Tárak biztonságos betöltése a DLL-előbetöltési támadások megakadályozása érdekében

LoadLibrary-alapú támadások

Amikor egy alkalmazás dinamikusan betölt egy DLL-t anélkül, hogy teljesen minősített elérési utat adna meg, a Windows megpróbálja megtalálni ezt a DLL-t úgy, hogy lineárisan keres egy jól definiált könyvtárakat, más néven DLL-keresési sorrendet. Ha a Windows a DLL keresési sorrendben találja meg a DLL-t, betölti a DLL-t. Ha azonban a Windows egyik könyvtárban sem találja meg a DLL-t a DLL keresési sorrendjében, hibát ad vissza a DLL betöltési műveletében. Az alábbi táblázat a Dll keresési sorrendje a LoadLibraryés a LoadLibraryExfüggvényhez, amelyek a DLL-ek dinamikus betöltésére használhatók:

1. Az a könyvtár, amelyből az alkalmazás betöltődött

2. A rendszerkönyvtár

3. A 16 bites rendszerkönyvtár

4. A Windows-címtár

5. Az aktuális munkakönyvtár (CWD)

6. A PATH környezeti változóban felsorolt könyvtárak

Vegyük a következő esetet:

• Az alkalmazások a várt teljes elérési út megadása nélkül töltik be a DLL-eket az alkalmazás CWD-ében.

• Az alkalmazás készen áll arra, hogy kezelje az esetet, ha nem találja a DLL-t.

• A támadó ismeri ezt az információt az alkalmazásról, és ellenőrzi a CWD-t.

• A támadó másolatot készített a DLL-nek a CWD-ben a saját különlegesen kialakított verziójáról. Ez abból indul ki, hogy a támadónak van erre engedélye.

• A Windows a DLL keresési sorrendben keres a könyvtárak között, és megkeresi a DLL-t az alkalmazás CWD-ében.

Ebben az esetben a különlegesen kialakított DLL az alkalmazáson belül fut, és az aktuális felhasználó jogosultságait használja.

Javaslat A támadás megelőzéséhez az alkalmazások eltávolítják az aktuális munkakönyvtárat (CWD) a DLL keresési útvonalából úgy, hogy a
SetDllDirectory API-t egy üres karakterlánc ("") használatával hívja
meg. Ha egy alkalmazás egy DLL aktuális címtárból való betöltésétől függ, szerezze be az aktuális munkakönyvtárat, és használja azt a LoadLibrary teljes elérési útján való áthaladáshoz.



Tisztában vagyunk azzal is, hogy egyes fejlesztők a LoadLibrary segítségével ellenőrzik, hogy van-e egy adott DLL-jük annak megállapítására, hogy a felhasználó a Windows melyik verzióját futtatja. Ne feledje, hogy ez sebezhetővé teszi az alkalmazást. Ha az érintett tár valóban nem létezik abban a Windows-kiadásban, amelynél az alkalmazást végrehajtják, a támadó egy hasonló nevű tárat is bevezethet a CWD szolgáltatásban. Kifejezetten ajánljuk, hogy ne használja ezt a módszert. Ehelyett használja az MSDN-cikkben ismertetett "A rendszer verziószámának leszerzése" ajánlott technikákat.

Egy olyan alkalmazás, amely külső gyártótól származó bővítményeket tölt be, és nem kényszeríti a beépülő modulokat arra, hogy minősített elérési utat használjanak a LoadLibrary-hívásokhoz, a SetDllDirectory("") nevet hívja a CWD eltávolításához, majd a SetDllDirectory("plugin install location") függvényt a bővítmény telepítési könyvtárának a DLL-keresési útvonalhoz való hozzáadásához.

