Пост канала
- фото
DLL Hijacking: когда Windows загружает не ту библиотеку 👋 Приветствую в мире цифровой безопасности! Расскажу, как работает атака DLL Hijacking. ⏺Допустим, программа запускает helper.dll, не указывая полный путь. Если рядом с приложением лежит DLL с таким именем, Windows может загрузить её вместо той, которую разработчик рассчитывал найти в системном каталоге. ⏺На этом и строится DLL Hijacking. Атакующему не обязательно ломать само приложение. Достаточно разместить библиотеку там, где программа будет искать её раньше настоящей. ⏺Больше интересен сценарий с каталогом, доступным для записи обычному пользователю. Приложение запускается с более высокими правами, ищет helper.dll, находит подменённую библиотеку и загружает её уже в свой процесс. ⏺Именно поэтому при расследовании смотрят не только на сам EXE, но и на то, откуда приехала каждая DLL. В Sysinternals Process Monitor это можно увидеть по операциям CreateFile и Load Image: приложение сначала ищет DLL по нескольким путям, получает NAME NOT FOUND, а затем внезапно находит библиотеку в неожиданном каталоге. ⏺Для защиты помогает указывать абсолютные пути к библиотекам, не оставлять каталоги поиска доступными для записи обычным пользователям и контролировать загрузку DLL из пользовательских директорий. Если нужна вторая часть с разбором защиты от атаки, ставьте 🔥 🤖Бесплатный ChatGPT
Открыть в MAX- Просмотры
- 360
- ER
- 3,1%
- Реакции
- 11