Интернетмагазин

Перехват поиска dylib 
Перехват поиска dylib – это метод, используемый при атаке на компьютеры 
Apple. Компьютеры с операционной системой OS X используют аналогичный 
метод для поиска динамических библиотек (dylib), которые должны быть за-
гружены в программы. Этот метод поиска также основан на переборе путей 
в файловой системе, и, как было видно в случае с перехватом поиска DLL, 
злоумышленники могут использовать знания об этих путях для повышения 
привилегий. Злоумышленники проводят исследования, чтобы найти динами-

---

Выполнение повышения привилегий 
 
173
ческие библиотеки, которые используются конкретными приложениями, а за-
тем помещают вредоносную версию с аналогичным именем в верхнюю часть 
списка путей поиска. Поэтому когда операционная система ищет динамиче-
скую библиотеку приложения, она сначала находит вредоносную. Если целевая 
программа запускается с привилегиями более высокого уровня, по сравнению 
с пользователем компьютера, при запуске она автоматически повышает при-
вилегии. В этом случае также получается доступ на уровне администратора 
к вредоносной библиотеке.
Работающая программа
запрашивает DLL-файл
Хакер вставляет вредоносную DLL 
в путь поиска
Windows сначала находит 
вредоносный DLL-файл 
Windows не получает 
легитимный DLL-файл
Рис. 8.10
Приведенная ниже диаграмма иллюстрирует процесс перехвата dylib, когда 
злоумышленники помещают вредоносную библиотеку в путь поиска (рис. 8.11).
Работающая программа 
запрашивает dylib
ОС сначала находит 
вредоносный файл
К легитимной dylib доступ 
так и не был получен
Хакер вставляет вредоносную библиотеку 
с тем же именем в путь поиска
Рис. 8.11
Исследование уязвимостей
Исследование уязвимостей – один из немногих типов горизонтальных повы-
шений привилегий, которые используются сегодня. Из-за строгости кодиро-
вания и защиты систем, как правило, случаев горизонтального повышения 
привилегий стало меньше. Данный тип повышения привилегий осуществим 
для систем и программ, содержащих ошибки программирования. Эти ошиб-
ки могут создавать уязвимости, которые злоумышленники способны эксплу-

---

174  Повышение привилегий
атировать для обхода механизмов безопасности. Некоторые системы будут 
принимать определенные фразы в качестве паролей для всех пользователей. 
Это может быть ошибкой программирования, позволяющей разработчикам 
систем быстро получать доступ к ним. Однако злоумышленники могут быстро 
обнаружить этот недостаток и использовать его для доступа к учетным запи-
сям пользователей с высокими привилегиями. Другие ошибки в кодировании 
могут позволить злоумышленникам изменить уровни доступа пользователей 
в URL-адресе веб-системы. В Windows была программная ошибка, которая по-
зволяла злоумышленникам создавать собственные мандаты Kerberos с права-
ми администратора домена, используя обычные права доступа пользователя 
домена. Эта уязвимость носит название MS14-068. Несмотря на то что раз-
работчики системы могут быть чрезвычайно осторожны, эти ошибки иногда 
появляются, предоставляя злоумышленникам возможность быстро повысить 
привилегии.
Иногда злоумышленник может воспользоваться преимуществами операци-
онной системы для эксплуатации неизвестной уязвимости.
Классический пример – использование раздела реестра AlwaysInstallElevat-
ed
, который присутствует в системе (установлен на 1) и позволяет установить 
пакет установщика Windows с повышенными (системными) привилегиями. 
Чтобы этот ключ считался включенным, нужно установить на 1 следующие 
значения:
[HKEY_CURRENT_USERSOFTWAREPoliciesMicrosoftWindowsInstaller]
"AlwaysInstallElevated"=dword:00000001
[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsInstaller]
"AlwaysInstallElevated"=dword:00000001
Злоумышленник может использовать команду reg query, чтобы проверить, 
присутствует ли этот ключ. Если нет, то появится сообщение, показанное на 
рис. 8.12.