SearchPath-alapú támadások

Hasonló támadás akkor áll fenn, ha egy alkalmazás a SearchPath API segítségével megkeres egy DLL-t, és dinamikusan betölti a SearchPath által visszaadott elérési utat. A SearchPath API alapértelmezett keresési sorrendje a következő:

• Az a könyvtár, amelyből az alkalmazás betöltődött

• Az aktuális munkakönyvtár (CWD)

• A rendszerkönyvtár

• A 16 bites rendszerkönyvtár

• A Windows-címtár

• A PATH környezeti változóban felsorolt könyvtárak

Ezt a mintát nem javasoljuk, mert nem biztonságos. Nem javasoljuk a SearchPath függvényt .dll-fájl megkeresését, ha a kimenet tervezett használata a LoadLibrary függvény hívásában van. Ennek következtében nem a megfelelő .dll fájlt találhatja meg, mert a SearchPath függvény keresési sorrendje eltér a LoadLibrary függvény által használt keresési sorrendtől. Ha meg kell találnia és be kell töltenie egy .dll-fájlt, használja a LoadLibrary függvényt.

ShellExecute és CreateProcess

E problémák változatai akkor is létezhetnek, ha a fejlesztők hasonló függvényeket (például ShellExecutevagy CreateProcess)hívnak külső végrehajtható fájlok betöltéséhez. Azt javasoljuk, hogy a fejlesztők óvatosan töltsék be a bináris fájlokat, és adja meg a teljes elérési utat. Ez kisebb összetettséget jelenthet, ha egy bináris adatot tölt be tár helyett.

Útmutató a nem biztonságos tárbeterhelések azonosításához

A forráskódban az alábbi példák szemléltetik a nem biztonságos tárak betöltését:

• Az alábbi példakódban az alkalmazás a legkevésbé biztonságos keresési útvonalat schannel.dll rá a "schannel.dll" kifejezésre. Ha egy támadható schannel.dll a CWD-ben, akkor a rendszer akkor is betöltődik, ha az alkalmazás rákeres a windowsos könyvtárakban a megfelelő tárra.

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• A következő kód példában az alkalmazás megkísérli betölteni a tárat a jelen dokumentum elején a LoadLibrary() hívásban ismertetett különféle alkalmazás- és operációsrendszer-helyekről. Ha fennáll a veszélye annak, hogy a fájl nem található meg, az alkalmazás megpróbálhatja betölteni a fájlt az aktuális munkakönyvtárból. Ez a helyzet valamivel kevésbé veszélyes, mint az előző példában. Az alkalmazás felhasználóját azonban továbbra is kockázatnak teszi ki, ha a környezet nem teljesen kiszámítható.

  HMODULE handle = LoadLibrary("schannel.dll");

Az alábbiakban példákat talál a tárak jobb és biztonságosabb betöltéseire:

• Az alábbi példakódban a tár betöltődik közvetlenül egy teljesen minősített elérési út használatával. A támadó csak akkor vezet be kártékony kódot, ha már rendelkezik írási engedélyekkel az alkalmazás célkönyvtárához.
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  Megjegyzés a rendszerkönyvtár meghatározásáról az alábbi forrásokban található:
  
  GetSystemDirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• Az alábbi példakódban a loadLibrary hívása előtt a rendszer eltávolítja az aktuális munkakönyvtárat a keresési útvonalról. Ez jelentősen csökkenti a kockázatot, mivel a támadónak vagy az alkalmazáskönyvtárat, a Windows-címtárat, illetve a felhasználó elérési útában megadott könyvtárakat kell szabályozni ahhoz, hogy DLL-t használva előbetöltési támadásokat használjon.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• Minden olyan rendszerben, amely telepítette a 963027-es biztonsági frissítést (az MS09-014-esverzióban leírtak szerint), a következő kód véglegesen áthelyezi a CWD-t a keresési sorrend utolsó útjára. Az adott folyamaton belülről a SetSearchPathMode függvényre való későbbi, a keresési módot módosítani próbáló hívások sikertelenek lesznek.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• Az alábbi példakódban a loadLibrary hívása előtt a rendszer eltávolítja az aktuális munkakönyvtárat a keresési útvonalról. Ez jelentősen csökkenti a kockázatot, mivel a támadónak vagy az alkalmazáskönyvtárat, a windowsos címtárat vagy a felhasználó elérési útában megadott könyvtárakat kell szabályozni ahhoz, hogy DLL-t használva előbetöltési támadásokat használjon.

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");