频道栏目
首页 > 安全 > 系统安全 > 正文
DLL劫持漏洞的相关内容解读
2016-03-28 09:18:32           
收藏   我要投稿

0×01. DLL劫持漏洞介绍
1.1 漏洞简介
如果在进程尝试加载一个DLL时没有指定DLL的绝对路径,那么Windows会尝试去指定的目录下查找这个DLL;如果攻击者能够控制其中的某一 个目录,并且放一个恶意的DLL文件到这个目录下,这个恶意的DLL便会被进程所加载,从而造成代码执行。这就是所谓的DLL劫持。
在Windows XP SP2之前,Windows查找DLL的目录以及对应的顺序如下:1. 进程对应的应用程序所在目录;2. 当前目录(Current Directory);3. 系统目录(通过 GetSystemDirectory 获取);4. 16位系统目录;5. Windows目录(通过 GetWindowsDirectory 获取);6. PATH环境变量中的各个目录;
在Windows下,几乎每一种文件类型都会关联一个对应的处理程序,当我们在资源管理器中打开某种特定类型的文件时,与之相关联的处理程序便会被执行,也就是会新建一个进程,进程默认的 Current Directory (当前目录)就是被打开文件所在的目录。在Windows搜索DLL的这些目录中,攻击者最容易控制的当然是 Current Directory 。攻击者可以把恶意的DLL文件和目标文件(如WORD文档)打包在一起,如果受害者进行解压操作,恶意DLL和目标文件就会位于同一个目录,攻击者可以十分方便的实施DLL劫持。
由于早期Windows查找DLL文件的顺序并不合理,可以想象DLL劫持漏洞伴随着Windows存在了相当长的时间。然而,在相当长的一段时间 里DLL劫持漏洞并没有受到大家的关注,直到2010年8月,微软发布安全通报2269637,同时网上公布了大量受影响软件的名字,DLL劫持漏洞才开 始进入大家的视野。
1.2 漏洞归类
DLL劫持漏洞翻译成英文叫做 DLL Hijacking Vulnerability,CWE将其归类为Untrusted Search Path Vulnerability。如果想要去CVE数据库中搜索DLL劫持漏洞案例,搜索这两个关键词即可。
1.3 缓解措施
从Windows XP SP2开始,SafeDllSearchMode 默认会被开启。SafeDllSearchMode的开启与否主要影响 Current Directory(当前目录) 在搜索顺序中的位置。开启SafeDllSearchMode后的DLL搜索顺序如下:1. 进程对应的应用程序所在目录;2. 系统目录(通过 GetSystemDirectory 获取);3. 16位系统目录;4. Windows目录(通过 GetWindowsDirectory 获取);5. 当前目录;6. PATH环境变量中的各个目录;
启用SafeDllSearchMode之后可以防范大部分DLL劫持,如系统DLL劫持。不过,如果进程尝试加载的DLL并不存在,那么进程仍然会尝试去当前目录加载这个DLL,这是SafeDllSearchMode所无法防范的。不过微软引入了SetDllDirectory 这个API,给这个API传递一个空字符串就可以将当前目录从DLL搜索顺序中排除掉。
BOOL WINAPI SetDllDirectory(
  _In_opt_ LPCTSTR lpPathName
);
If the lpPathName parameter is an empty string (""),
the call removes the current directory from the default DLL search order.
1.4 漏洞检查
使用Sysinternals工具包中的 Process Monitor(ProcMon)可以十分方便的检测DLL劫持漏洞,只需要设置几个过滤参数即可。1. ProcessName 目标进程的名字;2. Path 文件路径,可以设置为 begins with 当前目录所在路径;3. Result 结果,设置为 NAME NOT FOUND;
0×02. DLL劫持漏洞利用场景
2.1 针对应用程序安装目录的DLL劫持
不管SafeDllSearchMode是否开启,在查找DLL时应用程序本身所在的目录都是最先被搜索的。因此如果能够放一个恶意的DLL文件到程序的安装目录,就可以利用DLL劫持漏洞来执行代码。
这种利用场景的要求相对较高,因为大部分程序默认安装到%ProgramFiles% 或者是 %ProgramFiles(x86)%。这两个目录都需要管理员权限才可以进行写入操作,也就是说在进行DLL劫持之前,要求已经具有代码执行权限。基于这一原因,软件厂商一般不予处理此类问题。
这种场景多被一些恶意代码所使用,对常用软件进行DLL劫持可以在一定程度替代自启动功能,同时,利用 白加黑 方式还能逃避安全软件的检测。此外,一些外挂或者破解程序也会采用这种方式进行DLL劫持,例如QQ的一些显IP插件就是通过劫持 msimg32.dll 来实现功能的。
2.2 针对文件关联的DLL劫持
在Windows下,我们平时使用的各种文件(如MP3音乐、DOC文档、PDF文档、MKV视频等)都有一个与之关联的默认处理软件。当在资源管 理器中打开某种特定类型的文件时,操作系统会自动创建一个进程来处理这个文件,进程对应的程序就是该文件类型关联的默认处理程序,进程的 当前目录 就是被打开文件所在的目录。
例如,如果Adobe Acrobat DC关联了.PDF文件类型,那么打开PDF文件时就会自动创建一个Acrobat.exe进程,进程的当前目录(Current Directory)就是PDF文件所在的目录。如果进程尝试加载一个不存在的DLL,根据默认的DLL搜索顺序,进程最终会搜索到PDF文件所在目录(即当前目录),如果该目录下恰好就存在有一个同名的DLL,那么这个DLL就会被进程所加载。这就是所谓的 文件关联型DLL劫持 。
相对于 针对应用程序安装目录的DLL劫持,针对文件关联的DLL劫持 的利用条件十分简单,只要放一个恶意的DLL就行了。由于实施这种DLL劫持不需要其他先决条件,许多厂商关注并承认该利用场景下的DLL劫持漏洞。
许多流行软件可能仍然存在有这种DLL劫持漏洞:笔者在2015年给12月给Adobe报告了Adobe Acrobat DC 15.009.20077中存在的一个DLL劫持漏洞(CVE-2016-0947),该漏洞由Acrobat.exe进程加载不存在的 updaternotifications.dll所引起。此外,去CVE漏洞库搜索 DLL Hijacking 或者Untrusted Search Path 也能找到很多案例。
2.3 针对安装程序的DLL劫持
许多应用程序的安装包程序也存在有DLL劫持漏洞,这种场景与 针对应用程序安装目录的DLL劫持 比较类似,本来也没有什么特殊之处,不过结合后文提到的浏览器自动下载漏洞,其利用条件又变得相对简单了。
这里以Notepad++最新的安装包npp.6.9.Installer.exe为例来进行讲解。启动ProcMon 并设置好过滤器,可以看到npp.6.9.Installer.exe运行后尝试加载了许多DLL,这些都是第一次加载时没有加载成功的。


