搜索

[16645] 2021-04-08_使用DLLHSC扫描DLL劫持目标

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2021-04-08_使用DLLHSC扫描DLL劫持目标 使 用 D L L H S C 扫 描 D L L 劫 持 目 标 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 4 - 0 8 D L L H S C D L L H S C 全 称 为 D L L   H i j a c k   S C a n n e r ， 即 D L L 劫 持 扫 描 工 具 ， D L L H S C 可 以 生 成 线 索 并 自 动 帮 助 广 大 研 究 人 员 发 现 合 适 的 D L L 劫 持 攻 击 目 标 ， 以 方 便 实 现 D L L 搜 索 顺 序 劫 持 。 此 存 储 库 包 含 工 具 的 V i s u a l   S t u d i o 项 目 文 件 （ D L L H S C ） 、 A P I 钩 子 功 能 的 项 目 文 件 （ d e t o u r ） 、 P a y l o a d 项 目 文 件 以 及 针 对 x 8 6 和 x 6 4 体 系 结 构 的 已 编 译 可 执 行 文 件 。 其 中 ， 项 目 代 码 全 部 采 用 V i s u a l   S t u d i o   C o m m u n i t y   2 0 1 9 进 行 开 发 和 编 译 。 如 果 选 择 使 用 源 代 码 处 编 译 工 具 ， 则 需 要 编 译 项 目 D L L H S C 、 d e t o u r 和 P a y l o a d 。 D L L H S C 实 现 了 这 个 工 具 的 核 心 功 能 ， d e t o u r 项 目 生 成 一 个 用 于 钩 住 A P I 的 D L L 文 件 ， P a y l o a d 项 目 负 责 生 成 用 作 概 念 验 证 的 D L L ， 广 大 研 究 人 员 可 以 测 试 可 执 行 文 件 并 查 看 是 否 可 以 通 过 搜 索 顺 序 劫 持 技 术 来 加 载 它 。 生 成 的 P a y l o a d 必 须 与 D L L H S C 存 放 在 同 一 目 录 中 ， d e t o u r 生 成 的 文 件 名 分 别 为 p a y l o a d 3 2 . d l l （ 针 对 x 8 6 体 系 架 构 ） 和 p a y l o a d 6 4 . d l l （ 针 对 x 6 4 体 系 架 构 ） 。 工 具 操 作 模 式 工 具 操 作 模 式 D L L H S C 实 现 了 三 种 操 作 模 式 ， 具 体 如 下 ： 1 、 轻 量 级 模 式 、 轻 量 级 模 式 将 可 执 行 镜 像 加 载 到 内 存 中 ， 解 析 导 入 表 ， 然 后 用 P a y l o a d   D L L 替 换 导 入 表 中 引 用 的 任 何 D L L 。 该 工 具 只 在 应 用 程 序 目 录 中 放 置 一 个 模 块 （ D L L ） ， 该 模 块 不 属 于 W i n S x S ， 也 不 属 于 K n o w n D L L s 。 P a y l o a d   D L L 在 执 行 时 ， 将 在 以 下 路 径 中 创 建 一 个 文 件 ： C : U s e r s % U S E R N A M E % A p p D a t a L o c a l T e m p D L L H S C . t m p 作 为 执 行 验 证 。 接 下 来 ， 工 具 将 启 动 应 用 程 序 ， 并 通 过 检 查 临 时 文 件 是 否 存 在 来 报 告 是 否 执 行 了 P a y l o a d   D L L 。 当 某 些 可 执 行 文 件 从 加 载 的 D L L 导 入 函 数 时 ， 如 果 提 供 的 D L L 无 法 导 出 这 些 函 数 并 满 足 所 提 供 镜 像 的 依 赖 关 系 时 ， 可 能 会 显 示 错 误 消 息 框 。 但 是 ， 消 息 框 返 回 的 信 息 表 明 ， 如 果 满 足 依 赖 关 系 ， 则 目 标 D L L 可 能 是 P a y l o a d 执 行 的 良 好 候 选 目 标 。 在 这 种 情 况 下 ， 则 需 要 进 行 额 外 的 分 析 。 这 些 消 息 框 的 标 题 可 能 包 含 以 下 字 符 串 ： 找 不 到 序 号 或 找 不 到 入 口 点 。 D L L H S C 会 查 找 包 含 这 些 字 符 串 的 窗 口 ， 一 旦 它 们 出 现 就 立 即 关 闭 并 报 告 结 果 。
2 、 列 表 模 块 模 式 、 列 表 模 块 模 式 使 用 提 供 的 可 执 行 镜 像 创 建 进 程 ， 枚 举 加 载 到 此 进 程 的 地 址 空 间 中 的 模 块 ， 并 在 应 用 筛 选 器 后 报 告 结 果 。 该 工 具 只 报 告 从 系 统 目 录 加 载 的 不 属 于 k n o w n d l l 的 模 块 ， 输 出 的 结 果 为 需 要 额 外 分 析 的 线 索 。 然 后 ， 分 析 员 可 以 将 报 告 的 模 块 放 在 应 用 程 序 目 录 中 ， 并 检 查 应 用 程 序 是 否 加 载 了 提 供 的 模 块 。 3 、 运 行 时 模 式 、 运 行 时 模 式 通 过 M i c r o s o f t   D e t o u r s 钩 住 L o a d L i b r a r y 和 L o a d L i b r a r y E x   A P I ， 并 报 告 在 运 行 时 加 载 的 模 块 。 每 次 扫 描 的 应 用 程 序 在 调 用 L o a d L i b r a r y 和 L o a d L i b r a r y E x   A P I 时 ， 该 工 具 都 会 截 获 调 用 并 将 请 求 的 模 块 写 入 文 件 C : U s e r s % U S E R N A M E % A p p D a t a L o c a l T e m p D L L H S C R T L O G . t m p 之 中 。 如 果 L o a d L i b r a r y E x 专 门 使 用 了 L O A D _ L I B R A R Y _ S E A R C H _ S Y S T E M 3 2 标 记 进 行 调 用 的 话 ， 则 不 会 向 文 件 写 入 任 何 输 出 结 果 。 所 有 调 用 拦 截 完 成 之 后 ， 工 具 将 读 取 日 志 文 件 内 容 并 输 出 结 果 。 需 要 进 一 步 分 析 的 是 K n o w n D L L s 注 册 表 项 中 不 存 在 的 模 块 、 系 统 目 录 中 不 存 在 的 模 块 以 及 没 有 完 整 路 径 的 模 块 。 