一種解決視頻會(huì)議客戶端DLL劫持的新方案

劉泰然 侯登云 李云軒 李培東 金佳燕 劉軍

基金項(xiàng)目：大學(xué)生創(chuàng)新創(chuàng)業(yè)項(xiàng)目；項(xiàng)目名稱：面向“云會(huì)議”系統(tǒng)安全問題的調(diào)研和對策；項(xiàng)目編號：202013994014Y。

作者簡介：劉泰然（2001— ），男，貴州錦屏人，本科生；研究方向：網(wǎng)絡(luò)空間信息安全。

*通信作者：劉軍（1969— ），男，江蘇蘇州人，教授，碩士；研究方向：信息安全。

摘要：隨著2020年疫情的來臨，基于云會(huì)議系統(tǒng)的線上會(huì)議突然興起，各式各樣的視頻會(huì)議系統(tǒng)進(jìn)入人們的日常生活中，而視頻會(huì)議系統(tǒng)帶來便利的同時(shí)，也在使用過程中暴露出很多信息安全問題，包括攔截、中斷、篡改、偽造等攻擊方式。因此，針對目前視頻會(huì)議系統(tǒng)存在的信息安全問題，以解決信息安全問題為創(chuàng)新目標(biāo)，文章對惡意動(dòng)態(tài)鏈接庫進(jìn)行安全性分析，分析其對會(huì)議系統(tǒng)的危害現(xiàn)狀，基于客戶端安裝包攻擊和注入攻擊分別提出和設(shè)計(jì)相對應(yīng)的信息安全系統(tǒng)，用來加強(qiáng)整個(gè)信息系統(tǒng)的安全性，并進(jìn)行結(jié)果對比分析，得到針對劫持漏洞的初步解決方案。

關(guān)鍵詞：惡意動(dòng)態(tài)鏈接庫；視頻會(huì)議安全策略；注入攻擊；惡意劫持；信息傳輸

中圖分類號：TP311 文獻(xiàn)標(biāo)志碼：A

0 引言

隨著云計(jì)算和互聯(lián)網(wǎng)技術(shù)的不斷進(jìn)步和發(fā)展，社會(huì)對于云會(huì)議應(yīng)用的需求量越來越大。在疫情的影響下，由于疫情防控的需要，大多數(shù)辦公和學(xué)習(xí)都只能居家進(jìn)行，導(dǎo)致人們的信息交互不能得到及時(shí)反饋，從而影響辦公學(xué)習(xí)的效率。目前，視頻會(huì)議系統(tǒng)都存在著攔截、中斷、篡改、偽造等安全問題。本文對其中的動(dòng)態(tài)鏈接庫（Dynamic Link Library，DLL）的安全做出簡要介紹和針對此類問題提出想法和改進(jìn)方法。

相較傳統(tǒng)的視頻會(huì)議系統(tǒng)，以軟件為主的云視頻會(huì)議系統(tǒng)是在云計(jì)算虛擬機(jī)架構(gòu)下實(shí)現(xiàn)的，以眾互聯(lián)網(wǎng)公司為代表，比較成熟的產(chǎn)品有騰訊會(huì)議、飛書等。云視頻會(huì)議系統(tǒng)能夠?yàn)橛脩籼峁└鞣N靈活的個(gè)性化定制服務(wù)，并且符合云計(jì)算的三層服務(wù)架構(gòu)特點(diǎn)［1］，分別為IaaS層、PaaS層和SaaS層。到目前為止，在PaaS層中沒有有效應(yīng)對DLL注入攻擊的應(yīng)對方案以及解決措施［1］。

