搜索

[28460] 2020-07-29_劫持WindowsDLL

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-07-29_劫持WindowsDLL 劫 持 W i n d o w s   D L L O t s 安 全   2 0 2 0 - 0 7 - 2 9 在 在 W i n d o w s 中 劫 持 中 劫 持 D L L D L L 劫 持 是 一 种 用 于 执 行 恶 意 有 效 负 载 的 流 行 技 术 。 这 篇 文 章 列 出 了 将 近 3 0 0 个 可 执 行 文 件 ， 它 们 容 易 受 到 W i n d o w s   1 0 （ 1 9 0 9 ） 上 的 相 对 路 径 D L L 劫 持 的 影 响 ， 并 展 示 了 如 何 使 用 几 行 V B S c r i p t 绕 过 U A C ， 可 以 使 用 提 升 的 特 权 来 执 行 某 些 D L L 劫 持 。 D L L 劫 持 劫 持 首 先 ， 让 我 们 弄 清 定 义 。 从 广 义 上 讲 ， D L L 劫 持 是 欺 骗 合 法 / 受 信 任 的 应 用 程 序 以 加 载 任 意 D L L 。 诸 如 D L L 搜 索 顺 序 劫 持 ， D L L 加 载 顺 序 劫 持 ， D L L 欺 骗 ， D L L 注 入 和 D L L 侧 面 加 载 等 术 语 经 常 被 误 认 为 是 相 同 的 。 这 些 术 语 充 其 量 只 能 描 述 D L L 劫 持 的 特 定 情 况 ， 但 通 常 可 互 换 使 用 ， 因 此 使 用 不 正 确 。 概 括 地 说 ， D L L 劫 持 更 为 准 确 ， 因 为 D L L 劫 持 始 终 涉 及 从 合 法 D L L 接 管 D L L 。 已 经 发 现 攻 击 者 以 不 同 的 方 式 和 不 同 的 原 因 使 用 D L L 劫 持 。 动 机 包 括 执 行 （ 通 过 受 信 任 的 可 执 行 文 件 执 行 恶 意 代 码 可 能 不 太 容 易 引 起 警 钟 ， 在 某 些 情 况 下 甚 至 绕 过 应 用 程 序 白 名 单 功 能 ， 如 A p p L o c k e r ） ， 获 得 持 久 性 （ 如 果 目 标 应 用 程 序 已 预 先 安 装 并 定 期 运 行 ， 恶 意 代 码 也 会 正 常 运 行 ） 和 特 权 提 升 （ 如 果 目 标 应 用 程 序 在 提 升 的 权 限 下 运 行 ， 那 么 恶 意 代 码 也 会 运 行 ） 。 有 多 种 方 法 可 供 选 择 ， 成 功 的 方 法 取 决 于 如 何 配 置 应 用 程 序 以 加 载 其 所 需 的 D L L 。 可 能 的 方 法 包 括 ： D L L 替 换 ： 用 邪 恶 的 D L L 替 换 合 法 的 D L L 。 可 以 将 其 与 D L L 代 理 结 合 使 用 ， 以 确 保 原 始 D L L 的 所 有 功 能 均 保 持 不 变 。 D L L 搜 索 顺 序 劫 持 ： 在 不 带 路 径 的 应 用 程 序 指 定 的 D L L 中 ， 以 特 定 顺 序 在 固 定 位 置 搜 索 。 通 过 将 邪 恶 的 D L L 放 在 实 际 D L L 之 前 的 搜 索 位 置 ， 劫 持 了 搜 索 顺 序 。 有 时 ， 这 包 括 目 标 应 用 程 序 的 工 作 目 录 。 P h a n t o m   D L L 劫 持 ： 丢 弃 恶 意 D L L 来 代 替 合 法 应 用 程 序 尝 试 加 载 的 丢 失 / 不 存 在 的 D L L   。 D L L 重 定 向 ： 通 过 编 辑 改 变 ， 其 中 D L L 被 搜 索 的 位 置 ， 例 如 % P A T H % 环 境 变 量 ， 或 . e x e . m a n i f e s t /   . e x e . l o c a l 文 件 ， 以 包 括 含 有 恶 D L L   。 