仔细观察进程尝试加载这些DLL时产生的调用栈,会发现有的调用栈中存在有LoadLibrary(Ex),而有的调用栈中却没有。这里选取 Version.dll 和 SHFOLDER.dll 来进行对比说明。npp.6.9.Installer.exe在尝试加载 Version.dll 时产生的调用栈中并没有LoadLibrary(Ex),这是因为DLL并不是被进程动态加载的,而是因为应用程序的导入表直接或者间接导入了这个DLL。在这种利用场景下,伪造DLL的导出表最好与被伪造DLL的导出表完全一致,否则DLL可能无法被进程成功加载(会弹出错误提示消息框)。有一个叫做
AheadLib的工具可以十分方便的生成此类DLL的源文件。
0   fltmgr.sys      FltAcquirePushLockShared + 0x907
1   fltmgr.sys      FltIsCallbackDataDirty + 0x1f3d
2   fltmgr.sys      FltDeletePushLock + 0x64f
3   ntoskrnl.exe    MmCreateSection + 0x25b1
4   ntoskrnl.exe    SeQueryInformationToken + 0xe3e
5   ntoskrnl.exe    ObOpenObjectByName + 0x306
6   ntoskrnl.exe    NtOpenProcessTokenEx + 0x326
7   ntoskrnl.exe    KeSynchronizeExecution + 0x3a23
8   ntdll.dll       ZwQueryAttributesFile + 0xa
9   wow64.dll       Wow64EmulateAtlThunk + 0xd2b1
10   wow64.dll       Wow64SystemServiceEx + 0xd7
11   wow64cpu.dll    TurboDispatchJumpAddressEnd + 0x2d
12   wow64.dll       Wow64SystemServiceEx + 0x1ce
13   wow64.dll       Wow64LdrpInitialize + 0x42a
14   ntdll.dll       RtlUniform + 0x6e6
15   ntdll.dll       EtwEventSetInformation + 0x186f8
16   ntdll.dll       LdrInitializeThunk + 0xe
17   ntdll.dll       ZwQueryAttributesFile + 0x12
18   ntdll.dll       aullrem + 0x1f1
19   ntdll.dll       aullrem + 0x6cb
20   ntdll.dll       aullrem + 0x565
21   ntdll.dll       RtlEncodeSystemPointer + 0x404
22   ntdll.dll       RtlSetBits + 0xf0
23   ntdll.dll       RtlSetBits + 0x16b
24   ntdll.dll       RtlSetBits + 0x60
25   ntdll.dll       RtlSetThreadPoolStartFunc + 0x3a1
26   ntdll.dll       RtlSetUnhandledExceptionFilter + 0x50
27   ntdll.dll       LdrInitializeThunk + 0x10
npp.6.9.Installer.exe在尝试加载 SHFOLDER.dll 时产生的调用栈中存在有LoadLibrary(Ex),说明这个DLL是被进程所动态加载的。在这种利用场景下,伪造的DLL文件不需要存在任何导出函数即可被成功加载,即使加载后进程内部出错,也是在DLL被成功加载之后的事情。
0   fltmgr.sys         FltAcquirePushLockShared + 0x907
1   fltmgr.sys         FltIsCallbackDataDirty + 0x1f3d
2   fltmgr.sys         FltDeletePushLock + 0x64f
3   ntoskrnl.exe       MmCreateSection + 0x25b1
4   ntoskrnl.exe       SeQueryInformationToken + 0xe3e
5   ntoskrnl.exe       ObOpenObjectByName + 0x306
6   ntoskrnl.exe       NtOpenProcessTokenEx + 0x326
7   ntoskrnl.exe       KeSynchronizeExecution + 0x3a23
8   ntdll.dll          ZwQueryAttributesFile + 0xa
9   wow64.dll          Wow64EmulateAtlThunk + 0xd2b1
10   wow64.dll          Wow64SystemServiceEx + 0xd7
11   wow64cpu.dll       TurboDispatchJumpAddressEnd + 0x2d
12   wow64.dll          Wow64SystemServiceEx + 0x1ce
13   wow64.dll          Wow64LdrpInitialize + 0x42a
14   ntdll.dll          RtlUniform + 0x6e6
15   ntdll.dll          EtwEventSetInformation + 0x186f8

