Dll Hijacking
バグバウンティのヒント: ハッカーによって作成されたプレミアムなバグバウンティプラットフォームであるIntigritiにサインアップして、最大$100,000のバウンティを獲得しましょう!https://go.intigriti.com/hacktricks で参加してください。
基本情報
DLLハイジャッキングは、信頼されたアプリケーションを悪意のあるDLLを読み込むように操作することを指します。この用語には、DLLスプーフィング、インジェクション、およびサイドローディングなどの複数の戦術が含まれます。主にコードの実行、持続性の達成、そして稀に特権昇格に使用されます。ここでは昇格に焦点を当てていますが、ハイジャッキングの方法は目的に関係なく一貫しています。
一般的な技術
DLLハイジャッキングには、アプリケーションのDLL読み込み戦略に依存する効果が異なるいくつかの方法があります。
DLLの置換: 正規のDLLを悪意のあるDLLと交換し、オプションでDLLプロキシングを使用して元のDLLの機能を維持します。
DLLサーチオーダーハイジャッキング: 悪意のあるDLLを正規のDLLの前に検索パスに配置し、アプリケーションの検索パターンを悪用します。
ファントムDLLハイジャッキング: アプリケーションが読み込む必要があると思っている存在しないDLLを作成します。
DLLリダイレクション:
%PATH%
や.exe.manifest
/.exe.local
ファイルなどの検索パラメータを変更して、アプリケーションを悪意のあるDLLに誘導します。WinSxS DLLの置換: WinSxSディレクトリ内の正規のDLLを悪意のあるDLLに置き換える方法であり、DLLサイドローディングとしばしば関連付けられます。
相対パスDLLハイジャッキング: コピーされたアプリケーションと共にユーザーが制御するディレクトリに悪意のあるDLLを配置し、バイナリプロキシ実行技術を模倣します。
欠落しているDLLの検出
システム内の欠落しているDLLを見つける最も一般的な方法は、procmonを実行し、次の2つのフィルターを設定することです:
そして、ファイルシステムアクティビティを表示します:
一般的な欠落しているDLLを探している場合は、数秒間これを実行しておきます。 特定の実行可能ファイル内の欠落しているDLLを探している場合は、「プロセス名」が「<exec name>」を含むような別のフィルターを設定し、実行してからイベントのキャプチャを停止します。
欠落しているDLLの悪用
特権を昇格させるためには、特権プロセスが読み込もうとするDLLを書き込むことができる最善の方法は、検索される場所のいずれかにDLLを書き込むことです。したがって、元のDLLよりも前にDLLが検索されるフォルダーにDLLを書き込むことができるか、またはDLLが存在しないフォルダーにDLLが検索されるフォルダーに書き込むことができます。
DLL検索順序
Microsoftのドキュメント 内で、DLLが特定の方法で読み込まれる方法が記載されています。
Windowsアプリケーションは、特定のシーケンスに従って一連の事前定義された検索パスに従ってDLLを検索します。DLLハイジャッキングの問題は、有害なDLLがこれらのディレクトリの1つに戦略的に配置され、正規のDLLよりも先に読み込まれるようにすることで発生します。これを防ぐ解決策は、アプリケーションが必要とするDLLを参照する際に絶対パスを使用することを確認することです。
32ビットシステムでのDLL検索順序は以下の通りです:
アプリケーションが読み込まれたディレクトリ。
システムディレクトリ。このディレクトリのパスを取得するには、GetSystemDirectory 関数を使用します。(C:\Windows\System32)
16ビットシステムディレクトリ。このディレクトリのパスを取得する関数はありませんが、検索されます。(C:\Windows\System)
Windowsディレクトリ。このディレクトリのパスを取得するには、GetWindowsDirectory 関数を使用します。(C:\Windows)
現在のディレクトリ。
PATH環境変数にリストされているディレクトリ。これには、App Pathsレジストリキーで指定されたアプリケーションごとのパスは含まれません。App Pathsキーは、DLL検索パスの計算に使用されません。
これがSafeDllSearchModeが有効な状態でのデフォルトの検索順序です。無効にするには、HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode レジストリ値を作成し、0に設定します(デフォルトは有効)。
LoadLibraryEx 関数がLOAD_WITH_ALTERED_SEARCH_PATHで呼び出されると、検索はLoadLibraryExが読み込んでいる実行可能モジュールのディレクトリから開始されます。
最後に、絶対パスを指定してDLLを読み込むこともできます。その場合、そのDLLはそのパスのみで検索されます(DLLに依存関係がある場合、名前で読み込まれるだけです)。
