[原创]劫持MSVC编译器编译过程(VS2019 VS2022) 利用思路-逆向工程-看雪安全社区

## 简介
  各位大侠，大家好。我是Fake77,该文主要是抛砖引玉(我是砖)。
今天为大家带来一个基于Dll劫持的MSVC编译过程劫持思路,我本来是想要研究下MSVC编译器想通过注入的方式劫持编译流，然后通过得出逆向出微软编译器的IR格式，最后通过自己的Pass实现原生的Windows下驱动混淆方案(又或者 编译期代码植入)。
我目前用的方案是自己写的LLVM替换编译工具链的方式来对驱动进行混淆的，但是该方案每次我改动LLVM的时候就需要重新编译LLVM，非常的麻烦。所以我就想着能不能通过注入的方式去做，结果在研究的过程中发现可以通过**劫持**的方式去做（微软偷懒没有对PASS 相关的DLL进行鉴权导致我们可以利用这个机制进行植入）换句话说这个也是一个代码植入的APT思路，虽然我们已经可以用譬如
1. 替换C库文件
2. 替换静态库文件

等等方式使其编译带毒感染，但是总归都不如通过直接劫持编译器来的快。
## 影响版本
更早的没有测过了，至少新版本是可以的
* VS2019
* VS2017
* VS2022

## 先看效果

![图片描述](upload/attach/202510/983513_ES7WPUTCKQHMRVS.webp)
## 利用方式
通过替换Dll即可实现。路径如下
1. Microsoft Visual Studio\2019\Community\VC\Tools\MSVC\14.29.30133\bin\Hostx86\x86
2. Microsoft Visual Studio\2019\Community\VC\Tools\MSVC\14.29.30133\bin\Hostx86\x64
3. Microsoft Visual Studio\2019\Community\VC\Tools\MSVC\14.29.30133\bin\Hostx64\x86
4. Microsoft Visual Studio\2019\Community\VC\Tools\MSVC\14.29.30133\bin\Hostx64\x64
这些路径下的 `c1.dll` `c2.dll`都可以劫持，微软完全没有对该部分dll的加载进行任何签名校验，问题是这些dll目录一般是在Path中的所以在微软的漏洞定义里面不属于漏洞(Hijack本来也不算)，因为是管理员权限，但是我还是觉得微软应该做一下鉴权毕竟也不是经常更新的东西，这个组件c1.dll同时还承担了一些编译前端的工作，在加载C/C++项目的时候也会加载(估计是做代码提示分析这一类的)，编译的时候也会加载(Pass嘛)。