 

16   ntdll.dll          LdrInitializeThunk + 0xe
17   ntdll.dll          ZwQueryAttributesFile + 0x12
18   ntdll.dll          aullrem + 0x1f1
19   ntdll.dll          aullrem + 0x6cb
20   ntdll.dll          aullrem + 0x565
21   ntdll.dll          RtlLookupAtomInAtomTable + 0x35a
22   ntdll.dll          RtlUlonglongByteSwap + 0x671
23   KernelBase.dll     LoadLibraryExW + 0x243
24   KernelBase.dll     LoadLibraryExA + 0x26
25   kernel32.dll       LoadLibraryA + 0x31
2.4 Microsoft Edge与Google Chrome的自动下载漏洞
通过 iframe 可以触发 Microsoft Edge 和 Google Chrome 的自动下载功能,这一特性被@HaifeiLi认为是一个安全漏洞,其在Twitter上发表了很多关于该漏洞的推文,甚至抱怨Chrome和Edge团队忽视这个漏洞的存在。在HaifefiLi的 长期呼吁下,Chrome最终在48.0.2564.82版本中修复了这个漏洞,而截至笔者撰文时Edge似乎仍然没有修复该漏洞。Edge浏览器的默认下载目录为
C:\Users\Username\Downloads
通过Edge下载 的文件默认都会保存在这个目录下。可以利用Edge的自动下载漏洞下载一个恶意的DLL文件(如Version.dll)到这个目录下,然后利用页面超时 自动跳转功能让Edge跳转到正常页面来诱导用户下载一个正常的安装文件,当用户运行安装程序时恶意的DLL文件便会被进程加载。
测试浏览器自动下载漏洞的HTML测试代码如下所示:
html>
    head>
        title>Windows Update/title>
    /head>
    body>
        iframe src="evil.dll">/iframe>
       
