ระวัง: Windows ใช้ ASLR ไม่ถูกต้อง มีการแก้ไข

เริ่มต้นด้วย Vista Windows มาพร้อมกับการสุ่มเค้าโครงพื้นที่ที่อยู่ (ASLR) ASLR เป็นเทคนิคการรักษาความปลอดภัยคอมพิวเตอร์ที่เกี่ยวข้องกับการป้องกันการใช้ประโยชน์จากช่องโหว่ของหน่วยความจำเสียหาย เพื่อป้องกันไม่ให้ผู้โจมตีกระโดดข้ามไปยังฟังก์ชันที่เจาะจงในหน่วยความจำได้อย่างน่าเชื่อถือ ASLR จะสุ่มจัดเรียง ระบุตำแหน่งพื้นที่ว่างของพื้นที่ข้อมูลสำคัญของกระบวนการ รวมถึงฐานของไฟล์สั่งการและตำแหน่งของสแต็ก ฮีป และ ห้องสมุด มีข้อบกพร่องใน Windows 8 ขึ้นไปที่ทำให้เทคนิคนี้ไร้ประโยชน์ แต่คุณสามารถแก้ไขได้

คุณลักษณะ ASLR (Address Space Layout Randomization) เปิดตัวครั้งแรกใน Windows Vista ช่วยป้องกันการโจมตีโค้ดซ้ำ ASLR ให้ที่อยู่หน่วยความจำสุ่มเพื่อรันโค้ด

ใน Windows 8, Windows 8.1 และ Windows 10 ฟีเจอร์ ASLR ทำงานไม่ถูกต้อง เนื่องจากการกำหนดค่าเริ่มต้นไม่ถูกต้อง ASLR จะไม่ใช้ที่อยู่หน่วยความจำแบบสุ่ม

อัปเดต: มีโพสต์บล็อกอย่างเป็นทางการใน Technet ที่อธิบายการฟ้องร้อง อ่านได้ที่นี่: ชี้แจงพฤติกรรมของบังคับ ASLR.

โพสต์พูดว่า:

ปัญหาการกำหนดค่าไม่ใช่ช่องโหว่ ไม่ก่อให้เกิดความเสี่ยงเพิ่มเติม และไม่ลดระดับความปลอดภัยที่มีอยู่ของแอปพลิเคชัน

โพสต์เกี่ยวกับ CERT อธิบายปัญหาโดยละเอียด

ทั้ง EMET และ Windows Defender Exploit Guard เปิดใช้งาน ASLR ทั่วทั้งระบบโดยไม่ต้องเปิดใช้งาน ASLR จากล่างขึ้นบนทั้งระบบ แม้ว่า Windows Defender Exploit Guard จะมีตัวเลือกทั้งระบบสำหรับ ASLR จากล่างขึ้นบนทั้งระบบ แต่ค่า GUI เริ่มต้นของ "เปิดโดยค่าเริ่มต้น" ไม่ได้สะท้อนถึงค่ารีจิสทรีพื้นฐาน (ไม่ได้ตั้งค่า) สิ่งนี้ทำให้โปรแกรมที่ไม่มี /DYNAMICBASE ถูกย้าย แต่ไม่มีเอนโทรปี ผลที่ได้คือโปรแกรมดังกล่าวจะถูกย้าย แต่ไปยังที่อยู่เดียวกันทุกครั้งที่รีบูตและแม้กระทั่งข้ามระบบต่างๆ

โชคดีที่มันแก้ไขปัญหาได้ง่าย

แก้ไข ASLR ใน Windows 8, Windows 8.1 และ Windows 10

1. เปิด แอพ Registry Editor.
2. ไปที่คีย์รีจิสทรีต่อไปนี้

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\เคอร์เนล

   ดูวิธีไปที่คีย์รีจิสทรี ด้วยคลิกเดียว.

3. ทางด้านขวา ให้สร้างค่า REG_BINARY ใหม่ชื่อ MitigationOptions และตั้งค่าข้อมูลค่าเป็น

   00,01,01,00,00,00,00,00,00,00,00,00,00,00,00,00

   
4. เพื่อให้การเปลี่ยนแปลงที่ทำโดย Registry tweak มีผล รีสตาร์ท Windows 10.

เพื่อประหยัดเวลาของคุณ คุณสามารถดาวน์โหลด Registry tweak ต่อไปนี้:

ดาวน์โหลด Registry Tweak

แค่นั้นแหละ.