搜索

[11396] 2017-05-29_LoadLibrary：一款能够允许Linux程序从DLL文件中加载或调用函数的工具

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-05-29_LoadLibrary：一款能够允许Linux程序从DLL文件中加载或调用函数的工具 L o a d L i b r a r y ： 一 款 能 够 允 许 L i n u x 程 序 从 D L L 文 件 中 加 载 或 调 用 函 数 的 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 5 - 2 9 介 绍 介 绍 今 天 给 大 家 推 荐 的 这 个 代 码 库 将 允 许 原 生 L i n u x 程 序 从 一 个 W i n d o w s D L L 文 件 中 加 载 或 调 用 功 能 函 数 。 下 面 是 一 个 简 单 的 演 示 示 例 ， 我 将 W i n d o w s   D e f e n d e r “ 移 植 ” 到 了 L i n u x 平 台 。 $   . / m p c l i e n t   e i c a r . c o m m a i n ( ) :   S c a n n i n g   e i c a r . c o m . . . E n g i n e S c a n C a l l b a c k ( ) :   S c a n n i n g   i n p u t E n g i n e S c a n C a l l b a c k ( ) :   T h r e a t   V i r u s : D O S / E I C A R _ T e s t _ F i l e i d e n t i f i e d . 工 作 机 制 工 作 机 制 项 目 源 码 的 p e l o a d e r 目 录 中 包 含 一 个 来 自 n d i s w r a p p e r 的 自 定 义 P E / C O F F 加 载 器 ， 这 个 库 可 以 完 成 重 定 位 和 导 入 操 作 ， 并 提 供 了 一 个 A P I （ d l o p e n ） 。 注 ： 代 码 支 持 使 用 g d b 进 行 调 试 。 这 个 工 具 的 目 的 是 提 升 L i n u x 系 统 平 台 的 可 扩 展 性 以 及 对 W i n d o w s 代 码 库 的 f u z z i n g 效 率 ， 可 供 测 试 的 待 选 项 可 以 是 视 频 编 码 解 码 器 、 解 压 缩 库 、 病 毒 扫 描 工 具 或 图 片 解 码 器 等 等 。 - C + + 异 常 扫 描 和 处 理 ； - 从 I D A 加 载 额 外 的 符 号 链 接 ；
- 使 用 G D B 进 行 调 试 、 设 置 断 点 和 栈 追 踪 ； - 设 置 运 行 时 函 数 钩 子 ； - 扫 描 内 存 崩 溃 问 题 ； 如 果 你 需 要 从 外 部 添 加 功 能 ， 你 可 以 自 行 编 写 s t u b s ， 实 现 起 来 也 非 常 的 简 单 方 便 。 工 具 的 目 的 工 具 的 目 的 想 要 在 W i n d o w s 平 台 上 进 行 分 布 式 可 扩 展 的 F u z z i n g 测 试 实 际 上 是 非 常 困 难 的 ， 而 且 效 率 也 非 常 低 ， 对 于 那 些 终 端 安 全 产 品 更 是 如 此 ， 因 为 它 们 使 用 了 非 常 复 杂 的 组 件 ， 而 这 些 组 件 会 跨 内 核 跨 用 户 空 间 进 行 通 信 互 联 。 如 果 我 们 想 要 对 这 类 产 品 进 行 F u z z i n g 测 试 或 收 集 数 据 ， 将 会 需 要 调 用 到 整 个 虚 拟 化 的 W i n d o w s 环 境 。 但 在 L i n u x 平 台 上 ， 这 一 切 都 不 成 问 题 。 我 通 过 测 试 之 后 发 现 ， 我 们 可 以 将 W i n d o w s 的 反 病 毒 产 品 组 件 移 植 到 L i n u x 平 台 上 。 这 样 一 来 ， 我 就 能 够 以 很 小 的 开 销 来 对 代 码 进 行 测 试 了 ， 而 且 我 们 还 可 以 轻 松 地 扩 展 测 试 。 当 然 了 ， 这 只 是 我 的 个 人 观 点 ， 但 我 也 认 为 L i n u x 平 台 上 同 样 有 很 多 功 能 强 大 的 工 具 。 W i n d o w s   D e f e n d e r M s M p E n g 是 一 款 恶 意 软 件 保 护 服 务 ， W i n d o w s 8 、 8 、 1 0 、 以 及 W i n d o w s   S e r v e r   2 0 1 6 等 系 统 默 认 都 会 开 启 这 项 功 能 。 除 此 之 外 ， M i c r o s o f t   S e c u r i t y   E s s e n t i a l s 、 S y s t e m   C e n t r e   E n d p o i n t   P r o t e c t i o n   以 及 其 他 的 微 软 安 全 产 品 都 使 用 的 是 相 同 的 核 心 引 擎 。 