טעינה מאובטחת של ספריות כדי למנוע התקפות של DLL לטעינה

התקפות מבוססות LoadLibrary

כאשר יישום מטעין באופן דינאמי את קובץ ה-DLL מבלי לציין נתיב מלא, Windows מנסה לאתר קובץ DLL זה על-ידי חיפוש ליניארי באמצעות ערכה מוגדרת היטב של ספריות, הנקראת הזמנת חיפוש של DLL. אם Windows יאתר את ה-DLL בסדר החיפוש של DLL, הוא יטען את ה-DLL. עם זאת, אם Windows אינו מוצא את ה-DLL באחת מהספריות בסדר החיפוש של DLL, הוא מחזיר כשל בפעולת טעינת ה-DLL. להלן סדר החיפוש של DLL עבור הפונקציות LoadLibraryו- LoadLibraryEx, המשמשות לטעינה דינאמית של קבצי dll:

1. הספריה שממנה נטענה היישום

2. מדריך המערכת

3. מדריך המערכת של 16 סיביות

4. מדריך הכתובות של Windows

5. מדריך העבודה הנוכחי (CWD)

6. הספריות המופיעות במשתנה סביבת הנתיב

שקול את התרחיש הבא:

• יישום טוען קובץ DLL מבלי לציין נתיב מלא שהוא מצפה למצוא בCWD של היישום.

• היישום מוכן במלואו כדי לטפל במקרה כאשר הוא אינו מוצא את ה-DLL.

• התוקף יודע מידע זה אודות היישום ושולט ב-CWD.

• התוקף מעתיק את הגירסה המיוחדת שלהם של ה-DLL של ה-DLL ב-CWD. פעולה זו מניחה שלתוקף יש הרשאה לעשות זאת.

• Windows מחפש בספריות בסדר החיפוש של DLL ומוצא את ה-DLL בCWD של היישום.

בתרחיש זה, קובץ ה-DLL בעל המבנה המיוחד פועל בתוך היישום ומקבל את ההרשאות של המשתמש הנוכחי.

המלצה

כדי למנוע התקפה זו, היישומים יכולים להסיר את מדריך העבודה הנוכחי (CWD) מנתיב החיפוש של DLL על-ידי התקשרות ל-API של SetDllDirectory באמצעות מחרוזת ריקה (""). אם יישום תלוי בטעינת קובץ DLL ממדריך הכתובות הנוכחי, השג את מדריך העבודה הנוכחי והשתמש באפשרות זו כדי להעביר את הנתיב המלא של LoadLibrary.



אנו גם מודעים לכך שמפתחים מסוימים משתמשים ב-LoadLibrary כדי לאמת אם קיים DLL ספציפי כדי לקבוע איזו גירסה של Windows מופעלת על-ידי המשתמש. עליך להיות מודע לכך שהדבר עלול לגרום ליישום להיות פגיע. אם הספריה המושפעת אכן אינה קיימת במהדורת Windows שהיישום מופעל בה, תוקף יכול להציג ספריה עם אותו שם ב-CWD. מומלץ מאוד להשתמש בטכניקה זו. במקום זאת, השתמש בטכניקות המומלצות המתוארות במאמר MSDN, "מקבל את גירסת המערכת"

. אפליקציה הטוענת תוספים של ספקים חיצוניים, ושאינה יכולה להכריח את התוספים להשתמש בנתיב מוסמך עבור שיחות LoadLibrary אמורות להתקשר SetDllDirectory ("") כדי להסיר את CWD ולאחר מכן להתקשר SetDllDirectory ("התקנת מיקום התוסף") כדי להוסיף את מדריך התקנת התוסף לנתיב החיפוש של DLL.

