Mem Address Analyzer

Forschungsprojekt zur Analyse des Speicheradressraums

Als Open Source veröffentlicht von NCC Group Plc - http://www.nccgroup.com/

Für Linux entwickelt von Aidan Marlin, aidan dot marlin at nccgroup dot com

Für Windows entwickelt von Nikos Laleas, nikos dot laleas at nccgroup dot com

Mentor Ollie Whitehouse, ollie dot whitehouse at nccgroup dot com

https://github.com/nccgroup/memaddressanalysis

Veröffentlicht unter der AGPL, siehe LICENSE für weitere Informationen

Zweck

Zweck dieses Forschungsprojekts war es, Werkzeuge zu erstellen, die Folgendes ermöglichten:

• ein Programm der Wahl wiederholt (x) Mal auszuführen, wobei x konfigurierbar ist
• dann für jeden Durchlauf
• (n) Sekunden zu warten - wobei n konfigurierbar ist (um den Programmstart, das Laden von Bibliotheken usw. zu ermöglichen)
• die Adressen und Größen der zugeordneten Speicherseiten aufzuzeichnen und festzuhalten, welche beschreibbar und welche beschreibbar/ausführbar sind
• nach Abschluss von (x) Ausführungen die Ergebnisse durchzugehen und zu prüfen, ob es Adressen gibt, die durchgängig beschreibbar oder beschreibbar/ausführbar an derselben Adresse sind (auch wenn die Größen unterschiedlich sind)

Mit dem Ziel, für das Zielprogramm dynamisch etwaige ASLR-Bypasses zu entdecken.

Einschränkungen

Der Grund, warum nur-ausführbare Seiten nicht berücksichtigt wurden, liegt darin, wie ASLR unter Microsoft Windows funktioniert, bei dem DLLs nur einmal pro Neustart neu basiert werden. Dies könnte als logische Erweiterung umgangen werden.