Comment désactiver l'ASLR (address space layout randomization) sur Windows 7 x64?

Comment désactiver l'ASLR sur Windows 7 x64, de sorte que mon programme sera toujours à la charge de l'partagé CRT à la même adresse?

  • Avez-vous besoin de faire cela, ou est-il juste de faire quelque chose de plus facile?
  • J'ai vraiment besoin de le faire.
  • Notez que cela dégrade la sécurité du système et devrait être fait seulement avec la permission de l'utilisateur.
  • Bon, je suis l'utilisateur. (Le seul utilisateur, et le seul administrateur, en fait. :P)
  • Haha... à mon humble avis, si vous êtes un administrateur, vous devrait être en mesure de faire ce que vous voulez, par définition.
  • L'partagé CRT n'est pas de votre fichier DLL, de sorte que vous ne pouvez pas désactiver l'ASLR pour elle. Vous ne pouvez désactiver l'ASLR pour les Exe et Dll que vous possédez (en désactivant le DLL_IMAGE_RELOCATABLE drapeau dans l'en-tête PE). La raison pour cela est que Windows Vista et au-dessus de délocaliser une partie de la clé des binaires pour windows pendant le démarrage du système afin qu'ils puissent partager la dérivation de la mémoire entre les processus - ce qui inclut des choses comme ntdll, kernel32, gdi32, user32, wininet et, malheureusement pour vous, mscrt.
  • c'est vrai, c'est vrai xD. SecurityMatt: en EFFET, Vous êtes autorisé à désactiver CRT ASLR, en tant qu'administrateur, car c'est une clé de registre dans ma réponse ci-dessous.
  • Ok, vous êtes autorisé à désactiver l'ASLR et DEP à l'échelle du système (qui est une horrible chose à faire - vous êtes littéralement mettre l'ensemble du système à risque), mais vous n'êtes pas autorisé à le désactiver simplement dans votre processus.
  • ^ C'est vrai, et c'est aussi ce que j'essayais de dire à Mehrdad, mais je suppose qu'il est vraiment, vraiment, vraiment besoin.
  • Hmm, bien sûr, le jour d'après je réponds à cette question: 9to5google.com/2012/03/07/... Suspect beaucoup? 😀
  • Lollllll il est en effet O_O
  • Oui, en effet. Eh bien, c'est ce qui arrive lorsque vous désactivez l'ASLR, donc soyez prudent!
  • Ne désactivez pas l'ASLR! Kittehs meurent chaque fois que quelqu'un se désactive l'ASLR... allez, peut-être que @Mehrdad juste besoin de tester un exploit technique sous une VM.

InformationsquelleAutor Mehrdad | 2012-03-05
  1. 13

    Un paramètre de registre est disponible à force d'activer ou de désactiver l'ASLR pour tous les exécutables et les bibliothèques et se trouve à HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\MoveImages.

    • Ne modifiez pas le système mondial de réglages à faire votre programme de travail
    • +1, je vais essayer cela. Il semble que ce dont j'ai besoin, car changer sur une base par programme n'affecte pas la façon dont le (partagé) le CRT est chargé.
    • ^ Ce. Mais vous devez vous rappeler que si ce est une application distribuée, vous ne devriez pas faire cela, et si c'est un ABSOLU DOIT inviter l'utilisateur avant de le faire par programmation.
    • Le CRT est mappé pour tous les processus de manière indépendante, même si le CRT pourrait être la chargement qu'une seule fois (c'est à dire qu'il n'occupe une place unique dans la mémoire physique), son d'adresse virtuelle sera différent pour chaque processus.
    • Ne vous inquiétez pas, c'est seulement pour moi, car j'ai besoin de le désactiver pour tester quelque chose. Et de grâce, on dirait qu'il fonctionne bien!
    • Ce paramètre désactive l'ASLR pour l'ensemble du système, ce qui réduit massivement votre protection contre les exploiter à distance attaques.
    • Betts: Pas vrai. ASLR est par session, pas par processus. Kernel32 est chargé à la même adresse dans l'ensemble de mon processus, mais probablement à une autre adresse à l'ensemble de vos processus (et de vos processus seront tous la même chose aussi)
    • Vous avez raison, mais seulement parce que Kernel32 et ntdll sont "magiques". D'autres Dll sera à des emplacements aléatoires
    • Betts: Kernel32 et ntdll sont certainement magique, mais la même chose est également vrai pour d'autres Dll. Si quelqu'un en charge une DLL dans Un processus et que quelqu'un l'ouvre à nouveau dans le Processus B ils vont obtenir la même adresse (ce qui permet au noyau d'avoir à la fois des processus soutenus par les mêmes pages pour économiser de la RAM). Par conséquent, si vous avez installé Sophos, par exemple, il fera l'Dll dans tous les processus à la même adresse. La différence avec le normal Dll est qu'il est possible qu'ils deviennent tous des déchargé lorsque tout le monde s'ennuie d'eux, à quel point la prochaine charge ont une nouvelle adresse.
    • Aussi dans le cas où le Processus B a quelque chose dans la façon de où les Processus de chargement de la DLL, puis le Processus B est contraint de déménager. Ce n'est pas vrai à la magie du système Dll qui ne sont jamais déplacer sauf au démarrage
    • SecurityMatt, t'es du genre à souffler mon esprit ici, Upvotes pour vous!
    • Bien que son nom EST SecurityMatt. La sécurité doit être son point fort. 😀
    • Est ce paramètre une valeur DWORD?
    • Cela n'a pas fonctionné pour moi (Windows 7 Professionnel 64 bits, SP1). Notez toutefois que cette clé de registre n'existe pas, donc je l'ai créé (comme une valeur DWORD = 0) et redémarré. (Note: en tant Que développeur, il peut parfois être utile de désactiver l'ASLR lors du débogage et les questions de l'enquête).
    • La mise à jour. Sysinternals VMMap montre chargés assemblées .NET avec "l'ASLR" contre eux, cependant, c'est à dire maintenant des erreurs lorsque j'essaie de le lancer donc je pense que j'ai partiellement désactivé ASLR avec cette clé reg (Depuis IE défaut semble être l'un des symptômes de la désactivation de l'ASLR).
    • La mise à jour. DONC il semble que la clé de registre n'désactiver l'ASLR et que VMMap est simplement en indiquant si l'assemblée a été marquée comme pièces justificatives permettant à l'ASLR. La trousse à outils EMET l'INTERFACE utilisateur a également une option pour diable ASLR, et cela semble être une INTERFACE utilisateur au cours de la même clé de reg (quand j'ai utilisé la trousse à outils EMET pour désactiver l'ASLR il recréé la clé et mettre zéro).

    InformationsquelleAutor Aditya Vaidyam
  2. 24

    Auparavant vous aviez à choisir de permettre à l'éditeur de liens à utiliser l'ASLR. Maintenant, vous avez de l'opt-out:

    /DYNAMICBASE[:NO]

    (Visual Studio 2012: Propriétés de Configuration -> Linker -> Avancé> "Randomisés Adresse de Base")

    Vous pouvez aussi le faire par programmation.

    • Ce qui est très pratique lorsque vous avez un projet, vous êtes le débogage, et que vous préférez que les adresses dans votre fenêtre d'observation ne changent pas à chaque course.
    InformationsquelleAutor Mr. S
  3. 18

    L'Enhanced Mitigation Experience Toolkit (EMET), téléchargeable à partir de Microsoft, permet d'activer/de désactiver l'ASLR sur un système ou d'un processus.

    InformationsquelleAutor josh