动态链接库的静态链接导致程序的DLL劫持漏洞-借助QQ程序xGraphic32.dll描述

动态链接库的静态链接导致程序的DLL劫持漏洞

借助QQ程序xGraphic32.dll描述

 

不想啰嗦这么多了,直接开题。

 

一、       库

首先明确一下库的概念,库里存放的都是二进制编码。纵观编程技术的发展路线,可以看到一条清晰的发展脉络:代码>静态库>动态库。

假如我们要编写一个程序叫做Calc.exe,而现在有现成的库,库里面存放的是已经编译好的函数Add(),Sub()以及其他相关的符号等等,并且静态库(calcfun.lib)和动态库(calcfun.dll)各有一个版本。

那么我们就只需要编码Calc.exe的主程序,在其中使用库中的函数(可以导出函数类常量等待这些统称为符号),而不需要在编码实现这些函数。

A.     使用静态库

静态库只有一个lib文件calcfun.lib(忽略导出函数声明calcfun.h文件),这个lib文件里面包含的就是二进制编码。在链接期间,链接器将会抽出库中我们所引用的符号的二进制编码,并且把这些二进制编码合并到生成的Calc.exe中,最终我们得到的程序就只有并且只需要一个Calc.exe就可以运行(这里忽略了操作系统系统所需的库)。

B.     使用动态库

标准的动态库一般有两个文件calcfun.dll,calcfun.lib(忽略导出函数声明calcfun.h文件),不要混淆这个lib文件与上述的静态库lib文件,这个lib文件准确的名称是到导入库,包含的是dll中导出符号的地址表,只是提供给链接器定位dll中符号之用,并不是二进制代码,真正的二进制代码存在于calcfun.dll中。为什么会有两个文件?因为对于动态链接库的使用方法可以有两种:静态链接(隐式链接),动态链接(显示链接)。

1)     静态链接(隐式链接)

也只有使用这种方式的时候才会用到动态库的lib文件,即导入库calcfun.lib,这种方式的效果是在生成的calc.exe的PE头部的导入表中添加了一IMAGE_IMPORT_DESCRIPTOR,并且根据程序中所引用的符号写入了相应的IMAGE_THUNK_DATA,最终生成的calc.exe若要能正确运行必须依赖于calcfun.dll。这种链接方式的实现是设置链接器参数,比如vc的链接器可以直接把倒入库当作参数传递给链接器link.exe,也可以使用预编译处理:#pragma comment(lib, "calcfun.lib")

2)     动态链接(显示链接)

使用这种链接方式只需要一个dll文件,lib文件就是多余的了,因为dll本身也包含自身导出符号的地址表,所以只需要把这个dll载入到我们的程序的地址空间,然后搜索到我们需要使用的函数或者其他符号的地址就可以了。这种链接方式不会添加信息到生成的calc.exe的PE头部。生成的calc.exe若要能正确云清必须依赖于calcfun.dll。这种链接方式的实现是通过LoadLibrary()载入dll模块,通过GetProcessAddress()来搜索到目标符号的地址,通过FreeLibrary()卸载dll模块。

3)     载入时机

动态库除了上述使用方式不同之外,还有就是真正载入的时机。编译是我们来做的,而运行时的各种工作都是由操作系统来做的。静态链接生成的exe中的PE头部的导入表里包含了所需的dll信息,所以程序Loader会读取导入表,并加载导入表中的所有的dll(延迟加载除外,本文不讨论)。而动态链接库则是在程序调用LoadLibrary()函数时才会载入指定的dll。

静态库没有动态库常见,所以现在普遍存在于windwos操作系统中的都是动态链接库,从上面的介绍可知道,DLL最终被载入程序的进程空间都是操作系统来完成,那么操作系统如何知道所需的DLL的位置呢?很明显,操作系统需要一套搜索规则来加载动态链接库。

 

二、       动态链接库(DLL)的搜索顺序

程序可以通过指定全路径或者使用清单等机制来控制从何处加载DLL,如果没有使用这些方法,系统将会进行DLL搜索。

 

A.       影响搜索的要素

1.        如果一个同名的DLL已经被加载入内存中,系统在解析即将被载入的DLL前只会检查重定向和清单,无论这个DLL在哪一个目录,也就是说系统不会去搜索DLL。

2.        如果一个程序所需的DLL在本机的Known DLLs列表中存在,系统将直接使用这个已知的DLL而不会去搜索DLL。当前系统的Know DLLs列表在注册表中的路径:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SessionManager\KnownDLLs

3.        如果一个DLL(例如a.dll)依赖于其他的DLL(例如b.dll,c.dll等等),系统将会只按照模块名来搜索依赖的DLL(b.dll,c.dll...),即使第一个DLL(a.dll)是通过全路径加载的,这条规则也适用。

 

B.       标准的搜索顺序

系统有一套标准的搜索DLL路径的规则,这套规则又分为两种搜索模式,安全搜索模式,非安全搜索模式。安全搜索模式是默认开启的,如果要禁用安全搜索模式,可以在注册表中创建HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SessionManager\SafeDllSearchMode键值,并且设置值为0。

1.        安全搜索模式顺序

>1.exe程序的所在目录

>2.系统目录(GetSystemDirectory()获得)

>3.16位系统目录

>4.Windows目录

>5.进程当前目录

>6.系统PATH环境变量中的目录

 

2.        非安全搜索模式

>1.exe程序的所在目录

>2.进程当前目录

>3.系统目录(GetSystemDirectory()获得)

>4.16位系统目录

>5.Windows目录.