התקפות מבוססות SearchPath

התקפה דומה קיימת כאשר יישום משתמש ב-API של SearchPath כדי לאתר קובץ DLL ולטעון באופן דינאמי את הנתיב המוחזר על-ידי SearchPath. להלן סדר החיפוש המוגדר כברירת מחדל עבור ה-API של SearchPath:

• הספריה שממנה נטענה היישום

• מדריך העבודה הנוכחי (CWD)

• מדריך המערכת

• מדריך המערכת של 16 סיביות

• מדריך הכתובות של Windows

• הספריות המופיעות במשתנה סביבת הנתיב

אין אנו ממליצים על תבנית זו מכיוון שהיא אינה מאובטחת. איננו ממליצים על הפונקציה SearchPath כשיטה לאיתור קובץ. dll אם השימוש המיועד של הפלט נמצא בשיחה עם הפונקציה LoadLibrary. אפשרות זו עלולה לגרום לאיתור הקובץ הלא נכון של. dll מכיוון שסדר החיפוש של הפונקציה SearchPath שונה מסדר החיפוש שנמצא בשימוש על-ידי הפונקציה LoadLibrary. אם עליך לאתר ולטעון קובץ. dll, השתמש בפונקציה LoadLibrary.

ShellExecute ו-CreateProcess

וריאציות של בעיות אלה יכולות להתקיים גם כאשר מפתחים קוראים לפונקציות דומות כגון ShellExecuteו- CreateProcessכדי לטעון קבצי הפעלה חיצוניים. מומלץ להזהיר מפתחים כאשר הם מעמיסים בינאריים ומציינים את הנתיב המלא. פעולה זו אמורה להוות פחות מורכבות בעת טעינת בינארי במקום ספריה.

הדרכה בזיהוי עומסים של ספריות לא מאובטחות

בקוד המקור, להלן דוגמאות לטעינות ספריה לא מאובטחת:

• בדוגמה הבאה, היישום מחפש את "schannel.dll" באמצעות נתיב החיפוש המאובטח ביותר. אם תוקף יכול למקם schannel.dll ב-CWD, הוא ייטען עוד לפני שהיישום יחפש בספריות Windows עבור הספריה המתאימה.

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• בדוגמה הבאה, היישום מנסה לטעון את הספריה מהמיקומים השונים של היישומים ומערכות ההפעלה המתוארים בתחילת מסמך זה עבור השיחה LoadLibrary (). אם יש סיכון לכך שהקובץ אינו קיים, היישום עשוי לנסות לטעון את הקובץ ממדריך העבודה הנוכחי. תרחיש זה מעט פחות מסוכן מהדוגמה הקודמת. עם זאת, הוא עדיין חושף את משתמש היישום לסיכון אם הסביבה אינה ניתנת לחיזוי לחלוטין.

  HMODULE handle = LoadLibrary("schannel.dll");

להלן דוגמאות לטעינה טובה ומאובטחת יותר של ספריה:

• בדוגמה הבאה, הספריה נטענת ישירות באמצעות נתיב מלא. אין כל סיכון לתוקף שמציג קוד זדוני, אלא אם הוא כבר כולל הרשאות כתיבה למדריך היעד של היישום.
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  הערה לקבלת מידע אודות אופן קביעת מדריך המערכת, עיין במשאבים הבאים:
  
  GetSystemDirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• בדוגמה הבאה, מדריך העבודה הנוכחי מוסר מנתיב החיפוש לפני שיחה LoadLibrary. פעולה זו מקטינה את הסיכון באופן משמעותי, כאשר התוקף צריך לשלוט במדריך היישומים, במדריך הכתובות של Windows או בספריות שצוינו בנתיב המשתמש כדי להשתמש בהתקפה מראש של DLL.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• בכל המערכות שהותקנו בהן עדכון אבטחה 963027 (המתוארות ב -MS09-014), הקוד הבא מעביר לצמיתות את CWD לנקודה האחרונה בסדר החיפוש. כל שיחה מאוחרת יותר לפונקציה SetSearchPathMode מתוך תהליך זה מנסה לשנות את מצב החיפוש תיכשל.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• בדוגמה הבאה, מדריך העבודה הנוכחי מוסר מנתיב החיפוש לפני שיחה LoadLibrary. פעולה זו מקטינה את הסיכון באופן משמעותי, כאשר התוקף צריך לשלוט במדריך היישומים, במדריך הכתובות של windows או בספריות שצוינו בנתיב המשתמש כדי להשתמש בהתקפה מראש של DLL.

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");