حقن DLL

في برمجة الحاسوب ، يُعدّ حقن مكتبات الارتباط الديناميكي (DLL) أسلوبًا يُستخدم لتشغيل التعليمات البرمجية ضمن نطاق عناوين عملية أخرى عن طريق إجبارها على تحميل مكتبة ارتباط ديناميكي . ^{[ 1 ]} غالبًا ما تستخدم البرامج الخارجية حقن مكتبات الارتباط الديناميكي للتأثير على سلوك برنامج آخر بطريقة لم يتوقعها أو يقصدها مطوروه . ^{[ 1 ] [ 2 ] [ 3 ]} على سبيل المثال، يمكن للتعليمات البرمجية المحقونة أن تعترض استدعاءات وظائف النظام، ^{[ 4 ] [ 5 ]} أو تقرأ محتويات مربعات نص كلمات المرور ، وهو أمر لا يمكن القيام به بالطريقة المعتادة. ^{[ 6 ]} يُطلق على البرنامج المستخدم لحقن تعليمات برمجية عشوائية في عمليات عشوائية اسم " حاقن مكتبات الارتباط الديناميكي" .

توجد عدة طرق في نظام التشغيل مايكروسوفت ويندوز لإجبار عملية ما على تحميل وتنفيذ التعليمات البرمجية في ملف DLL لم يقصدها المؤلفون:

• يتم تحميل ملفات DLL المدرجة في سجل النظام في كل عملية تقوم بتحميل User32.dll أثناء الاستدعاء الأولي لهذا الملف. ^{[ 7 ] [ 8 ] [ 9 ]} بدءًا من نظام التشغيل Windows Vista ، يتم تعطيل AppInit_DLLs افتراضيًا. ^{[ 10 ]} بدءًا من نظام التشغيل Windows 7 ، تدعم بنية AppInit_DLL توقيع التعليمات البرمجية . بدءًا من نظام التشغيل Windows 8 ، يتم تعطيل جميع وظائف AppInit_DLL عند تمكين التمهيد الآمن ، بغض النظر عن توقيع التعليمات البرمجية أو إعدادات سجل النظام. ^{[ 11 ]}HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
• يتم تحميل ملفات DLL المدرجة ضمن مفتاح التسجيل HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDLLsفي كل عملية تستدعي وظائف واجهة برمجة تطبيقات Win32 . هذه هي الطريقة الصحيحة لاستخدام حقن DLL بشكل قانوني على نظام التشغيل Windows 10. يجب أن يكون ملف DLL موقعًا بشهادة صالحة.CreateProcessCreateProcessAsUserCreateProcessWithLogonWCreateProcessWithTokenWWinExec
• يمكن استخدام وظائف معالجة العمليات، مثل تقنيات حقن التعليمات البرمجيةCreateRemoteThread مثل AtomBombing، ^{[ 12 ]} لحقن مكتبة DLL في برنامج بعد بدء تشغيله. ^{[ 5 ] [ 6 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ]}
  1. افتح مؤشرًا للعملية المستهدفة. يمكن القيام بذلك عن طريق تشغيل العملية ^{[ 17 ] [ 18 ]} أو عن طريق البحث عن عنصر معروف وجوده تم إنشاؤه بواسطة تلك العملية - على سبيل المثال، نافذة بعنوان متوقع ^{[ 19 ]} أو عن طريق الحصول على قائمة بالعمليات الجارية ^{[ 20 ]} والبحث عن اسم ملف البرنامج التنفيذي المستهدف . ^{[ 21 ]}
  2. يتم تخصيص بعض الذاكرة في العملية المستهدفة، ^{[ 22 ]} ويُكتب اسم مكتبة الارتباط الديناميكي (DLL) المراد حقنها فيها. ^{[ 13 ] [ 23 ]}

     يمكن تخطي هذه الخطوة إذا كان اسم ملف DLL مناسب متوفرًا بالفعل في العملية المستهدفة. على سبيل المثال، إذا كانت العملية مرتبطة بـ User32.dll أو GDI32.dll أو Kernel32.dll أو أي مكتبة أخرى ينتهي اسمها بـ 32.dll، فسيكون من الممكن تحميل مكتبة تحمل الاسم ^{[ 24 ]} . وقد ثبت سابقًا أن هذه التقنية فعالة ضد إحدى طرق حماية العمليات من حقن ملفات DLL. ^{[ 25 ]}32.dll