编 译 和 运 行 指 南 编 译 和 运 行 指 南 如 果 你 打 算 使 用 源 代 码 来 编 译 工 具 ， 我 们 建 议 你 在 V i s u a l   C o d e   S t u d i o   2 0 1 9 上 进 行 操 作 。 为 了 使 该 工 具 正 常 工 作 ， 必 须 为 相 同 的 体 系 结 构 编 译 项 目 D L L H S C 、 d e t o u r 和 p a y l o a d ， 然 后 将 它 们 放 在 相 同 的 目 录 中 。 请 注 意 ， 从 项 目 P a y l o a d 生 成 的 D L L 必 须 重 命 名 为 p a y l o a d 3 2 . D L L （ 针 对 3 2 位 体 系 结 构 ） 或 p a y l o a d 6 4 . D L L （ 针 对 6 4 位 体 系 结 构 ） 。 工 具 帮 助 菜 单 工 具 帮 助 菜 单 工 具 使 用 演 示 工 具 使 用 演 示 N A M E                 d l l h s c   -   D L L   H i j a c k   S C a n n e r S Y N O P S I S                 d l l h s c . e x e   - h                 d l l h s c . e x e   - e   < e x e c u t a b l e   i m a g e   p a t h >   ( - l | - l m | - r t )   [ - t   s e c o n d s ] D E S C R I P T I O N                 D L L H S C   s c a n s   a   g i v e n   e x e c u t a b l e   i m a g e   f o r   D L L   H i j a c k i n g   a n d   r e p o r t s   t h e   r e s u l t s                 I t   r e q u i r e s   e l e v a t e d   p r i v i l e g e s O P T I O N S                 - h ,   - - h e l p                                 d i s p l a y   t h i s   h e l p   m e n u   a n d   e x i t                 - e ,   - - e x e c u t a b l e - i m a g e                                 e x e c u t a b l e   i m a g e   t o   s c a n                 - l ,   - - l i g h t w e i g h t                                 p a r s e   t h e   i m p o r t   t a b l e ,   a t t e m p t   t o   l a u n c h   a   p a y l o a d   a n d   r e p o r t   t h e   r e s u l t s                 - l m ,   - - l i s t - m o d u l e s                                 l i s t   l o a d e d   m o d u l e s   t h a t   d o   n o t   e x i s t   i n   t h e   a p p l i c a t i o n ' s   d i r e c t o r y                 - r t ,   - - r u n t i m e - l o a d                                 d i s p l a y   m o d u l e s   l o a d e d   i n   r u n - t i m e   b y   h o o k i n g   L o a d L i b r a r y   a n d   L o a d L i b r a r y E x   A P I s                 - t ,   - - t i m e o u t                                 n u m b e r   o f   s e c o n d s   t o   w a i t   f o r   c h e c k i n g   a n y   p o p u p   e r r o r   w i n d o w s   -   d e f a u l t s   t o   1 0   s e c o n d s
本 节 提 供 了 有 关 如 何 运 行 D L L H S C 及 其 报 告 的 结 果 的 示 例 。 为 此 ， 我 们 选 择 使 用 合 法 的 M i c r o s o f t 实 用 程 序 O l e V i e w . e x e （ M D 5 : D 1 E 6 7 6 7 9 0 0 C 8 5 5 3 5 F 3 0 0 E 0 8 D 7 6 A A C 9 A B ） 作 为 演 示 样 例 。 为 了 获 得 更 好 的 结 果 ， 建 议 在 安 装 目 录 中 扫 描 提 供 的 可 执 行 镜 像 。 下 图 中 显 示 了 O l e V i e w . d l l 在 加 载 P a y l o a d   D L L 时 返 回 的 错 误 消 息 提 示 框 ： 该 工 具 将 等 待 1 0 秒 或 - t 秒 的 最 长 时 间 ， 以 确 保 进 程 初 始 化 已 完 成 ， 并 且 已 生 成 任 意 消 息 框 。 然 后 它 将 检 测 消 息 框 ， 然 后 关 闭 它 并 报 告 结 果 ： - l m 参 数 将 启 动 提 供 的 可 执 行 文 件 并 打 印 它 加 载 的 模 块 ， 这 些 模 块 不 属 于 K n o w n D L L s 列 表 ， 也 不 属 于 W i n S x S 依 赖 项 。 此 模 式 旨 在 提 供 可 用 作 P a y l o a d 载 的 D L L 的 验 证 ， 仅 用 于 为 分 析 人 员 提 供 潜 在 目 标 ：
当 以 进 程 的 形 式 启 动 时 ， - r t 参 数 会 将 提 供 的 可 执 行 镜 像 加 载 到 其 地 址 空 间 中 的 模 块 打 印 出 来 ： 项 目 地 址 ： 点 击 底 部 【 阅 读 原 文 】 获 取 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理