安全加载库以防止 DLL 预加载攻击

基于 LoadLibrary 的攻击

当应用程序动态加载 DLL 而不指定完全限定的路径时，Windows尝试通过线性搜索一组明确定义的目录（称为 DLL 搜索顺序）找到此 DLL。 如果Windows DLL 搜索顺序中查找 DLL，它将加载该 DLL。 但是，Windows DLL 搜索顺序的任何目录中找不到 DLL，则 DLL 加载操作会失败。 下面是用于动态加载 DLL 的 LoadLibrary和 LoadLibraryEx函数的 DLL 搜索顺序：

1. 从其中加载应用程序的目录

2. 系统目录

3. 16 位系统目录

4. Windows 目录

5. CWD (当前)

6. PATH 环境变量中列出的目录

请考虑以下方案：

• 应用程序加载 DLL，而不指定预期在应用程序的 CWD 中查找的完全限定路径。

• 应用程序完全准备好在找不到 DLL 时处理这种情况。

• 攻击者知道有关应用程序的此信息并控制 CWD。

• 攻击者在 CWD 中复制其自己的专门设计的 DLL 版本。 这假定攻击者有权这样做。

• Windows DLL 搜索顺序中的目录，在应用程序的 CWD 中查找 DLL。

在此方案中，专门设计的 DLL 在应用程序中运行，并获取当前用户的权限。

建议 为了防止此攻击，应用程序可以通过使用空字符串 ("") 调用
SetDllDirectory API，从 DLL 搜索路径中删除当前工作目录
(C) WD ) 。 如果应用程序依赖于从当前目录加载 DLL，请获取当前工作目录，并使用该目录来传递 LoadLibrary的完全限定路径。



我们还注意到，某些开发人员使用 LoadLibrary 来验证特定 DLL 是否存在，以确定用户Windows哪个版本。 应注意，这会使应用程序易受攻击。 如果在应用程序执行Windows上确实不存在受影响的库，攻击者可能会将同名的库引入 CWD 中。 我们强烈建议不要使用此技术。 请改为使用 MSDN 文章"获取系统版本"中所述的建议技术。

加载第三方插件且无法强制插件使用其 LoadLibrary 调用的限定路径的应用程序应调用 SetDllDirectory (""") 以删除 CWD，然后调用 SetDllDirectory ("plugin install location") 以将插件安装目录添加到 DLL 搜索路径。

基于 SearchPath 的攻击

当应用程序使用 SearchPath API 查找 DLL 并动态加载 SearchPath 返回的路径时，也存在 类似的攻击。 下面是 SearchPath API 的默认搜索顺序：

• 从其中加载应用程序的目录

• CWD (当前)

• 系统目录

• 16 位系统目录

• Windows 目录

• PATH 环境变量中列出的目录

不建议采用此模式，因为它不安全。 如果输出的预定用途是调用 LoadLibrary 函数，则不建议将 SearchPath 函数用作查找 .dll 文件的方法。 这可能会导致查找错误.dll，因为 SearchPath 函数的搜索顺序不同于 LoadLibrary 函数使用的搜索顺序。 如果必须找到并加载.dll，请使用 LoadLibrary 函数。

ShellExecute 和 CreateProcess

当开发人员调用 ShellExecute和 CreateProcess等类似函数来加载外部可执行文件时，也可能存在这些问题的变体。 我们建议开发人员在加载二进制文件并指定完全限定的路径时要小心。 在加载二进制文件而不是库时，这应降低复杂性。

有关识别非安全库加载的指南

在源代码中，下面是非安全库加载的示例：

• 在下面的代码示例中，应用程序使用最schannel.dll搜索路径搜索"schannel.dll"。 如果攻击者可以将schannel.dll CWD 中，则甚至在应用程序搜索相应库Windows之前，它也会加载。

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• 在下面的代码示例中，应用程序尝试从本文档开头所述的各种应用程序和操作系统位置为 LoadLibrary 调用加载 () 库。 如果存在不存在该文件的任何风险，应用程序可能会尝试从当前工作目录加载文件。 与前面的示例相比，此方案不太危险。 但是，如果环境不完全可预测，应用程序用户仍面临风险。

  HMODULE handle = LoadLibrary("schannel.dll");

下面是更好、更安全的库加载示例：

• 在下面的代码示例中，使用完全限定的路径直接加载库。 攻击者不会引入恶意代码，除非他已有对应用程序的目标目录的写入权限。
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  注意 若要了解如何确定系统目录，请参阅以下资源
  
  ：GetSystemDirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• 在下面的代码示例中，在调用 LoadLibrary 之前，将从搜索路径中删除当前工作目录。 这大大减少了风险，因为攻击者必须控制应用程序目录、Windows 目录或用户路径中指定的任何目录，才能使用 DLL 预加载攻击。

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• 在 MS09-014) 中所述安装安全更新 963027 (的所有系统上，以下代码将 CWD 永久移动到搜索顺序的最后一个位置。 以后从尝试更改搜索模式的进程内部对 SetSearchPathMode 函数的任何调用都将失败。

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• 在下面的代码示例中，在调用 LoadLibrary 之前，将从搜索路径中删除当前工作目录。 这大大减少了风险，因为攻击者必须控制应用程序目录、Windows 目录或用户路径中指定的任何目录，才能使用 DLL 预加载攻击。

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");