搜索

[28457] 2020-07-29_DLL重定向和DLL反射技术理论

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-07-29_DLL重定向和DLL反射技术理论 D L L 重 定 向 和 D L L 反 射 技 术 理 论 K e v i n   A l m a n s a   O t s 安 全   2 0 2 0 - 0 7 - 2 9 这 篇 文 章 将 是 有 关 D L L 安 全 性 的 系 列 文 章 的 第 一 部 分 ， 该 主 题 涵 盖 D L L 代 理 ， D L L 注 入 和 I A T 挂 钩 等 主 题 。 敬 请 关 注   ： ） 在 本 文 中 ， 我 们 将 重 点 介 绍 称 为 D L L 代 理 （ 也 称 为 D L L 重 定 向 或 D L L 反 射 ） 的 技 术 的 理 论 。 在 下 一 篇 文 章 中 ， 我 们 将 重 点 介 绍 该 技 术 的 实 现 ！ 工 具 和 先 决 条 件 工 具 和 先 决 条 件 以 下 软 件 用 于 检 查 可 执 行 文 件 的 P E 标 头 ： C F F   E x p l o r e r 这 篇 文 章 是 相 当 技 术 性 的 ， 因 此 假 定 使 用 V i s u a l   S t u d i o s 具 有 C   + + 和 W i n d o w s 编 程 的 知 识 。 对 D L L 以 及 如 何 在 C   /   C   + + 中 实 现 D L L 的 基 本 了 解 是 一 个 加 分 项 。 介 绍 介 绍 在 研 究 P E 可 执 行 格 式 时 ， 我 遇 到 了 关 于 计 算 机 蠕 虫 S t u x n e t 如 何 使 用 称 为 D L L 代 理 的 技 术 的 解 释 ， 该 技 术 通 过 称 为 F o r w a r d E x p o r t s 的 P E 功 能 得 以 实 现 。 D L L 代 理 在 S t u x n e t 的 攻 击 阶 段 用 于 控 制 和 监 视 与 可 编 程 逻 辑 控 制 器 （ P L C ） 的 通 信 ， 特 别 是 针 对 离 心 机 转 子 的 频 率 过 低 或 过 高 。 D L L 代 理 概 述 代 理 概 述 D L L 代 理 是 一 种 技 术 ， 其 中 ， 攻 击 者 用 特 洛 伊 木 马 程 序 替 换 D L L ， 重 命 名 原 始 文 件 而 不 是 删 除 它 。 该 木 马 D L L 专 门 实 现 了 攻 击 者 希 望 拦 截 / 修 改 的 功 能 ， 同 时 将 所 有 其 他 功 能 转 发 到 原 始 D L L ， 因 此 命 名 为 “ 代 理 ” 。 然 后 ， 攻 击 者 可 以 将 他 们 感 兴 趣 的 功 能 放 到 中 间 ， 然 后 将 其 余 功 能 转 发 到 原 始 D L L ， 以 最 大 程 度 地 减 少 所 需 的 工 作 量 ， 同 时 确 保 功 能 不 会 减 少 或 损 坏 。 整 个 攻 击 过 程 分 为 六 个 步 骤 ： 整 个 攻 击 过 程 分 为 六 个 步 骤 ： 1 .   分 析 原 始 D L L ， 从 此 处 称 为 “   目 标 D L L   ” 2 .   识 别 拦 截 / 修 改 的 功 能 3 .   在 T r o j a n   D L L 中 实 现 拦 截 的 功 能 4 .   将 所 有 其 他 功 能 转 发 到 目 标 D L L （ 原 始 D L L ） 5 .   重 命 名 目 标 D L L 6 .   将 T r o j a n   D L L 与 目 标 D L L 的 原 始 名 称 一 起 放 置 虽 然 整 个 攻 击 过 程 分 为 六 个 步 骤 ， 但 该 过 程 可 以 分 为 两 个 阶 段 ： 1 .   创 建 T r o j a n   D L L 2 .   T r o j a n   D L L 的 实 现 在 第 一 阶 段 ， 必 须 对 T r o j a n   D L L 进 行 编 码 ， 并 实 现 并 导 出 拦 截 的 函 数 。 其 余 所 有 功 能 必 须 使 用 P E 格 式 正 向 导 出 来 导 出 到 原 始 D L L 。 在 第 二 阶 段 中 ， 将 需 要 在 目 标 D L L 位 置 处 具 有 写 许 可 权 ， 以 重 命 名 原 始 D L L ， 并 在 其 位 置 写 入 木 马 。 此 技 术 具 有 以 下 优 点 ： 1 .   实 施 起 来 很 简 单 2 .   我 们 完 全 控 制 截 获 的 功 能 ， 包 括 监 视 对 原 始 电 话 的 呼 叫 的 能 力 3 .   我 们 不 会 直 接 修 改 目 标 应 用 程 序 或 D L L 此 技 术 依 赖 于 将 未 实 现 的 功 能 转 发 到 原 始 D L L （ 已 重 命 名 ） 的 能 力 。 下 一 部 分 将 概 述 什 么 是 导 出 的 函 数 ， 然 后 概 述 P E 可 执 行 格 式 ， 并 指 定 如 何 利 用 它 来 实 现 这 种 技 术 。 D L L 导 出 功 能 导 出 功 能
