Tải các thư viện an toàn để ngăn chặn các cuộc tấn công tải trước DLL

Các cuộc tấn công dựa trên LoadLibrary

Khi ứng dụng tự động tải DLL mà không xác định đường dẫn đủ điều kiện, Windows sẽ cố gắng định vị DLL này bằng cách linearly tìm kiếm thông qua một tập hợp các thư mục được xác định tốt, được gọi là thứ tự tìm kiếm DLL. Nếu Windows đặt DLL trong trình tự tìm kiếm DLL, nó sẽ tải DLL đó. Tuy nhiên, nếu Windows không tìm thấy DLL trong bất kỳ thư mục nào trong trình tự tìm kiếm DLL, nó sẽ trả về lỗi cho thao tác tải DLL. Sau đây là thứ tự tìm kiếm DLL cho LoadLibraryvà Loadlibraryexcác hàm, được dùng để tự động tải DLLs:

1. Thư mục mà ứng dụng đã được tải

2. Danh bạ hệ thống

3. Thư mục hệ thống 16-bit

4. Thư mục Windows

5. Danh bạ làm việc hiện tại (các)

6. Các thư mục được liệt kê trong biến môi trường PATH

Cân nhắc kịch bản sau đây:

• Một ứng dụng tải DLL mà không xác định đường dẫn đầy đủ điều kiện mà dự kiến sẽ tìm trong các phần của ứng dụng.

• Ứng dụng được chuẩn bị đầy đủ để xử lý vụ việc khi nó không tìm thấy DLL.

• Kẻ tấn công biết thông tin về ứng dụng này và điều khiển các ID.

• Kẻ tấn công bản sao phiên bản đặc biệt của riêng crafted của DLL trong các CPC. Điều này giả định rằng kẻ tấn công có quyền thực hiện điều này.

• Tìm kiếm trong Windows thông qua các thư mục trong trình tự tìm kiếm DLL và tìm DLL trong CPC của ứng dụng.

Trong trường hợp này, DLL đặc biệt crafted sẽ chạy trong ứng dụng và thu lợi đặc quyền của người dùng hiện tại.

Đề xuất

để ngăn chặn cuộc tấn công này, ứng dụng có thể loại bỏ thư mục làm việc hiện tại (CPC) từ đường dẫn tìm kiếm dll bằng cách gọi API Settlldirectory bằng cách dùng một chuỗi trống (""). Nếu một ứng dụng phụ thuộc vào việc tải một DLL từ thư mục hiện tại, vui lòng nhận được thư mục làm việc hiện tại và sử dụng để vượt qua đường dẫn của LoadLibraryđầy đủ điều kiện.



Chúng tôi cũng biết rằng một số nhà phát triển sử dụng LoadLibrary để xác thực liệu một DLL cụ thể có hiện diện để xác định phiên bản Windows nào đang được người dùng điều hành. Bạn nên biết rằng điều này có thể làm cho ứng dụng dễ bị tổn thương. Nếu thư viện bị ảnh hưởng thực sự không tồn tại trên bản phát hành Windows mà ứng dụng đó được thực hiện, kẻ tấn công có thể giới thiệu một thư viện với tên đó thành CPC. Chúng tôi khuyên bạn nên sử dụng kỹ thuật này. Thay vào đó, hãy dùng các kỹ thuật được đề xuất được mô tả trong bài viết MSDN "nhận phiên bản hệ thống"

. Một ứng dụng tải bổ trợ của bên thứ ba và không thể ép buộc bổ trợ sử dụng đường dẫn đủ điều kiện cho các cuộc gọi LoadLibrary của nó nên gọi Settlldirectory ("") để loại bỏ CPC và sau đó gọi Settlldirectory ("vị trí cài đặt plugin") để thêm thư mục cài đặt bổ trợ vào đường dẫn tìm kiếm DLL.

