Address Space Layout Randomization (ASLR)

O Windows Vista e o Windows Server 2008 trouxeram um excelente recurso de segurança para dificultar o ataque de vírus e programas afins. Trata-se do Address Space Layout Randomization, ou simplesmente, ASLR.

Através dessa tecnologia, os principais módulos do Windows são carregados em endereços randômicos na memória a cada boot do sistema. São 256 endereços diferentes possíveis, ou seja, um ataque tem 1/256 de chance de acertar onde está o módulo que quer atacar.

Veja o exemplo abaixo:

- Primeiro boot:

• wsock32.dll (0x73ad0000)
• winhttp.dll (0x74020000)
• user32.dll (0x779b0000)
• kernel32.dll (0x77c10000)
• gdi32.dll (0x77a50000)

- Segundo boot:

• wsock32.dll (0x73200000)
• winhttp.dll (0x73760000)
• user32.dll (0x770f0000)
• kernel32.dll (0x77350000)
• gdi32.dll (0x77190000)