W i n S x S   D L L 替 换 ： 用 目 标 D L L 的 相 关 W i n S x S 文 件 夹 中 的 邪 恶 D L L 替 换 合 法 的 D L L 。 通 常 称 为 D L L 侧 面 加 载 。 相 对 路 径 D L L 劫 持 ： 将 合 法 应 用 程 序 复 制 （ 并 可 以 重 命 名 ） 到 恶 意 D L L 旁 边 的 用 户 可 写 文 件 夹 中 。 在 使 用 方 式 上 ， 它 与 （ 签 名 ） 二 进 制 代 理 执 行   有 相 似 之 处 。 这 的 一 种 变 体 是 （ 带 有 某 种 逻 辑 上 的 称 呼 ） “   带 来 您 自 己 的 L O L b i n   ”   ， 其 中 合 法 应 用 程 序 带 有 恶 意 D L L （ 而 不 是 从 受 害 者 计 算 机 上 的 合 法 位 置 复 制 ） 。 查 找 易 受 攻 击 的 可 执 行 文 件 查 找 易 受 攻 击 的 可 执 行 文 件 最 大 的 挑 战 是 找 到 可 以 在 默 认 用 户 权 限 下 被 利 用 的 易 受 攻 击 的 可 执 行 文 件 。 当 针 对 W i n d o w s 上 的 预 安 装 系 统 可 执 行 文 件 时 ， 通 常 不 包 括 第 一 个 选 项 ， 而 选 项 2 和 3 中 符 合 条 件 的 任 何 文 件 夹 都 必 须 是 用 户 可 写 的 ， 选 项 4 和 5 中 的 文 件 和 文 件 夹 也 应 该 是 用 户 可 写 的 。 案 件 。 这 给 了 我 们 第 六 种 选 择 ， 这 是 最 弱 的 一 种 ， 本 文 其 余 部 分 将 重 点 讨 论 。 尽 管 通 常 不 适 合 获 得 持 久 性 或 特 权 升 级 ， 但 经 常 在 野 外 看 到 它 。 就 拿 O c e a n L o t u s   /   A P T 3 2 ， 谁 在 2 0 1 9 年 年 底 已 观 察 到 使 用 合 法 r e k e y w i z . e x e 旁 边 一 个 恶 意 d u s e r . d l l 。 在 这 种 情 况 下 ， 恶 意 软 件 会 嵌 入 合 法 软 件 并 将 其 丢 弃 到 磁 盘 上 ， 采 用 “   带 来 您 自 己 的 L O L b i n   ” 方 法 （ 另 一 种 实 现 方 法 是 从 s y s t e m 3 2 文 件 夹 中 复 制 合 法 可 执 行 文 件 ， 前 提 是 该 可 执 行 文 件 没 有 已 修 补 ） 。 为 防 止 此 技 术 的 新 版 本 成 功 ， 值 得 确 定 容 易 受 到 此 类 D L L 劫 持 的 可 执 行 文 件 。 这 将 为 红 队 成 员 提 供 新 的 处 决 手 段 ， 但 更 重 要 的 是 ， 它 将 使 威 胁 猎 人 和 防 御 者 能 够 采 取 适 当 措 施 进 行 侦 查 和 预 防 。 方 法 为 了 使 工 作 重 点 集 中 ， 我 们 将 自 己 限 制 为 默 认 存 在 的 可 执 行 文 件 c : w i n d o w s s y s t e m 3 2 。 在 经 过 测 试 的 W i n d o w s   1 0   v 1 9 0 9 实 例 上 ， 这 总 共 包 含 6 1 6 个 可 执 行 文 件 ， 如 果 仅 考 虑 已 签 名 的 应 用 程 序 ， 则 包 括 6 1 3 个 可 执 行 文 件 。 为 了 监 视 每 个 进 程 尝 试 加 载 哪 些 D L L ， 我 们 将 使 用 众 所 周 知 的 P r o c m o n   工 具 。 因 此 ， 采 取 的 方 法 是 ： 将 受 信 任 的 可 执 行 文 件 复 制 到 用 户 可 写 的 位 置 ； 运 行 复 制 的 可 执 行 文 件 ； 使 用 P r o c m o n 识 别 在 用 户 可 写 位 置 中 寻 找 的 D L L 。 通 过 位 于 中 的 w i n s a t . e x e 副 本 来 捕 获 捕 获 的 D L L 查 询 c : u s e r s w i e t z e d o w n l o a d s 。 