検索順序を変更する他の方法もありますが、ここでは説明しません。
Windowsドキュメントからのdll検索順序の例外
Windowsのドキュメントには、標準のDLL検索順序に対する特定の例外が記載されています:
メモリにすでに読み込まれているDLLと同じ名前のDLLが見つかった場合、システムは通常の検索をバイパスします。代わりに、リダイレクトとマニフェストのチェックを実行し、メモリにすでにあるDLLにデフォルトで移行します。このシナリオでは、システムはDLLの検索を実行しません。
DLLが現在のWindowsバージョンの既知のDLLとして認識される場合、システムは既知のDLLのバージョンを利用し、依存するDLLと共に検索プロセスをスキップします。レジストリキーHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLsには、これらの既知のDLLのリストが保存されています。
DLLに依存関係がある場合、依存するDLLの検索は、初期のDLLが完全なパスを介して特定されたかどうかに関係なく、そのモジュール名のみで指定されたかのように実行されます。
特権の昇格
要件:
異なる特権(水平または垂直移動)で動作するプロセスを特定し、DLLが不足していることを確認します。
DLLが検索されるディレクトリに書き込みアクセスが利用可能であることを確認します。この場所は、実行可能ファイルのディレクトリまたはシステムパス内のディレクトリである可能性があります。
はい、要件を見つけるのは複雑です。デフォルトでは特権のある実行可能ファイルがDLLを欠いているのは奇妙であり、システムパスフォルダに書き込み権限を持っているのはさらに奇妙です(通常はできません)。ただし、構成が誤っている環境では、これが可能です。 要件を満たすことができる幸運な場合、UACMEプロジェクトをチェックできます。プロジェクトの主な目標はUACのバイパスですが、おそらく書き込み権限があるフォルダのパスを変更するだけで使用できるWindowsバージョンのDLLハイジャッキングのPoCが見つかるかもしれません。
フォルダのアクセス許可を確認するには、次のようにします:
そして、PATH内のすべてのフォルダのアクセス許可を確認します:
あなたは実行可能ファイルのインポートとDLLのエクスポートも次のようにチェックできます:
Dll Hijackingを濫用して特権を昇格する方法の完全ガイドについては、System Pathフォルダに書き込み権限があるかどうかを確認してください:
pageWritable Sys Path +Dll Hijacking Privesc自動化ツール
Winpeasは、システムPATH内の任意のフォルダに書き込み権限があるかどうかをチェックします。 この脆弱性を発見するための他の興味深い自動化ツールには、PowerSploit functions:Find-ProcessDLLHijack、Find-PathDLLHijack、Write-HijackDll があります。
例
悪用可能なシナリオを見つけた場合、それを成功裏に悪用するために最も重要なことの1つは、実行ファイルがそれからインポートする少なくともすべての関数をエクスポートするdllを作成することです。とにかく、Dll Hijackingは、中間インテグリティレベルから高いレベルに(UACをバイパスして)昇格するか、高いインテグリティからSYSTEMに昇格するために便利です。有効なdllを作成する方法の例は、このdllハイジャッキング研究に焦点を当てたサンプルで見つけることができます:https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows。 さらに、次のセクションでは、テンプレートとして役立つ基本的なdllコードや、不要な関数がエクスポートされたdllを作成するためのものがいくつか見つかります。
Dllの作成とコンパイル
Dllプロキシ化
基本的にDllプロキシは、ロードされるときに悪意のあるコードを実行できるDllであり、また実際のライブラリにすべての呼び出しをリレーすることで、公開され、機能することができます。
ツールDLLirantまたはSpartacusを使用すると、実際のライブラリにプロキシ化したdllを生成するために、実行可能ファイルを指定し、またはDllを指定してプロキシ化したdllを生成することができます。
Meterpreter
rev shellを取得(x64):
メータープリンタを取得する(x86):
ユーザーを作成します(x86バージョンはx64バージョンは見当たりませんでした):
あなた自身
複数の場合において、コンパイルしたDllは複数の関数をエクスポートしなければならず、これらの関数が存在しない場合、バイナリはそれらをロードできず、エクスプロイトは失敗します。
参考文献
バグバウンティのヒント: Intigriti に サインアップ してください。これはハッカーによって作成されたプレミアム バグバウンティプラットフォーム です!https://go.intigriti.com/hacktricks で参加し、最大 $100,000 のバウンティを獲得しましょう!
Last updated