How to become an author
Search
Write a publication
Pull to refresh

Comments 31

Как-то теги статьи слабо коррелируют с серьёзностью уязвимости.
Total votes 12: ↑10 and ↓2+8
Кто знает. Автор не нашёл как использовать уязвимость лучше, а кто-то может и догадается. Мне про мою находку об обходе проактивки в Outpost тоже говорили, что ничего в этом нет ужасного. Пока я не автоматизировал процесс обхода
Total votes 4: ↑3 and ↓1+2
Это не баг — это фича.
Total votes 3: ↑0 and ↓3-3
Как я понимаю это всего-лишь еще одна разновидность «авторана».
И прав админа она не дает. Тогда почему она 0-day?
Total votes 6: ↑4 and ↓2+2
Тогда почему она 0-day?

Википедия подскажет

Как я понимаю это всего-лишь еще одна разновидность «авторана»

Что Вы под этим подразумеваете? Самого по себе авторана пока что из этого не получилось
Total votes 10: ↑10 and ↓0+10
Можно будет создать папку на флешке, и прописать в них desktop.ini который указывает на ресурс иконки из DLL что тоже на флешке.
И при просмотре флешки explorer попытается загрузить картинку и выполнит код DLL?
Или я не правильно понял и это работает только вручную в диалоге смены иконки папки?
Total votes 7: ↑6 and ↓1+5
Возможно, этот вариант отработает! Автор об этом не упоминал. Думаю, в ближайшее время народ поэксперементирует с этим и станет всё совсем ясно
Total votes 2: ↑2 and ↓0+2
Если да, и это сработает, можно ожидать наплыв новых авторанных вирусов на флешках…
И эра заражения автораном через USB флешки на ХР прийдет на 7 :)
Это печально, но баг очень интересный, заодно стимул перейти на Windows 8 :)
Total votes 3: ↑2 and ↓1+1
Это стимул своевременно накатывать обновления безопасности :)
Total votes 3: ↑3 and ↓0+3
Не работает. Через выбор иконки срабатывает, а когда она уже установлена — нет.
Total votes 3: ↑3 and ↓0+3
А если сделать lnk файл с явным указанием иконки из dll-ки и положить рядом?
This comment wasn’t rated yet0
Можно попробовать, но WinXP будет под рукой только через 3 недели.
This comment wasn’t rated yet0
UFO just landed and posted this here
А кто вам сказал что только абсолютный путь поддерживается?
Total votes 1: ↑1 and ↓0+1
Проверил загрузка иконки относительно корня диска работает.

Для проверки в desktop.ini в Dropbox убрал C: — иконка успешно загружается.

[.ShellClassInfo]
IconFile=\Users\hazzik\AppData\Roaming\Dropbox\bin\Dropbox.exe
IconIndex=-2001
InfoTip=A securely backed up place to put your important files.


PS: какой функцией загружается библиотека в таком случае не смотрел еще.
Total votes 1: ↑1 and ↓0+1
У меня есть флешка на которой в папках заданны иконками в desktop.ini:
[.ShellClassInfo]
IconResource=LogoSetup.exe,0
IconIndex=0
IconFile=LogoSetup.exe
И это работает на XP, 7 и 8 с любой буквой диска.
Не помню, может действительно есть исключение для DLL ресурсов.
Даже если так то вирусам не составит труда создать 26 папок с прописями на все буквы алфавита в корне диска.
А следует из этого что простое отключение авторана от таких ловушек на ХР,7 не будет защищать.
This comment wasn’t rated yet0
StuxNet создал всего 4 ярлыка. Он использовал абсолютный путь, сгенерированный по уникальным VID и PID флешки. А 4 ярлыка были вызваны некоторыми различиями в пути для Windows XP\Vista\7
Total votes 2: ↑2 and ↓0+2
В Win7 SP1 x64 с последними обновлениями не смог воспроизвести:(
Total votes 1: ↑1 and ↓0+1
windows xp x86 с последними обновлениями — сработало
windows 7 x64 с последними обновлениями — не сработало
This comment wasn’t rated yet0
Вы, вероятно, пробовали воспроизвести фокус с 32 битной dll'кой. Я тоже попробовал и уже почти обрадовался — не подвержена. А потом скомпилировал 64 битную dll и радость закончилась, всё воспроизводится, просто в x64 системах нужна dll соответствующей битности.
Total votes 2: ↑2 and ↓0+2
Это детский сад а не уязвимость. Чтобы вытянуть ресурсы из длл-ки, ее нужно загрузить, что неизбежно вызывает ф-цию DllMain, в которой может быть любой код.

Таких «уязвимостей» в винде есть 100500 — начиная от хуков, заканчивая расширениями шелла. Все они заставляют винду загрузить вашу ддл-ку в контекст процесса.
Total votes 24: ↑14 and ↓10+4
Это — не детский сад, а серьезная уязвимость.
Когда я открываю dll как контейнер иконок, последнее, о чем я думаю — это о запуске кода из библиотеки. Операции «открыть» и «запустить» я почему-то всегда считал принципиально разными операциями, и не один я.

Чтобы вытянуть ресурсы из длл-ки, ее нужно загрузить, что неизбежно вызывает ф-цию DllMain, в которой может быть любой код.
Да неужели? Вы желаете сказать, что ResHacker загружает и выполняет DllMain всех тех файлов, ресурсы которых я редактирую?

Вот цитата из оригинальной статьи:
Давайте разберёмся что же произошло. Происходил вызов библиотеки при попытке сменить значок для каталога (для файлов или ярлыков вызов библиотеки происходил безопасным образом при помощи LoadLibraryEx)
Total votes 13: ↑11 and ↓2+9
DLL можно загрузить безопасным образом, без выполнения кода. А вот с уязвимостями вида dll hijacking да, полная печаль.
This comment wasn’t rated yet0
UFO just landed and posted this here
единственный известный вектор её использования — социальная инженерия. Необходимо обманом заставить пользователя якобы сменить значок папки на значок из присланного ему DLL-файла.


А не проще ли сразу заставить пользователя запустить exe'шник из аттача?)
Total votes 1: ↑1 and ↓0+1
Я прихожу с флешкой и у меня все папки имеют клевые иконки (возможно на флэшке задать иконки папкам и они отобразяться на другом компьютере). Человек спрашивает «а как ты сделал их»? А я отвечаю-а вот в длл-ке глянь. Хотя тут и правда проще отвлечь его и запустить ехе.
Вообще данный сценарий мог бы использоваться для сокрытия стороннего кода(типа руткита) в explorer.exe. Но я не смог придумать такую последовательность кода, которая бы все это делала.
Total votes 2: ↑1 and ↓10
Autoit? :) В режиме hidden откроет-закроет окна?)
Total votes 3: ↑0 and ↓3-3
Sign up to leave a comment.

Articles

Show the best of all time
Change theme settings

Your account

Sections

Information

Services

Support
© 2006–2024, Habr