DLL Search Path Hijackingをブロックする方法について

チャブーンです。

この件ですが、まず、DLL Search Path Hijackingとは何か、どう対応されるものなのか、に関して、下記の資料を確認してください。JPCERTの情報が信頼度が高く、わかりやすいです。

第8回　WindowsのDLLだけが危ないのか？DLL hijacking vulnerability概説（前編）

第9回　WindowsのDLLだけが危ないのか？DLL hijacking vulnerability概説（後編）

上記を見ていただければわかるのですが、原則的には以下の対応が必要とあります。

• アプリケーションの使用するDLLファイルをカレントディレクトリ以外のフルパス設定する(自動的なDLLサーチルールをアプリ側で使わせないようにする)
• SetDllDirectory()を空文字にするようアプリ側で指定し、カレントディレクトのDLLファイル(攻撃者はここに汚染DLLを置く傾向が高い)を使わせないようにする
• 同時に正規のWindowsディレクトリ/System32ディレクトリ含め怪しいDLLを置かれないよう、アンチウイルスソフトの設定をきちんと行う

上記からわかるように、DLL Serch Path機能そのものを無効化したり、任意のものに付け替えることはできないです。一般論として、うえの対策をおこなっていれば、防げる内容です。要するにアプリ側のつくりを、変えるようにしてください。

CWinAppExはグローバル変数に定義されているので、そのCWinAppExのグローバル変数よりも前に初期化されることが保証されるクラスを作って、そこで確認する。
# C/C++でのグローバル変数の初期化はWinMainの呼び出しよりも前です

/* ヘッダ */

class TempClass //CWinAppExよりも前に初期化しておくクラス
{
	public:	TempClass();
};

class CMFCApplication6App : public CWinAppEx
{
	public:
		//CMFCApplication6App();//引数無しコンストラクタは削除

		CMFCApplication6App(TempClass const& tc); //このコンストラクタがTempClassのコンストラクタが実行された後にしか呼び出せないようにする

		// オーバーライド
	public:
		virtual BOOL InitInstance();

		// 実装

	DECLARE_MESSAGE_MAP()
};

extern CMFCApplication6App const theApp;

/* cpp */

// CMFCApplication6App の構築

TempClass::TempClass() {
	
	// CWinAppExを継承したクラスのグローバル変数が初期化されるよりも前なので、
	// ここでチェック処理とかをする
	
	__debugbreak();
}

// 唯一の CMFCApplication6App オブジェクトがグローバル変数として初期化される
TempClass const tc;
CMFCApplication6App const theApp(tc); //このグローバル変数が初期化される前に他のグローバル変数を初期化すると、その変数の初期化処理がライブラリを読み込まむ可能性がある。

CMFCApplication6App::CMFCApplication6App(TempClass const& tc)
{
  ...
}

ダイナミック リンク ライブラリの検索順序に説明があるように、現在のOSでは「安全な DLL 検索モード (既定で有効) 」になっているので、明示的に検索モードを無効にしなければ、システムが管理しているランタイムのライブラリは、アプリケーションの初期状態ではシステムフォルダーよりも前の場所からしか読めません。
アプリケーションを%ProgramFiles%のような制限された場所に配置してあれば、アプリケーションの配置場所にあるdllは安全でしょう。(ここに不正dllがある場合はすでに侵されているので無意味)

C++ではグローバル変数の初期化がエントリポイントの呼び出しより前に実行されるので、システム以外のライブラリを読むことがあり得ます。
.Netでもエントリのあるクラスにstatic変数があればシステムランタイム以外が読み込まれていることはあり得ます。
逆に言えば、そのような変数を定義しなければ変なライブラリは先には読みこまれていないと考えてもいいと思います。