DLL مخفف Dynamic Link Libraries و بخش های خارجی برنامه هایی هستند که روی ویندوز^(Windows) یا هر سیستم عامل دیگری اجرا می شوند. اکثر برنامه ها به خودی خود کامل نیستند و کد را در فایل های مختلف ذخیره می کنند. در صورت نیاز به کد، فایل مربوطه در حافظه بارگذاری شده و مورد استفاده قرار می گیرد. این کار باعث کاهش حجم فایل برنامه و در عین حال بهینه سازی استفاده از RAM می شود. این مقاله به شما توضیح می دهد که DLL Hijacking چیست و چگونه می توان از آن جلوگیری کرد.

فایل های^(Files) DLL یا کتابخانه های پیوند پویا چیست؟^{(Dynamic Link Libraries)}

^(DLL)فایل‌های DLL کتابخانه‌های پیوند پویا^{(Dynamic Link Libraries)} هستند و همانطور که از نامشان مشخص است، پسوند برنامه‌های مختلف هستند. هر برنامه ای که استفاده می کنیم ممکن است از کدهای خاصی استفاده کند یا نباشد. چنین کدهایی در فایل های مختلف ذخیره می شوند و تنها زمانی که کد مربوطه مورد نیاز است ، فراخوانی یا در RAM بارگذاری می شوند. ^(RAM)بنابراین، یک فایل برنامه را از بزرگ شدن بیش از حد و جلوگیری از هجوم منابع توسط برنامه ذخیره می کند.

مسیر فایل های DLL توسط سیستم عامل ویندوز^(Windows) تنظیم می شود. مسیر با استفاده از متغیرهای جهانی محیطی^{(Global Environmental Variables)} تنظیم شده است . به طور پیش‌فرض، اگر برنامه‌ای یک فایل DLL درخواست کند ، سیستم عامل به همان پوشه‌ای که برنامه در آن ذخیره شده است نگاه می‌کند. اگر در آنجا یافت نشد، به پوشه های دیگر می رود که توسط متغیرهای سراسری تنظیم شده است. اولویت‌هایی به مسیرها متصل است و به ویندوز^(Windows) کمک می‌کند تا تعیین کند چه پوشه‌هایی را برای DLL^(DLLs) جستجو کند. اینجاست که سرقت DLL وارد می شود.

DLL Hijacking چیست؟

از آنجایی که DLL^(DLLs) ها پسوند هستند و برای استفاده تقریباً از همه برنامه های کاربردی در دستگاه های شما ضروری هستند، همانطور که توضیح داده شد در پوشه های مختلف روی رایانه وجود دارند. اگر فایل DLL اصلی با یک فایل DLL جعلی حاوی کد مخرب جایگزین شود، به آن DLL Hijacking می گویند .

همانطور که قبلاً ذکر شد، اولویت هایی در مورد جایی که سیستم عامل به دنبال فایل های DLL می گردد وجود دارد. ابتدا^(First) به همان پوشه پوشه برنامه نگاه می کند و سپس بر اساس اولویت های تعیین شده توسط متغیرهای محیطی سیستم عامل به جستجو می پردازد. بنابراین، اگر یک فایل good.dll در پوشه SysWOW64 باشد و شخصی یک فایل bad.dll را در پوشه‌ای قرار دهد که اولویت بیشتری نسبت به پوشه SysWOW64 دارد، سیستم عامل از فایل bad.dll استفاده می‌کند، زیرا همنام DLL است. درخواست شده توسط برنامه پس از وارد شدن به رم^(RAM) ، می‌تواند کد مخرب موجود در فایل را اجرا کند و ممکن است رایانه یا شبکه‌های شما را در معرض خطر قرار دهد.

نحوه تشخیص ربودن DLL

ساده ترین روش برای شناسایی و جلوگیری از ربودن DLL ، استفاده از ابزارهای شخص ثالث است. چند ابزار رایگان خوب در بازار موجود است که به شناسایی تلاش برای هک DLL و جلوگیری از آن کمک می کند.

یکی از این برنامه ها DLL Hijack Auditor است اما فقط از برنامه های 32 بیتی پشتیبانی می کند. می‌توانید آن را روی رایانه خود نصب کنید و تمام برنامه‌های ویندوز خود را اسکن کنید تا ببینید همه برنامه‌ها در برابر ربودن DLL آسیب‌پذیر هستند. ^(DLL)رابط کاربری ساده و قابل توضیح است. تنها عیب این برنامه این است که نمی توانید برنامه های 64 بیتی را اسکن کنید.

