DLL'nin önceden yüklenmesi saldırılarını önlemek için kitaplıkların güvenli yüklenmesi

LoadLibrary tabanlı saldırılar

Bir uygulama tam yol belirtmeden bir DLL'yi dinamik olarak yüklerken, Windows DLL Arama Sırası olarak bilinen iyi tanımlanmış bir dizin kümesi üzerinde doğrusal olarak arama yapmak yoluyla bu DLL'yi bulmaya çalışır. Windows DLL'yi DLL Arama Sırası içinde bulamazsa, o DLL'yi yükler. Bununla birlikte, Windows DLL'yi DLL Arama Sırası'nın hiçbir dizininde bulamazsa, DLL yükleme işlemi başarısız olur. Aşağıdakiler, DLL'leri dinamik olarak yüklemek için kullanılan LoadLibraryve LoadLibraryExişlevlerinin DLL Arama Sırasıdır:

1. Uygulamanın yüklenemiyor olduğu dizin

2. Sistem dizini

3. 16 bit sistem dizini

4. Windows dizini

5. Geçerli çalışma dizini (CWD)

6. PATH ortam değişkensinde listelenen dizinler

Aşağıdaki senaryoyu düşünün:

• Bir uygulama, uygulamanın CWD'sinde bulmayı beklediğiniz tam nitelikli yolu belirtmeden bir DLL yükler.

• Uygulama, DLL'i bulamadı mı, bu durumu işlemek için tamamen hazırlanmıştır.

• Saldırgan uygulama hakkında bu bilgiyi bilir ve CWD'yi kontrol eder.

• Saldırgan, CWD'de dll'nin kendi özel olarak hazırlanmış sürümünü kopyalar. Bu, saldırgana bunu yapma izninin olduğunu varsayıyor.

• Windows, DLL Arama Sırası'nın dizinlerinde arama yapmakta ve dll'yi uygulamanın CWD'sinde bulur.

Bu senaryoda, özel olarak hazırlanmış DLL uygulama içinde çalışır ve geçerli kullanıcının ayrıcalıklarını kazanır.

Bu saldırıyı önlemek için, uygulamalar boş bir dize ("") kullanarak SetDllDirectory API'sini çağırarak geçerli çalışma dizinini

(CWD) DLL arama yolundan kaldırabilir. Bir uygulama geçerli dizinden bir DLL yüklemeye bağlı ise, lütfen geçerli çalışma dizinini alın ve tam bir LoadLibraryyoluna geçmek için bunu kullanın.



Bazı geliştiricilerin, kullanıcı tarafından hangi Windows sürümünün çalıştırılır olduğunu belirlemek üzere belirli bir DLL'nin var olup olmadığını doğrulamak için LoadLibrary'yi kullanıyor olduğunu da biliyoruz. Bunun, uygulamayı korumasız halel haleyy88e neden olacağını biliyor olmak gerekir. Etkilenen kitaplık, uygulamanın yürütül olduğu Windows sürümü üzerinde gerçekten yoksa, bir saldırgan CWD'ye aynı adı alan bir kitaplık kullanabilir. Bu tekniği kullanmamanizi kesinlikle öneririz. Bunun yerine, MSDN'de "Sistem Sürümünü Alma" makalesinde açıklanan önerilen teknikleri kullanın.

Üçüncü taraf eklentileri yüklayan ve eklentiyi LoadLibrary çağrıları için uygun bir yol kullanmaya zorlayan bir uygulama, CWD'yi kaldırmak için SetDllDirectory("") çağrısında bulunmalıdır ve eklenti yükleme dizinini DLL arama yoluna eklemek için SetDllDirectory("eklenti yükleme konumu") aranmalıdır.

