[HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options]# G, @) c- ?9 t9 y
注册 表的这个项大家可能还不太熟悉,因为这个主要是用来调试程序用的,对一般用户 ) O8 a7 X% J% L& N
意义不大。默认是只有管理员和local system有权读写,一般user只读。
先做个实验:在这个项下新建一个子项“test.exe”,再建一个字串值“Debugger”,; o# ]' a" o# ?9 H: M
数值数据设为“cmd.exe /c echo”,随便把一个EXE文件 改名为“test.exe”,然后在命令& I* [. w* r1 b4 |6 |2 u. x
行调用“test.exe”,得到的屏幕输出不是test.exe的输出,而会是这样:/ t3 D8 B, B. F
; D K1 w0 m |7 q
E:/>test
test+ N6 Z, t, l) l
2 [8 z, W' ^" m7 a. V4 T3 w
E:/>test.exe
test.exe
) l$ _- b0 b; O+ d2 d6 b |
Windows NT系统 在执行一个从命令行调用的可执行文件运行请求时,首先会检查这是否: e& H: y- o- g1 D
是一个可执行文件,如果是,又是什么格式的,然后就会检查是否存在:
, a/ |* W5 G( ]1 m0 l6 g
[HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options/ImageName] @, h1 _2 W, l' G
如果存在,首先会试图读取这个键值:6 K4 ^, ~& i6 Z. D
d9 i' m& o2 ~2 n) R! o
[HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options/ImageName]% s# Y+ H4 ^1 o9 _# [5 _+ j+ I
"Debugger"="debug_prog"
如果存在,就执行“debug_prog ImageName”,刚才的例子中,其实系统真正执行的是:
cmd.exe /c echo test! d. |$ J0 ?( P# I
cmd.exe /c echo test.exe
4 `* l7 ^, p# u7 S7 p! /
如果“debug_prog”设为一个不在搜索路径中的程序,会得到一个很有趣的提示:“系. R {7 @8 s: m6 j
统找不到文件 E:/test.exe”。而事实上test.exe就在当前目录下,这里所谓找不到的其实8 P/ y0 n! s+ ~' /: [5 C4 a
是那个“debug_prog”。而只要设置 了test.exe这个项,既使test.exe不存在,也不会提示' w# _* c/ A# ^' D
“系统找不到文件”,控制台上不会返回任何输出。
系统在运行任何一个可执行程序时都会先检查这个键值。这个特性可以被用来放置后门。
这一点,在以往的Windows 安全资料中尚未提到过。如果你有一个Windows 2000安全检查列
表,请把它加进去。2 A2 B5 r9 i6 V! @
# T! C" B" W6 A! b3 }8 R
这个项支持的值,在Windows 2000下我找到的有:
ApplicationGoo
Debugger
PageHeapFlags
DisableHeapLookAside
DebugProcessHeapOnly9 g" m# t0 ^2 z& X
PageHeapSizeRangeStart
PageHeapSizeRangeEnd p: |9 Q, t8 i. s8 t/ f
PageHeapRandomProbability1 W q9 }: T) H2 ]; c1 x: J
PageHeapDllRangeStart, ]) e' W, u. o+ n5 Z( e$ ]
PageHeapDllRangeEnd
GlobalFlag
BreakOnDllLoad) /7 R5 u, ` W
这些项的工作都只与文件名有关,与路径无关。
" A6 p* ~ q6 Q; n; T
其中,Debugger上面讲过了。DisableHeapLookAside可以用来纠正一些应用程序运行时
的问题。从Windows NT SP4开始,Windows 系统使用了新的堆(heap)管理机制,新的动态/ [& i& ^# i, k# u. m
内存分配使得应用程序占用更少的内存(也使写Exploit更加困难:-)),但是也有些应用程
序在这种机制下无法正常运行,会挂起或出错。这种情况下,以该文件名建一个项,并把' g1 R" z. A# h5 e- Q
DisableHeapLookAside 设为“1”,会强迫系统对此应用程序不使用新的堆管理机制。(基: s( v, x; Q) L/ ?
于一般系统的堆溢出 Exploit,在应用程序改变了运行方式后是不是会失效?那么,对关键
程序使用这一手段,在某种意义上,也是一种抵御溢出攻击的方法。)
# x% g! ]0 Z6 `6 f6 e0 l# n
关于DisableHeapLookAside更多的信息请参考微软 知识库:Q252902,Q195008,Q195009。
+ A! w; n! W: |3 N) X4 ?0 G- U
有趣的是,Windows 2000在安装的时候,就预设了这几个文件名的DisableHeapLookAside:
enc98.EXE
f32main.exe
prwin8.EXE" q# a" M' O _+ W; X
ps80.EXE# c' h" g v0 i- M
qfinder.EXE
qpw.EXE
ua80.EXE! ]; g! P1 V2 M- {; T! L
wpwin8.EXE+ X4 s2 /' s/ R5 n3 a" [( G
大概是微软收到了有关这些应用程序运行异常的报告吧:-)。
) h7 e- K" {1 z4 _0 P" J e) X2 J, y
BreakOnDllLoad 是用来调试DLL的,譬如某个ISAPI。可以在DLL刚一装入就设置断点。
可以参考Rick Strahl的《Debugging IIS5 ISAPI Applications with VC++》
ApplicationGoo我没有找到相关资料,但从微软预设的值来看,这个项里存放的是文件
的版本信息。我猜想是否用这个来匹配特定版本的文件。
剩下来的这几个值虽然我知道它们是确实存在的,却无法找到任何有关的资料,甚至在
MSDN里也只字未提,还好它们的名称基本上已经把用处说清楚了:-),都是用来控制heap 的。
希望这几个值对正在埋头研究Windows堆溢出的朋友们能有一点点帮助。5 y$ a8 X6 Y1 /
附加信息:1 N4 ?3 O- R/ F9 c% [/ F9 e/ ^
在XP中,这个项下面还支持ShutdownFlags这个值。下面是微软的描述:# j* W, K' l8 V% T# d3 o0 Q
6 C h4 H) P7 m- ~8 Q
Leak Detection when the Process Is Exiting$ v; k; F5 l: ^ a, ]; U
Leak detection is made every time a process is cleanly exiting.
It doesn't work if the process is terminated with TerminateProcess()
or TerminateThread() / ExitThread() for the last thread in the process;8 E f( y1 w0 k* E
but for most applications this is not a problem.4 x. T! ?# z# C& |3 x
" O7 /" _. u( K4 U: M4 T. n
To enable leak detection when the process is exiting, set the registry key as follows:
, p `4 j2 R' j' v& `4 n! ~" `
[HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options/ImageName]. f# // h7 S p) u
"ShutdownFlags"="3"