Mem Address Analyzer

Projeto de pesquisa relacionado à análise do espaço de endereçamento de memória

Lançado como código aberto pela NCC Group Plc - http://www.nccgroup.com/

Desenvolvido para Linux por Aidan Marlin, aidan dot marlin at nccgroup dot com

Desenvolvido para Windows por Nikos Laleas, nikos dot laleas at nccgroup dot com

Mentor Ollie Whitehouse, ollie dot whitehouse at nccgroup dot com

https://github.com/nccgroup/memaddressanalysis

Lançado sob AGPL, veja LICENSE para mais informações

Objetivo

O objetivo deste projeto de pesquisa foi produzir uma ferramenta capaz de:

• executar repetidamente um programa de escolha (x) vezes, onde x é configurável
• e então, para cada execução
• aguardar (n) segundos - onde n é configurável (para permitir a inicialização do programa, carregamento de bibliotecas etc.)
• registrar os endereços e tamanhos das páginas de memória mapeadas, anotando quais são graváveis e graváveis/executáveis
• ao final de (x) execuções, examinar os resultados e verificar se algum endereço é consistentemente gravável ou gravável/executável no mesmo endereço (mesmo que os tamanhos difiram)

Com o objetivo de descobrir dinamicamente quaisquer bypasses de ASLR para o programa alvo.

Ressalvas

A razão pela qual páginas somente executáveis não foram incluídas se deve à forma como o ASLR funciona no Microsoft Windows, em que DLLs só são reposicionadas uma vez por reinicialização. Isso poderia ser contornado como uma extensão lógica.