1 DLL對視頻會(huì)議的危害

動(dòng)態(tài)鏈接數(shù)據(jù)庫，DLL是一種包含了可供多種進(jìn)程間共同使用的程序和信息的數(shù)據(jù)庫，但DLL并不是可執(zhí)行文件，是為操作系統(tǒng)提供一種模塊化的共享庫的方案。DLL一開始設(shè)計(jì)出來是為了節(jié)約計(jì)算機(jī)中的磁盤空間和運(yùn)行空間，后來廣泛運(yùn)用于資源的共享和數(shù)據(jù)的共享并使系統(tǒng)設(shè)計(jì)變成模塊化設(shè)計(jì)更方便管理。攻擊者可以在視頻會(huì)議的服務(wù)器端加入惡意動(dòng)態(tài)鏈接庫，這時(shí)攻擊者將能夠在用戶進(jìn)行視頻會(huì)議時(shí)對用戶信息實(shí)施監(jiān)視、截取、中斷、修改等動(dòng)作，而使用者的對話內(nèi)容或者機(jī)密文件會(huì)將信息泄露出去，進(jìn)而損害通信網(wǎng)絡(luò)安全，或者損害公眾的通信權(quán)利、通話隱私權(quán)，又或者也可以被用來進(jìn)行欺詐、間諜等其他活動(dòng)［2］ 。

2 攻擊方式

本文主要說明惡意動(dòng)態(tài)鏈接庫的兩種攻擊方式和攻擊過程。

2.1 客戶端安裝包攻擊

這種攻擊是攻擊者繞開應(yīng)用檢測后部署在官網(wǎng)上提供給用戶下載使用，用戶安裝后攻擊者通過此漏洞，安裝的程序就自動(dòng)下載攻擊者的惡意動(dòng)態(tài)鏈接庫，從而獲取到用戶的信息或者權(quán)限進(jìn)行監(jiān)聽、攔截、中斷、篡改等操作。視頻會(huì)議軟件中這種攻擊非常常見，zoom就是一個(gè)代表，攻擊者通過惡意修改安裝包中的動(dòng)態(tài)鏈接庫，實(shí)現(xiàn)用戶信息的獲取，截取或者攔截會(huì)議中的內(nèi)容，更嚴(yán)重的還可以修改視頻會(huì)議中的通話質(zhì)量和內(nèi)容，使得用戶的會(huì)議內(nèi)容被攻擊者惡意利用。

2.2 注入攻擊

注入攻擊者通常代指一類攻擊，它利用方法注射數(shù)據(jù)到某個(gè)網(wǎng)絡(luò)應(yīng)用程序中以期得到正常執(zhí)行，又或者利用非預(yù)期的另一個(gè)方法來執(zhí)行惡意數(shù)據(jù)。這種類型的危險(xiǎn)，包含了跨站腳本式入侵（Cross Site Scripting）、SQL灌注進(jìn)攻、頭部灌注進(jìn)攻、日志灌注進(jìn)攻，以及全途徑的暴露［3］ 。

對某個(gè)開始執(zhí)行的步驟進(jìn)行/注入代碼的步驟，如圖1所示。將加入的程序以動(dòng)態(tài)鏈接庫（DLL）的方式出現(xiàn)。DLL軟件在執(zhí)行后，會(huì)依需加入類似UNIX操作系統(tǒng)中的共享庫（share object，擴(kuò)展名為.so）。用戶在啟動(dòng)一個(gè)視頻會(huì)議程序時(shí)這個(gè)程序需要DLL，可利用定義的全路線、DLL重定向，并且能夠利用manifest文件來限制全路線。

同樣，如果上述方法均未采用，系統(tǒng)會(huì)根據(jù)特殊搜尋次序定位DLL文檔。特殊搜尋次序分為標(biāo)準(zhǔn)和備用搜尋次序。攻擊者可以通過把惡意制造的DLL文件置于程序同一目錄。程序運(yùn)行的時(shí)候搜索到惡意制造的DLL文件并調(diào)用后，攻擊者就可以獲取用戶的資料或者信息。而DLL加載攻擊則是用戶在使用程序的過程中，調(diào)用到DLL文件時(shí)去尋找響應(yīng)的DLL文件進(jìn)行加載，它與預(yù)加載攻擊其實(shí)很相似，一個(gè)是在程序啟動(dòng)初期發(fā)生的攻擊，一個(gè)是在程序運(yùn)行中發(fā)生的攻擊，二者攻擊的方式都一樣，都是去尋找DLL文件，從而讓攻擊者有機(jī)可乘。

