Apsaugoti bibliotekas, kad būtų išvengta DLL iš anksto įkelto atakų

LoadLibrary pagrįstos atakos

Kai taikomoji programa dinamiškai įkelia DLL nenurodant visiškai apibrėžto kelio, "Windows" bando rasti šį DLL, įdėdama iešką tiksliai apibrėžtame katalogų rinkinyje, vadinamame DLL ieškos tvarka. Jei "Windows" randa DLL dll ieškos užsakyme, ji įkels tą DLL. Tačiau jei "Windows" neranda nė vieno iš katalogų dll ieškos užsakyme, ji pateiks DLL įkėlimo operaciją. Toliau pateikiamas " LoadLibrary" ir " Loadlibraryex" funkcijų, kurios naudojamos dinamiškai įkelti DLLs:

1. Katalogas, iš kurio įkelta taikomoji programa

2. Sistemos katalogas

3. 16 bitų sistemos katalogas

4. "Windows" katalogas

5. Dabartinis darbinis katalogas (CWD)

6. Katalogų, įtrauktų į aplinkos kintamąjį PATH

Apsvarstykite šį scenarijų:

• Taikomoji programa įkelia DLL nenurodant visiškai kvalifikuoto kelio, kurį ji tikisi surasti programos ŠDD.

• Taikomoji programa visiškai pasiruošusi apdoroti atvejį, kai ji neranda DLL.

• Pažeidėjas žino šią informaciją apie taikomąją programą ir kontroliuoja CWD.

• Pažeidėjas kopijuoja savo specialiai sukurtą DLL. Tai reiškia, kad pažeidėjas turi teisę tai daryti.

• "Windows" ieško katalogų naudodami DLL ieškos tvarką ir randa programos "CWD" DLL.

Šiame scenarijuje specialiai paruošta DLL vykdoma taikomojoje programoje ir įgauna dabartinio vartotojo teises.

Rekomendacija

, kaip išvengti šio išpuolio, programos gali pašalinti dabartinį darbo katalogą (CWD) iš dll ieškos kelio paskambindami SetDllDirectory API naudodami tuščią eilutę (""). Jei programa priklauso nuo to, kaip įkelti DLL iš dabartinio katalogo, įsigykite dabartinį darbo katalogą ir naudokite, kad pereitumėte į visiškai apibrėžtą " LoadLibrary" kelią.



Taip pat žinome, kad kai kurie kūrėjai naudoja LoadLibrary, kad patikrintų, ar konkretus DLL yra pateikti, kad nustatytų, kurią "Windows" versiją valdo vartotojas. Turėtumėte žinoti, kad tai gali padaryti, kad programa būtų pažeidžiama. Jei paveiktoje bibliotekoje tikrai nėra "Windows" leidime, kuriame vykdoma taikomoji programa, pažeidėjas gali įvesti biblioteką tuo pačiu pavadinimu į "CWD". Mes primygtinai rekomenduojame naudoti šią techniką. Vietoj to, naudokite rekomenduojamus metodus, aprašytus MSDN straipsnyje "gauti sistemos versiją."

Taikomoji programa, kuri įkelia trečiosios šalies priedus ir kurios negali priversti priedų naudoti apibrėžtą kelią savo LoadLibrary ragina, turėtų paskambinti SetDllDirectory (""), kad pašalintumėte CWD, tada skambinkite SetDllDirectory ("plugin install location"), kad įtrauktumėte papildinio diegimo katalogą į DLL ieškos kelią.