这 使 我 们 能 够 识 别 每 个 应 用 程 序 查 询 的 所 有 D L L ， 它 们 将 是 所 有 潜 在 的 可 劫 持 D L L 候 选 对 象 。 但 是 并 不 能 自 动 遵 循 所 有 这 些 都 已 加 载 （ 并 因 此 执 行 ） 的 情 况 。 找 出 正 确 加 载 了 哪 些 D L L 的 最 可 靠 方 法 是 编 译 我 们 自 己 的 D L L 版 本 ， 并 在 成 功 加 载 后 将 其 写 入 唯 一 文 件 。 如 果 我 们 随 后 对 所 有 目 标 可 执 行 文 件 和 D L L 重 复 上 述 方 法 ， 则 将 导 致 文 件 收 集 ， 告 诉 我 们 已 确 认 哪 些 D L L   容 易 受 到 D L L 劫 持 。
编 译 现 有 D L L 的 自 定 义 版 本 比 听 起 来 听 起 来 更 具 挑 战 性 ， 因 为 如 果 缺 少 过 程 或 入 口 点 ， 许 多 可 执 行 文 件 将 不 会 加 载 此 类 D L L 。 诸 如 D L L   E x p o r t   V i e w e r   [ 1 3   ] 之 类 的 工 具 可 用 于 枚 举 所 有 外 部 函 数 名 称 和 合 法 D L L 的 序 数 。 确 保 我 们 编 译 的 D L L 遵 循 相 同 的 格 式 ， 将 最 大 程 度 地 提 高 成 功 加 载 D L L 的 机 会 。 我 们 自 己 的 d x g i . d l l 版 本 的 示 例 C 代 码 ， 该 文 件 显 示 在 W i n s a t . e x e 的 P r o c m o n 记 录 中 。 总 而 言 之 ， 采 用 的 方 法 是 ： 可 以 在 G i t H u b   上 找 到 具 有 更 详 尽 的 技 术 说 明 的 完 整 代 码 。 链 接 ： h t t p s : / / g i t h u b . c o m / w i e t z e / w i n d o w s - d l l - h i j a c k i n g / 确 认 的 确 认 的 D L L 劫 持 候 选 人 劫 持 候 选 人 下 表 列 出 c : w i n d o w s s y s t e m 3 2 了 W i n d o w s   1 0   v 1 9 0 9 中 易 受 D L L   H i j a c k i n g 的 “ 相 对 路 径 D L L   H i j a c k ” 变 体 攻 击 的 所 有 可 执 行 文 件 。 每 个 可 执 行 文 件 的 旁 边 是 一 个 或 多 个 可 以 被 劫 持 的 D L L ， 以 及 被 调 用 的 D L L 的 过 程 。 如 前 一 节 所 述 ， 这 些 不 仅 仅 是 理 论 上 的 目 标 ， 它 们 已 经 过 测 试 并 确 认 是 有 效 的 。 该 列 表 包 括 2 8 7 个 可 执 行 文 件 和 2 6 3 个 唯 一 的 D L L 。 通 过 简 单 地 运 行 每 个 可 执 行 文 件 即 可 执 行 该 测 试 ， 而 无 需 指 定 任 何 参 数 ， 也 无 需 进 一 步 的 用 户 交 互 。 这 就 解 释 了 为 什 么 清 单 中 没 有 经 过 充 分 记 录 的 x w i z a r d . e x e D L L   h i j a c k   ， 因 为 它 需 要 两 个 （ 任 意 ） 参 数 才 能 起 作 用 。 一 些 应 用 程 序 带 有 G U I ， 或 者 执 行 了 其 他 赠 送 二 进 制 文 件 的 可 视 元 素 。 这 还 包 括 错 误 消 息 ： 可 能 缺 少 所 需 的 D L L ， 并 且 被 劫 持 的 D L L 显 然 缺 少 原 始 功 能 。 攻 击 者 不 太 可 能 针 对 D L L 劫 持 目 的 针 对 此 类 应 用 程 序 。 没 有 考 虑 使 用 C   + + 编 写 原 始 版 本 的 D L L 。 