LoadLibrary, ett lager för att ladda Windows DLL:er i Linux-applikationer

Tavis Ormandy (Tavis Ormandy), säkerhetsexpert från Google, utvecklar ett projekt LoadLibrary, inriktat på att portera DLL-bibliotek som samlats in för Windows för användning i Linux-applikationer. Projektet tillhandahåller ett mellanlagerbibliotek, som gör det möjligt att ladda en DLL-fil i PE/COFF-format och anropa specifika funktioner i den. PE/COFF-laddaren bygger på koden ndiswrapper. Projektets kod sprids är under GPLv2-licensen.

LoadLibrary ansvarar för att ladda biblioteket i minnet och importera befintliga symboler, vilket ger Linux-applikationen ett API i stil med dlopen. Den länkade koden kan debugga med hjälp av gdb, ASAN och Valgrind. Möjlighet att justera körande kod under körning genom att koppla in hooks och applicera patchar (runtime patching) finns. Stöd för utvärdering och backtrace (unwinding) av undantag för C++ ingår.

Projektets mål är att organisera skalbart och effektivt distribuerat fuzzing-testande av DLL-bibliotek i en Linux-baserad miljö. I Windows tillåter fuzzing- och coverage-testing inte att man uppnår önskad effektivitet och kräver ofta att man kör en separat virtualiserad instans av Windows, särskilt vid analys av komplexa produkter som antivirusprogramvara, som involverar arbete på kärnnivå och användarutrymmets nivå. Genom LoadLibrary letar forskare från Google efter sårbarheter i videokodekar, antivirus-scanners, datadekomprimeringsbibliotek, bilddecoderare m.m.

Till exempel har LoadLibrary använts för att portera Windows Defender-antivirusmotorn för körning i Linux. Undersökning av mpengine.dll, som utgör kärnan i Windows Defender, har gjort det möjligt att analysera ett stort antal komplexa hanterare av olika format, filsystemsemmulatorer och språkinterpreterare som potentiellt erbjuder vektorer för möjliga attacker.

LoadLibrary har också använts för att identifiera en borttagen sårbarhet i antiviruspaketet Avast. Under studiet av DLL från denna antiviruslösning har det upptäckts att den centrala privilegierade skanningsprocessen inkluderar en fullständig JavaScript-tolkar som används för att emulera körningen av tredjeparts JavaScript-kod. Denna process är inte isolerad i en sandbox-miljö, återställer inga privilegier och utför analyser av osäkrade externa data från filsystemet och avlyssnad nätverkstrafik. Eftersom vilken sårbarhet som helst i denna komplicerade och oskyddade process potentiellt kan leda till fjärrkompromiss av hela systemet, har en speciell skal utvecklats baserat på LoadLibrary. avscript för att analysera sårbarheter i antivirusprogrammet Avast i en miljö baserad på Linux.

Källa: opennet.ru