让 我 们 从 回 顾 什 么 是 导 出 函 数 开 始 。 由 可 执 行 文 件 导 出 的 功 能 可 以 被 其 他 应 用 程 序 调 用 和 使 用 。 通 过 W i n d o w s 中 的 两 个 功 能 来 检 索 导 出 的 功 能 ： L o a d L i b r a r y   – 返 回 可 执 行 文 件 的 句 柄 G e t P r o c A d d r e s s   – 返 回 指 向 导 出 函 数 的 函 数 指 针 导 出 的 函 数 可 以 按 名 称 或 按 序 检 索 。 名 称 将 是 开 发 人 员 提 供 的 函 数 名 称 ， 而 序 数 是 提 供 给 每 个 导 出 函 数 的 唯 一 数 值 。 重 要 的 是 要 注 意 ， 为 导 出 的 函 数 命 名 是 可 选 的 ， 而 序 数 值 则 不 是 。 如 果 未 明 确 给 出 序 数 值 ， 则 链 接 器 将 分 配 其 选 择 之 一 。 尽 管 名 称 是 可 选 的 ， 但 大 多 数 开 发 人 员 都 使 用 名 称 导 出 函 数 ， 并 使 用 名 称 检 索 它 ， 因 为 可 以 将 序 号 从 一 个 更 新 更 改 为 下 一 个 更 新 。 而 且 ， 坦 率 地 说 ， 名 称 更 容 易 记 住 和 识 别 。 最 后 ， 是 有 关 导 出 函 数 的 最 后 一 个 详 细 信 息 ； 该 函 数 不 必 在 导 出 它 的 D L L 中 实 现 ！ 这 被 称 为 “   正 向 导 出 ” ， 尽 管 不 常 用 ， 但 W i n d o w s   N T D L L . d l l ， K e r n e l 3 2 . d l l 等 使 用 。 转 发 导 出 允 许 开 发 人 员 从 一 个 模 块 导 出 功 能 ， 然 后 由 另 一 个 模 块 处 理 。 这 对 于 例 如 向 后 兼 容 非 常 有 用 ， 当 然 ， 在 实 现 攻 击 阶 段 时 对 于 S t u x e n t 也 非 常 有 用 。 在 下 一 节 中 ， 我 们 将 详 细 介 绍 正 向 导 出 功 能 。 P E 可 执 行 格 式 可 执 行 格 式 P E 可 执 行 格 式 用 于 所 有 W i n d o w s 可 执 行 文 件 ， 包 括 D L L ， 系 统 文 件 （ 内 核 驱 动 程 序 ） ， 控 制 面 板 文 件 （ . c p l ） 甚 至 屏 幕 保 护 程 序 （ . s c r ） 。 W i n d o w s   L o a d e r 使 用 它 来 管 理 可 执 行 代 码 ， 详 细 说 明 应 从 何 处 开 始 执 行 ， 内 存 中 图 像 的 大 小 ， 代 码 / 数 据 段 ， 线 程 本 地 存 储 信 息 ， 导 入 ， 导 出 等 。 P E 可 执 行 文 件 格 式 太 过 庞 大 ， 无 法 在 本 文 中 全 面 讨 论 ， 相 反 ， 我 们 将 看 到 如 何 使 用 C F F   E x p l o r e r 来 解 析 P E 格 式 ， 以 及 如 何 找 到 导 出 的 函 数 。 首 先 定 义 两 个 术 语 ： R V A   – 相 对 虚 拟 地 址 。 这 是 文 件 偏 移 量 （ 以 字 节 为 单 位 ） （ 通 常 以 十 六 进 制 表 示 ） ， 是 相 对 于 文 件 在 内 存 中 映 射 位 置 的 偏 移 量 。 V i r t u a l A d d r e s s   – 项 目 加 载 到 内 存 后 的 地 址 。 等 于 图 像 的 偏 移 量 + 基 地 址 。 现 在 让 我 们 使 用 C F F   E x p l o r e r   查 看 D L L   A t t a c k e r _ E x a m p l e . d l l 。 这 是 我 专 门 为 此 目 的 制 作 的 D L L ， 它 包 含 导 出 的 功 能 以 及 正 向 导 出 的 功 能 。 C F F   E x p l o r e r   D O S 标 头 ： 标 头 ：
出 于 传 统 原 因 ， P E 标 头 始 终 以 D O S 标 头 开 头 。 我 们 在 此 标 头 中 关 心 的 值 是 e _ l f a n e w 。 这 指 定 可 在 其 中 找 到 P E 标 头 的 文 件 偏 移 量 。 C F F   E x p l o r e r   N T 标 头 标 头 在 P E 标 头 （ 也 称 为 N T 标 头 ） 中 ， 我 们 有 一 些 关 键 要 素 ： 机 器 ： 可 执 行 文 件 的 体 系 结 构 。 该 文 件 是 x 6 4   D L L ， 因 此 是 A M D 6 4 。 特 点 ： 我 们 可 以 看 到 这 是 一 个 D L L 。 C F F   E x p l o r e r   N T 可 选 标 题 N T 标 头 包 含 一 个 可 选 标 头 （ 具 有 讽 刺 意 味 的 是 ， 它 不 是 可 选 的 ） 。 关 键 元 素 是 ： M a g i c ： 确 认 是 x 3 2 还 是 x 6 4 可 执 行 文 件 。 这 是 P E 6 4 ， 确 认 我 们 有 一 个 x 6 4 文 件 。 A d d r e s s O f E n t r y P o i n t ： W i n d o w s 加 载 程 序 加 载 后 ， 将 在 此 处 开 始 执 行 代 码 的 R V A 。 如 果 调 试 未 知 文 件 ， 这 是 设 置 断 点 的 好 地