完 整 列 表 的 C S V 版 本 可 在 G i t H u b 上 找 到 。 链 接 ： h t t p s : / / g i t h u b . c o m / w i e t z e / w i n d o w s - d l l - h i j a c k i n g / 与 与 U A C 旁 路 结 合 旁 路 结 合 找 到 所 有 这 些 可 执 行 文 件 后 ， 至 多 这 便 使 我 们 能 够 通 过 受 信 任 的 程 序 执 行 代 码 。 但 是 ， 如 果 与 U A C 绕 过 技 术 结 合 使 用 ， 也 可 能 会 获 得 更 高 的 权 限 。 W i n d o w s   V i s t a 中 引 入 了 用 户 帐 户 控 制 （ U A C ） [   1 6   ] 作 为 一 项 安 全 功 能 ， 它 要 求 用 户 通 过 提 示 符 进 行 确 认 ， 然 后 才 能 将 以 普 通 特 权 运 行 的 进 程 提 升 为 更 高 特 权 。 用 户 抱 怨 在 执 行 任 意 任 务 时 会 被 U A C 提 示 淹 没 ， 微 软 在 W i n d o w s   7 中 引 入 了 自 动 提 升 功 能 ， 如 果 某 些 进 程 位 于 受 信 任 的 目 录 （ 例 如 c : w i n d o w s s y s t e m 3 2 ） 中 ， 它 将 自 动 提 升 某 些 进 程 。 考 虑 到 这 一 点 ， 您 可 以 尝 试 通 过 使 用 标 记 为 自 动 提 升 的 可 执 行 文 件 来 尝 试 以 提 升 的 特 权 运 行 任 意 代 码 ， 该 可 执 行 文 件 也 容 易 受 到 D L L 劫 持 的 影 响 。 如
上 一 节 所 述 ， 大 约 有 3 5 种 此 类 可 执 行 文 件 。 要 克 服 的 问 题 是 受 信 任 目 录 ： 自 动 提 升 可 执 行 文 件 和 自 定 义 D L L 都 必 须 位 于 受 信 任 目 录 中 ， 但 是 这 些 都 不 是 用 户 可 写 的 。 关 于 绕 过 U A C 有 一 些 出 色 的 研 究 - 我 最 喜 欢 的 技 术 之 一 是 使 用 尾 随 空 格 来 模 拟 受 信 任 目 录 [   1 7   ] 。 我 建 议 阅 读 完 整 的 博 客 文 章 ， 但 这 归 结 为 用 户 能 够 创 建 c : w i n d o w s   s y s t e m 3 2 （ 请 注 意 第 一 个 文 件 夹 之 后 的 空 间 ） ， 并 且 自 动 提 升 放 置 在 此 文 件 夹 中 的 可 执 行 文 件 将 其 视 为 可 信 任 的 位 置 。 这 是 否 是 适 当 的 安 全 漏 洞 尚 待 商 b a t - 微 软 辩 称 并 非 安 全 漏 洞 [   1 8   ] ， 但 这 至 少 是 一 个 缺 陷 ， 因 为 大 多 数 （ 非 企 业 ） W i n d o w s 计 算 机 默 认 都 使 用 “ 管 理 员 帐 户 ” 。 无 论 哪 种 方 式 ， 这 都 为 我 们 提 供 了 一 种 极 好 的 方 法 ， 通 过 它 可 以 使 D L L 劫 持 更 加 强 大 。 请 注 意 ， 带 有 尾 随 空 格 的 文 件 夹 无 法 在 W i n d o w s 上 通 过 传 统 方 式 创 建 。 您 可 以 像 原 始 研 究 人 员 一 样 ， 编 译 一 些 C 语 言 来 完 成 此 操 作 ， 但 事 实 证 明 ， V B S c r i p t 实 际 上 也 可 以 为 我 们 完 成 此 操 作 。 以 下 概 念 验 证 表 明 ， 仅 需 几 行 代 码 ， 您 就 可 以 使 它 起 作 用 ： 下 面 的 屏 幕 截 图 显 示 了 脚 本 的 执 行 情 况 。 下 面 的 屏 幕 截 图 显 示 了 脚 本 的 执 行 情 况 。 一 个 示 例 显 示 了 合 法 的 w i n s a t . e x e 从 模 拟 的 受 信 任 目 录 加 载 了 恶 意 d x g i . d l l 后 ， 没 有 得 到 任 何 U A C 提 示 后 ， 提 升 了 提 示 的 示 例 。 