Zabezpečené načítání knihoven, aby se zabránilo útokům knihovny DLL při předběžném načítání

Útoky založené na LoadLibrary

Při dynamickém načtení knihovny DLL bez zadání plně kvalifikované cesty se systém Windows pokusí najít tuto knihovnu DLL lineárním hledáním pomocí dobře definované sady adresářů známé jako Pořadí vyhledávání knihovny DLL. Pokud systém Windows najde knihovnu DLL v rámci pořadí vyhledávání knihovny DLL, načte se tato knihovna DLL. Pokud však systém Windows nenajde knihovnu DLL v žádném z adresářů v pořadí vyhledávání knihovny DLL, vrátí operaci načtení knihovny DLL s chybou. Toto je pořadí hledání knihovny DLL pro funkce LoadLibrarya LoadLibraryEx,které se používají k dynamickému načtení knihoven DLL:

1. Adresář, ze kterého se aplikace načetl

2. Systémový adresář

3. 16bitový adresář systému

4. Adresář Windows

5. Aktuální pracovní adresář (CWD)

6. The directories that are listed in the PATH environment variable

Vezměte v úvahu následující scénář:

• Aplikace načte knihovnu DLL bez zadání plně kvalifikované cesty, kterou očekává v CWD aplikace.

• Aplikace je plně připravená na zpracování případu, kdy knihovnu DLL nenajde.

• Ten pak o aplikaci ví a řídí CWD.

• Záložník si kopíruje vlastní speciálně vytvořenou verzi knihovny DLL v jazyce CWD. Předpokládá se, že to může udělat správce.

• Windows prohledá adresáře v pořadí vyhledávání dll a najde knihovnu DLL v jazyce CWD aplikace.

V tomto scénáři běží speciálně vytvořená knihovna DLL v aplikaci a získá oprávnění aktuálního uživatele.

Doporučujeme zabránit tomuto útoku. Aplikace mohou z cesty hledání v knihovně DLL odebrat aktuální pracovní adresář (CWD) voláním rozhraní
API služby SetDllDirectory s prázdným řetězcem
(""). Pokud aplikace závisí na načtení knihovny DLL z aktuálního adresáře, získejte aktuální pracovní adresář a použijte ho k předání plně kvalifikované cesty LoadLibrary.



Víme také, že někteří vývojáři používají Funkci LoadLibrary k ověření přítomnosti konkrétní knihovny DLL, aby bylo možné určit, kterou verzi Windows uživatel používá. Měli byste vědět, že to může aplikaci přimět k ohrožení zabezpečení. Pokud knihovna skutečně ve Verzi pro Windows, na které se aplikace spustí, neexistuje, může správce knihovny se stejným jménem zavést do CWD knihovnu se stejným názvem. Důrazně doporučujeme, abyste tuto techniku nedoporučujeme používat. Místo toho použijte doporučené postupy popsané v článku msdn "Získání verze systému".

Aplikace, která načítá moduly plug-in třetích stran a která nemůže vynutit, aby moduly plug-iny používají kvalifikovanou cestu pro hovory LoadLibrary, by měla zavolat SetDllDirectory("") pro odebrání CWD a potom zavolat SetDllDirectory("umístění instalace modulu plug-in") a přidat adresář instalace modulu plug-in do cesty vyhledávání DLL.

Útoky založené na vyhledávacím výrazu

Podobný útok existuje, pokud aplikace pomocí rozhraní API SearchPathu vyhledá knihovnu DLL a dynamicky načte cestu vrácenou funkcí SearchPath. Toto je výchozí pořadí vyhledávání pro rozhraní SearchPath API:

• Adresář, ze kterého se aplikace načetl

• Aktuální pracovní adresář (CWD)

• Systémový adresář

• 16bitový adresář systému

• Adresář Windows

• The directories that are listed in the PATH environment variable

Tento vzor nedoporučujeme, protože není zabezpečený. Funkci SearchPath nedoporučujeme jako způsob vyhledání souboru .dll, pokud je zamýšlené použití výstupu při volání funkce LoadLibrary. Výsledkem může být vyhledání nesprávného souboru .dll, protože pořadí hledání funkce SearchPath se liší od pořadí hledání používaného funkcí LoadLibrary. Pokud potřebujete vyhledat a načíst soubor .dll, použijte funkci LoadLibrary.

ShellExecute a CreateProcess

Varianty těchto problémů mohou také existovat, když vývojáři říkají podobným funkcím, jako jsou ShellExecutea CreateProcess,aby se načítaly externí spustitelné soubory. Doporučujeme, aby vývojáři byli opatrní při načítání binárních souborů a specifikují plně kvalifikovanou cestu. Když načítáte binární soubor (místo knihovny), mělo by to být méně složité.

Pokyny k identifikaci načtení nezabezpečující knihovny

Ve zdrojovém kódu jsou načten následující příklady nezabezpečených knihoven:

• V následujícím příkladu kódu hledá aplikace "schannel.dll" pomocí nejméně bezpečné cesty pro hledání. Pokud by pak schannel.dll do CWD, načte se ještě předtím, než aplikace prohledá odpovídající knihovnu v adresářích Windows.

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• V následujícím příkladu kódu se aplikace pokusí načíst knihovnu z různých umístění aplikací a operačního systému popsaných na začátku tohoto dokumentu pro volání LoadLibrary(). Pokud existuje nějaké riziko, že soubor není k dispozici, aplikace se může pokusit soubor načíst z aktuálního pracovního adresáře. Tento scénář je mírně méně nebezpečný než předchozí příklad. Aplikace ale uživatele aplikace vystaví riziku, pokud prostředí není zcela předvídatelné.

  HMODULE handle = LoadLibrary("schannel.dll");

Tady jsou příklady lepšího a bezpečnějšího načtení knihovny:

• V následujícím příkladu kódu se knihovna načítá přímo pomocí plně kvalifikované cesty. Neexistuje žádné riziko, že by ho mohl zavádět škodlivý kód, pokud už nemá oprávnění k zápisu do cílového adresáře aplikace.
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  Poznámka: Informace o tom, jak určit systémový adresář, najdete v těchto materiálech:
  
  GetSystemDirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• V následujícím příkladu kódu je před voláním funkce LoadLibrary z cesty pro hledání odebrán aktuální pracovní adresář. Značně se tím sníží riziko, protože by chtěl mít kontrolu nad adresářem aplikace, adresářem Windows nebo libovolnými adresáři zadanými v cestě uživatele, aby bylo možné použít útok pomocí knihovny DLL.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• Ve všech systémech, které mají nainstalovanou aktualizaci zabezpečení 963027 (popsanou v MS09-014),se následující kód trvale přesune CWD na poslední místo v pořadí hledání. Jakákoli pozdější volání funkce SetSearchPathMode z tohoto procesu, který se pokusí změnit režim vyhledávání, se nezdaří.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• V následujícím příkladu kódu je před voláním funkce LoadLibrary z cesty pro hledání odebrán aktuální pracovní adresář. Značně se tím sníží riziko, protože by chtěl mít kontrolu nad adresářem aplikace, adresářem Windows nebo libovolnými adresáři zadanými v cestě uživatele, aby bylo možné použít útok pomocí knihovny DLL.

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");