تأمين تحميل المكتبات لمنع هجمات التحميل المسبق ل DLL

الهجمات المستندة إلى LoadLibrary

عندما يقوم تطبيق بتحميل DLL ديناميكيا دون تحديد مسار مؤهل بالكامل، يحاول Windows تحديد موقع DLL هذا عن طريق البحث الخطي عبر مجموعة محددة جيدا من الدلائل، المعروفة باسم ترتيب البحث في DLL. إذا حدد Windows موقع DLL ضمن "أمر البحث في DLL"، سيتم تحميل DLL هذا. ومع ذلك، إذا لم يعثر Windows على DLL في أي من الدلائل في "ترتيب البحث في DLL"، فإنه سيرجع فشلا إلى عملية تحميل DLL. فيما يلي ترتيب البحث في DLL للدوالين LoadLibraryو LoadLibraryEx،المستخدمين لتحميل DLL بشكل ديناميكي:

1. الدليل الذي تم تحميل التطبيق منه

2. دليل النظام

3. دليل النظام 16 بت

4. دليل Windows

5. دليل العمل الحالي (CWD)

6. الدلائل المدرجة في متغير بيئة PATH

فكر في السيناريو التالي:

• يتم تحميل DLL من قبل تطبيق دون تحديد مسار مؤهل بالكامل يتوقع العثور عليه في CWD للتطبيق.

• يكون التطبيق مستعدا تماما لمعالجة الحالة عندما لا يعثر على DLL.

• يعرف المهاجم هذه المعلومات حول التطبيق ويتحكم في CWD.

• ينسخ المهاجم إصداره الخاص الذي تم إصداره خصيصا من DLL في DWD. هذا الأمر يفترض أن المهاجم لديه الإذن للقيام بذلك.

• يبحث Windows عبر الدلائل في "ترتيب البحث في DLL" ويعثر على DLL في CWD للتطبيق.

في هذا السيناريو، يتم تشغيل DLL الذي تم تطويره بشكل خاص داخل التطبيق ويكتسب امتيازات المستخدم الحالي.

من خلال التوصية بمنع هذا الهجوم، يمكن للتطبيقات إزالة دليل العمل الحالي (CWD) من مسار البحث في DLL عن طريق استدعاء

SetDllDirectory API باستخدام سلسلة فارغة (""). إذا كان أحد التطبيقات يعتمد على تحميل DLL من الدليل الحالي، فيرجى الحصول على دليل العمل الحالي واستخدامه لتمرير مسار مؤهل بالكامل من LoadLibrary.



نحن على علم أيضا بأن بعض المطورين يستخدمون LoadLibrary للتحقق من وجود DLL معين من أجل تحديد إصدار Windows الذي يقوم المستخدم بتشغيله. يجب أن تكون على علم بأن هذا قد يجعل التطبيق عرضة للانطباع. إذا كانت المكتبة المتأثرة غير موجودة بالفعل في إصدار Windows الذي يتم تنفيذ التطبيق عليه، يمكن للمهاجم تقديم مكتبة بهذا الاسم نفسه في CWD. نوصي بشدة بعدم استخدام هذه التقنية. بدلا من ذلك، استخدم التقنيات الموصى بها الموضحة في مقالة MSDN، "الحصول على إصدار النظام".

يجب أن يتصل التطبيق الذي يحمل مكونات إضافية خارجية ولا يمكنه إجبار المكونات الإضافية على استخدام مسار مؤهل لمكالمات LoadLibrary ب SetDllDirectory("") لإزالة CWD ثم استدعاء SetDllDirectory("موقع تثبيت المكون الإضافي") لإضافة دليل تثبيت المكون الإضافي إلى مسار البحث في DLL.

