Sigurno učitavanje biblioteka radi sprječavanja programa DLL pretučitavanja

Napadi na temelju utovare u biblioteci

Kada aplikacija dinamički učitava DLL bez navođenja potpuno kvalificiranog puta, Windows pokušava pronaći taj DLL tako da linearno pretražuje pomoću dobro definiranih skupa direktorija, poznatog kao DLL redoslijed pretraživanja. Ako Windows locira DLL unutar redoslijeda pretraživanja DLL-a, ona će učitati taj DLL. No ako Windows ne pronađe DLL u bilo kojem direktorijima u redoslijedu pretraživanja DLL-a, ona će vratiti neuspjeh u operaciji učitavanja DLL-a. U nastavku se prikazuje naredba DLL za pretraživanje za funkcije LoadLibraryi Loadlibraryex, koje se koriste za dinamičko učitavanje DLL-ova:

1. Direktorij iz kojeg je aplikacija učitana

2. Direktorij sustava

3. 16-bitni sistemski direktorij

4. Direktorij sustava Windows

5. Sadašnji radni direktorij (CWD)

6. Direktorije koji su navedeni u varijabli putanje okruženja

Razmotrite sljedeći scenarij:

• Aplikacija učitava DLL, a da ne određuje potpuno kvalificirani put koji očekuje da će se pronaći u CWD aplikaciji.

• Aplikacija je u potpunosti spremna za rukovanje slučajem kada ne pronađe DLL.

• Napadač poznaje te informacije o aplikaciji i kontrolira CWD.

• Napadač kopira vlastitu posebno oblikovnu verziju DLL-a u CWD-u. To pretpostavlja da napadač ima dozvolu za to.

• Windows pretražuje direktorijima u redoslijedu pretraživanja DLL-a i pronalazi DLL u CWD aplikaciji.

U ovom scenariju posebno crafted DLL izvodi se unutar aplikacije i dobija privilegije sadašnjeg korisnika.

Preporuka

za sprječavanje tog napada, aplikacije mogu ukloniti postojeći radni direktorij (CWD) iz staze za pretraživanje DLL-a NAZIVANJEM API-ja programa Setd Directory pomoću praznog niza (""). Ako aplikacija ovisi o učitavanju DLL-a iz sadašnjeg direktorija, nabavite postojeći radni direktorij i koristite ga da biste prošli kroz potpuno kvalificirani put sustava LoadLibrary.



Svjesni smo i da neki programeri pomoću servisa LoadLibrary mogu provjeriti je li određeni DLL prisutan da bi se utvrdilo koju verziju sustava Windows pokreće korisnik. Imajte na umu da bi aplikacija mogla biti ranjiva. Ako stvarna biblioteka ne postoji u izdanju sustava Windows na kojoj se aplikacija izvršava, napadač može uvesti biblioteku s tim nazivom u CWD. Preporučujemo da ne koristite ovu tehniku. Umjesto toga koristite preporučene tehnike opisane u aplikaciji MSDN, "dobivanje sistemske verzije"

. Aplikacija koja učitava dodatke trećih strana i koja ne može prisiliti dodatke da koriste kvalificirani put za pozive za utovar u biblioteku, trebali bi nazvati Setdudirectory ("") da biste uklonili CWD, a zatim nazvati Setdedirectory ("dodatak za instalaciju dodatka") da biste dodali direktorij za instaliranje dodatka na put DLL pretraživanja.

Napadi utemeljeni na programu SearchPath

Sličan napad postoji kada aplikacija koristi API SearchPath za pronalaženje DLL-a i dinamički učitavanje puta koji vraća searchpath. Sljedeće je zadana narudžba za pretraživanje u API-ju SearchPath:

• Direktorij iz kojeg je aplikacija učitana

• Sadašnji radni direktorij (CWD)

• Direktorij sustava

• 16-bitni sistemski direktorij

• Direktorij sustava Windows

• Direktorije koji su navedeni u varijabli putanje okruženja

Ovaj uzorak ne preporučujemo jer nije siguran. Ne preporučujemo funkciju SearchPath kao način pronalaženja. dll datoteke ako je namjenska upotreba izlaza u pozivu na funkciju LoadLibrary. To može dovesti do pronalaženja pogrešne. dll datoteke jer se redoslijed pretraživanja funkcije SearchPath razlikuje od redoslijeda pretraživanja koju koristi funkcija LoadLibrary. Ako morate pronaći i učitati. dll datoteku, koristite funkciju LoadLibrary.

Šellexocute i CreateProcess

Varijacije tih problema mogu postojati i kada programeri pozivaju slične funkcije, kao što su Shellexacutei CreateProcessza učitavanje vanjskih izvršnih datoteka. Preporučujemo da programeri budu pažljivi kada učitavaju binarne datoteke i određuju potpuno kvalificirani put. To bi trebalo predstavljati manju složenost kada koristite binarni umjesto biblioteke.

Upute za identifikaciju opterećenja biblioteke koje nisu sigurne

U izvornom kodu slijede primjeri nesigurne opterećenja biblioteke:

• U sljedećem primjeru koda aplikacija traži "schannel.dll" pomoću najmanjeg sigurnog puta pretraživanja. Ako napadač može postaviti schannel.dll u CWD, on će se učitati čak i prije nego što aplikacija pretražuje direktorije sustava Windows za odgovarajuću biblioteku.

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• U sljedećem primjeru koda aplikacija pokušava učitati biblioteku s različitih mjesta aplikacija i operacijskog sustava opisanih na početku ovog dokumenta za pozive iz biblioteke za utovar (). Ako postoji neki rizik da datoteka nije prisutna, aplikacija može pokušati učitati datoteku iz sadašnjeg radnog imenika. Ovaj je scenarij neznatno manje opasan od prethodnog primjera. No još uvijek izlaže korisnika aplikacije riziku ako okruženje nije potpuno predvidljivo.

  HMODULE handle = LoadLibrary("schannel.dll");

Slijede primjeri boljih i sigurnija opterećenja biblioteke:

• U sljedećem primjeru koda biblioteka se učitava izravno pomoću potpuno kvalificiranog puta. Ne postoji opasnost da napadač uvodi zlonamjerni kod, osim ako već ima dozvole za zapisivanje u ciljnom direktoriju aplikacije.
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  Obavijest o tome kako odrediti sistemski direktorij potražite u sljedećim resursima:
  
  getsystemdirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• U sljedećem primjeru koda sadašnji radni direktorij uklanja se s puta pretraživanja prije nego što nazoveš utovar u biblioteku. Time se znatno smanjuje rizik, budući da bi napadač morao kontrolirati direktorij aplikacija, direktorij sustava Windows ili bilo koji direktorije koji su navedeni na putu korisnika radi korištenja DLL-a koji je pretutovario.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• Na svim sustavima s instaliranim sigurnosnim ažuriranjem 963027 (opisano u programu MS09-014) sljedeći kod trajno će premjestiti CWD na posljednje mjesto u redoslijedu pretraživanja. Bilo koji kasniji pozivi u funkciju SetSearchPathMode unutar tog postupka koji pokušava promijeniti način rada za pretraživanje neće uspjeti.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• U sljedećem primjeru koda sadašnji radni direktorij uklanja se s puta pretraživanja prije nego što nazoveš utovar u biblioteku. Time se znatno smanjuje rizik, budući da bi napadač morao kontrolirati direktorij aplikacija, direktorij sustava Windows ili bilo koji direktorije koji su navedeni na putu korisnika radi korištenja DLL-a koji je pretutovario.

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");