Inyección de DLL

En programación informática , la inyección de DLL es una técnica utilizada para ejecutar código dentro del espacio de direcciones de otro proceso al forzarlo a cargar una biblioteca de vínculos dinámicos . ^{[ 1 ]} La inyección de DLL es utilizada frecuentemente por programas externos para influir en el comportamiento de otro programa de una manera que sus autores no anticiparon ni pretendieron. ^{[ 1 ] [ 2 ] [ 3 ]} Por ejemplo, el código inyectado podría interceptar llamadas a funciones del sistema, ^{[ 4 ] [ 5 ]} o leer el contenido de los cuadros de texto de contraseñas , lo cual no se puede hacer de la manera habitual. ^{[ 6 ]} Un programa utilizado para inyectar código arbitrario en procesos arbitrarios se denomina inyector de DLL .

En Microsoft Windows existen varias maneras de forzar a un proceso a cargar y ejecutar código en una DLL que los autores no pretendían:

• Las DLL listadas en la entrada del registroHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs se cargan en cada proceso que carga User32.dll durante la llamada inicial de esa DLL. ^{[ 7 ] [ 8 ] [ 9 ]} A partir de Windows Vista , las AppInit_DLL están deshabilitadas de forma predeterminada. ^{[ 10 ]} A partir de Windows 7 , la infraestructura de AppInit_DLL admite la firma de código . A partir de Windows 8 , toda la funcionalidad de AppInit_DLL se deshabilita cuando se habilita el Arranque seguro , independientemente de la firma de código o la configuración del registro. ^{[ 11 ]}
• Las DLL listadas en la clave del registro HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDLLsse cargan en cada proceso que llama a las funciones de la API de Win32CreateProcess , CreateProcessAsUser, CreateProcessWithLogonW, CreateProcessWithTokenWy WinExec. Esa es la forma correcta de usar la inyección de DLL legal en la versión actual de Windows (Windows 10). La DLL debe estar firmada con un certificado válido.
• Las funciones de manipulación de procesos, como las técnicas de inyección de códigoCreateRemoteThread como AtomBombing, ^{[ 12 ]} pueden usarse para inyectar una DLL en un programa después de que se haya iniciado. ^{[ 5 ] [ 6 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ]}
  1. Abrir un identificador para el proceso objetivo. Esto se puede hacer generando el proceso ^{[ 17 ] [ 18 ]} o utilizando como clave algo creado por ese proceso que se sabe que existe, por ejemplo, una ventana con un título predecible, ^{[ 19 ]} u obteniendo una lista de procesos en ejecución ^{[ 20 ]} y buscando el nombre de archivo del ejecutable objetivo. ^{[ 21 ]}
  2. Asigna algo de memoria en el proceso objetivo, ^{[ 22 ]} y el nombre de la DLL que se inyectará se escribe en ella. ^{[ 13 ] [ 23 ]}

     Este paso puede omitirse si ya existe un nombre de DLL adecuado en el proceso de destino. Por ejemplo, si un proceso se enlaza con User32.dll , GDI32.dll , Kernel32.dll o cualquier otra biblioteca cuyo nombre termine en 32.dll, sería posible cargar una biblioteca llamada ^{[ 24 ]} . Esta técnica ha demostrado ser eficaz contra un método para proteger los procesos contra la inyección de DLL. ^{[ 25 ]}32.dll

  3. Crea un nuevo hilo en el proceso de destino ^{[ 26 ]} con la dirección de inicio del hilo establecida como la dirección de LoadLibraryy el argumento establecido como la dirección de la cadena que se acaba de cargar en el destino. ^{[ 13 ] [ 27 ]}

     En lugar de escribir el nombre de una DLL a cargar en el destino e iniciar el nuevo hilo en LoadLibrary, se puede escribir el código a ejecutar en el destino e iniciar el hilo en ese código. ^{[ 6 ]}

  4. El sistema operativo llama entonces a la rutina de inicialización de la DLL inyectada. ^{[ 13 ] [ 28 ]}

  Tenga en cuenta que, sin precauciones, este enfoque puede ser detectado por el proceso objetivo debido a las DLL_THREAD_ATTACHnotificaciones enviadas a cada módulo cargado cuando se inicia un hilo. ^{[ 28 ]}

• Llamadas de interceptación de Windows como SetWindowsHookEx. ^{[ 2 ] [ 5 ] [ 6 ] [ 29 ] [ 30 ] [ 31 ]}
• Utilice la función SuspendThreado NtSuspendThreadpara suspender todos los subprocesos y, a continuación, utilice la función SetThreadContexto NtSetContextThreadpara modificar el contexto de un subproceso existente en la aplicación para ejecutar código inyectado, que a su vez podría cargar una DLL. ^{[ 4 ] [ 32 ] [ 33 ]}
• Explotar las limitaciones de diseño en Windows y las aplicaciones que llaman a la función LoadLibraryo LoadLibraryExsin especificar una ruta completa a la DLL que se está cargando. ^{[ 34 ] [ 35 ] [ 36 ]}
• Enmascarillas a nivel del sistema operativo .
• Sustituir una DLL específica de la aplicación por un reemplazo no autorizado que implementa las mismas exportaciones de funciones que la original. ^{[ 37 ]}
• DLL reflectivas o DLL que pueden cargarse a sí mismas. La DLL reflectiva se copia en el espacio de memoria del proceso objetivo y la ejecución se transfiere al punto de entrada de la DLL, que luego se carga desde la memoria. ^{[ 38 ]}

En sistemas operativos tipo Unix con el enlazador dinámico basado en ld.so (en BSD ) y ld-linux.so (en Linux ), se pueden enlazar bibliotecas arbitrarias a un nuevo proceso proporcionando la ruta de acceso de la biblioteca en la variable de entorno LD_PRELOAD , que se puede configurar globalmente o individualmente para un solo proceso. ^{[ 39 ]}

Por ejemplo, en un sistema Linux, este comando ejecuta el comando "prog" con la biblioteca compartida del archivo "test.so" vinculada a él en el momento de la ejecución:

LD_PRELOAD = "./test.so" prog 

Dicha biblioteca se puede crear de la misma manera que otros objetos compartidos . Con GCC , esto implica compilar el archivo fuente que contiene las nuevas variables globales que se van a enlazar, con la opción -fpic o -fPIC , ^{[ 40 ]} y enlazar con la opción -shared . ^{[ 41 ]} La biblioteca tiene acceso a los símbolos externos declarados en el programa como cualquier otra biblioteca.

En macOS , el siguiente comando inicia el comando "prog" con la biblioteca compartida del archivo "test.dylib" vinculada a él en el momento del inicio: ^{[ 42 ]}

DYLD_INSERT_LIBRARIES = "./test.dylib" DYLD_FORCE_FLAT_NAMESPACE = 1 prog 

También es posible utilizar técnicas basadas en depuradores en sistemas tipo Unix. ^{[ 43 ]}