方 。 D l l C h a r a c t e r i s t i c s ： 需 要 注 意 的 一 些 有 趣 的 值 ： D L L 可 以 移 动 ： 支 持 A S L R 图 像 兼 容 N X ： 支 持 D E P D a t a D i r e c t o r i e s ： 包 含 每 个 目 录 的 V i r t u a l A d d r e s s 和 S i z e 的 数 组 。 目 录 包 括 ： 导 出 ， 导 入 ， 资 源 ， 调 试 等 。 注 意 ： 必 须 手 动 计 算 它 所 在 的 部 分 。 C F F   E x p l o r e r 为 我 们 做 到 了 。 C F F   E x p l o r e r 数 据 目 录 数 据 目 录 现 在 ， 要 在 文 件 中 找 到 “ 导 出 目 录 ” 位 置 ， 我 们 需 要 使 用 以 下 公 式 ： 在 这 种 情 况 下 ： S e c t i o n   =   r d a t a S e c t i o n . R a w A d d r e s s   =   8 0 0 0 S e c t i o n . V i r t u a l A d d r e s s   =   1 9 0 0 0 D a t a D i r e c t o r y . V i r t u a l A d d r e s s   =   1 B 8 F 0 我 们 的 文 件 偏 移 量 是 A 8 F 0 。 此 步 骤 是 必 需 的 ， 因 为 如 果 导 出 的 函 数 是 否 为 正 向 导 出 ， C F F   E x p l o r e r 不 会 向 我 们 显 示 。 C F F   E x p l o r e r 导 出 目 录 导 出 目 录 F i l e   O f f s e t   =   S e c t i o n . R a w A d d r e s s   +   ( D a t a D i r e c t o r y . V i r t u a l A d d r e s s   -   S e c t i o n . V i r t u a l A d d r e s s )
如 我 们 所 见 ， 我 们 有 三 个 功 能 ， 按 名 称 导 出 。 这 些 是 调 用 G e t P r o c A d d r e s s 获 取 函 数 指 针 时 使 用 的 名 称 。 同 样 ， 我 们 不 能 仅 通 过 此 屏 幕 来 判 断 p r i n t _ d l l _ n a m e 是 “ 向 前 导 出 ” 。 为 此 ， 我 们 必 须 打 开 十 六 进 制 编 辑 器 并 转 到 偏 移 量 A 8 F 0 。 C F F   E x p l o r e r 十 六 进 制 编 辑 器 十 六 进 制 编 辑 器 我 们 可 以 看 到 F o l l o w 的 名 称 与 p r i n t _ d l l _ n a m e 其 他 格 式 不 同 。 它 以 D L L 名 称 开 头 。 这 告 诉 我 们 ， 尽 管 此 D L L 导 出 了 一 个 名 为   p r i n t _ d l l _ n a m e 的 函 数 ， 但 该 函 数 实 际 上 位 于 中 T a r g e t _ D L L 2 . d l l 。 调 用 正 向 导 出 功 能 时 ， W i n d o w s   L o a d e r 将 检 查 是 否 T a r g e t _ D L L 2 . d l l 已 加 载 所 引 用 的 D L L （ 在 此 ） 。 如 果 引 用 的 D L L 尚 未 加 载 到 内 存 中 ， 则 W i n d o w s   L o a d e r 将 对 其 进 行 加 载 ， 最 后 将 检 索 该 函 数 的 地 址 （ 在 此 处 p r i n t _ d l l _ n a m e ） ， 以 便 我 们 对 其 进 行 调 T a r g e t _ D L L 2 . d l l . p r i n t _ d l l _ n a m e
用 。 结 论 结 论 如 我 们 所 见 ， D L L 代 理 通 过 称 为 可 执 行 文 件 前 向 导 出 的 P E 可 执 行 格 式 的 功 能 而 成 为 可 能 。 T r o j a n   D L L 只 是 替 换 了 原 始 D L L ， 而 是 重 命 名 了 原 始 D L L ， 而 不 是 删 除 它 ， 并 将 所 有 未 实 现 的 功 能 转 发 给 它 。 检 测 这 种 技 术 很 简 单 。 T r o j a n   D L L 的 签 名 将 与 原 始 签 名 完 全 不 同 ， 并 且 在 进 行 手 动 静 态 分 析 后 ， 将 包 含 许 多 前 向 导 出 功 能 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理