DLL Hijacking cos’è e come funziona

DLL (Dynamic-link library) Hijacking è una nuova metodologia di attacco locale sviluppata e perfezionata da HD Moore (sviluppatore di metasploit) che lavora (per ora) solo su Windows.
Il principio di funzionamento è semplicissimo: viene sfruttato il meccanismo di caricamento delle DLL di windows.
Come sappiamo gli EXE richiamano le DLL su PATH predefinite. Se non viene trovata in quelle PATH predefinite uscirà l’errore che ci dice che manca una certa DLL

Il primo step di caricamento è quello di cercare le DLL all’interno della stessa path di esecuzione dell’EXE, poi su c:programmi ed infine su c:windowssystem32.

HD Moore ha quindi pensato di passargli una DLL appartenente al programma, ma modificata ad-hoc, sulla stessa PATH di esecuzione dell’EXE, così da farla caricare subito, senza andare a modificare c:programmi o c:windowssystem32 (anche perchè non sempre si ha accesso a quelle PATH).

Il risultato è quello che l’EXE si carica una DLL modificata e programmata come si vuole.

Microsoft ha recentemente rilasciato un advisory a riguardo, dove definice il DLL Hijacking come “DLL preloading attack“, offrendo poi varie tipologie di fix fra cui:

1. Programmare un software specificando la PATH da dove avviare la DLL di programma;
2. Modificare la sequenza di avvio delle DLL, facendo caricare per ultime quelle del percorso corrente (per esempio da c:programmi, poi da c:windowssystem32 e poi sul percorso attuale;

Grazie capitan ovvio!

Qua di seguito alcuni esempi di exploit da poco usciti:

Per altri exploit vi rimando a http://www.exploit-db.com/