[HaBo]

happytreefriend

Anzeige

Hallo Leute,

ich hab mich schon seit langem gefragt was genau dll-Hijacking ist. Also was Hijacking generell ist weiß ich ja. Aber was bringt es einem die dll zu klauen?

Würde mich freuen wenn mir das einer ausführlich erklären könnte.

Brabax

Ich kenne es zwar nicht direkt, aber ich würde einfach mal behaupten, dass wenn du jemandem eine DLL unterschiebst, die modifiziert ist (mit veränderten Funktionen, die z.B. deinen eigenen Code ausführen), hast du die DLL "gehijacked".

lG

__________________

<< Wir leben bereits im morgigen Gestern, doch vom gestrigen Morgen sind wir noch weit entfernt. >>

<< Träume sind Schäume. Es liegt an dir ob du sie lebst oder ein Schaumschläger bist! >>

<< Erst wenn man beginnt zu implizieren, wird man merken, dass einem sowieso keiner richtig zuhört. >>

happytreefriend

Es hat schon was mit dem modifizieren von dlls zu tun. Aber mich würde interessieren wie der Angriff statt findet.

happytreefriend

http://de.wikipedia.org/wiki/DLL_Hijacking

Oh Mann hätte gleich bei Wikipedia nachschauen sollen

danke Brabax für deine Antwort

overflow

Schau dir auch an was DLL's sind. Könnte auch von nützen sein.

http://de.wikipedia.org/wiki/Dynamic_Link_Library

__________________
Hackerboard.de - [HaBo] ist bei Facebook.

happytreefriend

Ich weiß was dlls sind. Ich habe mich nur gefragt wie der Angriff statt findet

schüler

ich kenne mich in dem thema jetzt nicht so gut aus aber es wäre doch eine möglichkeit die DLLs so zu manipulieren das sie wie ein rootkit funktionieren. ein rootkit kann man ja auch in "treibern" verstecken, also warum nicht auch in DLLs?

josh

DLL's arbeiten im "User Mode" des Prozessors (x86). Für diesen ist der Betriebssystem-Kernel nicht zugänglich. Rootkits sind "Erweiterungen" des Betriebssystem-Kernels, die z.B. Funktionen des Kernels manipulieren, so dass etwa Prozesse im Task-Manager nicht zu sehen sind. Dazu müssen sie im "Ring 0" des Prozessors arbeiten, wo üblicherweise Treiber angesiedelt sind. Das können DLLs nicht.

happytreefriend

Ich bin mal ganz frech josh und sage falsche Baustelle

josh

???

+++ATH0

Ein rootkit muss nicht unbedingt im niedrigsten Kontext der CPU laufen. Sogenannte "usermode rootkits" erfüllen die Definition im gleiche Sinne, wenn auch nicht so effektiv, da die Möglichkeiten die eigene Präsenz zu verstecken notwendig geringer ausfallen. Ein bekannter Vertreter ist "hxdef" aka Hacker Defender.

happytreefriend

Hier gings nicht um Rootkits oder dlls sondern um dll-Hijacking.

b4ck

a

Keci

Das Problem wird die Sicherheitslösung denk ich mal sein...

Lt. Wiki liegt das Problem beim unsicheren Laden der Dll.

Aber viel Logischer wäre wenn wir sagen würden, dass bestimmte Dlls mit anderen Dlls ersetzt werden die größtenteils Schadcode beinhalten und die Dlls aber auch auf entsprechende Programme konzipiert sind. Somit lässt man dann besser den Schadcode ausführen. Der Grund liegt wohl an dem Programm selber, weil ja sogesehen kein Prog. für jede Dll Datei intern ne Hashtabelle hat für das Überprüfen(o.ä) ob es die richtige/modded Dll ist oder nicht. Wie soll man solch ein Sicherheitsleck füllen? o.O Eine Dll Datei überschreiben ist sogesehen immer machbar außer wenn die Dll gerade in benutzung ist(auch das kann man für kurze Zeit umgehen....)

(Ab Z. 5 bissle Theorie )

MfG
Keci

xrayn

Die Lösung des Problems ist einfach, wenn Systemdlls geladen werden sollen, soll man gefälligst auch den vollständigen Pfad angeben. Wenn Softwarehersteller ihren Code in DLLs auslagern, dann sollen sie diesen auch digital signieren.

Schon kann so etwas wie DLL-Hijacking nicht mehr stattfinden.