LoadLibrary, stratum onerandi Windows DLL in Linuxapplicationes

Tavis Ormandy (Tavis ormandy) indagator securitatis apud Google qui exertus enucleat LoadLibrary, нацеленный на портирование собранных для Windows Bibliothecae DLL ad usum in applicationibus pro Linux. Проектом предоставляется библиотека-прослойка, при помощи которой можно загрузить DLL-файл в формате PE/COFF и вызвать определённые в нём функции. Загрузчик PE/COFF основан на коде ndiswrapper. Project code per distribui licentiatus sub GPLv2.

LoadLibrary берёт на себя функции загрузки библиотеки в память и импорта имеющихся символов, предоставляя Linux-приложению API в стиле dlopen. Подключаемый код может отлаживаться при помощи gdb, ASAN и Valgrind. Предусмотрена возможность корректировки исполняемого кода во время выполнения через подключение хуков и наложение патчей (runtime patching). Поддерживаются отработка и размотка (unwinding) исключений для C++.

Целью проекта является организация масштабируемого и эффективного распределённого fuzzing-тестирования DLL-библиотек в окружении на базе Linux. Quod Windows проведение fuzzing- и coverage-тестирования не позволяет добиться должной эффективности и часто требует запуска отдельного виртуализированного экземпляра Windows, особенно при попытке анализа усложнённых продуктов, таких как антивирусное ПО, охватывающих работу на уровне ядра и пространства пользователя. При помощи LoadLibrary исследователи из Google занимаются поиском уязвимостей в видеокодеках, антивирусных сканерах, библиотеках распаковки данных, декодировщиках изображений и т.п.

Например, при помощи LoadLibrary удалось портировать для запуска в Linux антивирусный движок Windows Defender. Исследование mpengine.dll, составляющего основу Windows Defender, дало возможность проанализировать большое число усложнённых обработчиков различных форматов, эмуляторов ФС и интерпретаторов языков, потенциально предоставляющих векторы для possibilis " impetus.

LoadLibrary etiam usus est ad recognoscendas remotis vulnerability in sarcina antivirus Avast. Cum ex hoc antiviro studebat DLL, revelatum est clavem processus privilegiati intuens includere JavaScript plenus-accola interpres ad aemulandum effectum codicis tertiae partis JavaScript. Processus hic in ambitu sandbox non segregatur, privilegia non reponit, et notitias externas e ratiocinatione tabellariorum sine verificatione analyses et commercii network intercipit. Cum quaevis vulnerabilitas in hoc complexu et indefenso processu potentia ad remotum totius systematis compromissum ducere posset, Testa peculiaris in LoadLibrary evoluta est. avscript для анализа уязвимостей в антивирусном сканере Avast в окружении на базе Linux.

Source: opennet.ru