برنامه دیگری برای تشخیص سرقت DLL ،  DLL_HIJACK_DETECT، از طریق GitHub در دسترس است . این برنامه برنامه ها را بررسی می کند تا ببیند آیا هر یک از آنها در برابر ربودن DLL آسیب پذیر هستند یا خیر. ^(DLL)در صورت وجود، برنامه به کاربر اطلاع می دهد. این برنامه دارای دو نسخه - x86 و x64 است که می توانید از هر کدام برای اسکن برنامه های 32 بیتی و 64 بیتی استفاده کنید.

لازم به ذکر است که برنامه های فوق فقط برنامه های موجود در پلتفرم ویندوز را از نظر ^(Windows)آسیب پذیری اسکن می کنند و عملاً از ربوده شدن فایل های DLL جلوگیری نمی کنند .

چگونه از ربودن DLL جلوگیری کنیم

این مسئله در وهله اول باید توسط برنامه نویسان حل شود زیرا شما نمی توانید کاری انجام دهید جز تقویت سیستم های امنیتی خود. اگر به جای یک مسیر نسبی، برنامه نویسان شروع به استفاده از یک مسیر مطلق کنند، آسیب پذیری کاهش می یابد. با خواندن مسیر مطلق، ویندوز^(Windows) یا هر سیستم عامل دیگری برای مسیر به متغیرهای سیستم بستگی ندارد و مستقیماً به سمت DLL مورد نظر می رود، در نتیجه شانس بارگیری ^(DLL)DLL با همان نام در مسیری با اولویت بالاتر را نادیده می گیرد. این روش نیز ضد خطا نیست زیرا اگر سیستم به خطر بیفتد و مجرمان سایبری مسیر دقیق DLL را بدانند، ^(DLL)DLL اصلی را با ^(DLL)DLL جعلی جایگزین می‌کنند.. این به معنای بازنویسی فایل است تا DLL اصلی به کد مخرب تبدیل شود. اما باز هم، مجرم سایبری باید دقیقاً مسیر مطلق ذکر شده در برنامه کاربردی که DLL را فراخوانی می کند، بداند . این فرآیند برای مجرمان سایبری سخت است و از این رو می توان روی آن حساب کرد.

برای بازگشت به آنچه می توانید انجام دهید، فقط سعی کنید سیستم های امنیتی خود را افزایش دهید تا سیستم ویندوز خود را بهتر ایمن کنید^{(secure your Windows system)} . از فایروال^(firewall) خوب استفاده کنید . در صورت امکان، از فایروال سخت افزاری استفاده کنید یا فایروال روتر را روشن کنید. از سیستم های تشخیص نفوذ خوب استفاده کنید تا متوجه شوید که آیا کسی سعی دارد با رایانه شما بازی کند.

اگر به عیب‌یابی رایانه‌ها علاقه دارید، می‌توانید موارد زیر را نیز برای ارتقای امنیت خود انجام دهید:

1. بارگیری DLL^(DLL) را از اشتراک‌گذاری‌های شبکه راه دور غیرفعال کنید
2. بارگیری فایل های DLL را از WebDAV غیرفعال کنید^(WebDAV)
3. سرویس WebClient^(WebClient) را به طور کامل غیرفعال کنید یا آن را به صورت دستی تنظیم کنید
4. ^(Block)پورت های TCP 445 و 139 را ^(TCP)مسدود کنید زیرا بیشتر برای رایانه های در معرض خطر استفاده می شوند.
5. آخرین به روز رسانی سیستم عامل و نرم افزار امنیتی را نصب کنید.

مایکروسافت^(Microsoft) ابزاری را برای جلوگیری از حملات ربودن بار DLL منتشر کرده است. ^(DLL)این ابزار خطر حملات ربودن DLL را با جلوگیری از بارگیری ناایمن کد از فایل های DLL توسط برنامه ها کاهش می دهد .

اگر می خواهید چیزی به مقاله اضافه کنید، لطفاً در زیر نظر دهید.^{(If you would like to add anything to the article, please comment below.)}

DLL Hijacking Vulnerability Attacks, Prevention & Detection

DLL stands for Dynamic Lіnk Librarieѕ and аre external parts of applicationѕ that run on Wіndows or any other oрerating system. Most applications are nоt complete in themselves and ѕtore code in different files. If there is a need for the сode, the related file is loadеd into memory and used. This reduces application file size while optimizing the usage of RAM. Thіs article explains what is DLL Hijacking and how to detect and prevent it.

What are DLL Files or Dynamic Link Libraries

DLL files are Dynamic Link Libraries and as evident by the name, are extensions of different applications. Any application we use may or may not use certain codes. Such codes are stored in different files and are invoked or loaded into RAM only when the related code is required. Thus, it saves an application file from becoming too big and to prevent resource hogging by the application.

The path for DLL files are set by the Windows operating system. The path is set using Global Environmental Variables. By default, if an application requests a DLL file, the operating system looks into the same folder in which the application is stored. If it is not found there, it goes to other folders as set by the global variables. There are priorities attached to paths and it helps Windows in determining what folders to look for the DLLs. This is where the DLL hijacking comes in.

