverhinderung (DEP, Data Execution Prevention) überprüft nun, ob Ihre Programme den Systemspeicher sicher verwenden. Hierfür markiert die Ausführungsschutzsoftware (alleine oder in Zusammenarbeit mit kompatiblen Mikroprozessoren) Datenspeicherbereiche als "nicht ausführbar". Sollte dennoch eine Anwendung versuchen, Code in einem derart geschützten Bereich auszuführen, beendet die Datenausführungsverhinderung das Programm und benachrichtigt Sie. Dies geschieht auch dann, wenn es sich nicht um böswilligem Code handelt.

Nach der Installation von SP2 ist die Datenausführungsverhinderung nur für wichtige Programme und Dienste des Betriebssystems aktiviert, denn es ist damit zu rechnen, dass nicht alle Software reibungslos mit der Datenausführungsverhinderung zusammenarbeitet. Wollen Sie die Sicherheit erhöhen, können Sie die Datenausführungsverhinderung grundsätzlich aktivieren und für einzelne Programme und Dienste Ausnahmen definieren.

So aktivieren Sie die Datenausführungsverhinderung für alle Programme:

1. Klicken Sie auf Start und dann auf Systemsteuerung.
2. Doppelklicken Sie auf System.
   
   
   Bild minimierenBild vergrößern

   
   
   
   
3. Wählen Sie die Registerkarte Erweitert und klicken Sie im Bereich Systemleistung auf Einstellungen.
   
   
   Bild minimierenBild vergrößern

   
   
   
   
4. Klicken Sie auf das Register Datenausführungsverhinderung und aktivieren Sie die Option Datenausführungsverhinderung für alle Programme und Dienste mit Ausnahme der ausgewählten aktivieren und klicken Sie auf OK.
   
   
   Bild minimierenBild vergrößern

   
   
   
   
5. Die Änderung wird erst nach einem Neustart wirksam. Bestätigen Sie die Information mit OK, klicken Sie noch einmal auf OK und starten Sie Ihren Rechner neu.

So definieren Sie Ausnahmen

Sollten dann einige Programme Schwierigkeiten machen, definieren Sie sie als Ausnahmen.

1. Navigieren Sie zur Registerkarte Datenausführungsverhinderung.
2. Klicken Sie auf Hinzufügen.
3. Suchen und markieren Sie die entsprechende Programmdatei, klicken Sie auf Öffnen und dann auf OK.
4. Klicken Sie auf OK, dann noch einmal auf OK und starten Sie Ihren Rechner neu.

So deaktivieren Sie die Datenausführungsverhinderung

Sollte Ihr Rechner prinzipiell Probleme mit der Datenausführungsverhinderung haben, können Sie diese auch komplett deaktivieren. Dazu müssen Sie die boot.ini-Datei bearbeiten.

1. Kontrollieren Sie zunächst die Ordneroptionen. Klicken Sie auf Start und Systemsteuerung und doppelklicken Sie dann auf Ordneroptionen.
   
   
   Bild minimierenBild vergrößern

   
   
   
   
2. Vergewissern Sie sich, dass alle Ordner und alle Systemdateien angezeigt werden.
   
   
   Bild minimierenBild vergrößern

   
   
   
   
3. Starten Sie Ihren Computer im abgesicherten Modus. Drücken Sie hierzu die F8-Taste, sobald der POST (Power On Self Test) beendet ist.
4. Benutzen Sie die Pfeiltasten, um die Option Abgesicherter Modus auszuwählen. Drücken Sie anschließend die Eingabetaste.
5. Wählen Sie dann das zu startende Betriebssystem und drücken Sie wieder die Eingabetaste.
6. Öffnen Sie im Arbeitsplatz das Laufwerk C:\. Suchen Sie die Datei boot.ini.
7. Machen Sie vorsichtshalber eine Sicherheitskopie von boot.ini. Klicken Sie die Datei mit der rechten Maustaste an und wählen Sie Kopieren. Klicken Sie dann mit der rechten Maustaste an eine freie Stelle und wählen Sie Einfügen.
8. Klicken Sie dann die Datei boot.ini mit der rechten Maustaste an und wählen Sie Eigenschaften.
   
   
   Bild minimierenBild vergrößern

   
   
   
   
9. Deaktivieren Sie das Attribut Schreibgeschützt und klicken Sie auf OK (oder drücken Sie die Eingabetaste).
   
   
   Bild minimierenBild vergrößern

   
   
   
   
10. Klicken Sie auf Start und Ausführen und geben Sie notepad c:\boot.ini ein. Klicken Sie anschließend auf OK.
    
    
    Bild minimierenBild vergrößern

    
    
    
    
11. Ändern Sie die Option NoExecute=xxxxx in NoExecute=AllwaysOff.
    
    
    Bild minimierenBild vergrößern

    
    
    
    
    Bild minimierenBild vergrößern

    
    
    
    
12. Speichern Sie boot.ini, setzen Sie wieder den Schreibschutz und starten Sie Ihren Rechner neu.

Die weiteren Teile des Themas Windows XP Service Pack 2 - Schritt für Schritt sind: