c++ - 使用绝对路径加载带有 LoadLibrary() 和 GetModuleHandle() 的系统 DLL 是否能更好地防止 DLL 劫持？

Question

在许多情况下加载一些较新的 API 会使用这样的构造:

(FARPROC&)pfnZwQueryVirtualMemory = ::GetProcAddress(::GetModuleHandle(L"ntdll.dll"), "ZwQueryVirtualMemory");

但是，考虑到 Dll 劫持 的可能性，是否最好直接指定 DLL 的绝对路径？还是只是矫枉过正？

WCHAR buff[MAX_PATH];
buff[0] = 0;
if(::GetSystemDirectory(buff, MAX_PATH) &&
    ::PathAddBackslash(buff) &&
    SUCCEEDED(::StringCchCat(buff, MAX_PATH, L"ntdll.dll")))
{
    (FARPROC&)pfnZwQueryVirtualMemory = ::GetProcAddress(::GetModuleHandle(buff), "ZwQueryVirtualMemory");
}
else
{
    //Something went wrong
    pfnZwQueryVirtualMemory = NULL;
}

后一种方法的问题是它并不总是有效(例如 Comctl32.dll。)

Answer 1

您不必为 ntdll.dll 和 kernel32.dll 做任何特别的事情，因为它们会在您有机会做任何事情之前加载，它们也在已知的 dll 列表中。

dll 劫持问题通常包括辅助库。以 version.dll 为例，它不再在已知的 dll 列表中，因此显式链接到它是有问题的，它需要动态加载。

最好的解决方案是结合三件事:

1. 调用SetDefaultDllDirectories(LOAD_LIBRARY_SEARCH_SYSTEM32)如果可用(Win8+ 和更新的 Win7)。
2. 在调用 GetModuleHandle 之前，使用完整路径 (GetSystemDirectory) 调用 LoadLibrary。
3. 不要明确链接到 kernel32、user32、gdi32、shlwapi、shell32、ole32、comdlg32 和 comctl32 以外的任何内容。

如果 SetDefaultDllDirectories 不可用，那么如果您不控制应用程序目录就很难保护自己，因为各种 Windows 函数会延迟加载像 shcore.dll 这样没有完整路径的 dll(尤其是外壳 API)。 SetDllDirectory("") 有助于针对当前/工作目录，但对于未打补丁的 Win8 之前的系统没有好的应用程序目录解决方法，您只需要使用 Process Monitor 进行测试并在 WinMain 中尽早手动加载有问题的库。

应用程序目录是一个问题，因为有些用户只是将所有内容都放在下载文件夹中并从那里运行。这意味着您最终可能会在应用程序目录中找到恶意 dll。