What is DLL Hijacking

Since DLLs are extensions and necessary to using almost all applications on your machines, they are present on the computer in different folders as explained. If the original DLL file is replaced with a fake DLL file containing malicious code, it is known as DLL Hijacking.

As mentioned earlier, there are priorities as to where the operating system looks for DLL files. First, it looks into the same folder as the application folder and then goes searching, based on the priorities set by the environment variables of the operating system. Thus if a good.dll file is in SysWOW64 folder and someone places a bad.dll in a folder that has higher priority compared to SysWOW64 folder, the operating system will use the bad.dll file, as it has the same name as the DLL requested by the application. Once in RAM, it can execute the malicious code contained in the file and may compromise your computer or networks.

How to detect DLL Hijacking

The easiest method to detect and prevent DLL hijacking is to use third-party tools. There are some good free tools available in the market that helps in detecting a DLL hack attempt and prevent it.

One such program is DLL Hijack Auditor but it supports only 32-bit applications. You can install it on your computer and scan all your Windows applications to see what all applications are vulnerable to DLL hijack. The interface is simple and self-explanatory. The only drawback of this application is that you cannot scan 64-bit applications.

Another program, to detect DLL hijacking, DLL_HIJACK_DETECT, is available via GitHub. This program checks applications to see if any of them are vulnerable to DLL hijacking. If it is, the program informs the user. The application has two versions – x86 and x64 so that you can use each to scan both 32-bit and 64-bit applications respectively.

It should be noted that the above programs just scan the applications on the Windows platform for vulnerabilities and do not actually prevent the hijacking of DLL files.

How to prevent DLL Hijacking

The issue should be tackled by the programmers in the first place as there is not much you can do except to beef up your security systems. If instead of a relative path, programmers start using an absolute path, the vulnerability will be reduced. Reading the absolute path, the Windows or any other operating system will not depend on system variables for path and will go straight for the intended DLL, thereby dismissing the chances of loading the same name DLL in a higher priority path. This method too, is not fail-proof because if the system is compromised, and the cybercriminals know the exact path of DLL, they will replace the original DLL with the fake DLL. That would be overwriting the file so that the original DLL is changed into malicious code. But again, the cybercriminal will need to know the exact absolute path mentioned in the application that calls for the DLL. The process is tough for cybercriminals and hence can be counted upon.

Coming back to what you can do, just try to scale up your security systems to better secure your Windows system. Use a good firewall. If possible, use a hardware firewall or turn on the router firewall. Use good intrusion detection systems so that you know if anyone is trying to play with your computer.

If you are into troubleshooting computers, you may also perform the following to up your security:

1. Disable DLL loading from remote network shares
2. Disable loading of DLL files from WebDAV
3. Disable WebClient service completely or set it to manual
4. Block the TCP ports 445 and 139 as they are used most for compromising computers
5. Install the latest updates to the operating system and security software.

Microsoft has released a tool to block DLL load hijacking attacks. This tool mitigates the risk of DLL hijacking attacks by preventing applications from insecurely loading code from DLL files.

If you would like to add anything to the article, please comment below.

Related posts

• Access Trojan از راه دور چیست؟ پیشگیری، Detection & Removal

• Fileless Malware Attacks، Protection and Detection

• چگونه برای جلوگیری از Phishing Scams and Attacks؟

• Cyber Attacks - تعریف، Types، پیشگیری

• Browser Hijacking and Free Browser Hijacker Removal Tools

• چگونه برای جلوگیری از Malware - نکاتی برای Windows 11/10 امن

• DDoS Distributed Denial از Service Attacks: حفاظت، Prevention

• چگونه Malware را از کامپیوتر خود در Windows 10 حذف کنید

• حملات ناخوشایند: تعریف، نمونه، حفاظت، امنیت

• Remove virus از USB Flash Drive با استفاده از Command Prompt or Batch File

• Rogue Security Software or Scareware: چگونه برای بررسی، جلوگیری از حذف، حذف؟

• Microsoft Windows Logo process در Task Manager؛ آیا این یک ویروس است؟

• Crystal Security مبتنی بر Malware Detection Tool مبتنی بر Cloud رایگان است

• چگونه برای بررسی Registry برای نرم افزارهای مخرب در Windows 10

• نکاتی برای محافظت از کامپیوتر شما در برابر Thunderspy attack

• چگونه برای بررسی اگر یک فایل مخرب است یا نه بر روی ویندوز 11/10

• FileRepMalware چیست؟ شما باید آن را حذف کنم؟

• چگونه به حذف و یا حذف Driver Tonic از Windows 10

• چگونه برای حذف ویروس از Windows 10؛ Malware Removal Guide

• ویروس idp.generic و نحوه حذف آن چیست؟