[HaBo]
| News & Ankündigungen Aktuelle News rund ums Netz - recherchiert von unseren Usern, sowie offizielles vom Team und Ankündigungen der Moderatoren findet ihr hier. |
DLL Preloading remote attack vector - Sicherheitshinweise vorgestellt
Diskussion: DLL Preloading remote attack vector - Sicherheitshinweise vorgestellt im Forum News & Ankündigungen, in der Kategorie Allgemeines; Anzeige MS hat im TechNet-Blog einen Artikel eingestellt, der den Umgang mit o.g. Sicherheitslücke beschreibt. Background: Wenn sich Programmierer beim ...
 |
25.08.10, 11:02
| #1 (permalink) |
| Moderator   Registriert seit: 02.10.01   Likes: 162 |  DLL Preloading remote attack vector - Sicherheitshinweise vorgestellt Anzeige MS hat im TechNet-Blog einen Artikel eingestellt, der den Umgang mit o.g. Sicherheitslücke beschreibt. Background: Wenn sich Programmierer beim Einsatz von LoadLibrary oder LoadLibraryEx nicht an die von MS vorgegebenen Richtlinien zum Nachladen von DLL-Files halten, kann beim Nachladen von DLL-Files, sofern diese nicht in den durch den DLL-Suchpfadalgorithmus spezifizierten Verzeichnissen gefunden wurden, aus Remote- oder WebDAV-Verzeichnissen Schadcode aus präperierten DLL-Dateien ausgeführt werden. Betroffen im Pool von rund 40 Anwendungen sind u.a. iTunes und Photoshop. Wer den notwendigen Registrierungsschlüssel (CWDIllegalInDllSearch) nicht selbst anlegen möchte, kann sich mit diesem MS-Tool weiterhelfen.
__________________  Steigerung des Luxus: eigenes Auto, eigene Villa, eigene Meinung. Wieslaw Brudzinski Würden die Menschen verstehen, wie unser Geldsystem funktioniert, hätten wir eine Revolution – und zwar schon morgen früh. Henry Ford Ich mag den Himmel blau - was will ich da mit ner Cloud?! |
|  |
|
25.08.10, 22:03
| #2 (permalink) |
| Registriert seit: 12.01.09  Likes: 1 |  Ich verstehe nicht ganz, was der ganze Aufstand soll. Beliebige Dynamic Link Libraries konnten schon seit je und eh "nachgeladen" werden (Stichwort: Remote Dll-Injection). Jetzt aufeinmal, da irgendein Sicherheitseini es erwähnt, wirds als kritisch angesehen? Häh? |
|
| |
| HaBOT | - Anzeige - |
|
|
25.08.10, 22:33
| #3 (permalink) |
| Moderator Registriert seit: 02.10.01 Likes: 162 | Richtig, das "Problem" ist seit ...lass mich überlegen und korrigiert mich wenn ich falsch liege... etwa 12 Jahren bekannt. Wenn die Leute bestimmte Prozeduren aus Bequemlichkeit (oder bewusst?) falsch einsetzen, ist es für wahr etwas komisch, dass erst jetzt ein Fass aufgemacht wird. Dass etwas gegen diese bewusste Ignoranz unternommen wird um den Benutzer zu schützen finde ich persönlich gut. Ich meine, man muss sich diesen Regkey ja nicht anlegen und kann darauf hoffen, dass seine 2000-Oironen-Software schon das richtige macht und niemand eine Lücke ausnutzt. Schließlich regt sich ja auch keiner drüber auf, dass die Polizei die interessierten Bürger über neuste Sicherheitssysteme bspw. bei Fenstern aufklärt und Lücken aufdeckt. Man kann die Tür auch offen stehen lassen...
__________________ Steigerung des Luxus: eigenes Auto, eigene Villa, eigene Meinung. Wieslaw Brudzinski Würden die Menschen verstehen, wie unser Geldsystem funktioniert, hätten wir eine Revolution – und zwar schon morgen früh. Henry Ford Ich mag den Himmel blau - was will ich da mit ner Cloud?! |
|
| |
|
25.08.10, 22:48
| #4 (permalink) | |
| Member of Honour   Registriert seit: 05.03.08 Likes: 246 | Zitat:
| |
|
| |
|
26.08.10, 12:01
| #5 (permalink) |
| Moderator  Registriert seit: 30.09.06  Likes: 442 | Was ich ja etwas kurios finde... Wenn diese Lücke schon so lange bekannt ist, warum erscheinen dann jetzt erst massenhaft Exploits, die diese Lücke ausnutzen? Schaut man z.B. mal in die Exploit-DB, stellt man fest, dass in den letzten Tagen für dutzende "große" Programme DLL-Hijacking-Exploits erscheinen. Ich beschäftige mich ja sonst recht wenig mit Sicherheit von Windows-Systemen, aber ist es wirklich so, dass Windows-Hacker erst auf die Veröffentlichung einer Lücke warten, bis sie entsprechende Exploits coden?
