Рис.8.8

Обход контроля над учетной записью пользователя

Windows обладает хорошо структурированным механизмом для управления привилегиями всех пользователей в сети и на локальной машине. У нее есть функцияконтроля учетных записей пользователей (UAC),котораядейству-

ет как ворота между обычными пользователями и пользователями уровня ад- министратора. Функция UAC используется для предоставления прав доступа программе, повышения их привилегий и запуска с привилегиями уровня ад- министратора. Поэтому Windows всегда предлагает пользователям разрешать выполнение программ, которые хотят выполняться с этим уровнем доступа. Также примечательно, что только администраторы могут разрешить запуск программ с этими привилегиями. Поэтому обычному пользователю будет от- казано в праве запускать программу с правами администратора.

Это похоже на отказоустойчивый механизм, при котором только админист­ раторы могут запускать программы с повышенными привилегиями, посколь- ку они могут легко отличить вредоносные программы от подлинных. Однако в этом механизме обеспечения безопасности системы есть пробелы. Некото-

Перехват порядка поиска DLL – это еще один метод, используемый для ком- прометации DLL-библиотек и предоставления злоумышленникам возмож- ности повысить свои привилегии для продолжения атаки. В этом методе злоумышленники пытаются заменитьлегитимные DLL-библиотеки вредонос- ными. Поскольку места, где программы хранят свои DLL-библиотеки, можно легко идентифицировать, злоумышленники могут поместить вредоносные библиотеки высоко в списке директорий, в которых выполняется поиск леги- тимной библиотеки.Поэтому,когда Windows будет искать определенную DLLбиблиотеку в своем обычном месте, она найдет DLL-файл с тем же именем, но это будет вовсе не легитимная библиотека. Часто данный тип атаки эффек- тивен с программами, которые хранят DLL-библиотеки в удаленных местах­ , например в веб-ресурсах. Таким образом, библиотеки более уязвимы для зло- умышленников, им больше не нужно физически обращаться к компьютеру, чтобы скомпрометировать файлы на жестких дисках.

Еще один подход к перехвату порядка поиска в DLL состоит в изменении способов загрузки DLL программами. В этом случае злоумышленники изме- няют файлы манифеста или файлы .local, задающие пути поиска DLL, в вы- бранном приложении, чтобы программа загружала библиотеку, отличную от предполагаемой.Злоумышленники могутперенаправитьпрограмму,чтобыта всегда загружала вредоносную DLL, что приведет к постоянному повышению привилегий.Злоумышленникитакже могутизменитьпутьклегитимным DLLбиблиотекам, когда скомпрометированная программа ведет себя ненормаль- но. Целевые программы – это программы, которые выполняются с высоким уровнем привилегий. При выполнении правильной программы злоумышлен- ник может существенно повысить привилегии, чтобы стать системным поль- зователем и, следовательно, получить доступ к большему количеству вещей.

Перехват DLL сложен и требует большой осторожности, чтобы предотвра- тить ненормальное поведение программы-жертвы.В случае неудачи (или уда- чи), когда пользователь понимает, что приложение ведет себя странно, он или она может просто удалить его, что помешает атаке.

На приведенной ниже диаграмме показан порядок перехвата поиска, когда злоумышленник поместил вредоносный DLL-файл в путь поиска легитимного файла (рис. 8.10).

Перехват поиска dylib

Перехват поиска dylib – это метод, используемый при атаке на компьютеры Apple. Компьютеры с операционной системой OS X используют аналогичный метод для поиска динамических библиотек (dylib), которые должны быть за- гружены в программы. Этот метод поиска также основан на переборе путей в файловой системе, и, как было видно в случае с перехватом поиска DLL, злоумышленники могут использовать знания об этих путях для повышения привилегий. Злоумышленники проводят исследования, чтобы найти динами-