            setTimeout( function () {
                            window.location = "https://get.adobe.com/reader"
                        }, 5000);
       
    /body>
/html>
在Windows 10下使用Edge打开这个HTML页面,可以看到DLL文件被自动下载到了本地的下载目录中。不过由于DLL没有有效的数字签名,所以Edge会提示这个文件可能存在风险。

如果DLL文件具有有效的数字签名,那么Edge就不会这样提示了。在最新版本的Google Chrome(48.0.2564.116 m)上测试发现,不管DLL是否具有有效的数字签名,DLL文件下载之后都需要用户手工确认才会保存,否则会被删除。Chrome和Edge的测试结果汇 总如下:

浏览器的自动下载漏洞还是十分危险的,攻击者甚至只需要诱导用户下载一个恶意的DLL,以后用户在下载目录中执行各种程序时都有可能加载这个DLL。此外,安装程序一般都会请求管理员权限,对于恶意的DLL来说管理员权限似乎是与生俱来的。
0×03. 非典型漏洞CVE-2016-0041分析
微软安全公告MS16-014中的描述表明其修复了一个CVE-ID为CVE-2016-0041的 DLL劫持漏洞。漏洞详情为:Windows 10下的 URLMON.dll 文件存在加载 phoneinfo.dll 的代码,而Windows 10本身并不携带这个 phoneinfo.dll 文件,并且在查找DLL时使用的是标准的目录搜索顺序,所以这里会导致DLL劫持漏洞。这个漏洞的独特之处在于其存在于操作系统本身,所以在 Windows 10下,只要是调用了 URLMON.dll 中能够触发漏洞代码的API的软件都会受到这个漏洞的影响。笔者在2015年底也发现了也发现了这个漏洞,同时确认Foxit Reader 7.2.8.1124受到该漏洞的影响,并将其报告给了Foxit Software。
3.1 漏洞分析
在发现这个漏洞时,笔者发现网上很少有关于 phoneinfo.dll 文件的介绍,只有@tombkeeper 在 Sexrets of LoadLibrary 中提到了这个文件。TK指出 IE11 running on Windows 10 TP 9926 会尝试加载 phoneinfo.dll,而IE的当前目录就是桌面,所以如果放一个 phoneinfo.dll 到桌面上的话,在启动IE时这个DLL便会被加载。
Greg Linares 在 SRT-VR-24DEC2015 中指出 Windows10 的 URLMON.dll 中存在两处加载 phoneinfo.dll 的地方,可能是DLL文件的版本不一样,笔者找到的代码与之存在一些细微差异。笔者在分析 11.0.10240.16384 版本的 URLMON.dll 时找到的反汇编代码如下所示:
下面的代码位于BuildUserAgentStringMobileHelper中:
.text:1A4636A1 loc_1A4636A1:
.text:1A4636A1                 mov     eax, pfnQueryPhoneInformation

 

