LoadLibrary, שכבה לטעינת קובצי DLL של Windows לתוך יישומי לינוקס

טוויס אורמנדי (טוויס אורמנדי), חוקר אבטחה בגוגל שמפתח את הפרויקט LoadLibrary, שמטרתו לנייד קובצי DLL שהורכבו עבור Windows לשימוש ביישומי לינוקס. הפרויקט מספק ספריית שכבות איתה ניתן לטעון קובץ DLL בפורמט PE/COFF ולקרוא לפונקציות המוגדרות בו. טוען האתחול PE/COFF מבוסס על קוד נדיפה. קוד פרויקט מופץ על ידי מורשה תחת GPLv2.

LoadLibrary דואגת לטעון את הספרייה לזיכרון ולייבא סמלים קיימים, ומספקת לאפליקציית לינוקס API בסגנון dlopen. ניתן לנפות באגים בקוד התוסף באמצעות gdb, ASAN ו- Valgrind. ניתן להתאים את קוד ההפעלה במהלך הביצוע על ידי חיבור הוקס והחלת תיקונים (תיקון זמן ריצה). תומך בטיפול ושחרור חריגים עבור C++.

מטרת הפרויקט היא לארגן בדיקות פיזור מבוזרות מדרגיות ויעילה של ספריות DLL בסביבה מבוססת לינוקס. ב-Windows, בדיקות ה-fuzzing וכיסוי אינן יעילות במיוחד ולעיתים קרובות דורשות הפעלת מופע וירטואלי נפרד של Windows, במיוחד כאשר מנסים לנתח מוצרים מורכבים כגון תוכנת אנטי-וירוס המשתרעת על פני הליבה ומרחב המשתמש. באמצעות LoadLibrary, חוקרי גוגל מחפשים נקודות תורפה בקודקים של וידאו, סורקי וירוסים, ספריות פירוק נתונים, מפענחי תמונות וכו'.

לדוגמה, בעזרת LoadLibrary הצלחנו להעביר את מנוע האנטי וירוס של Windows Defender להפעלה על לינוקס. המחקר של mpengine.dll, המהווה את הבסיס של Windows Defender, איפשר לנתח מספר רב של מעבדים מתוחכמים עבור פורמטים שונים, אמולטורים של מערכות קבצים ומתורגמני שפות שעשויים לספק וקטורים עבור אפשרי התקפות.

LoadLibrary שימש גם לזיהוי פגיעות מרחוק בחבילת האנטי וירוס Avast. כאשר למדו את ה-DLL מאנטי וירוס זה, התגלה שתהליך הסריקה הפריבילגי של המפתח כולל מתורגמן JavaScript מלא המשמש לחיקוי ביצוע של קוד JavaScript של צד שלישי. תהליך זה אינו מבודד בסביבת ארגז חול, אינו מאפס הרשאות ומנתח נתונים חיצוניים לא מאומתים ממערכת הקבצים ותעבורת רשת מיירטת. מכיוון שכל פגיעות בתהליך המורכב והלא מוגן הזה עלולה להוביל לפגיעה מרחוק של המערכת כולה, פותחה מעטפת מיוחדת המבוססת על LoadLibrary avscript לנתח נקודות תורפה בסורק האנטי וירוס Avast בסביבה מבוססת לינוקס.

מקור: OpenNet.ru