动态链接库预加载漏洞检测方法.PDFVIP

第 9 卷 第 4 期 信 息 与 电 子 工 程 Vo1．9，No．4 2011 年 8 月 INFORMATION AND ELECTRONIC ENGINEERING Aug．，2011 文章编号： 1672-2892(2011)04-0515-04 动态链接库预加载漏洞检测方法 彭 帝，周安民，方 勇，刘 亮 ( 四川大学 信息安全研究所，四川 成都 610065) 摘 要 ： 目前操作系统中的安全机制使常规的溢出漏洞难以被利用，动态链接库(DLL)预加载 攻击能够绕过这些保护机制，执行恶意指令。为了防范该攻击，介绍两种 DLL 预加载漏洞的检测 方法。基于这两种方法，设计了新的基于系统调用监控的检测方法，并提出了相应的防范措施。 实验结果表明，该方法具有一定的有效性和可靠性，能够检测出主流软件中存在的此类漏洞。 关键词 ：DLL 预加载攻击；DLL 劫持；检测；防范 中图分类号 ：TN915.08 ；TP309 文献标识码 ：A A method for detecting Dynamic Link Library preload vulnerability  PENG Di，ZHOU An-min，FANG Yong，LIU Liang (Institute of Information Security，Sichuan University，Chengdu S ichuan 610065，China) Abstract： The widely used mitigation technologies have made software exploiting a much difficult task today. Dynamic Link Library(DLL) preload attack, which can bypass these security mechanisms, is in the wild nowadays. Two methods are presented to detect DLL preloads vulnerability. A more effective, reliable method based on the monitoring of system call is proposed, and some relative measures are suggested to prevent from DLL preload attack. The experiment results indicate that the proposed method can detect the preload flaws in mainstream applications , which is of certain efficiency and reliability. Key words： DLL preload attack；DLL hijack；detect；mitigation 通常动态链接库 (DLL)并不能直接执行，程序运行时，若需要调用某个 DLL 中的函数，程序就会动态加载此 DLL 。正是由于 DLL 的动态插装性，大大增加了程序的模块化和可移植性。但是，这也引入了新的问题，即 DLL 预加载攻击，或者称其为 DLL 劫持 [1] 。该攻击利用系统加载存在的漏洞(KB2269637)[2]执行任意指令，已经大规 模 传 播 的 利用 DLL 劫持 技 术 的 漏洞 包 括 快 捷方 式