  3. أنشئ سلسلة عمليات جديدة في العملية المستهدفة ^{[ 26 ]} ، مع تعيين عنوان بدء سلسلة العمليات ليكون عنوان LoadLibraryالسلسلة التي تم تحميلها للتو إلى العملية المستهدفة، وتعيين الوسيطة لتكون عنوان السلسلة. ^{[ 13 ] [ 27 ]}

     بدلاً من كتابة اسم مكتبة الارتباط الديناميكي (DLL) المراد تحميلها إلى الهدف وبدء سلسلة العمليات الجديدة عند هذا الاسم LoadLibrary، يمكن كتابة الكود المراد تنفيذه إلى الهدف وبدء سلسلة العمليات عند هذا الكود. ^{[ 6 ]}

  4. ثم يقوم نظام التشغيل باستدعاء روتين التهيئة الخاص بملف DLL المُضاف. ^{[ 13 ] [ 28 ]}

  تجدر الإشارة إلى أنه بدون اتخاذ الاحتياطات اللازمة، يمكن اكتشاف هذا النهج بواسطة العملية المستهدفة بسبب DLL_THREAD_ATTACHالإشعارات المرسلة إلى كل وحدة نمطية محملة عند بدء تشغيل مؤشر الترابط. ^{[ 28 ]}

• استدعاءات ربط ويندوز مثل SetWindowsHookEx. ^{[ 2 ] [ 5 ] [ 6 ] [ 29 ] [ 30 ] [ 31 ]}
• استخدم الدالة SuspendThread`or` NtSuspendThreadلتعليق جميع العمليات، ثم استخدم الدالة SetThreadContext`or` NtSetContextThreadلتعديل سياق عملية موجودة في التطبيق لتنفيذ التعليمات البرمجية المُضافة، والتي بدورها قد تُحمّل مكتبة DLL. ^{[ 4 ] [ 32 ] [ 33 ]}
• استغلال قيود التصميم في نظام التشغيل ويندوز والتطبيقات التي تستدعي الدالة LoadLibraryأو LoadLibraryExالدالة دون تحديد مسار كامل لملف DLL الذي يتم تحميله. ^{[ 34 ] [ 35 ] [ 36 ]}
• طبقات التوافق على مستوى نظام التشغيل .
• استبدال ملف DLL خاص بالتطبيق بملف بديل غير أصلي يقوم بتنفيذ نفس وظائف التصدير التي يقوم بها الملف الأصلي. ^{[ 37 ]}
• مكتبات الارتباط الديناميكية العاكسة أو مكتبات الارتباط الديناميكية القادرة على تحميل نفسها. يتم نسخ مكتبة الارتباط الديناميكية العاكسة إلى مساحة ذاكرة العملية المستهدفة، ويتم تمرير التنفيذ إلى نقطة دخول مكتبة الارتباط الديناميكية التي تقوم بدورها بتحميل نفسها من الذاكرة. ^{[ 38 ]}

في أنظمة التشغيل الشبيهة بنظام يونكس والتي تستخدم رابطًا ديناميكيًا يعتمد على ld.so (في أنظمة BSD ) وld-linux.so (في أنظمة لينكس )، يمكن ربط أي مكتبات بعملية جديدة عن طريق تحديد مسار المكتبة في متغير البيئة LD_PRELOAD ، والذي يمكن ضبطه بشكل عام أو بشكل فردي لعملية واحدة. ^{[ 39 ]}

على سبيل المثال، في نظام لينكس، يقوم هذا الأمر بتشغيل الأمر "prog" مع ربط المكتبة المشتركة من الملف "test.so" به عند وقت التشغيل:

LD_PRELOAD = "./test.so" prog 

يمكن إنشاء مكتبة كهذه بنفس طريقة إنشاء الكائنات المشتركة الأخرى . باستخدام GCC ، يتضمن ذلك تجميع ملف المصدر الذي يحتوي على المتغيرات العامة الجديدة المراد ربطها، باستخدام الخيار -fpic أو -fPIC ، ^{[ 40 ]} ثم الربط باستخدام الخيار -shared . ^{[ 41 ]} تتمتع المكتبة بإمكانية الوصول إلى الرموز الخارجية المُعلنة في البرنامج، تمامًا كأي مكتبة أخرى.

في نظام macOS ، يقوم الأمر التالي بتشغيل الأمر "prog" مع ربط المكتبة المشتركة من الملف "test.dylib" به عند وقت التشغيل: ^{[ 42 ]}

DYLD_INSERT_LIBRARIES="./test.dylib"DYLD_FORCE_FLAT_NAMESPACE=1prog 

It is also possible to use debugger-based techniques on Unix-like systems.^[43]