功能绕道包如何规避安全性答案

【问题标题】：How do function detour packages circumvent security功能绕道包如何规避安全性
【发布时间】：2010-12-08 07:28:24
【问题描述】：

我正在查看一些使用名为 DetourXS 的函数 detour 包的代码。我的应用程序针对 Microsoft Server 操作系统。 Microsoft Research 也有一个 Detours 包，他们有一篇关于它如何工作的文章。他们修补加载到内存中的机器代码，并在新注入的代码中插入无条件跳转的代码。

如果此代码通过在运行时修改机器代码来工作，则它们应该面临操作系统的安全限制。这将是操作系统上的一个严重安全漏洞，因为我可以修改任何关键的 DLL，如 kernel32 来做任何我想做的事情。我的理解是，如果用户进程试图修改已加载到内存中的 dll 的代码，它应该被操作系统停止。 Widows Server OS 中是否有启用/禁用此检查的设置？

他们如何克服这个问题？

有没有人有在企业生产环境的任何应用程序中使用这种 detour 包的经验？

【问题讨论】：

请注意，如果您使用 Detours，Microsoft 将不会考虑来自您或您的客户的支持电话。你的应用程序使用它的事实是通过强制你的应用程序与 marker DLL - Detoured.dll 链接而人为地显式显示的

标签： detours windows-security

【解决方案1】：

首先重要的是，您可以通过绕路修改您自己的流程的说明。在你的进程中 - 你可以做任何你想做的事情，你甚至不必绕道任何事情，从操作系统的角度来看用户空间代码（例如，你的 DLL 中的代码和加载到你的进程中的系统 kernel32.dll 中的代码）正是从安全的角度来看也是如此。原因很简单——入侵操作系统的安全性与在用户空间中更改进程的某些代码不同。操作系统通过不给您的进程太多权力来保护自己（除非您以管理员身份运行）。出于安全目的，如何修改另一个进程的代码（以获取其权限或有趣的数据，如密码）更有趣，但这是一个不同的讨论主题。

其次，detouring 被认为是实现热补丁的一种方式，即即时修补关键系统服务，无需重新启动。我不知道微软当前是否使用/支持它（根据谷歌它是），但标准 prolog 的长度为 5 个字节并非偶然（是的，它非常适合把你的jmp指令）。

【讨论】：

【解决方案2】：

尽管有它的名字，kernel32.dll 实际上是不是内核；它包含 Win32 API 函数的入口点，这些函数实现 Win32 对 NT 系统调用的接口。

此外，Windows（与任何现代操作系统一样）支持写时复制，因此如果您使用弯路来修补共享 DLL，例如 kernel32.dll，操作系统将首先为您的进程制作一个私有副本并对其进行修补。 NT 内核本身是完全安全的。

【讨论】：