Windows DLLプリロード攻撃の新しいパターンと防御法

概要 Windows DLLプリロード攻撃と呼ばれる脆弱性攻撃がありますが、原因や対応方法は広く知られています。(*1) しかし、「特定のCOM I/F」や「WinAPI」の内部で「パス指定なしでDLLがロードされる」という、あまり知られていない経路があるのでご注意、というお話。 技術詳細 手元のWindows10Pro(x64)上で、FastCopyインストーラ(x64)で確認した範囲では、下記のようなAPIで「不正なDLLの読み込みとそのDllMainが呼ばれること」を確認しています。(*2) IShellLink/IPersistFile COM I/F（ショートカット作成）のメンバ関数を呼び出すと、パス指定なしで"linkinfo.dll"等がロードされる。 ShellExecute API（ファイル/フォルダを開く）を呼び出すと、パス指定なしで"edputil.dll"等がロード

[momontyo]

これを個々の開発者みなが意識しないといけないってのはしんどいなあ

[igrep]

“「特定のCOM I/F」や「WinAPI」の内部で「パス指定なしでDLLがロードされる」という、あまり知られていない経路がある”

[matarillo]

わあ

[mattn]

Windows の SearchPath の仕様は悪名高いすなー。

[daruyanagi]

めんどくさいなー