负 责 扫 描 和 分 析 的 M s M p E n g 核 心 组 件 名 叫 m p e n g i n e ， 但 m p e n g i n e 本 身 也 是 一 个 庞 大 而 复 杂 的 攻 击 面 ， 这 个 组 件 由 大 量 处 理 器 、 可 执 行 文 件 、 多 种 架 构 的 系 统 模 拟 器 、 以 及 多 语 言 解 释 器 所 组 成 的 ， 但 这 些 代 码 通 通 都 可 以 被 远 程 攻 击 者 访 问 到 。 构 建 构 建 我 们 可 以 输 入 m a k e 命 令 来 构 建 测 试 客 户 端 ： $   m a k e 依 赖 依 赖 请 注 意 ， 后 缀 . i 6 8 6 和 : i 3 8 6 是 非 常 重 要 的 ， 我 们 需 要 3 2 位 代 码 库 来 使 用 3 2 位 d l l 。 你 可 以 从 下 面 这 个 页 面 下 载 3 2 位 的 反 恶 意 软 件 更 新 文 件 ： h t t p s : / / w w w . m i c r o s o f t . c o m / s e c u r i t y / p o r t a l / d e f i n i t i o n s / a d l . a s p x # m a n u a l 下 面 这 个 链 接 指 向 的 应 该 是 我 们 所 需 要 的 文 件 ：
h t t p : / / g o . m i c r o s o f t . c o m / f w l i n k / ? L i n k I D = 1 2 1 7 2 1 & a r c h = x 8 6 点 击 了 这 个 链 接 之 后 ， 我 们 将 会 下 载 一 个 名 叫 m p a m - f e . e x e 的 文 件 。 接 下 来 ， 我 们 可 以 通 过 命 令 c a b e x t r a c t 将 文 件 提 取 至 e n g i n e 目 录 ： $   c a b e x t r a c t   m p a m - f e . e x e E x t r a c t i n g   c a b i n e t :   m p a m - f e . e x e     e x t r a c t i n g M P S i g S t u b . e x e     e x t r a c t i n g m p a v d l t a . v d m     e x t r a c t i n g m p a s d l t a . v d m     e x t r a c t i n g m p a v b a s e . v d m     e x t r a c t i n g m p a s b a s e . v d m     e x t r a c t i n g m p e n g i n e . d l l A l l   d o n e ,   n o   e r r o r s . 你 可 以 通 过 下 列 命 令 查 看 当 前 的 产 品 版 本 号 ： $   e x i f t o o l   m p e n g i n e . d l l   |   g r e p   ' P r o d u c t   V e r s i o n   N u m b e r ' P r o d u c t   V e r s i o n   N u m b e r                     :   1 . 1 . 1 3 7 0 1 . 0 运 行 运 行 主 m p e n g i n e 加 载 器 名 叫 m p c l i e n t ， 它 可 以 接 受 文 件 名 作 为 扫 描 参 数 ： $   . / m p c l i e n t   n e t s k y . e x e m a i n ( ) :   S c a n n i n g   n e t s k y . e x e . . . E n g i n e S c a n C a l l b a c k ( ) :   S c a n n i n g   i n p u t E n g i n e S c a n C a l l b a c k ( ) :   T h r e a t   W o r m : W i n 3 2 / N e t s k y . P @ m m i d e n t i f i e d . 除 此 之 外 ， 类 似 的 工 具 还 有 m p s t r e a m f u z z 和 m p s c r i p t 。 调 试 调 试 如 果 你 想 要 对 崩 溃 进 行 调 试 或 设 置 断 点 的 话 ， 你 可 以 按 照 下 面 给 出 的 步 骤 进 行 操 作 。 首 先 ， 你 需 要 生 成 一 个 m a p 文 件 。 你 可 以 通 过 下 列 命 令 生 成 m a p 以 及 i d b 文 件 ： >   i d a w   - A   - P +   - S " c r e a t e m a p . i d c   m p e n g i n e . m a p " m p e n g i n e . d l l 如 果 你 的 m a p 文 件 是 在 W i n d o w s 平 台 上 生 成 的 ， 那 么 你 将 会 得 到 一 个 C R L F 行 终 止 符 ， 你 可 以 通 过 下 列 命 令 修 复 这 个 问 题 ： $   d o s 2 u n i x   m p e n g i n e . m a p 当 你 在 g d b 命 令 下 运 行 m p c l i e n t ， 它 将 会 自 动 检 测 调 试 器 并 打 印 出 你 所 需 要 输 入 的 命 令 ：
