התקפות DLL פגיעות, מניעה וזיהוי

DLL מייצג ספריות קישור דינמי והן הן חלקים חיצוניים של יישומים הפועלים ב- Windows או בכל מערכת הפעלה אחרת. רוב היישומים אינם מלאים בעצמם וקוד החנות בקבצים שונים. אם יש צורך בקוד, הקובץ הקשור נטען לזיכרון ומשומש. פעולה זו מפחיתה את גודל קובץ היישום תוך אופטימיזציה של השימוש ב- RAM. מאמר זה מסביר מה הוא חטיפת DLL וכיצד לאתר אותו ולמנוע אותו.

מה הם קבצי DLL או ספריות קישור דינמי

קבצי DLL הם ספריות קישור דינמיות וכפי שמוצג על ידי השם, הן הרחבות של יישומים שונים. כל יישום שאנו משתמשים בו עשוי או אינו משתמש בקודים מסוימים. קודים אלה מאוחסנים בקבצים שונים ומועלים או נטענים לזיכרון RAM רק כאשר נדרש קוד קשור. לכן, הוא שומר קובץ יישום מלהיות גדול מדי וכדי למנוע משאב hogging על ידי היישום.

הנתיב עבור קבצי DLL נקבעים על ידי מערכת ההפעלה Windows. הנתיב מוגדר באמצעות משתנים סביבתיים גלובלי. כברירת מחדל, אם יישום מבקש קובץ DLL, מערכת ההפעלה בוחנת את אותה תיקייה שבה מאוחסן היישום. אם הוא לא נמצא שם, הוא עובר לתיקיות אחרות כפי שנקבעו על ידי המשתנים הגלובליים. יש סדרי עדיפויות מחובר נתיבים וזה עוזר Windows בקביעת מה התיקיות לחפש את קבצי DLL. זה המקום שבו חטיפת DLL מגיע.

מה זה חטיפת DLL

מאז קבצי DLL הם הרחבות הכרחי להשתמש כמעט בכל היישומים על המכונות שלך, הם נמצאים במחשב בתיקיות שונות כמוסבר. אם קובץ ה- DLL המקורי מוחלף בקובץ DLL מזויף המכיל קוד זדוני, הוא ידוע בתור חטיפת DLL

כפי שצוין קודם, יש סדרי עדיפויות באשר למקום שבו מערכת ההפעלה מחפשת קבצי DLL. ראשית, הוא מסתכל לתוך אותה תיקייה כמו תיקיית היישום ולאחר מכן הולך לחפש, על פי סדרי העדיפויות שנקבעו על ידי משתני סביבה של מערכת ההפעלה. לכן, אם קובץ good.dll נמצא בתיקייה SysWOW64 ומישהו מציב bad.dll בתיקיה בעלת עדיפות גבוהה יותר בהשוואה לתיקייה SysWOW64, מערכת ההפעלה תשתמש בקובץ bad.dll, כיוון שיש לה שם זהה ל- DLL המבוקש על ידי הבקשה. פעם ב- RAM, הוא יכול לבצע את קוד זדוני הכלול בקובץ עלול לסכן את המחשב או הרשתות.

כיצד לזהות חטיפת DLL

השיטה הקלה ביותר לזהות ולמנוע חטיפת DLL היא להשתמש בכלים של צד שלישי. יש כמה כלים טובים בחינם זמין בשוק המסייע בזיהוי ניסיון גרזן DLL ולמנוע את זה.

תוכנית אחת כזו היא DLL Hijack המבקר אבל הוא תומך רק 32 סיביות יישומים. אתה יכול להתקין את זה במחשב ולסרוק את כל היישומים של Windows כדי לראות מה כל היישומים פגיעים לחטוף DLL. הממשק פשוט ומובן מאליו. החיסרון היחיד של יישום זה הוא שאתה לא יכול לסרוק 64-bit יישומים.

תוכנית אחרת, כדי לזהות חטיפת DLL, DLL_HIJACK_DETECT, זמין דרך GitHub. תוכנית זו בודקת יישומים כדי לראות אם כל אחד מהם חשופים חטיפת DLL. אם כן, התוכנית מודיעה למשתמש. היישום יש שתי גרסאות - x86 ו x64, כך שתוכל להשתמש כל אחד כדי לסרוק הן 32 סיביות ו 64 ביט יישומים בהתאמה.

יש לציין כי התוכניות הנ"ל פשוט לסרוק את היישומים על פלטפורמת Windows עבור נקודות תורפה ולא ממש למנוע חטיפה של קבצי DLL.

כיצד למנוע חטיפת DLL

הבעיה צריכה להיות מתמודד על ידי המתכנתים מלכתחילה כמו אין הרבה מה שאתה יכול לעשות מלבד כדי לשפר את מערכות האבטחה שלך. אם, במקום נתיב יחסי, מתכנתים מתחילים להשתמש בנתיב מוחלט, הפגיעות תצטמצם. קריאת הנתיב המוחלט, Windows או כל מערכת הפעלה אחרת לא תלויים במשתני מערכת עבור הנתיב וימשיכו ישר ל- DLL המיועד, ובכך יבטלו את הסיכויים לטעינת אותו שם DLL בנתיב עדיפות גבוהה יותר. שיטה זו גם היא לא הוכחה הוכחה כי אם המערכת נפגעת, ואת cybercriminals יודע את הנתיב המדויק של DLL, הם יחליפו את DLL המקורי עם DLL מזויפים. זה יהיה להחליף את הקובץ כך DLL המקורי הוא השתנה קוד זדוני. אבל שוב, cybercriminal יצטרך לדעת את הנתיב המוחלט המדויק שהוזכר ביישום זה קורא את DLL. התהליך הוא קשה עבור cybercriminals ולכן ניתן לסמוך עלחוזר למה שאתה יכול לעשות, רק מנסה להרחיב את מערכות האבטחה שלך כדי לאבטח את מערכת Windows. השתמש בחומת אש טובה. אם ניתן, השתמש בחומת אש של חומרה או הפעל את חומת האש של הנתב. השתמש במערכות גילוי חדירות טובות כדי שתדע אם מישהו מנסה לשחק עם המחשב שלך.

אם אתה נמצא במחשבים לפתרון בעיות, תוכל גם לבצע את הפעולות הבאות כדי לשפר את האבטחה:

בטל טעינת DLL ממיקומי רשת מרוחקים

1. בטל טעינת קבצי DLL מ- WebDAV
2. השבת לחלוטין את שירות WebClient או הגדר אותו ידנית
3. חסום את יציאות TCP 445 ו -139 כפי שהן משמשות ביותר עבור מחשבים מתנגשים
4. התקן את העדכונים האחרונים עבור ההפעלה מערכת ותוכנות אבטחה.
5. Microsoft

פרסמה כלי לחסימת התקפות חטיפת DLL. כלי זה מקטין את הסיכון של התקפות DLL חטיפה על ידי מניעת יישומים מפני טעינת קוד לא בטוח מקבצי DLL. אם אתה רוצה להוסיף משהו למאמר, בבקשה להגיב להלן.