SearchPath pagrįstos atakos

Panašus išpuolis yra, kai taikomoji programa naudoja "SearchPath" API, kad rastų DLL ir dinamiškai įkels kelią, kurį grąžina searchpath. Toliau pateiktas numatytasis ieškos užsakymas, skirtas SearchPath API:

• Katalogas, iš kurio įkelta taikomoji programa

• Dabartinis darbinis katalogas (CWD)

• Sistemos katalogas

• 16 bitų sistemos katalogas

• "Windows" katalogas

• Katalogų, įtrauktų į aplinkos kintamąjį PATH

Nerekomenduojame šio modelio, nes jis nėra saugus. Nerekomenduojame funkcija SearchPath kaip rasti. dll failą, jei numatyta išvesties paskirtis yra pokalbio funkcija LoadLibrary. Tai gali lemti netinkamo. dll failo buvimo vietą, nes funkcijos SearchPath ieškos tvarka skiriasi nuo ieškos tvarkos, kurią naudoja funkcija LoadLibrary. Jei reikia rasti ir įkelti. dll failą, naudokite funkciją LoadLibrary.

ShellExecute ir CreateProcess

Šių problemų variantai taip pat gali būti, kai kūrėjai iškviečia panašias funkcijas, pvz., ShellExecuteir createprocess, kad įkeltumėte išorinius vykdomąjį. Rekomenduojame, kad kūrėjai būtų atsargūs, kai jie įkelia dvejetainius failus ir nurodo visiškai apibrėžtą kelią. Kai įkeliate dvejetainį vietoj bibliotekos, tai turėtų būti mažiau sudėtinga.

Nurodymai, kaip nustatyti nesaugias bibliotekos apkrovas

Šaltinio kode toliau pateikiami nesaugiųjų bibliotekos apkrovų pavyzdžiai:

• Šiame kodo pavyzdyje taikomoji programa ieško "schannel.dll" naudodami mažiausią saugią ieškos kelią. Jei pažeidėjas gali įdėti schannel.dll į "CWD", jis bus įkeliamas dar iki programos ieškos "Windows" katalogų atitinkamoje bibliotekoje.

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• Šiame kodo pavyzdyje taikomoji programa bando įkelti biblioteką iš įvairių taikomųjų programų ir operacinių sistemų vietų, aprašytų šio dokumento LoadLibrary () skambučiui pradžioje. Jei yra kokių nors pavojų, kad failas nekelia, taikomoji programa gali bandyti įkelti failą iš dabartinio darbinio katalogo. Šis scenarijus yra šiek tiek mažiau pavojingas nei ankstesnis pavyzdys. Tačiau ji vis dar atskleidžia programos vartotoją rizikuoti, jei aplinka nėra visiškai nuspėjama.

  HMODULE handle = LoadLibrary("schannel.dll");

Toliau pateikiami geresnių ir saugesnių bibliotekos apkrovų pavyzdžiai:

• Šiame kodo pavyzdyje biblioteka tiesiogiai įkeliama naudojant visiškai apibrėžtą kelią. Nėra jokio pavojaus pažeidėjui įvesti kenkėjišką kodą, nebent jis jau turi rašymo teises į taikomosios programos paskirties katalogą.
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  Pastaba informacijos, kaip nustatyti sistemos katalogą, ieškokite šiuose šaltiniuose:
  
  getsystemdirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• Šiame kodo pavyzdyje Dabartinis darbinis katalogas pašalinamas iš ieškos kelio prieš skambindami LoadLibrary. Tai labai sumažina riziką, nes pažeidėjas turėtų kontroliuoti taikomųjų programų aplanką, "Windows" katalogą arba bet kokius katalogus, nurodytus vartotojo kelyje, kad būtų galima naudoti DLL įkėlimą.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• Visose sistemose, kuriose įdiegtas saugos naujinimas 963027 (aprašyta MS09 – 014), toliau pateiktas kodas visam laikui perkelia į paskutinę vietą ieškos užsakyme. Bet kokie vėlesni ryšiai su funkcija SetSearchPathMode iš šio proceso viduje, kuri bando pakeisti ieškos režimą nepavyks.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• Šiame kodo pavyzdyje Dabartinis darbinis katalogas pašalinamas iš ieškos kelio prieš skambindami LoadLibrary. Tai labai sumažina riziką, nes pažeidėjas turėtų kontroliuoti taikomųjų programų aplanką, "Windows" katalogą arba bet kokius katalogus, nurodytus vartotojo kelyje, kad būtų galima naudoti DLL įkėlimą.

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");