26、群体攻击：网络级仿真/分析的新挑战

群体攻击：网络级仿真/分析的新挑战

1. 实际实施的顾虑

在实施群体攻击时，会面临一些可能的困难。主要聚焦于，在有可在被攻击机器上执行任意代码的漏洞利用程序的情况下，构建基于此漏洞的群体攻击还需面对哪些额外问题。

1.1 多次利用漏洞

实施群体攻击的最大限制是，需要一个能被多次利用的漏洞，且每次利用的效果要持久，在实际有效负载执行前，后续的利用都能看到该效果。

如果目标是多线程程序，在攻击期间仍能继续运行（即接受更多流量/输入），这个限制会自动满足，很多网络服务器都有此特性。即使是最简单的服务器，尤其在 Windows 环境下，也很可能是多线程的，且一旦开始处理传入请求，相关端口很可能会释放以接受更多流量。

若攻击单线程程序（或只有一个线程执行易受攻击处理的程序），满足以下条件仍可进行群体攻击：
1. 易受攻击的程序处理多个可能导致控制权劫持的输入。
2. 在解码器构建过程的当前步骤完成后，能让被攻击进程继续正常处理。

由于很多程序可能满足第一个条件，所以重点在于每次攻击实例后如何恢复目标程序的正常处理。对于常见类型的漏洞利用，这一任务是可以实现的。
- 栈缓冲区溢出 ：可应用类似“错误虚拟化”的技术，在攻击实例达成目标后“恢复正常执行”。攻击者通常能准确知道注入代码开始执行时栈顶几个激活记录的大小，从而适当调整栈以实现返回。这种“恢复”只需少量指令，如对 esp 进行加法操作、一次写入（若需伪造返回值）和一次返回。大多数网络级仿真/分析系统会忽略此返回，因为它们认为这很可能导致进程崩溃，不会将其视为有效攻击的一部分。
-