這樣修改了DLL的搜索路徑后不僅會(huì)影響視頻會(huì)議軟件進(jìn)程的運(yùn)行，還非常有可能影響其他程序的運(yùn)行，這樣不僅是視頻會(huì)議的信息會(huì)泄露，而且用戶的其他私人信息可能也會(huì)泄露出去，從而導(dǎo)致嚴(yán)重的后果。

3 安全性分析

以DLL安裝包替換攻擊和注入攻擊對視頻應(yīng)用所帶來的沖擊為依據(jù)，我們提供的DLL視頻會(huì)議認(rèn)證防御機(jī)制和安全防護(hù)方法能夠在近乎真實(shí)的場景中，有效防止客戶端安裝包的入侵，對DLL加載過程進(jìn)行了安全驗(yàn)證，從而有效抵御惡意劫持DLL的漏洞入侵，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中本身存在的可能對視頻會(huì)議軟件造成影響的漏洞。從安全性的角度設(shè)計(jì)，可以設(shè)置系統(tǒng)中DLL文件與應(yīng)用對自身DLL文件的黑白底片名單庫，以及應(yīng)用軟件提供方隨應(yīng)用軟件提供的安全DLL文件時(shí)的哈希值包，并輔以我們所提供的認(rèn)證防護(hù)體系，將能夠較為有效地對抗惡意劫持DLL的滲透威脅，同時(shí)也應(yīng)該加強(qiáng)對于自身網(wǎng)絡(luò)的漏洞掃描和處理，將視頻會(huì)議的安全性進(jìn)一步提升。

隨著云計(jì)算、移動(dòng)互聯(lián)網(wǎng)及人工智能等前沿技術(shù)引入，云視頻會(huì)議平臺在大幅提升服務(wù)質(zhì)量的同時(shí)，必然會(huì)引入新的安全風(fēng)險(xiǎn)。因此，云視頻會(huì)議系統(tǒng)安全防護(hù)需要在原有視頻會(huì)議安全功能的基礎(chǔ)上對其進(jìn)一步完善，并根據(jù)用戶使用需求和實(shí)際應(yīng)用場景，設(shè)計(jì)語音、視頻、消息、會(huì)議、文件等多功能于一體的云視頻會(huì)議系統(tǒng)安全防護(hù)方案。云視頻會(huì)議系統(tǒng)，既要滿足視頻會(huì)議的使用要求，也要確保系統(tǒng)安全平穩(wěn)運(yùn)行和用戶隱私不會(huì)被泄露。想要實(shí)現(xiàn)云視頻會(huì)議系統(tǒng)全過程安全防護(hù)，就必須保證云視頻會(huì)議系統(tǒng)的安全性、完整性、可用性、可控制性和可追溯性［4］。

4 解決方案

現(xiàn)有的靜態(tài)檢測技術(shù)既有優(yōu)勢，同時(shí)也存在不足。優(yōu)勢在于靜態(tài)檢測開銷小，檢測的針對性更強(qiáng)，效率較高，但其檢測方式相對固定和單一，很容易被攻擊者利用其缺點(diǎn)從而逃過靜態(tài)檢測，使系統(tǒng)存在被攻擊的風(fēng)險(xiǎn)。系統(tǒng)回調(diào)檢測技術(shù)雖然相對靜態(tài)檢測開銷大，技術(shù)難度高，但是其檢測方式多樣化，對于不同的攻擊方式有不同的應(yīng)對之策，具有很高的靈活性、可信度。

鑒于攻擊者會(huì)將帶有惡意木馬的視頻會(huì)議安裝包通過偽造成“真正”的安裝包放在應(yīng)用商店中誘導(dǎo)用戶下載，攻擊者會(huì)通過這些帶有惡意木馬的安裝包非法竊聽和獲取用戶的關(guān)鍵信息，導(dǎo)致用戶在下載安裝帶有惡意木馬的安裝包時(shí)產(chǎn)生一系列的信息安全問題。鑒于此類安全問題，本文提出了解決方案［5］。

