DEFCON议题解读｜Dll劫持新思路——修改环境变量

每一个进程都有一个环境块，其中包含一组环境变量及其值。有两种类型的环境变量，用户环境变量和系统环境变量。

用户环境变量:仅对当前用户有效，位于:HKEY_CURRENT_USEREnvironment

正常来说"%SystemRoot%/System32/mswsock.dll"会被解析为"C:/Windows/System32/mswsock.dll"，但是这里面有一个不确定的因素就是"%SystemRoot%"，假设我们修改了环境变量"%SystemRoot%"的值为其他文件夹路径且在该路径下存放恶意Dll，那么程序就会加载我们设定的Dll，继而完成Dll劫持。

如果直接更改"%SystemRoot%"的值，会对整个操作系统上运行的程序产生影响，但是我们可以只修改指定进程的环境变量，如创建以下vbs脚本，利用子进程默认继承其父进程环境变量的特性，修改Windows内置进程hostname.exe的环境变量"SystemRoot"为"C:Evil"。

Set shell = WScript.CreateObject("WScript.Shell")
shell.Environment("Process")("SystemRoot") = "C:Evil"
shell.Exec("C:windowssystem32hostname.exe")

利用注册表修改Windows自启服务的环境变量

这里先引用下Wietze Beukema文章中提到的修改Windows打印机服务的环境变量，看是否会成功加载指定目录下的Dll文件。

1. 首先将恶意Dll"mswsock.dll"放到指定目录"C:EvilSystem32"

2. 在注册表spoolsv服务下创建"Environment"键值修改环境变量

可以看到使用上述方式修改Windows服务的环境变量确实能够加载我们指定目录下的Dll文件。但是需要注意的是，有时候为了保证被修改的服务能够正常运行，我们需要将受环境变量影响的Dll全部移动到我们指定的路径下。

实际上能够被利用的Windows服务远不止上面一个，通常来说服务对应一个PE文件，这里我们去看看Windows自带服务的PE文件路径是如何写的就明白了。

常规持久化配合创建子进程

我们也可以使用常规持久化方案如创建计划任务或者写注册表来实现自启，然后程序自启后自修改自身环境变量值,最后创建受环境变量影响的Windows可信进程，利用Dll劫持来完成一次隐匿攻击行为。

接下来使用Win32 API来展示下如何修改子进程的环境变量。

1. 子进程Child.exe代码如下:

#include <windows.h>
int main(int argc, char* argv[], char* envp[]) {
    char szBuf[MAX_PATH] = {};
    GetEnvironmentVariable("SystemRoot", szBuf, sizeof(szBuf));
    MessageBox(NULL, szBuf, "Child", MB_OK);
    return 0;
}

#include <stdio.h>
#include <windows.h>
int main(int argc, char* argv[], char* envp[]) {
    SetEnvironmentVariable("SystemRoot", "C:\Evil");
    UINT nRet = WinExec("C:/Users/Super/Desktop/Child.exe", SW_HIDE);
    if (nRet > 31)
    {
        printf("创建子进程成功n");
    }
    else
    {
        printf("创建子进程失败n");
    }
    return 0;
}

1. 程序代码使用GetWindowsDirectory代替环境变量"%SystemRoot%"，或者使用GetSystemDirectory直接拿系统盘System32路径

2. 对系统Dll进行路径检测

3. 对程序加载的Dll进行签名校验

1. 相对于传统Dll劫持利用Windows加载Dll时的搜索顺序，将恶意Dll存放在目标程序所在文件夹之下来完成Dll劫持。该方式可以保持目标程序所在文件夹的纯净度，可有效规避检测。

2. "海量"的Windows服务和内置进程均受环境变量的影响，这值得引起我们安全研究人员对环境变量的重视，以应对后面可能出现的此类攻击手法。