Tìm kiếm các cuộc tấn công dựa trên đường dẫn

Một cuộc tấn công tương tự tồn tại khi một ứng dụng sử dụng API SearchPath để định vị DLL và tự động tải đường dẫn được trả về bằng cách tìm kiếm. Sau đây là thứ tự tìm kiếm mặc định cho API SearchPath:

• Thư mục mà ứng dụng đã được tải

• Danh bạ làm việc hiện tại (các)

• Danh bạ hệ thống

• Thư mục hệ thống 16-bit

• Thư mục Windows

• Các thư mục được liệt kê trong biến môi trường PATH

Chúng tôi không đề xuất mẫu này vì nó không được bảo mật. Chúng tôi không đề xuất hàm SearchPath như một phương pháp để định vị tệp. dll nếu việc dùng dự kiến của đầu ra đang thực hiện cuộc gọi đến hàm LoadLibrary. Điều này có thể dẫn đến việc định vị tệp sai. dll vì thứ tự tìm kiếm của hàm SearchPath khác với thứ tự tìm kiếm được sử dụng bởi hàm LoadLibrary. Nếu bạn phải xác định vị trí và tải tệp. dll, hãy dùng hàm LoadLibrary.

ShellExecute và CreateProcess

Các biến thể của các sự cố này cũng có thể tồn tại khi nhà phát triển gọi các hàm tương tự như Shellexecutevà CreateProcessđể tải các bảng thực thi bên ngoài. Chúng tôi khuyên bạn nên cẩn thận với những nhà phát triển khi tải các nhị phân và xác định đường dẫn đầy đủ điều kiện. Điều này sẽ đưa ra ít phức tạp hơn khi bạn tải một nhị phân thay vì thư viện.

Hướng dẫn xác định tải thư viện không an toàn

Trong mã nguồn, sau đây là các ví dụ về tải thư viện không an toàn:

• Trong ví dụ mã sau đây, ứng dụng sẽ tìm kiếm "schannel.dll" bằng cách sử dụng đường dẫn tìm kiếm ít nhất là bảo mật. Nếu một kẻ tấn công có thể đặt schannel.dll trong CPC, nó sẽ được tải ngay cả trước khi ứng dụng tìm kiếm các thư mục Windows cho thư viện thích hợp.

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• Trong ví dụ mã sau đây, ứng dụng sẽ cố gắng tải thư viện từ ứng dụng khác nhau và các vị trí hệ điều hành được mô tả ở đầu tài liệu này cho cuộc gọi của LoadLibrary (). Nếu có bất kỳ rủi ro nào mà tệp không hiện diện, ứng dụng có thể tìm cách tải tệp từ thư mục làm việc hiện tại. Tình huống này hơi kém nguy hiểm so với ví dụ trước đó. Tuy nhiên, vẫn cho biết người dùng ứng dụng cần có nguy cơ nếu môi trường không phải là hoàn toàn dự đoán.

  HMODULE handle = LoadLibrary("schannel.dll");

Sau đây là các ví dụ về tải thư viện an toàn hơn, nhiều hơn nữa:

• Trong ví dụ mã sau đây, thư viện được tải trực tiếp bằng cách sử dụng đường dẫn đầy đủ điều kiện. Không có nguy cơ bị kẻ tấn công giới thiệu mã độc hại trừ khi ông ấy đã có quyền ghi vào thư mục đích của ứng dụng.
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  Lưu ý để biết thông tin về cách xác định thư mục hệ thống, hãy xem các tài nguyên sau:
  
  getsystemdirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• Trong ví dụ mã sau đây, thư mục làm việc hiện tại được loại bỏ khỏi đường dẫn tìm kiếm trước khi gọi LoadLibrary. Điều này sẽ làm giảm rủi ro đáng kể, khi kẻ tấn công phải điều khiển thư mục ứng dụng, thư mục Windows hoặc bất kỳ thư mục nào được xác định trong đường dẫn của người dùng để sử dụng bộ dữ liệu tải trước.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• Trên tất cả các hệ thống đã cài đặt bản Cập Nhật bảo mật 963027 (được mô tả trong MS09-014), mã sau đây sẽ di chuyển vĩnh viễn đến vị trí cuối cùng trong thứ tự tìm kiếm. Mọi cuộc gọi sau này với hàm SetSearchPathMode từ bên trong quy trình cố gắng thay đổi chế độ tìm kiếm sẽ không thành công.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• Trong ví dụ mã sau đây, thư mục làm việc hiện tại được loại bỏ khỏi đường dẫn tìm kiếm trước khi gọi LoadLibrary. Điều này sẽ làm giảm rủi ro đáng kể, khi kẻ tấn công phải điều khiển thư mục ứng dụng, thư mục Windows hoặc bất kỳ thư mục nào được xác định trong đường dẫn của người dùng để sử dụng bộ dữ liệu tải trước.

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");