__________________ Mein Blog - Mein Job - Diaspora Der Ring uns zu knechten besteht aus 12 Sternen auf blauem Grund. Neue Beiträge im Habo via Twitter - Das HaBo auf FB - Das HaBo bei G+ |
|
| |
|
26.08.10, 12:22
| #6 (permalink) | |
| Moderator Registriert seit: 02.10.01 Likes: 162 | Zitat:
__________________ Steigerung des Luxus: eigenes Auto, eigene Villa, eigene Meinung. Wieslaw Brudzinski Würden die Menschen verstehen, wie unser Geldsystem funktioniert, hätten wir eine Revolution – und zwar schon morgen früh. Henry Ford Ich mag den Himmel blau - was will ich da mit ner Cloud?! | |
|
| |
|
26.08.10, 21:27
| #7 (permalink) | |
| Registriert seit: 12.01.09 Likes: 1 | Zitat:
Der Rest deines Argumentes passt auch gut in die Sparte Software-develpment. In jedem Forum dieser Kategorie kann man mal öfters lesen, dass, falls jemand einmal etwas selbst auf die Füße stellen will, man das Rad nicht neu erfinden soll... Das ist aber wieder ne ganz andere Baustelle xD MfG | |
|
| |
|
27.08.10, 01:13
| #8 (permalink) | ||
| Moderator  Registriert seit: 20.07.05 Likes: 202 | Zitat:
http://www.buha.info/board/showpost....55&postcount=5 Zitat:
 . Der eigentliche Bug/Exploit wurde afaik spätestens mitte ~2000 "in begrenztem Umfang" eingesetzt. Nämlich von einem gewissen HaBo Moderator, der in der Schule unbedingt andere Programme, als vorgegebene Word + IE (oder war es Netscape Navigator?) starten wollte und dem das durch Inis(?) oder ähnliche "Rechtsklick-Registry-CMD-und-alle-Exen-außer-WhitelistSperr-Software" für Win9.x und anfangs Win2000 verwehrt wurde  ein paar interessante Auszüge, wenn auch natürlich nicht wirklich nachweisbar :) "Exploit" ist da zu viel gesagt. Vielleicht gingen ja die meisten davon aus, dass es "not a bug, it's a feature" ist Edit: Ehrlich gesagt kommt mir das Ganze auch irgendwie gehypt vor. *weiß nun, dass er schon vor 11 Jahren l337 war  *
__________________ Noch mal, für alle Pseudo-Geeks: 1+1=0. -> 10 wäre Überlauf! Selig, wer nichts zu sagen hat und trotzdem schweigt. | ||
|
| |
|
27.08.10, 01:39
| #9 (permalink) |
| Moderator Registriert seit: 30.09.06 Likes: 442 | Naja, das ist ja dann eher eine allgemeine Lösung zum Ausnutzen der Lücke, aber ich meinte schon eher programmbezogene Exploits. Allein am 25.8. wurden in der Exploit-DB 47 verschiedene Exploits zu DLL-Hijacking veröffentlicht, alle für verschiedene Programme wie Adobe Reader, Google Earth, Winamp,Corel Draw, Thunderbird uvm.. Mich wunderte es halt, weil ich aus der Unix-Welt gewöhnt bin, dass solche allgemeinen Lücken innerhalb weniger Tage zu so vielen Exploits führen. Windows-User sind da offenbar "etwas" langsamer. 
__________________ Mein Blog - Mein Job - Diaspora Der Ring uns zu knechten besteht aus 12 Sternen auf blauem Grund. Neue Beiträge im Habo via Twitter - Das HaBo auf FB - Das HaBo bei G+ |
|
| |
|
27.08.10, 02:47
| #10 (permalink) | ||
| Moderator Registriert seit: 20.07.05 Likes: 202 | Zitat:
Zitat:
 Wie gesagt, dieser Bug wird imho leicht gehypt, da ich mir nicht vorstellen kann, dass niemand von dieser "Eigenschaft" wusste. Eventuell sind die Exploits so alt, dass sie nicht mehr im Netz aufzuspüren sind. Dass es eine relativ "laute" Meldung diesbezüglich gab - und dass ein funktionierender Exploit ziemlich einfach umsetzbar ist, könnte auch ein guter Grund für diese "Vielfalt" sein
__________________ Noch mal, für alle Pseudo-Geeks: 1+1=0. -> 10 wäre Überlauf! Selig, wer nichts zu sagen hat und trotzdem schweigt. | ||
|
| |
|
| - Anzeige - | |
|
|
[HaBo] » Allgemeines » News & Ankündigungen » Windows DLL Preloading remote attack vector - Sicherheitshinweise vorgestellt
| Themen-Optionen | |
| Ansicht | |
Linear-Darstellung
| |