4.1 設(shè)計(jì)思路

在通常情況下，程序加載DLL的時(shí)機(jī)主要有以下兩個(gè)：一是在進(jìn)程創(chuàng)建階段加載輸入表中的DLL，即靜態(tài)輸入；二是通過調(diào)用系統(tǒng)API函數(shù)主動(dòng)加載，即系統(tǒng)回調(diào)加載，對加載的DLL文件進(jìn)行數(shù)字簽名，保證DLL文件的唯一性。因此，應(yīng)對DLL安裝包攻擊和注入攻擊通過上述兩種手段進(jìn)行。

4.2 認(rèn)證原理

DLL認(rèn)證基于對文件簽名的唯一性。在視頻會(huì)議程序中可得到一個(gè)視頻會(huì)話安裝文件，將視頻會(huì)話中的所有DLL文件信息視為一條長串，對該串進(jìn)行哈希計(jì)算得出相應(yīng)哈希值，并視為以此哈希值為該文件的唯一標(biāo)識，并存入系統(tǒng)文件中成為安全DLL文件。

DLL認(rèn)證流程如圖2所示，DLL認(rèn)證流程是把所有安全DLL文件的哈希值都保存在系統(tǒng)中，在收集到由回調(diào)函數(shù)發(fā)出的DLL加載數(shù)據(jù)時(shí)，把加入的DLL文件哈希值和所存儲的所有安全DLL文件哈希值進(jìn)行比對，如果相同則驗(yàn)證成功，否則驗(yàn)證將不能通過，可能出現(xiàn)了惡意安裝包等的問題。使用DLL認(rèn)證過程也能夠提高系統(tǒng)的穩(wěn)定性，避免了客戶端的DLL安裝包攻擊和注入攻擊，提高了信息安全性［2］。

4.3系統(tǒng)結(jié)構(gòu)設(shè)計(jì)

本文系統(tǒng)結(jié)構(gòu)主要包括核心狀態(tài)子系統(tǒng)、設(shè)備狀態(tài)子系統(tǒng)、信息安全系統(tǒng)。核心子系統(tǒng)主要包括注冊模塊和回調(diào)模塊，注冊模塊的主要作用為在啟動(dòng)前使用PsSetLoadlmageNotifyRoutine0先注入的回調(diào)函數(shù)，在關(guān)閉后使用PsRemoveLoadImageNotifyRoutine0刪除先前注入的回調(diào)函數(shù)?；卣{(diào)功能的主要作用是提供回調(diào)函數(shù)，它可以進(jìn)行數(shù)據(jù)擴(kuò)展名過濾，只把從DLL軟件中加載的相關(guān)數(shù)據(jù)發(fā)送到用戶端子系統(tǒng)中處理。

用戶端子功能系統(tǒng)主要包括控制功能、接收模塊、監(jiān)視模塊、HASH注冊表、PGP簽名功能、處理模塊、安全系統(tǒng)模塊?？刂乒δ苤饕脕砉芾碜阅K和受理模塊之間的打開與關(guān)閉關(guān)系及其調(diào)整。在受理模塊打開后，可接收由回調(diào)功能發(fā)出的DLL加載相關(guān)消息，并將其傳遞到處理模塊完成認(rèn)證處理；禁用后則不能進(jìn)行其他功能。監(jiān)控模塊為指定程序的監(jiān)控，包括監(jiān)視HASH注冊表模塊將所有DLL文件都按照安全文件進(jìn)行國產(chǎn)sm2哈希值處理和PGP簽名模塊驗(yàn)證。HASH注冊表用于將DLL文件的HASH值進(jìn)行登記注冊。PGP簽名模塊是用于數(shù)字簽名判斷注冊表中的HASH值是否與DLL安全文件中的HASH值一致。處理模塊依據(jù)通過PGP數(shù)字簽名認(rèn)證的結(jié)果得到是否DLL文件被惡意篡改和偽造。

