ASLR

一、 ASLR 核心概念解析

ASLR（Address Space Layout Randomization，地址空间布局随机化） 是一种针对缓冲区溢出等内存损坏漏洞的安全防御机制。

基本原理： 操作系统在加载可执行文件时，将其各个内存区域（如 Heap、Stack、共享库/libc、甚至程序主模块）的基址（Base Address）进行随机化分配。
防御目的： 使得攻击者在编写 Exploit 时，无法预测目标函数（如 system）或特定代码片段（如 ROP Gadgets）的绝对内存地址，从而大幅增加漏洞利用的难度。
操作系统实现（以 Linux 为例）：

通过 /proc/sys/kernel/randomize_va_space 控制，包含三个级别：
- 0：完全关闭 ASLR。
- 1：部分开启。随机化栈（Stack）、映射区（mmap，包含共享库如 libc）以及 VDSO。堆（Heap）地址固定。
- 2：完全开启（默认状态）。在级别 1 的基础上，增加堆（Heap）的随机化。

在探讨 ASLR 时，必须区分它与 PIE 的关系，这直接影响逆向分析时的基址计算。

PIC (Position Independent Code，位置无关代码)：

主要用于共享动态链接库（如 .so 或 .dll 文件）。由于库被加载到不同进程的随机地址，代码必须依赖相对寻址（如基于 RIP 的寻址）而非绝对寻址。
PIE (Position Independent Executable，位置无关可执行文件)：

作用于程序主模块。如果编译时未开启 PIE，即使系统开启了 ASLR，程序本身的 .text、.data、.bss 等段的基址依然是固定的（通常 32 位为 0x8048000，64 位为 0x400000）。如果开启了 PIE，程序主模块的基址也会被随机化。

ASLR 使得静态分析与动态调试之间产生了“地址鸿沟”。

在反汇编工具中，由于此时程序并未实际加载到内存，反汇编器通常会假定一个默认的加载基址。

由于 ASLR 的介入，每次启动进程时，模块的加载地址都会发生变化。动态调试器中观察到的地址（如 0x7ffff7a0b000）无法直接在静态分析工具中通过 Ctrl+G 跳转定位。

突破 ASLR 的核心思想在于：无论基址如何随机变化，同一模块内部各指令或数据之间的相对偏移量（Offset）是永远不变的。

核心计算公式为：

\(Actual\_Address = Base\_Address + Offset\)

基于此公式，衍生出以下分析与利用策略：

这是对抗 ASLR 最常见的方法。通过程序的输出漏洞（如格式化字符串漏洞、未初始化的栈变量输出），获取某个已知函数或变量在当前运行时的真实内存地址。

当无法泄露地址时，可以利用内存地址在内存中的小端序（Little-Endian）存储特性。由于 ASLR 粒度通常为内存页（Page Size，通常是 4KB，即 0x1000），地址的低 12 位（即后三个十六进制字符）是不受随机化影响的。

为了在日常分析中减轻 ASLR 带来的计算负担，通常采用以下操作规范：

临时关闭系统 ASLR（仅限本地分析调试环境）：

在 Linux 终端执行：
```
echo 0 | sudo tee /proc/sys/kernel/randomize_va_space
```
这使得后续启动的所有进程地址固定，方便对比动态内存与静态汇编。
在调试器中禁用 ASLR：
- GDB： 默认情况下，GDB 启动程序时会自动禁用 ASLR。可以通过 set disable-randomization on/off 来控制。
- x64dbg / OllyDbg： 可通过修改 PE 文件的 Optional Header 中的 DllCharacteristics 字段，去除 IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE (0x0040) 标志位，强制程序以固定基址加载。（使用 DIE 工具）
基址重定位（Rebasing）：

在进行动态调试时，获取模块的当前实际基址。然后回到静态分析工具（如 IDA Pro），使用 Edit -> Segments -> Rebase program... 功能，将整个分析工程的基址修改为动态调试时的基址。这样两边的地址就能完全对应。