在 上 表 中 ， 在 第 一 列 中 标 记 了 自 动 提 升 成 功 的 所 有 可 执 行 文 件 /   D L L 组 合 。 超 过 1 6 0 种 可 能 的 组 合 ， 有 很 多 选 择 。 预 防 预 防 一 种 防 止 D L L 劫 持 发 生 的 简 单 方 法 是 使 应 用 程 序 始 终 使 用 绝 对 路 径 而 不 是 相 对 路 径 。 尽 管 某 些 应 用 程 序 （ 尤 其 是 可 移 植 的 应 用 程 序 ） 并 非 总 是 能 够 做 到 这 一 点 ， 但 是 位 于 s y s t e m 3 2 同 一 文 件 夹 中 并 依 赖 于 这 些 D L L 的 应 用 程 序 没 有 借 口 来 做 其 他 事 情 。 更 好 的 选 择 （ 只 有 极 少 数 W i n d o w s 可 执 行 文 件 似 乎 可 以 这 样 做 ） 是 在 加 载 所 有 D L L 之 前 先 对 其 进 行 验 证 （ 例 如 ， 通 过 检 查 其 签 名 ） ， 这 将 在 很 大 程 度 上 消 除 该 问 题 。 但 是 ， 正 如 我 们 所 看 到 的 ， 攻 击 者 仍 然 可 以 带 来 可 以 被 利 用 的 合 法 / 受 信 任 应 用 程 序 的 旧 版 本 。 因 此 ， 即 使 每 个 应 用 程 序 从 现 在 开 始 在 加 载 它 们 之 前 都 开 始 检 查 其 D L L ， 我 们 仍 然 必 须 处 理 此 问 题 。 因 此 ， 让 我 们 专 注 于 检 测 。 您 可 以 从 意 外 路 径 中 寻 找 创 建 或 加 载 前 面 提 到 的 任 何 D L L 的 途 径 ， 尤 其 是 在 诸 如 的 临 时 位 置 % a p p d a t a % 。 毕 竟 ， 可 以 更 改 加 载 D L L 的 （ 合 法 ） 应 用 程 序 的 名 称 ， 但 D L L 的 文 件 名 始 终 是 固 定 的 。 可 以 在 此 处 找 到 一 个 示 例 S i g m a 规 则 [   1 9   ] - 它 成 功 检 测 到 我 们 的 D L L 劫 持 ， 尽 管 如 您 所 见 ， 它 的 伸 缩 性 不 是 很 好 ， 并 且 很 容 易 出 现 误 报 。 通 过 查 找 意 外 位 置 中 是 否 存 在 M i c r o s o f t 签 名 的 二 进 制 文 件 ， 通 过 此 类 M i c r o s o f t 签 名 的 二 进 制 文 件 （ 无 论 位 置 如 何 ） 从 意 外 位 置 加 载 D L L ， 可 以 采 用 更 通 用 的 方 法 。 最 后 ， 通 过 查 找 / w i n d o w s   / 文 件 夹 中 或 该 空 格 中 结 尾 的 任 何 文 件 夹 中 的 任 何 活 动 ， 可 以 轻 松 可 靠 地 检 测 到 已 证 明 的 U A C 旁 路 技 术 。 如 前 所 述 ， 带 有 尾 随 空 格 的 W i n d o w s 文 件 夹 无 法 通 过 常 规 方 式 创 建 ， 因 此 应 该 很 少 ， 并 且 总 是 可 疑 的 。 将 您 的 U A C 模 式 设 置 为 “ 始 终 通 知 ” （ 比 默 认 值 高 一 级 ） 将 阻 止 此 方 法 和 其 他 类 似 的 U A C 绕 过 技 术 成 功 。 S e t   o F S O   =   C r e a t e O b j e c t ( " S c r i p t i n g . F i l e S y s t e m O b j e c t " ) S e t   w s h s h e l l   =   w s c r i p t . c r e a t e o b j e c t ( " W S c r i p t . S h e l l " ) '   G e t   t a r g e t   b i n a r y   a n d   p a y l o a d W