網(wǎng)絡(luò)安全系統(tǒng)主要分為防火墻模塊、網(wǎng)絡(luò)安全掃描模塊、攻擊偵測系統(tǒng)模塊，通過安全模塊可以及時(shí)發(fā)現(xiàn)來自互聯(lián)網(wǎng)內(nèi)部或者外界，可能會(huì)導(dǎo)致系統(tǒng)遭到威脅的各種系統(tǒng)漏洞，一旦發(fā)現(xiàn)違反安全策略的情況以及系統(tǒng)遭受威脅的可能性，及時(shí)發(fā)布警報(bào)并采取相應(yīng)保護(hù)措施，對互聯(lián)網(wǎng)和系統(tǒng)實(shí)施主動(dòng)性防護(hù)。

4.4 系統(tǒng)驗(yàn)證

為了驗(yàn)證系統(tǒng)的實(shí)際效果和其他檢測方式的差異性，本文設(shè)計(jì)了兩組實(shí)驗(yàn)，第一組實(shí)驗(yàn)用專門編寫的測試程序去驗(yàn)證系統(tǒng)；第二組實(shí)驗(yàn)是用常用的應(yīng)用軟件測試。通過兩組實(shí)驗(yàn)數(shù)據(jù)驗(yàn)證通過系統(tǒng)回調(diào)加載DLL文件驗(yàn)證的安全性以及可靠性。

在第一組實(shí)驗(yàn)中，編寫一個(gè)DLL.test測試程序，分別通過靜態(tài)加載和動(dòng)態(tài)加載static.dll和dynamic.dll兩個(gè)庫文件，通過調(diào)用回調(diào)加載DLL文件驗(yàn)證。編寫另外一個(gè)與static.dll 和dynamic.dll同名的庫文件，進(jìn)行三次測試。第一次測試正常運(yùn)行DLL.test文件，不加以監(jiān)視。第二次運(yùn)行DLL.test文件，加以監(jiān)視。第三次運(yùn)行DLL.test文件，加以監(jiān)視，并用假冒的DLL文件去替換原有的DLL文件。三次運(yùn)行的試驗(yàn)結(jié)果如表1所示。

綜上所述：第一次測試環(huán)節(jié)由于未添加監(jiān)視模塊所以顯示“Not found”，沒有在HASH注冊表注冊，在驗(yàn)證環(huán)節(jié)不能夠找到對應(yīng)的HASH值，所以不能夠進(jìn)行下面的驗(yàn)證環(huán)節(jié)。在第二次測試中增加監(jiān)測模塊，兩個(gè)DLL文件在HASH表中注冊，由于沒有進(jìn)行DLL劫持，所以驗(yàn)證通過。第三次測試增加了檢測模塊和DLL劫持，兩個(gè)被劫持的DLL文件均不能通過驗(yàn)證，有效地防御了DLL劫持攻擊，抵御了加載漏洞攻擊。

第二組測試用三款常用的視頻會(huì)議應(yīng)用軟件，采用隨機(jī)非本軟件的DLL文件進(jìn)行加載，驗(yàn)證本系統(tǒng)的實(shí)際檢測效果。測試結(jié)果如表2所示。

監(jiān)測采樣完全模擬用戶從消費(fèi)市場和網(wǎng)絡(luò)應(yīng)用商店的行為，依據(jù)前期調(diào)研數(shù)據(jù)覆蓋主流產(chǎn)品。從品牌分布來看，硬件視頻會(huì)議產(chǎn)品包括騰訊會(huì)議、釘釘、飛書，覆蓋了中小學(xué)生網(wǎng)絡(luò)課程遠(yuǎn)程視頻培訓(xùn)產(chǎn)品，最大限度反映了消費(fèi)者的真實(shí)使用現(xiàn)狀。目前，針對視頻會(huì)議產(chǎn)品的信息安全風(fēng)險(xiǎn)，國內(nèi)尚無針對性的國家標(biāo)準(zhǔn)出臺。本次風(fēng)險(xiǎn)監(jiān)測主要監(jiān)測項(xiàng)目包括身份鑒別、權(quán)限控制、通信安全、個(gè)人信息保護(hù)以及移動(dòng)應(yīng)用安全等，采用的檢測和判定依據(jù)是信息安全領(lǐng)域通用的國家標(biāo)準(zhǔn)《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/T 2223—2019）第三級要求［5］ 。

