“DLL 劫持”
DLL 劫持
DLL劫持，也被称为“二进制植入”，是一种利用Windows动态链接库（DLL）搜索和加载过程的网络攻击技术。在这种攻击中，恶意行为者会在操作系统优先于真正的DLL加载的位置，策略性地放置一个假DLL文件，这个文件通常伪装成合法文件。结果，当系统尝试加载DLL时，它无意中执行了攻击者植入的未经授权的代码。
DLL 劫持的工作原理
DLL 劫持的过程通常包括以下步骤：
识别存在漏洞的应用程序：攻击者进行侦察以识别未指定所需DLL完整路径的应用程序。这些应用程序依赖于系统的搜索顺序来定位和加载所需的DLL。
放置恶意DLL：一旦识别到存在漏洞的应用程序，攻击者会在系统搜索顺序优先的某个位置放置一个与合法DLL同名的恶意DLL。常见的位置包括应用程序目录、Windows系统目录或当前工作目录。
触发执行：当启动存在漏洞的应用程序时，操作系统会根据搜索顺序启动DLL的搜索和加载。不幸的是，由于恶意DLL的位置，系统会无意中加载并执行攻击者的代码，而不是预期的合法DLL。
这种攻击方法可被威胁行为者利用，在目标应用程序的上下文中执行任意代码，从而绕过安全措施，可能破坏系统的完整性和保密性。
预防提示
为了降低DLL劫持攻击的风险，请考虑以下预防措施：
完整路径指定：开发人员应明确指定要加载的DLL的完整路径，而不是依赖系统的搜索顺序。通过提供完整路径，开发人员可以确保加载预期的DLL，消除攻击者将系统定向到恶意DLL的可能性。
代码签名：实施代码签名实践可以增强应用程序加载的DLL的完整性和真实性。代码签名涉及使用受信任的证书颁发机构（CA）对DLL进行数字签名，允许系统在加载DLL之前验证其完整性和来源。此实践有助于防止被篡改或恶意DLL的执行。
用户权限：限制用户权限在防止未经授权的用户操作DLL或将DLL放置到可以被劫持的易感位置中起到关键作用。通过实施适当的访问控制，组织可以降低DLL劫持攻击的风险。
禁用自动加载：禁用自动DLL搜索和加载功能可以有效防止DLL劫持。可以通过从系统搜索路径中移除当前工作目录来实现此目的。通过这样做，系统将仅加载明确指定完整路径的DLL，从而减少了意外DLL执行的风险。
对于组织而言，优先保护他们的应用程序和系统免受DLL劫持是重要的，实施这些预防措施可以减轻潜在风险。
相关术语
DLL 注入：DLL注入是强制进程加载动态链接库（DLL）的行为。此技术可以用于合法目的，例如扩展功能，但也可以作为网络攻击的方法。
Rootkit：Rootkit是一种旨在获得未经授权的访问和控制计算机系统的恶意软件，同时能够规避检测。Rootkit以提升的权限运行，使其能够隐藏存在，并为攻击者提供一个隐蔽的平台，以获取系统或收集敏感信息。
来源：
- Microsoft Security Advisory 2269637: 不安全的库加载可能允许远程代码执行
- OWASP: DLL 劫持