लोडलाइब्रेरी, विंडोज़ डीएलएल को लिनक्स अनुप्रयोगों में लोड करने के लिए एक परत

टैविस ऑरमैंडी (तावीस ओरमंडी), Google में एक सुरक्षा शोधकर्ता जो इस परियोजना को विकसित कर रहा है LoadLibrary, जिसका उद्देश्य लिनक्स अनुप्रयोगों में उपयोग के लिए विंडोज़ के लिए संकलित डीएलएल को पोर्ट करना है। प्रोजेक्ट एक लेयर लाइब्रेरी प्रदान करता है जिसके साथ आप पीई/सीओएफएफ प्रारूप में एक डीएलएल फ़ाइल लोड कर सकते हैं और इसमें परिभाषित कार्यों को कॉल कर सकते हैं। PE/COFF बूटलोडर कोड पर आधारित है एनडिसरैपर. परियोजना का कोड द्वारा वितरित GPLv2 के अंतर्गत लाइसेंस प्राप्त।

LoadLibrary लाइब्रेरी को मेमोरी में लोड करने और मौजूदा प्रतीकों को आयात करने का ध्यान रखता है, लिनक्स एप्लिकेशन को dlopen-style API प्रदान करता है। प्लग-इन कोड को gdb, ASAN और Valgrind का उपयोग करके डीबग किया जा सकता है। निष्पादन के दौरान हुक जोड़कर और पैच (रनटाइम पैचिंग) लगाकर निष्पादन योग्य कोड को समायोजित करना संभव है। C++ के लिए अपवाद प्रबंधन और अनवाइंडिंग का समर्थन करता है।

परियोजना का लक्ष्य लिनक्स-आधारित वातावरण में डीएलएल पुस्तकालयों के स्केलेबल और कुशल वितरित फ़ज़िंग परीक्षण को व्यवस्थित करना है। विंडोज़ पर, फ़ज़िंग और कवरेज परीक्षण बहुत कुशल नहीं है और अक्सर विंडोज़ के एक अलग वर्चुअलाइज्ड इंस्टेंस को चलाने की आवश्यकता होती है, खासकर जब एंटीवायरस सॉफ़्टवेयर जैसे जटिल उत्पादों का विश्लेषण करने का प्रयास किया जाता है जो कर्नेल और उपयोगकर्ता स्थान को फैलाते हैं। LoadLibrary का उपयोग करते हुए, Google शोधकर्ता वीडियो कोडेक्स, वायरस स्कैनर, डेटा डीकंप्रेसन लाइब्रेरी, इमेज डिकोडर आदि में कमजोरियों की खोज कर रहे हैं।

उदाहरण के लिए, LoadLibrary की मदद से हम लिनक्स पर चलने के लिए विंडोज डिफेंडर एंटीवायरस इंजन को पोर्ट करने में सक्षम थे। mpengine.dll का अध्ययन, जो विंडोज डिफेंडर का आधार बनता है, ने विभिन्न प्रारूपों, फ़ाइल सिस्टम एमुलेटरों और भाषा दुभाषियों के लिए बड़ी संख्या में परिष्कृत प्रोसेसर का विश्लेषण करना संभव बना दिया है जो संभावित रूप से वैक्टर प्रदान करते हैं। संभव आक्रमण.

पहचान के लिए LoadLibrary का भी उपयोग किया गया दूरस्थ भेद्यता अवास्ट एंटीवायरस पैकेज में। इस एंटीवायरस से डीएलएल का अध्ययन करते समय, यह पता चला कि मुख्य विशेषाधिकार प्राप्त स्कैनिंग प्रक्रिया में एक पूर्ण जावास्क्रिप्ट दुभाषिया शामिल है जिसका उपयोग तीसरे पक्ष के जावास्क्रिप्ट कोड के निष्पादन का अनुकरण करने के लिए किया जाता है। यह प्रक्रिया सैंडबॉक्स वातावरण में पृथक नहीं है, विशेषाधिकारों को रीसेट नहीं करती है, और फ़ाइल सिस्टम और इंटरसेप्टेड नेटवर्क ट्रैफ़िक से असत्यापित बाहरी डेटा का विश्लेषण करती है। चूँकि इस जटिल और असुरक्षित प्रक्रिया में कोई भी भेद्यता संभावित रूप से पूरे सिस्टम के दूरस्थ समझौता का कारण बन सकती है, इसलिए LoadLibrary पर आधारित एक विशेष शेल विकसित किया गया था avscript लिनक्स-आधारित वातावरण में अवास्ट एंटीवायरस स्कैनर में कमजोरियों का विश्लेषण करने के लिए।

स्रोत: opennet.ru