測試數(shù)據(jù)表明，上述三款視頻會(huì)議軟件均能在DLL被劫持篡改后檢測到異常，說明了偽造的DLL文件沒有通過防御系統(tǒng)的認(rèn)證，抵御了漏洞攻擊。本文提供的DLL認(rèn)證系統(tǒng)并不會(huì)影響應(yīng)用程序的正常運(yùn)行，也沒有對現(xiàn)有操作系統(tǒng)有更高的要求。

從實(shí)用價(jià)值出發(fā)，由于我們所提供的用于視頻會(huì)議的DLL驗(yàn)證機(jī)制既沒有干擾應(yīng)用程序的正常載入進(jìn)程，也不會(huì)對已有的操作系統(tǒng)加載機(jī)制提供額外要求，從而完全能夠?qū)LL驗(yàn)證機(jī)制進(jìn)行模塊化實(shí)現(xiàn)，并內(nèi)嵌到已有的視頻會(huì)議程序中，因此具備了很大的使用優(yōu)勢。對于注入攻擊采用的信息安全策略不僅能發(fā)現(xiàn)自身網(wǎng)絡(luò)中對視頻會(huì)議有潛在威脅的危險(xiǎn)，還能發(fā)現(xiàn)其他對計(jì)算機(jī)本身的潛在攻擊等危險(xiǎn)，大大保證了該計(jì)算機(jī)的信息安全。

5 結(jié)語

基于DLL劫持攻擊對視頻會(huì)議系統(tǒng)的穩(wěn)定性影響分析，以及設(shè)計(jì)系統(tǒng)驗(yàn)證攔截效果，本文從幾個(gè)方面討論出針對DLL劫持漏洞的初步解決方案?？筛鶕?jù)此系統(tǒng)結(jié)構(gòu)設(shè)計(jì)深入研究系統(tǒng)的工作機(jī)理、安全漏洞，并改進(jìn)研發(fā)出適應(yīng)各行業(yè)用戶使用特點(diǎn)和安全要求的視頻會(huì)議產(chǎn)品，這將有助于實(shí)現(xiàn)視頻會(huì)議系統(tǒng)的安全策略。

參考文獻(xiàn)

［1］肖紅威.云計(jì)算架構(gòu)下云視頻會(huì)議系統(tǒng)安全問題探究［J］.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2021（6）：76-77.

［2］劉峰宇，解煒.基于簽名認(rèn)證的DLL加載漏洞防御技術(shù)研究［J］.信息網(wǎng)絡(luò)安全，2017（11）：62-66.

［3］宋曉斌，穆源，朱濤，等.DLL注入及檢測技術(shù)研究綜述［J］.信息安全研究，2022（8）：786-792.

［4］潘唐賢.云計(jì)算架構(gòu)下云視頻會(huì)議系統(tǒng)安全問題分析［J］.電子技術(shù)與軟件工程，2021（17）：237-238.

［5］李樂言，宋佳，彭琦.視頻會(huì)議產(chǎn)品信息安全風(fēng)險(xiǎn)分析及改善措施［J］.信息與電腦（理論版），2022（7）：243-245，250.

（編輯 李春燕）

Abstract： Due to the advent of the epidemic in 2020， video conferencing suddenly arose，a large number of video conferencing systems into Peoples Daily life， but the use of video conferencing system in the process of information security problems also followed. Aiming at the problem of information security in the current video conference system， this paper introduces the malicious dynamic link library and gives the security analysis and puts forward the corresponding solution to enhance the system security.

Key words： malicious dynamic link library; video conference security policy; injection attack; malicious hijacked