Ты не пройдешь! Изучаем методы предотвращения подгрузки DLL

В основном Windows исполь­зует два фор­мата исполня­емых фай­лов — .exe и DLL. Пер­вые пред­став­ляют собой при­выч­ные для нас прог­раммы, а DLL — это биб­лиоте­ки с допол­нитель­ными фун­кци­ями, под­гру­жаемые исполня­емым фай­лом. Фай­лы DLL могут быть заг­ружены в про­цесс и сра­зу при запус­ке (так называ­емая ста­тичес­кая лин­ковка), и при выпол­нении (динами­чес­кая лин­ковка), то есть ког­да про­цесс уже вов­сю работа­ет и вдруг что‑то его под­талки­вает к решению заг­рузить биб­лиоте­ку.

Ни для кого не сек­рет, что про­цес­сы в Windows име­ют вир­туаль­ное адресное прос­транс­тво. Прос­транс­тво пред­став­ляет собой кусок памяти, который при­над­лежит толь­ко текуще­му про­цес­су. В этой час­ти памяти будут дан­ные толь­ко текуще­го про­цес­са. При под­груз­ке DLL ока­зыва­ется в том же самом адресном прос­транс­тве и, как следс­твие, получа­ет дос­туп ко всем дан­ным про­цес­са. Такое поведе­ние при­водит к тому, что злос­тные хакеры так и жела­ют, так и ждут под­груз­ки сво­ей вре­донос­ной биб­лиоте­ки в наш про­цесс, что­бы уста­новить хуки, сдам­пить память и вся­чес­ки изме­нить поведе­ние прог­раммы. С этим мож­но бороть­ся! Давай пос­мотрим как.

UpdateProcThreadAttribute

Пред­лагаю начать с наибо­лее рас­простра­нен­ных спо­собов пре­дот­вра­щения под­груз­ки DLL-биб­лиотек в про­цесс. Пер­вый вари­ант осно­ван на фун­кции UpdateProcThreadAttribute(). Для его реали­зации уста­нав­лива­ется спе­циаль­ное зна­чение:

Единс­твен­ная проб­лема — в нашу прог­рамму все‑таки смо­гут внед­рять­ся чужие либы, но толь­ко если они под­писаны в Microsoft. Так­же сто­ит отме­тить, что пре­дот­вра­щение под­груз­ки DLL будет при­менять­ся к про­цес­су, который мы запус­тим через CreateProcess(), к текуще­му про­цес­су при­менить эту фун­кцию не получит­ся.

Тем не менее есть воз­можность обой­ти это огра­ниче­ние. Наш текущий про­цесс может про­верять, был ли он запущен с парамет­ром, огра­ничи­вающим под­груз­ку DLL. Если нет, то он запус­кает копию самого себя, но уже с помощью атри­бутов, которые уста­нав­лива­ются в фун­кции UpdateProcThreadAttribute().

Итак, сна­чала напишем фун­кцию CreateProcessWithBlockDllPolicy(). Для это­го нам пот­ребу­ется лишь путь до исполня­емо­го фай­ла, который нуж­но запус­тить. Фун­кция будет воз­вра­щать PID запущен­ного про­цес­са, его хендл, а так­же хендл потока про­цес­са.

Сна­чала мы очи­щаем струк­туры, а затем ини­циали­зиру­ем струк­туры, необ­ходимые для запус­ка про­цес­са. Допол­нитель­но уста­нав­лива­ем флаг:

Это даст воз­можность зап­скать про­цес­сы с нуж­ной митига­цией.

Да­лее с помощью фун­кции InitializeProcThreadAttributeList() готовим струк­туру LPPROC_THREAD_ATTRIBUTE_LIST. Ее будем ука­зывать в фун­кцию UpdateProcAttributeList(). Двой­ной вызов фун­кции стан­дартен для Windows — пер­вый вызов слу­жит для получе­ния нуж­ного раз­мера, а вто­рой для ини­циали­зации эле­мен­тов струк­туры.

За­тем с помощью фун­кции UpdateProcAttributeList() заносим необ­ходимые атри­буты в нашу струк­туру со спис­ком атри­бутов, пос­ле чего при­меня­ем ее в фун­кции CreateProcessA(), что поз­воля­ет запус­тить про­цесс с защитой от под­груз­ки левых биб­лиотек.

Как же запус­тить текущий про­цесс, при­менив эту фун­кцию? Здесь будем исполь­зовать аргу­мен­ты коман­дной стро­ки. Наш про­цесс может породить дочер­ний такой же про­цесс с митига­цией, а самого себя унич­тожить. Для это­го нам нуж­но соз­дать спе­циаль­ный STOP_ARG. Если вдруг в аргу­мен­тах коман­дной стро­ки текуще­го про­цес­са нет STOP_ARG, то он дол­жен переза­пус­тить­ся с защитой от под­груз­ки DLL.

На­ша фун­кция main() дол­жна выг­лядеть вот так:

Сна­чала объ­явля­ются некото­рые дирек­тивы, поз­воля­ющие управлять тем, что мы хотим получить от кода. Если хотим защитить собс­твен­ную прог­рамму, то оставля­ем define LOCAL_BLOCKDLLPOLICY. Если хотим запус­тить иной про­цесс с защитой от под­груз­ки DLL, то уби­раем это поле.