$   g d b   - q   . / m p c l i e n t ( g d b )   r   t e s t f i l e . t x t S t a r t i n g   p r o g r a m :   m p c l i e n t m a i n ( ) :   G D B :   a d d - s y m b o l - f i l e   e n g i n e / m p e n g i n e . d l l 0 x f 6 a f 4 0 0 8 + 0 x 1 0 0 0 m a i n ( ) :   G D B :   s h e l l   b a s h   g e n m a p s y m . s h 0 x f 6 a f 4 0 0 8 + 0 x 1 0 0 0 s y m b o l s _ 1 9 0 0 9 . o   <   m p e n g i n e . m a p m a i n ( ) :   G D B :   a d d - s y m b o l - f i l e   s y m b o l s _ 1 9 0 0 9 . o   0   P r o g r a m   r e c e i v e d   s i g n a l   S I G T R A P ,   T r a c e / b r e a k p o i n t   t r a p . 0 x 0 8 0 4 d 2 1 3   i n   m a i n   ( a r g c = 1 ,   a r g v = 0 x f f f f c c 6 4 , e n v p = 0 x f f f f c c 6 c )   a t   m p c l i e n t . c : 1 5 6 1 5 6                               _ _ d e b u g b r e a k ( ) ; ( g d b ) 如 果 你 输 入 了 g d b 所 显 示 的 命 令 ， 你 将 会 获 取 到 下 列 符 号 文 件 ： ( g d b )   a d d - s y m b o l - f i l e   e n g i n e / m p e n g i n e . d l l   0 x f 6 a f 4 0 0 8 + 0 x 1 0 0 0 a d d   s y m b o l   t a b l e   f r o m   f i l e   " e n g i n e / m p e n g i n e . d l l " a t               . t e x t _ a d d r   = 0 x f 6 a f 5 0 0 8 R e a d i n g   s y m b o l s   f r o m   e n g i n e / m p e n g i n e . d l l . . . d o n e . ( g d b )   s h e l l   b a s h   g e n m a p s y m . s h   0 x f 6 a f 4 0 0 8 + 0 x 1 0 0 0 s y m b o l s _ 1 9 0 0 9 . o   <   m p e n g i n e . m a p ( g d b )   a d d - s y m b o l - f i l e   s y m b o l s _ 1 9 0 0 9 . o   0 a d d   s y m b o l   t a b l e   f r o m   f i l e   " s y m b o l s _ 1 9 0 0 9 . o "   a t               . t e x t _ a d d r   =   0 x 0 R e a d i n g   s y m b o l s   f r o m   s y m b o l s _ 1 9 0 0 9 . o . . . d o n e . ( g d b )   p   a s 3 _ p a r s e m e t a d a t a _ s w f _ v a r s _ t $ 1   =   { v o i d   ( v o i d ) }   0 x f 6 f e b 8 4 2 < a s 3 _ p a r s e m e t a d a t a _ s w f _ v a r s _ t > 接 下 来 请 输 出 下 面 这 行 命 令 以 继 续 操 作 ： ( g d b )   c 如 果 你 想 要 在 g d b 中 使 用 硬 件 断 点 的 话 ， 你 可 以 使 用 h b 或 h b r e a k 命 令 来 代 替 原 本 的 b r e a k 命 令 。 ( g d b )   b   a s 3 _ p a r s e m e t h o d i n f o _ s w f _ v a r s _ t B r e a k p o i n t   1   a t   0 x f 6 f e b 8 d a ( g d b )   c C o n t i n u i n g . m a i n ( ) :   S c a n n i n g   t e s t / i n p u t . s w f . . . E n g i n e S c a n C a l l b a c k ( ) :   S c a n n i n g   i n p u t B r e a k p o i n t   1 ,   0 x f 6 f e b 8 d a   i n   a s 3 _ p a r s e m e t h o d i n f o _ s w f _ v a r s _ t ( ) ( g d b )   b t # 0     0 x f 6 f e b 8 d a   i n a s 3 _ p a r s e m e t h o d i n f o _ s w f _ v a r s _ t   ( ) # 1     0 x f 6 d b a d 7 f   i n S w f S c a n F u n c   ( ) # 2     0 x f 6 d 7 3 e c 3
i n U f s S c a n n e r W r a p p e r _ _ S c a n F i l e _ s c a n r e s u l t _ t   ( ) # 3     0 x f 6 d 6 c 9 e 3   i n U f s C l i e n t R e q u e s t _ _ f s c a n _ S C A N _ R E P L Y   ( ) # 4     0 x f 6 d 6 a 8 1 8 i n U f s N o d e _ _ S c a n L o o p H e l p e r _ w c h a r _ t   ( ) # 5     0 x f 6 d 6 a 6 2 6   i n U f s N o d e _ _ A n a l y z e _ U f s A n a l y z e S e t u p   ( ) # 6     0 x f 6 d 7 1 f 7 f i n U f s C l i e n t R e q u e s t _ _ A n a l y z e L e a f _ w c h a r _ t   ( ) # 7     0 x f 6 d 7 1 b b 9   i n U f s C l i e n t R e q u e s t _ _ A n a l y z e P a t h _ w c h a r _ t   ( ) # 8     0 x f 6 d b b d 8 8 i n s t d _ _ _ S t r i n g _ a l l o c _ s t d _ _ _ S t r i n g _ b a s e _ t y p e s _ c h a r _ s t d _ _ a l l o c a t o r _ c h a r _ _ _ _ _ _ M y p t r _ v o i d _ ( ) # 9     0 x f 6 d 7 5 e 7 2 i n U f s C m d B a s e _ _ E x e c u t e C m d _ _ l a m b d a _ c 8 0 a 8 8 e 1 8 0 c 1 f 4 5 2 4 a 7 5 9 d 6 9 a a 1 5 f 8 7 e _ _ _ _ l a m b d a _ c 8 0 a 8 8 e 1 8 0 c 1 f 4 5 2 4 a 7 5 9 d 6 9 a a 1 5 f 8 7 e _ _ ( ) B a c k t r a c e s t o p p e d :   p r e v i o u s   f r a m e   i n n e r   t o   t h i s   f r a m e ( c o r r u p t   s t a c k ? ) ( g d b )   x / 3 i   $ p c = >   0 x f 6 f e b 8 d a   < a s 3 _ p a r s e m e t h o d i n f o _ s w f _ v a r s _ t + 7 > :           l e a       e b x , [ e d x + 0 x 1 c ]       0 x f 6 f e b 8 d d < a s 3 _ p a r s e m e t h o d i n f o _ s w f _ v a r s _ t + 1 0 > :     p u s h       e s i       0 x f 6 f e b 8 d e < a s 3 _ p a r s e m e t h o d i n f o _ s w f _ v a r s _ t + 1 1 > :     m o v         e d x , e b x W i n e 和 和 W i n e l i b 需 要 注 意 的 是 ， 这 个 项 目 并 不 能 完 全 替 代 W i n e 或 W i n e l i b 。 W i n e l i b 可 以 将 W i n d o w s C + + 项 目 移 植 到 L i n u x 平 台 中 ， W i n e 可 以 允 许 用 户 在 L i n u x 平 台 上 运 行 W i n d o w s 应 用 程 序 。 但 这 个 项 目 可 以 允 许 原 生 的 L i n u x 代 码 加 载 简 单 的 W i n d o w s D L L 。 许 可 证 许 可 证 G P L 2 *   参 考 来 源 ： g i t h u b ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理