S c r i p t . S t d O u t . W r i t e ( " S y s t e m 3 2   b i n a r y :   " ) s t r B i n a r y   =   W S c r i p t . S t d I n . R e a d L i n e ( ) W S c r i p t . S t d O u t . W r i t e ( " P a t h   t o   y o u r   D L L :   " ) s t r D L L   =   W S c r i p t . S t d I n . R e a d L i n e ( ) '   C r e a t e   f o l d e r s C o n s t   t a r g e t   =   " c : w i n d o w s   " t a r g e t _ s y s 3 2   =   ( t a r g e t   &   " s y s t e m 3 2 " ) t a r g e t _ b i n a r y   =   ( t a r g e t _ s y s 3 2   &   s t r B i n a r y ) I f   N o t   o F S O . F o l d e r E x i s t s ( t a r g e t )   T h e n   o F S O . C r e a t e F o l d e r   t a r g e t   E n d   I f I f   N o t   o F S O . F o l d e r E x i s t s ( t a r g e t _ s y s 3 2 )   T h e n   o F S O . C r e a t e F o l d e r   t a r g e t _ s y s 3 2   E n d   I f '   C o p y   l e g i t   b i n a r y   a n d   e v i l   D L L o F S O . C o p y F i l e   ( " c : w i n d o w s s y s t e m 3 2 "   &   s t r B i n a r y ) ,   t a r g e t _ b i n a r y o F S O . C o p y F i l e   s t r D L L ,   t a r g e t _ s y s 3 2 '   R u n ,   F o r r e s t ,   R u n ! w s h s h e l l . R u n ( " " " "   &   t a r g e t _ b i n a r y   &   " " " " ) '   C l e a n   f i l e s W S c r i p t . S t d O u t . W r i t e ( " C l e a n   u p ?   ( p r e s s   e n t e r   t o   c o n t i n u e ) " ) W S c r i p t . S t d I n . R e a d L i n e ( ) w s h s h e l l . R u n ( " p o w e r s h e l l   / c   " " r m   - r   " " " " ? "   &   t a r g e t   &   " " " " " " " " )   ' D e l e t i o n   u s i n g   V B S c r i p t   i s   p r o b l e m a t i c ,   u s e   P o w e r S h e l l   i n s t e a d
工 具 下 载 链 接   -   查 看 第 五 篇 文 章 稿 ： T r u s t J a c k - W i n d o w s   D L L   劫 持   P o C
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理