LoadLibrary, слой за зареждане на Windows DLL в приложения под Linux

Тавис Орманди (Tavis Ormandy), изследовател по сигурността в Google, развива проект LoadLibrary, целящ към портироване на събрани за Windows DLL библиотеки за използване в приложения за Linux. Проектът предоставя библиотека-слой, с помощта на която може да се зареди DLL файл в PE/COFF формат и да се извикат определени в него функции. Зареждачът PE/COFF е базиран на код ndiswrapper. Кодът на проекта се разпространява под лицензия GPLv2.

LoadLibrary поема функциите за зареждане на библиотеката в паметта и импортиране на наличните символи, предоставяйки на Linux приложението API в стил dlopen. Свързаният код може да бъде отдебъгван с помощта на gdb, ASAN и Valgrind. Предоставя се възможност за корекция на изпълняемия код по време на изпълнение чрез свързване на хук и налагане на пачове (runtime patching). Поддържат се обработка и разплита на изключения за C++.

Целта на проекта е организиране на мащабируемо и ефективно разпределено fuzzing тестване на DLL библиотеки в среда, базирана на Linux. В Windows провеждането на fuzzing и coverage тестване не позволява постигане на необходимата ефективност и често изисква стартиране на отделен виртуализиран екземпляр на Windows, особено при опит за анализ на сложни продукти, като антивирусен софтуер, обхващащи работа на ниво ядро и пространство на потребителя. С помощта на LoadLibrary изследователите от Google търсят уязвимости в видеокодеци, антивирусни скенери, библиотеки за разархивиране на данни, декодери на изображения и др.

Например, с помощта на LoadLibrary успяха да портируют антивирусния движок Windows Defender за работа в Linux. Изследването на mpengine.dll, който е основата на Windows Defender, предостави възможност за анализ на голям брой сложни обработвачи на различни формати, емулатори на файлови системи и интерпретатори на езици, които потенциално предлагат вектори за възможни атаки.

LoadLibrary също така беше използван при открития отдалечена уязвимост в антивирусния пакет Avast. При анализ на DLL от този антивирус беше установено, че ключовият привилегирован процес на сканиране включва пълен JavaScript интерпретатор, използван за емулация на изпълнението на сторонен JavaScript код. Този процес не е изолиран в sandbox среда, не декомпресира привилегиите и извършва анализ на непроверени външни данни от файловата система и прихванатия мрежов трафик. Тъй като всяка уязвимост в този усложнен и незащитен процес потенциално може да доведе до дистанционна компрометация на цялата система, на базата на LoadLibrary беше разработена специална обвивка. avscript за анализ на уязвимости в антивирусния сканер Avast в среда на базата на Linux.

Източник: opennet.ru