الهجمات المستندة إلى SearchPath

يوجد هجوم مماثل عندما يستخدم تطبيق 'API ل SearchPath' لتحديد موقع DLL وتحميل المسار الذي يتم إرجاعه بواسطة SearchPath بشكلديناميكي. فيما يلي ترتيب البحث الافتراضي ل API ل SearchPath:

• الدليل الذي تم تحميل التطبيق منه

• دليل العمل الحالي (CWD)

• دليل النظام

• دليل نظام 16 بت

• دليل Windows

• الدلائل المدرجة في متغير بيئة PATH

لا نوصي بهذا النمط لأنه غير آمن. لا نوصي باستخدام الدالة SearchPath كطريقة للبحث عن ملف .dll إذا كان الاستخدام المقصود للمخرج في استدعاء الدالة LoadLibrary. قد يؤدي ذلك إلى تحديد موقع ملف .dll غير صحيح لأن ترتيب البحث في الدالة SearchPath يختلف عن ترتيب البحث المستخدم بواسطة الدالة LoadLibrary. إذا كان عليك تحديد موقع ملف .dll وتحميله، فاستخدم الدالة LoadLibrary.

ShellExecute و CreateProcess

يمكن أن توجد تباينات لهذه المشاكل أيضا عندما يتصل المطورون بوظائف مماثلة مثل ShellExecuteو CreateProcessلتحميل القابلة للتنفيذ الخارجية. نوصي المطورين بتوخي الحذر عند تحميل الثنائيات وتحديد المسار المؤهل بالكامل. يجب أن يكون هذا أقل تعقيدا عند تحميل ثنائي بدلا من مكتبة.

إرشادات حول تحديد تحميل المكتبات غير الآمنة

في التعليمات البرمجية المصدر، فيما يلي أمثلة على تحميل المكتبات غير الآمنة:

• في مثال التعليمة البرمجية التالي، يبحث التطبيق عن "schannel.dll" باستخدام أقل مسار بحث آمن. إذا تمكن المهاجم schannel.dll في CWD، سيتم تحميله حتى قبل أن يبحث التطبيق في دليل Windows عن المكتبة المناسبة.

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• في مثال التعليمة البرمجية التالي، يحاول التطبيق تحميل المكتبة من مواقع أنظمة التشغيل والتطبيقات المختلفة الموضحة في بداية هذا المستند لمكة الطلب LoadLibrary(). في حالة وجود أي مخاطرة من عدم وجود الملف، قد يحاول التطبيق تحميل الملف من دليل العمل الحالي. هذا السيناريو أقل خطورة بقليل من المثال السابق. ومع ذلك، فإنه لا يزال يعرض مستخدم التطبيق للمخاطر إذا لم تكن البيئة قابلة للتنبؤ تماما.

  HMODULE handle = LoadLibrary("schannel.dll");

فيما يلي أمثلة على تحميل مكتبة أفضل وأكثر أمانا:

• في مثال التعليمة البرمجية التالي، يتم تحميل المكتبة مباشرة باستخدام مسار مؤهل بالكامل. لا يمكن للمتطفل إدخال تعليمات برمجية ضارة ما لم يكن لديه أذونات الكتابة في دليل هدف التطبيق.
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  ملاحظة للحصول على معلومات حول كيفية تحديد دليل النظام، راجع الموارد التالية:
  
  GetSystemDirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• في مثال التعليمات البرمجية التالية، تتم إزالة دليل العمل الحالي من مسار البحث قبل استدعاء LoadLibrary. هذا يقلل من المخاطر بشكل ملحوظ، حيث يجب على المهاجم التحكم إما في دليل التطبيق أو دليل Windows أو أي من الدلائل المحددة في مسار المستخدم من أجل استخدام هجوم التحميل المسبق ل DLL.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• على كل الأنظمة التي قمت بتثبيت تحديث الأمان 963027 (الموضح في MS09-014)،ستنقل التعليمات البرمجية التالية CWD بشكل دائم إلى النقطة الأخيرة في ترتيب البحث. ستفشل أي مكالمات لاحقة إلى الدالة SetSearchPathMode من داخل تلك العملية التي تحاول تغيير وضع البحث.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• في مثال التعليمات البرمجية التالية، تتم إزالة دليل العمل الحالي من مسار البحث قبل استدعاء LoadLibrary. هذا يقلل من المخاطر إلى حد كبير، حيث يجب على المهاجم التحكم في دليل التطبيق أو دليل windows أو أي من الدلائل المحددة في مسار المستخدم من أجل استخدام هجوم التحميل المسبق ل DLL.

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");