>6.系统PATH环境变量中的目录

 

所有通过静态链接的动态链接库都遵循以上A.B搜索顺序的规则。

 

C.       通过LoadLibrary(LPCTSTR lpFileName)或者LoadLibraryEx(LPCTSTRlpFileName, …)函数实现的动态链接,则有一下规则。

1.        lpFileName包含文件路径+文件名

则先搜索指定路径的文件,文件存在则函数返回成功,文件不存在函数返回失败。

2.        lpFileName不包含文件路径+文件名

函数将转而使用系统的标准搜索路径

 

关于动态链接库的搜索顺序的更多详细资料请参阅http://msdn.microsoft.com/en-us/library/ms682586%28VS.85%29.aspx

 

三、       QQ程序存在的一个DLL劫持利用漏洞

这个漏洞应该是QQ2009版本之后到目前为止一直存在的漏洞。漏洞的形成原因是QQ的界面引擎GF.dll引入的。

先来说一下MSIMG32.DLL这个文件,这个文件是windows GDI函数簇的一个库其中只有四个函数

 

存在于系统目录C:\windows\system32\msimg32.dll。

我们用Dependency Walker查看一下QQ.exe启动的时候,存在的DLL依赖关系:

 

QQ.exe ->GF.dll -> xGraphic32.dll -> Msimg32.dl。

在这里可能有人会说,从那个带箭头的图标来看Msimg32显示是已经被加载过了。有这个疑问是正常的,我们可以看到另一条依赖关系链:QQ.exe -> User32.dll->Msimg32.dl。

乍一看没有问题,不存在劫持的可能:有这样一个规则,Windows在加载时读取exe的导入表,然后加载依赖模块,但是无论导入表的顺序如何,只要导入表中存在的dll并且在Knows Dll列表中存在,那么系统就会优先加载这些模块,User32.dll是肯定存在与Knows Dll列表中的,那么User32.dll肯定先于GF.dll的加载,这样一来,系统就会直接加载系统目录下的User32.dll,User32.dll又会从自己所在目录加载Msimg32.dll(即系统的原始msimg32.dll),那么后面再加载GF->xGraphic32.dll->Msimg32.dll就会直接返回之前加载过的木块句柄,这样看就不存在Msimg32.dll被劫持的可能了。

不过,读者应该看到User32.dll中的msimg32.dll前面的图标显示是延迟加载的!所以只要QQ.exe在加载xGraphic32.dll之前不调用msimg32.dll中导出的任何函数,这个模块就不会被加载,所以最终第一次加载msimg32.dll应该是在xGraphic32.dll中。那么QQ程序中到底是如何呢?我们可以用Process Monitor来验证一下!

设置Process Monitor的过滤选项。然后启动QQ.EXE

在QQ启动完成显示出登录窗口后产看“文件操作”捕获结果,搜索msimg32

发现,第一次加载确实实在xGraphic32.dll中!

真相:QQ.EXE中第一次加载msimg32.dll是在一个非系统模块中,并且msimg32.dll没有被微软列为KnownDlls。所以如果第三方软件开发者实现了一个模块,并且在自己的模块中静态链接了msimg32.dll的话,那么就留下了一个可以利用系统搜索DLL顺序来进行DLL劫持的漏洞。很不幸,GF的依赖模块xGraphic32.dll就是这样一个模块。

结合上述标准搜索顺序,当加载xGraphic32.dll模块的时候依赖msimg32.dll,然后系统先搜索QQ.exe所在目录,如果不存在则搜索则继续按照规则搜索,最终能搜索到系统目录下的原始的msimg32.dll。但是,如果有人通过DLL导出符号转发器实现了一个伪造的msimg32.dll放置于QQ.exe的目录中会有什么后果呢?无论有没有开启安全搜索,系统总是会第一个搜索QQ.exe所在目录,从而把伪造的DLL加载到QQ.exe的进程空间,而msimg32.dll的DllMain中可以做任何想做的事,破坏QQ程序已经危害不小,如果做成病毒,木马,后门的话,问题就不是一般的严重了。

解决方法:

1.      可以看到xGraphic32.dll中只是用了msimg32.dll导出的一个函数AlphaBlend,所以可以尝试将用到这个函数的地方自己实现,不过这个基于效率来说,这个方案不是很可行。

2.      重写xGraphic32.dll,改用显式的动态链接,指定全路径,这个好像是目前来说最好的解决方案了。

3.      让微软把Msimg32.dll添加到Known Dlls列表中,这个是最最完美的解决方案,但是需要去和微软沟通,希望下次看到系统的SP补丁包的时候会实现这个想法。

4      补充一个方法,在QQ.exe中判断当前目录是否存在msimg32.dll文件,如果存在就报错,不存在正常启动。虽然这个方法比较笨,但是确实很有效的方法,但是如果QQ.exe被逆向的话,找到判断代码段并且修改的话,仍然能继续劫持,不过这样做的话就要承担法律风险责任了。

 

四、       补充话题:DLL劫持

可以回顾一下曾经比较实用的WS2_32.dll一度成为DLL劫持的不二对象,之前微软没有把它列为Known Dlls,虽然说这个DLL中函数比较多,但是如果想实行劫持的话,只需要将目标exe所引入的函数转发就可以了。不过并不是所有的程序都需要调用这个动态链接库的,因为他是Windows socket函数簇的模块。但是msimg就不一样了,因为User32.DLL也引用了该函数,所以如果没有把所有函数都转发的的话,可能引起错误,好在Msimg32.dll只有四个函数,毫不费力就可以完全转发,但是这恰恰是一个严重的漏洞产生原因。

 

本想贴上一段伪造msimg32.dll来调用QQ封装的MessageBox的例程,但是由于安全原因还是不做了。

评论 26
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值