首页
论坛
课程
招聘
[原创]注入技术系列:一个批量验证DLL劫持的工具
2019-11-3 10:05 8864

[原创]注入技术系列:一个批量验证DLL劫持的工具

2019-11-3 10:05
8864

作者:anhkgg
日期:2019年11月3日

 

很多时候,可能会对某个软件进行DLL劫持。

 

而这个软件是否存在DLL劫持漏洞,需要去分析验证。

 

比如通过IDA查看导入的DLL,或者LoadLibrary的DLL,然后慢慢排除某些KnownDlls,排除某些绝对路径加载的DLL...

 

或者通过Windbg分析。

 

虽然技术难度不高,但是挺费事的。

 

本篇文章分享我找DLL劫持的方法,不一定是最佳,不过很方便。

1

首先,通过windbg启动软件,设置(默认开启的):

Debug->Event Filters->Load module,勾选Output

然后go运行。这样我们可以看到运行后,软件导入表导入的DLL,以及LoadLibrary加载的DLL的所有文件,如下所示:

ModLoad: 75090000 750cb000   C:\Windows\system32\rsaenh.dll
ModLoad: 757c0000 757cc000   C:\Windows\system32\CRYPTBASE.dll
ModLoad: 778b0000 778da000   C:\Windows\system32\imagehlp.dll
ModLoad: 77860000 778a5000   C:\Windows\system32\WLDAP32.dll

2

写一个测试的DLL,只用下面的代码:

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    char path[MAX_PATH] = { 0 };
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        OutputDebugStringA(path);
        OutputDebugStringA("success!");
        MessageBoxA(NULL, "success!", "Tips", MB_OK);
        ExitProcess(0);
        break;
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

然后讲DLL改名成劫持目标DLL,放到软件目录下,运行验证即可。

 

如果出现提示success则表示该目标DLL劫持成功。

3

如果DLL太多了,一一验证排除肯定很麻烦,所以程序员又要写代码了。

 

写一个自动批量验证的工具,基本思路如下:

  • 把windbg拿到的dll列表保存下来
  • 准备好测试DLL,DLL中加入写log功能
  • 分析dll列表,一一把测试DLL拷贝为目标dll,启动软件
  • 然后把log提取出来,可以看到成功劫持的dll

 

工具界面如上,一键验证所有DLL,分分钟拿到结果。

 

工具会分享到https://github.com/anhkgg/anhkgg-tools下,欢迎使用,如有bug,请联系我。

 

欢迎关注公众号:汉客儿

 

交流群:753894145


第五届安全开发者峰会(SDC 2021)10月23日上海召开!

最后于 2019-11-4 16:11 被anhkgg编辑 ,原因:
收藏
点赞1
打赏
分享
最新回复 (6)
雪    币: 458
活跃值: 活跃值 (40)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
一心入门pwn 活跃值 2019-11-3 12:39
2
0
赞一个,很实用
雪    币: 15488
活跃值: 活跃值 (20493)
能力值: (RANK:75 )
在线值:
发帖
回帖
粉丝
Editor 活跃值 2019-11-4 10:48
3
0
感谢分享!
雪    币: 3721
活跃值: 活跃值 (149)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Hades一KXXY 活跃值 2019-11-5 16:08
4
0
这个非常实用
雪    币: 6827
活跃值: 活跃值 (471)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
tomtory 活跃值 2019-11-5 16:32
5
0
非常实用,感谢!
雪    币: 85
活跃值: 活跃值 (75)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
wodexinren 活跃值 2019-11-7 09:43
6
0
m,感谢分享
雪    币: 73
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
QZ2019 活跃值 2天前
7
0
不支持X32
游客
登录 | 注册 方可回帖
返回