.text:1A4636A6                 mov     [ebp+pszValue], 0
.text:1A4636AD                 mov     [ebp+szSrc], eax
.text:1A4636B3                 test    eax, eax         ; 判断eax寄存器的值是否为0
.text:1A4636B5                 jnz     loc_1A48FC97     ; 如果不为0则跳转
.text:1A4636BB                 push    eax              ; dwFlags = 0
.text:1A4636BC                 push    eax              ; hFile   = 0
.text:1A4636BD                 push    offset aPhoneinfo_dll ; "phoneinfo.dll"
.text:1A4636C2                 call    ds:__imp__LoadLibraryExW@12 ; LoadLibraryExW(x,x,x)
.text:1A4636C8                 test    eax, eax
.text:1A4636CA                 jnz     loc_1A48FC78
下面的代码位于_QueryPhoneInformationA中:
.text:1A461B93                 mov     edi, pfnQueryPhoneInformation
.text:1A461B99                 mov     byte ptr [ebx], 0
.text:1A461B9C                 test    edi, edi
.text:1A461B9E                 jnz     loc_1A48EE56
.text:1A461BA4                 push    edi             ; dwFlags
.text:1A461BA5                 push    edi             ; hFile
.text:1A461BA6                 push    offset aPhoneinfo_dll ; "phoneinfo.dll"
.text:1A461BAB                 call    ds:__imp__LoadLibraryExW@12 ; LoadLibraryExW(x,x,x)
.text:1A461BB1                 test    eax, eax
.text:1A461BB3                 jnz     loc_1A48EE34
这里加载 phoneinfo.dll 的代码为 LoadLibraryExW(“phoneinfo.dll”, NULL, 0)。因为这里 dwFlags 的值为0,所以使用标准的DLL搜索顺序;由于Windows 10上并不存在 phoneinfo.dll 这个文件,所以进程最终会尝试加载当前目录下的DLL。
这里简单分析一下受该漏洞影响的Foxit Reader。当在Windows 10下打开一个PDF文件时,进程 FoxitReader.exe 会加载当前目录下的 phoneinfo.dll 文件,对应的调用栈如下所示:
16   KernelBase.dll     LoadLibraryExW + 0x124
17   urlmon.dll         Ordinal523 + 0x6f1
18   urlmon.dll         Ordinal492 + 0x941
19   urlmon.dll         Ordinal492 + 0x165
20   urlmon.dll         Ordinal445 + 0x2e0
21   urlmon.dll         RegisterFormatEnumerator + 0xe2
22   urlmon.dll         UrlMkGetSessionOption + 0xcf
23   FoxitReader.exe    CertFreeCertificateChainEngine + 0x72fbef
24   FoxitReader.exe    CertFreeCertificateChainEngine + 0x70bbc2
25   FoxitReader.exe    CertFreeCertificateChainEngine + 0x70f61e

 

