Windows DLL을 Linux 애플리케이션에 로드하기 위한 계층인 LoadLibrary

타비스 올먼디(타비스 오만디), 프로젝트를 개발 중인 Google의 보안 연구원 LoadLibrary, Linux 애플리케이션에서 사용하기 위해 Windows용으로 컴파일된 DLL 포팅을 목표로 합니다. 이 프로젝트는 PE/COFF 형식의 DLL 파일을 로드하고 여기에 정의된 함수를 호출할 수 있는 레이어 라이브러리를 제공합니다. PE/COFF 부트로더는 코드를 기반으로 합니다. ndiswrapper. 프로젝트 코드 배포자 GPLv2에 따라 라이센스가 부여되었습니다.

LoadLibrary는 라이브러리를 메모리에 로드하고 기존 기호를 가져오는 작업을 처리하여 Linux 애플리케이션에 dlopen 스타일 API를 제공합니다. 플러그인 코드는 gdb, ASAN 및 Valgrind를 사용하여 디버깅할 수 있습니다. Hook을 연결하고 패치를 적용(런타임 패치)하여 실행 중에 실행 코드를 조정할 수 있습니다. C++에 대한 예외 처리 및 해제를 지원합니다.

이 프로젝트의 목표는 Linux 기반 환경에서 DLL 라이브러리의 확장 가능하고 효율적인 분산 퍼징 테스트를 구성하는 것입니다. Windows에서 퍼징 및 적용 범위 테스트는 그다지 효율적이지 않으며 특히 커널과 사용자 공간에 걸쳐 있는 바이러스 백신 소프트웨어와 같은 복잡한 제품을 분석하려고 할 때 별도의 가상화된 Windows 인스턴스를 실행해야 하는 경우가 많습니다. Google 연구원들은 LoadLibrary를 사용하여 비디오 코덱, 바이러스 스캐너, 데이터 압축 해제 라이브러리, 이미지 디코더 등의 취약점을 검색하고 있습니다.

예를 들어, LoadLibrary의 도움으로 Windows Defender 바이러스 백신 엔진을 Linux에서 실행되도록 포팅할 수 있었습니다. Windows Defender의 기반이 되는 mpengine.dll에 대한 연구를 통해 다양한 형식에 대한 다수의 정교한 프로세서, 파일 시스템 에뮬레이터 및 잠재적으로 벡터를 제공하는 언어 해석기를 분석할 수 있게 되었습니다. 가능하다 공격.

LoadLibrary는 식별에도 사용되었습니다. 원격 취약성 Avast 바이러스 백신 패키지에 있습니다. 이 바이러스 백신의 DLL을 연구한 결과, 주요 권한 검사 프로세스에는 타사 JavaScript 코드 실행을 에뮬레이션하는 데 사용되는 완전한 JavaScript 인터프리터가 포함되어 있는 것으로 나타났습니다. 이 프로세스는 샌드박스 환경에서 격리되지 않고, 권한을 재설정하지 않으며, 파일 시스템에서 확인되지 않은 외부 데이터와 가로채는 네트워크 트래픽을 분석합니다. 이 복잡하고 보호되지 않는 프로세스의 취약점은 잠재적으로 전체 시스템의 원격 손상으로 이어질 수 있으므로 LoadLibrary를 기반으로 특수 셸이 개발되었습니다. AV스크립트 Linux 기반 환경에서 Avast 바이러스 백신 스캐너의 취약점을 분석합니다.

출처 : opennet.ru