Tegnap kaptam egy levelet sghctomától, melyben arról értesített, hogy ígéretéhez híven utánajárt a Google Chrome DLL-ben tárolt template-jeinek, és összehozott egy pöpec cikket a témában, amit a hajtás után elolvashattok.

Körülbelül egy hete nézegettem a Google böngészőjét, a Chrome-ot. Mikor észrevettem, hogy a Themes könyvtárban egy dll file van, rögtön arra gondoltam, hogy ez akár gáz is lehet. Hogy miért? Ha rosszul van megírva a dll betöltése, egy ártalmatlannak tűnő téma kártékony kódot is futtathat. Írtam egy dll-t, ami csupán annyit csinál, hogy betöltéskor (DLL_PROCESS_ATTACH) elindít egy Notepad-et. Kicseréltem az eredeti témát erre a dll-re, és a Notepad annak rendje és módja szerint elindult. A Chrome sem halt bele a dologba, csak megfurcsult:

Ma volt időm újra foglalkozni a dologgal. Az volt a terv, hogy csinálok egy dll-t, ami tartalmaz valami futtatható kódot, és a böngésző is normálisan jelenik meg tőle. A megoldás egyszerű: az eredeti default.dll resource-ait bele kell monyákolni egy saját dll-be. Megcsináltam, a dolog működik is. XP-n. Vista-n nem.

Mi lehet a különbség? Először egy kis minimális bevezető a dll-ekkel kapcsolatban. Egy dll-nek általában van egy DllMain függvénye, ami négy esetben hívódhat meg: ha be- vagy kitöltik a dll-t, ha az adott processz szálat nyit, vagy ha szálat zár be. A lényeg, hogy lehet olyan dll-t írni, ami rögtön betöltődéskor kódot futtat.

Létezik dll, aminek nincs belépési pontja (resource only dll); a Chrome téma file-ja is ilyen. Én ezt a file-t lecseréltem egy olyanra, aminek van belépési pontja, és mikor betöltődött a dll, le is futott a megfelelő kód.

Meg lehet akadályozni, hogy belépési ponttal rendelkező dll DllMain függvénye lefusson, mégpedig a LoadLibraryEx API használatával. Vista-n a Google Chrome chrome.dll-je így is tesz, LoadLibraryEx-szel tölti be a default.dll-t, 0x60 (LOAD_LIBRARY_AS_DATAFILE_EXCLUSIVE | LOAD_LIBRARY_AS_IMAGE_RESOURCE) -at használva harmadik paraméterként.

És itt a bibi. Ez a két flag csak Vista-n érhető el, régebbi verziókon nem. A Chrome-nak van egy függvénye, ami 5.x-es verziójú OS-re egyet, kettőt, vagy hármat ad vissza (x-től függően), 6.x esetén pedig négyet.

Ha ez az érték négy, akkor 0x60-al hívja a LoadLibraryEx-et, ha nem, akkor 0x00-val.

0x00-val a LoadLibraryEx gyakorlatilag ugyanazt csinálja, mint a sima LoadLibrary. Ezért működik a dolog XP-n, és Vista-n ezért nem.

Az, hogy XP-n 0x00-val hívódik a LoadLibraryEx, butaság a Google részéről, mert XP-n létezik egy LOAD_LIBRARY_AS_DATAFILE (0x02) flag, amely bár nem nyújt akkora biztonságot, mint a LOAD_LIBRARY_AS_DATAFILE_EXCLUSIVE, de használatakor szintén adatként tölti be a dll-t az API, és szintén nem futtatja a DllMain-t.

Szóval szerintem érdemes vigyázni a letölthető Chrome témákkal, akár kártékony kódot is tartalmazhatnak. Ja, és nem, nem vagyok mazochista. Azért OllyDbg-gal csináltam mindezt, mert a vonaton nincs net, nem tudtam lehúzni a Chrome forrását :) 

A Google kevéért:

As he promised before, sghctoma wrote a nice article about how is it possible to execute code via special crafted Google Chrome themes. The full post can be found in english at sghctoma's homepage.