Turvaliste teekide laadimine, et vältida DLL-i eellaadimise rünnakuid

LoadLibrary-põhiseid rünnakuid

Kui rakendus laadib dünaamiliselt DLL-i, täpsustamata täiesti sobivat teed, proovib Windows leida selle DLL-i, otsides lineaarselt täpselt määratletud kataloogide kogumit, mida tuntakse DLL-i otsingu tellimusena. Kui Windows otsib dll-faili üles DLL-i otsingus, laaditakse see DLL üles. Kui aga Windows ei leia DLL-i dll-i otsingu järjestuses olevat DLL-i, tagastatakse DLL-i laadimise toiming. Järgmine on DLL-i LoadLibraryja LoadLibraryExfunktsioonid, mida kasutatakse dll-failide dünaamiliseks laadimiseks:

1. Kataloog, kust rakendus laaditi

2. Süsteemi kataloog

3. 16-bitise süsteemi kataloog

4. Windowsi kataloog

5. Praegune töö kataloog (KURTUMUSE)

6. TEE keskkonnamuutuja ' s loetletud kataloogid

Arvestage järgmise stsenaariumiga.

• Rakendus laadib DLL-i välja, täpsustamata täiesti sobivat teed, mida ta ootab rakenduse KURTUMUSE.

• Rakendus on täiesti valmis juhtumiga tegelema, kui see ei leia DLL-i.

• Ründaja teab seda teavet rakenduse kohta ja kontrollib KURTUMUSE.

• Ründaja kopeerib oma spetsiaalselt formuleeritud versiooni DLL-i KURTUMUSE. See eeldab, et ründajal on õigus seda teha.

• Windows otsib DLL-otsingus olevad kataloogid läbi ja otsib rakenduse KURTUMUSE DLL-i.

Selle stsenaariumi korral töötab spetsiaalselt formuleeritud DLL rakenduse sees ja annab praeguse kasutaja õigused.

Soovitus selle

rünnaku vältimiseks võivad rakendused eemaldada dll-kurtumuse praeguse töö kataloogi (), kui helistate SetDllDirectory API-d kasutades tühja stringi (""). Kui rakendus sõltub praegusest kataloogist DLL-i laadimisest, Hankige praegune töökataloog ja kasutage seda LoadLibrarytäielikuks kvalifitseeritud tee.



Oleme teadlikud ka sellest, et mõned arendajad kasutavad LoadLibrary, et kontrollida, kas mõni konkreetne DLL on olemas, et määrata, millist Windowsi versiooni kasutaja kasutab. Peaksite teadma, et see võib rakenduse haavatavaks muuta. Kui mõjutatud teeki pole olemas Windowsi väljalaskes, kus rakendus on käivitatud, võib ründaja lisada sama nimega teegi KURTUMUSE. Soovitame tungivalt kasutada seda tehnikat. Selle asemel kasutage soovitatavaid meetodeid, mida on kirjeldatud MSDN-i artiklis, "süsteemi versiooni hankimine".

Rakendus, mis laadib kolmanda osapoole pluginaid ja kes ei saa sundida pluginaid kasutama oma LoadLibrary kõnede jaoks kvalifitseeritud teed, peaks helistama SetDllDirectory (""), et eemaldada KURTUMUSE ja seejärel helistada SetDllDirectory ("plugina installimise asukoht"), et lisada plugina installimise kataloogi DLL-i teel.

SearchPath-põhiseid rünnakuid

Sarnast rünnakut esineb siis, kui rakendus kasutab SearchPath API-d DLL-i leidmiseks ja SearchPathtagastatud tee dünaamiliseks laadimiseks. Järgmine on SearchPath API vaike-otsingu järjekord.

• Kataloog, kust rakendus laaditi

• Praegune töö kataloog (KURTUMUSE)

• Süsteemi kataloog

• 16-bitise süsteemi kataloog

• Windowsi kataloog

• TEE keskkonnamuutuja ' s loetletud kataloogid

Me ei soovita seda mustrit, sest see pole turvaline. Me ei soovita SearchPath. dll-faili leidmise meetodil, kui väljundi kavandatav kasutus on kõnes funktsiooni LoadLibrary. See võib põhjustada vale dll-failide leidmist, kuna funktsiooni SearchPath otsinguväli erineb funktsiooni LoadLibrary kasutatavast otsingust. Kui peate üles leidma ja laadima dll-faili, kasutage funktsiooni LoadLibrary.

ShellExecute ja CreateProcess

Nende probleemide variatsioonid võivad olla ka siis, kui arendajad helistavad sarnaste funktsioonide (nt ShellExecuteja CreateProcess) väliste Täitmisfailide laadimiseks. Soovitame arendajatel olla ettevaatlik, kui nad laadivad kahendfaile ja määravad täielikult kvalifitseeritud tee. See peaks kujutama endast vähem keerukust, kui laadite teegi asemel binaarse.

Juhised ebaturvaliste teegis olevate raskuste tuvastamiseks

Allika koodis on järgmised näited ebaturvaliste teegi laadide kohta.

• Järgmise koodi näites otsib rakendus "schannel.dll" vähemalt turvaliste otsingute abil. Kui ründaja saab paigutada schannel.dll KURTUMUSE, laaditakse see ka enne, kui rakendus otsib Windowsi kataloogidest vastava teegi jaoks.

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• Järgmises näites püüab rakendus laadida teegist välja mitmesuguste rakenduse ja opsüsteemide asukohtadest, mida on kirjeldatud selle dokumendi LoadLibrary () kõne alguses. Kui esineb oht, et faili ei ole olemas, võib rakendus proovida laadida faili praegusest töökataloogist. See stsenaarium on veidi vähem ohtlik kui eelmine näide. Siiski seab rakenduse kasutaja ohtu, kui keskkond pole täielikult prognoositav.

  HMODULE handle = LoadLibrary("schannel.dll");

Järgnevalt on toodud näited paremate turvalisema teegi laadide kohta.

• Järgmises näites laaditakse teeki otse, kasutades selleks täiesti kvalifitseeritud teed. Ründajal pole pahatahtlikku koodi, välja arvatud juhul, kui tal on rakenduse sihtüksuse kataloogis juba õigus kirjutada.
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  Lisateavet süsteemi kataloogi määramise kohta leiate järgmistest allikatest:
  
  GetSystemDirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• Järgmises näites eemaldatakse praegusest töökataloogist otsingu tee enne LoadLibrary kõnet. See vähendab oluliselt riski, sest ründajal peab olema kas rakenduse kataloog, Windowsi kataloog või mis tahes kataloogid, mis on määratud kasutaja Tees, et kasutada DLL-i eellaadimise rünnakut.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• Kõigis süsteemides, kus on installitud turvavärskenduse 963027 (kirjeldatud rakenduses MS09-014), liigub järgmine kood kurtumuse jäädavalt viimasele kohale. Mis tahes hilisemad kõned SetSearchPathMode funktsiooni sees, mis proovivad muuta otsingu režiimi, ei õnnestu.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• Järgmises näites eemaldatakse praegusest töökataloogist otsingu tee enne LoadLibrary kõnet. See vähendab oluliselt riski, sest ründajal peab olema kas rakenduse kataloog, Windowsi kataloog või mis tahes kataloogid, mis on määratud kasutaja Tees, et kasutada DLL-i eellaadimise rünnakut.

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");