26   FoxitReader.exe    CertFreeCertificateChainEngine + 0x6f9f9c
27   user32.dll         Ordinal2535 + 0x83
28   user32.dll         GetScrollInfo + 0x1e8
29   user32.dll         DispatchMessageW + 0x28d
30   user32.dll         DispatchMessageW + 0x10
31   FoxitReader.exe    FoxitReader.exe + 0x2d1f1b
32   FoxitReader.exe    FoxitReader.exe + 0x2da62d
33   FoxitReader.exe    FoxitReader.exe + 0x882a36
34   FoxitReader.exe    FoxitReader.exe + 0x1866d1
35   FoxitReader.exe    FoxitReader.exe + 0x173286
36   FoxitReader.exe    FoxitReader.exe + 0x173563
37   FoxitReader.exe    FoxitReader.exe + 0x21483f
38   FoxitReader.exe    FoxitReader.exe + 0x217726
39   FoxitReader.exe    FoxitReader.exe + 0x1e4922
40   FoxitReader.exe    FoxitReader.exe + 0x1f4aba
41   FoxitReader.exe    FoxitReader.exe + 0x1e8d6a
42   FoxitReader.exe    FoxitReader.exe + 0x1eb562
43   FoxitReader.exe    CertFreeCertificateChainEngine + 0x91e56c
44   FoxitReader.exe    FoxitReader.exe + 0x46cd8e
45   kernel32.dll       BaseThreadInitThunk + 0x24
46   ntdll.dll          RtlInitializeCriticalSectionAndSpinCount + 0x29e
47   ntdll.dll          RtlInitializeCriticalSectionAndSpinCount + 0x26d
结合IDA或者Windbg进行分析,可以知道这里的调用路径为:
UrlMkGetSessionOption
└--> GetUserAgentString
     └--> GetUserAgentStringForMode
          └--> InitUserAgentGlobals
               └--> BuildUserAgentStringMobileHelper
                    └-->LoadLibraryExW
即Foxit Reader因为调用了URLMON.dll中的UrlMkGetSessionOption函数,导致其受到DLL劫持漏洞的影响。在IDA中使用交叉引用功能进行回溯,可以找到其他能够触发该漏洞的路径,Greg Linares 给出了另外两个路径:
路径1:
┌-----------------------------------------------------┐
│        CINetHttpEdge::SetOptionUserAgent            │
│          CINetHttp::SetOptionUserAgent              │
│ CIEBrowserModeFilter::collectCacheEntryInfoCallback │
└-----------------------------------------------------┘
└--> MapBrowserEmulationStateToUserAgent (Ordinal 445)
     └--> InitUserAgentGlobals (Ordinal 492)
          └--> BuildUserAgentStringMobileHelper
路径2:
┌-------------------------------------┐
│ ObtainUserAgentString (Ordinal 211) │
│         GetUserAgentString          │
└-------------------------------------┘
└--> InitUserAgentGlobals (Ordinal 492)
     └--> BuildUserAgentStringMobileHelper
Greg Linares 同时也指出了他们发现的其他受该漏洞影响的软件:1. Internet Explorer 没有命令行参数的情况下(例如双击并打开IE);2. Skype 启动的时候;3. OneDrive 同步以及更新的时候(无需用户交互);4. Visual Studio 2015 微软账户更新或者同步的时候;
3.2 补丁分析
更新后的URLMON.dll文件在调用 LoadLibraryEx 加载 phoneinfo.dll 时将 dwFlags 参数值指定为 0×800,即LOAD_LIBRARY_SEARCH_SYSTEM32,表示只搜索 System32 目录。对应的代码为LoadLibraryExW(L”phoneinfo.dll”, NULL, LOAD_LIBRARY_SEARCH_SYSTEM32),反汇编代码如下:
.text:1A46386B                 push    800h            ; dwFlags
.text:1A463870                 push    eax             ; hFile
.text:1A463871                 push    offset aPhoneinfo_dll ; "phoneinfo.dll"

 

.text:1A463876                 call    ds:__imp__LoadLibraryExW@12 ; LoadLibraryExW(x,x,x)
0×04. DLL劫持漏洞缓解措施
DLL劫持漏洞在未来可能仍然会影响着许多软件或者操作系统组件,亦或是与其他漏洞相结合以衍生出新的攻击方法。尽管目前没有一个完美的方法(No Silver Bullet)可以防止软件受到DLL劫持漏洞的影响,但是开发人员仍然可以采取各种措施来缓解DLL劫持漏洞带来的影响。
4.1 基本缓解措施
1. 在加载DLL时尽量使用DLL的绝对路径;2. 调用SetDllDirectory(L””)把 当前目录 从DLL搜索目录中排除;3. 使用 LoadLibraryEx 加载DLL时,指定 LOAD_LIBRARY_SEARCH_ 系列标志;
此外,进程也可以尝试去验证DLL的合法性,例如是否具有自家的合法数字签名、是否是合法的系统DLL文件等。
4.2 Windows Edge缓解措施
最新版本的Edge提供了一种对抗DLL劫持(注入)的缓解措施:只有拥有微软签名以及WHQL(Windows Hardware Quality Lab)签名的DLL模块才会被Edge加载,而且这套机制是在操作系统内核中实现的。
关于这一缓解措施的细节分析,可以阅读 Paul Rascagneres 的文章MICROSOFT EDGE BINARY INJECTION MITIGATION OVERVIEW。
 

 

 

点击复制链接 与好友分享!回本站首页
相关TAG标签 漏洞 内容
上一篇:iPhone 更新 iOS 9.3 后可能会出现的问题及解决办法
下一篇:商业日志管理系统发展史解说
相关文章
图文推荐
文章
推荐
点击排行

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站