SearchPath tabanlı saldırılar

Bir uygulama bir DLL'yi bulmak ve SearchPath tarafından döndürülen yolu dinamik olarak yüklemek için SearchPath API'sini kullandığında da benzer bir saldırı vardır. Aşağıdakiler, SearchPath API'si için varsayılan arama sırasıdır:

• Uygulamanın yüklenemiyor olduğu dizin

• Geçerli çalışma dizini (CWD)

• Sistem dizini

• 16 bit sistem dizini

• Windows dizini

• PATH ortam değişkensinde listelenen dizinler

Bu düzen güvenli değildir, çünkü bu düzeni önerilmez. Çıkışın hedeflenen kullanımı LoadLibrary işlevine yapılan bir aramada ise, SearchPath işlevinin .dll dosyasını bulma yöntemi olarak kullanılması önerilmez. Bunun sonucunda, SearchPath işlevinin arama sırası LoadLibrary işlevi tarafından kullanılan arama düzeninden farklı olduğundan yanlış .dll dosyası bulunamıyor. Bir .dll dosyasını bulup yüklemeniz gerekirse, LoadLibrary işlevini kullanın.

ShellExecute ve CreateProcess

Geliştiriciler dış yürütülebilir dosyaları yüklemek için ShellExecuteve CreateProcessgibi benzer işlevleri çağıran bu sorunların çeşitlemeleri de olabilir. Geliştiricilerin ikili dosyalar yüklerken dikkatli olmaları ve tam yol belirtmelerini öneririz. Bu, kitaplık yerine ikili bir değer yükleyrken daha az karmaşıklık getirir.

Güvenli olmayan kitaplık yüklemelerini belirleme kılavuzu

Kaynak kodda, aşağıdakiler güvenli olmayan kitaplığın yükleme örnekleridir:

• Aşağıdaki kod örneğinde, uygulama en az güvenli schannel.dll yolu kullanarak "schannel.dll" için arama yaptı. Bir saldırgan CWD'schannel.dll yer alıyorsa, uygulama uygun kitaplık için Windows dizinlerinde arama yapana kadar yüklemesi gerekir.

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• Aşağıdaki kod örneğinde, uygulama kitaplığı LoadLibrary() çağrısı için bu belgenin başında açıklanan çeşitli uygulama ve işletim sistemi konumlarından yüklemeye çalışır. Dosyanın var olmadığının bir riski varsa, uygulama dosyayı geçerli çalışma dizininden yüklemeye deneyebilir. Bu senaryo önceki örnektekinden biraz daha az tehlikelidir. Bununla birlikte, ortam tamamen öngörülebilir durumda değilken de uygulama kullanıcılarını risk altında sunar.

  HMODULE handle = LoadLibrary("schannel.dll");

Aşağıda daha iyi ve daha güvenli kitaplık yüklemelerinin örnekleri verilmiştir:

• Aşağıdaki kod örneğinde, kitaplık tam nitelikli bir yol kullanılarak doğrudan yüklenir. Zaten uygulamanın hedef dizininde yazma izinleri yoksa, saldırgana kötü amaçlı kod uygulama riski yoktur.
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  Not Sistem dizinini belirleme hakkında bilgi için aşağıdaki kaynaklara bakın:
  
  GetSystemDirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• Aşağıdaki kod örneğinde, LoadLibrary çağrılmadan önce geçerli çalışma dizini arama yolundan kaldırılır. Bu, riski önemli ölçüde azaltır çünkü saldırgan bir DLL önceden yükleme saldırısını kullanmak için uygulama dizinini, Windows dizinini veya kullanıcının yolunda belirtilen dizinleri denetlemesi gerekir.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• Güvenlik güncelleştirmesi 963027'yi yüklemiş olan tüm sistemlerde (MS09-014'teaçıklanmıştır), aşağıdaki kod CWD'yi arama düzeninde son noktaya kalıcı olarak taşımaktadır. Daha sonra bu işlem içinden AramaPathMode'a yapılan ve arama modunu değiştirmeye çalışan SetSearchPathMode işlevine yapılan tüm aramalar başarısız olur.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• Aşağıdaki kod örneğinde, LoadLibrary çağrılmadan önce geçerli çalışma dizini arama yolundan kaldırılır. Bu, riski önemli ölçüde azaltır çünkü saldırgan bir DLL önceden yükleme saldırısını kullanmak için uygulama dizinini, windows dizinini veya kullanıcının yolunda belirtilen dizinleri denetlemesi gerekir.

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");