Pemuatan Pustaka yang aman untuk mencegah serangan preloading DLL

Serangan berbasis LoadLibrary

Saat aplikasi secara dinamis memuat DLL tanpa menentukan jalur yang memenuhi syarat, Windows mencoba menemukan DLL ini dengan linawal pencarian melalui Kumpulan direktori yang ditentukan, yang dikenal sebagai urutan pencarian DLL. Jika Windows menempatkan DLL dalam urutan pencarian DLL, maka akan memuat DLL tersebut. Namun, jika Windows tidak menemukan DLL di salah satu direktori dalam urutan pencarian DLL, maka akan mengembalikan kegagalan operasi beban DLL. Berikut ini adalah perintah pencarian DLL untuk fungsi Loadlibrarydan Loadlibraryex, yang digunakan untuk memuat secara dinamis dll:

1. Direktori dari mana aplikasi dimuat

2. Direktori sistem

3. Direktori sistem 16-bit

4. Direktori Windows

5. Direktori kerja saat ini (CWD)

6. Direktori yang tercantum dalam variabel lingkungan jalur

Pertimbangkan skenario berikut ini:

• Aplikasi memuat DLL tanpa menentukan jalur berkualifikasi lengkap yang diharapkan untuk ditemukan dalam aplikasi CWD.

• Aplikasi ini sudah siap untuk menangani kasus saat tidak menemukan DLL.

• Penyerang mengetahui informasi ini tentang aplikasi dan mengontrol CWD.

• Penyerang menyalin versi DLL yang dibuat khusus mereka sendiri di CWD. Ini mengasumsikan bahwa penyerang memiliki izin untuk melakukan hal ini.

• Pencarian Windows melalui direktori dalam urutan pencarian DLL dan menemukan DLL dalam aplikasi CWD.

Dalam skenario ini, DLL yang dibuat khusus berjalan dalam aplikasi dan mendapatkan hak istimewa pengguna saat ini.

Rekomendasi

untuk mencegah serangan ini, aplikasi bisa menghapus direktori kerja saat ini (cwd) dari jalur pencarian dll dengan memanggil api SetDllDirectory dengan menggunakan string kosong (""). Jika aplikasi bergantung pada memuat DLL dari direktori saat ini, silakan Dapatkan direktori kerja saat ini dan gunakan untuk melewati jalur Loadlibraryyang memenuhi syarat.



Kami juga menyadari bahwa beberapa pengembang menggunakan LoadLibrary untuk memvalidasi Apakah DLL tertentu ada untuk menentukan versi Windows mana yang dijalankan oleh pengguna. Anda harus menyadari bahwa ini bisa membuat aplikasi rentan. Jika Pustaka yang terpengaruh memang tidak ada di rilis Windows yang dieksekusi aplikasi, penyerang dapat memperkenalkan pustaka dengan nama yang sama ke CWD. Kami sangat menyarankan agar tidak menggunakan teknik ini. Sebagai gantinya, gunakan teknik yang disarankan yang diuraikan dalam artikel MSDN, "mendapatkan versi sistem."

Aplikasi yang memuat plugin pihak ketiga dan yang tidak dapat memaksa plugin untuk menggunakan jalur yang memenuhi syarat untuk panggilan LoadLibrary harus memanggil SetDllDirectory ("") untuk menghapus CWD lalu memanggil SetDllDirectory ("lokasi instalasi plugin") untuk menambahkan direktori instalasi plugin ke jalur pencarian DLL.

Serangan berbasis SearchPath

Serangan yang sama ada ketika aplikasi menggunakan API SearchPath untuk menemukan DLL dan secara dinamis memuat jalur yang dikembalikan oleh searchpath. Berikut ini adalah urutan pencarian default untuk API SearchPath:

• Direktori dari mana aplikasi dimuat

• Direktori kerja saat ini (CWD)

• Direktori sistem

• Direktori sistem 16-bit

• Direktori Windows

• Direktori yang tercantum dalam variabel lingkungan jalur

Kami tidak merekomendasikan pola ini karena tidak aman. Kami tidak merekomendasikan fungsi SearchPath sebagai metode menemukan file. dll jika tujuan penggunaan output adalah panggilan ke fungsi LoadLibrary. Ini bisa mengakibatkan menemukan file. dll yang salah karena urutan pencarian fungsi SearchPath berbeda dari urutan pencarian yang digunakan oleh fungsi LoadLibrary. Jika Anda harus mencari dan memuat file. dll, gunakan fungsi LoadLibrary.

ShellExecute dan CreateProcess

Variasi masalah ini juga bisa ada ketika pengembang memanggil fungsi yang sama seperti Shellexecutedan CreateProcessuntuk memuat executable eksternal. Kami merekomendasikan agar pengembang berhati-hati saat mereka sedang memuat biner dan menentukan jalur yang memenuhi syarat. Ini akan menimbulkan sedikit kerumitan saat Anda memuat biner dan bukan pustaka.

Panduan tentang mengidentifikasi pemuatan pustaka tidak aman

Dalam kode sumber, berikut ini adalah contoh memuat Pustaka yang tidak aman:

• Dalam contoh kode berikut, aplikasi mencari "schannel.dll" dengan menggunakan jalur pencarian yang paling tidak aman. Jika penyerang bisa menempatkan schannel.dll di CWD, itu akan dimuat bahkan sebelum aplikasi mencari direktori Windows untuk Pustaka yang sesuai.

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• Dalam contoh kode berikut, aplikasi mencoba memuat pustaka dari berbagai lokasi sistem aplikasi dan operasi yang dijelaskan di awal dokumen ini untuk panggilan LoadLibrary (). Jika ada risiko bahwa file tidak ada, aplikasi mungkin mencoba memuat file dari direktori kerja saat ini. Skenario ini sedikit kurang berbahaya dibandingkan contoh sebelumnya. Namun, masih memperlihatkan pengguna aplikasi berisiko jika lingkungan tidak sepenuhnya dapat diprediksi.

  HMODULE handle = LoadLibrary("schannel.dll");

Berikut ini adalah contoh yang lebih baik, lebih aman memuat pustaka:

• Dalam contoh kode berikut, pustaka dimuat secara langsung dengan menggunakan jalur yang memenuhi syarat. Tidak ada risiko penyerang memperkenalkan kode berbahaya kecuali ia sudah memiliki izin menulis ke direktori target aplikasi.
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  Catatan untuk informasi tentang cara menentukan direktori sistem, lihat sumber daya berikut ini:
  
  getsystemdirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• Dalam contoh kode berikut, direktori kerja saat ini dihapus dari jalur pencarian sebelum memanggil LoadLibrary. Hal ini mengurangi risiko secara signifikan, karena penyerang harus mengontrol direktori aplikasi, direktori Windows, atau direktori apa pun yang ditentukan di jalur pengguna untuk menggunakan serangan preloading DLL.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• Pada semua sistem yang telah menginstal pembaruan keamanan 963027 (dijelaskan dalam MS09-014), kode berikut akan memindahkan cwd secara permanen ke tempat terakhir dalam urutan pencarian. Setiap panggilan ke fungsi SetSearchPathMode dari dalam proses yang mencoba untuk mengubah mode pencarian akan gagal.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• Dalam contoh kode berikut, direktori kerja saat ini dihapus dari jalur pencarian sebelum memanggil LoadLibrary. Hal ini mengurangi risiko secara signifikan, karena penyerang harus mengontrol direktori aplikasi, direktori Windows, atau direktori apa pun yang ditentukan di jalur pengguna untuk menggunakan serangan preloading DLL.

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");