## 分析 cl.exe
如下所示，有两个地方都可以加载Dll并且没有做任何的校验
```
.text:00426C20 ; int __fastcall execute(int, int, const WCHAR *lpLibFileName, wchar_t *Name, _DWORD *)
.text:00426C20 ?execute@@YAHW4driver_phases@@PAUpassinfo_t@@PBG2PAPAG@Z proc near in this methods this line
.text:00426E16 call ds:__imp__LoadLibraryExW@12 ; LoadLibraryExW(x,x,x)
they call the loadlibraryExW without check and after that
.text:00426E1C mov ebx, eax
.text:00426E1E test ebx, ebx
.text:00426E20 jz short loc_426E5A
.text:00426E22 push offset aInvokecompiler_0 ; "_InvokeCompilerPassW@16"
.text:00426E27 push ebx ; hModule
.text:00426E28 mov esi, ds:__imp__GetProcAddress@8 ; GetProcAddress(x,x)
.text:00426E2E call esi ; GetProcAddress(x,x) ; GetProcAddress(x,x)
.text:00426E30 mov [ebp+var_28], eax
.text:00426E33 push offset aAbortcompilerp_0 ; "_AbortCompilerPass@4"
.text:00426E38 push ebx ; hModule
.text:00426E39 call esi ; GetProcAddress(x,x) ; GetProcAddress(x,x).text:00426E1C mov ebx, eax (pollute _AbortCompilerPass)
.text:00426E1E test ebx, ebx
.text:00426E20 jz short loc_426E5A
.text:00426E22 push offset aInvokecompiler_0 ; "_InvokeCompilerPassW@16"
.text:00426E27 push ebx ; hModule
.text:00426E28 mov esi, ds:__imp__GetProcAddress@8 ; GetProcAddress(x,x)
.text:00426E2E call esi ; GetProcAddress(x,x) ; GetProcAddress(x,x)
pollute _InvokeCompilerPassW
.text:00426E30 mov [ebp+var_28], eax
.text:00426E33 push offset aAbortcompilerp_0 ; "_AbortCompilerPass@4"
.text:00426E38 push ebx ; hModule
.text:00426E39 call esi ; GetProcAddress(x,x) ; GetProcAddress(x,x)
```
## 分析c1.dll的利用方式
首先，我们根据cl.exe的名称可以看到他载入后调用了 `_InvokeCompilerPassW@16`我们可以在IDA里面搜索这个签名。
 ![图片描述](upload/attach/202510/983513_HRZFMK38K4S9SJU.webp)
找到该函数后进入 `Trap_callMain` 进入编译流程
 ![图片描述](upload/attach/202510/983513_7ZXPRX7M4Q6F6CF.webp)
继续进入 `CallMain`
 ![图片描述](upload/attach/202510/983513_KZ4U3E7EM69M4N4.webp)
继续进入 `Trap_main_complie` 这里稍微还原以下如果大家是F5看的话应该最后是
```
return Trap_main_complie()
```
 ![图片描述](upload/attach/202510/983513_JRJ32RVYY48T4DG.webp)
他里面还包了一层 `main_compile`继续
 ![图片描述](upload/attach/202510/983513_9YHSCR2S8S5SHD8.webp)
这个非常大的函数就是编译的逻辑了，这里我给出一些大概的东西大家具体可以自己分析。
FileMap句柄(可以通过这个去写文件)
这里可以看到句柄位置
 ![图片描述](upload/attach/202510/983513_WYSNWJGUM7Y9XSB.webp)
可以通过如下类方法去研究
 ![图片描述](upload/attach/202510/983513_9V2A42ZSS5ZFRXV.webp)
然后IR的一些格式和操作需要结合 `cl.exe`的方法才能分析出来，这部分内容我就不写了目前暂不公开，通过如上的句柄已经可以进行劫持了，修改c1.dll通过特征或者PDB获取到句柄后在编译的时候识别标准的`__crt_main`函数的特征码或者`__init_term`等等的点都可以注入一些意想不到的东西。我给出c1的主要CFG
```
InvokeCompilerPassW -> Trap_CallMain -> CallMain -> Trap_main_compile -> main_compile(核心编译函数)
```
## 结语
该方法挺通用的很多版本都可以用，具体更多用法等大家自己去开发，关于IR的一些研究我就不发了。

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#调试逆向 #病毒木马 #其他内容

最新回复 (54) 1 2 3 ▶
Bonquer 雪币： 33 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 71 粉丝 1 关注私信	Bonquer 2 楼 6666 2025-10-14 08:50 0
mb_qimctavn 雪币： 5345 活跃值： (6835) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 407 粉丝 1 关注私信	mb_qimctavn 3 楼 6 2025-10-14 09:18 0
byhk 雪币： 2744 活跃值： (8978) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 206 粉丝 1 关注私信	byhk 4 楼谢谢分享 2025-10-14 09:41 0
quanIngo 雪币： 2449 活跃值： (6887) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 55 粉丝 3 关注私信	quanIngo 5 楼学习一下 2025-10-14 10:25 0
stevenlong 雪币： 598 活跃值： (362) 能力值： ( LV4，RANK：50 ) 在线值：发帖 4 回帖 39 粉丝 0 关注私信	stevenlong 6 楼学习一下 2025-10-14 13:12 0
拍拖雪币： 2790 活跃值： (7186) 能力值： ( LV6，RANK：90 ) 在线值：发帖 22 回帖 440 粉丝 15 关注私信	拍拖 2 7 楼学习下。 2025-10-14 15:24 0
mb_nmgtjmus 雪币： 491 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	mb_nmgtjmus 8 楼学习一下 2025-10-14 15:40 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 121 粉丝 0 关注私信	mb_urzqsoer 9 楼 mb_nmgtjmus 8 楼学习一下 5小时前 2025-10-14 21:09 0
joker陈雪币： 12291 活跃值： (4465) 能力值： ( LV5，RANK：71 ) 在线值：发帖 19 回帖 370 粉丝 4 关注私信	joker陈 10 楼学习一下 2025-10-15 14:18 0
练习生雪币： 402 活跃值： (1768) 能力值： ( LV7，RANK：105 ) 在线值：发帖 7 回帖 43 粉丝 9 关注私信	练习生 2 11 楼学习一下 2025-10-15 16:28 0
xie风腾雪币： 16079 活跃值： (8724) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 1106 粉丝 6 关注私信	xie风腾 12 楼多谢楼主分享哟,学习了 2025-10-15 19:54 0
Cr_Ring 雪币： 308 活跃值： (974) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 26 粉丝 0 关注私信	Cr_Ring 13 楼 699999999999999999 2025-10-15 20:03 0
option 雪币： 9449 活跃值： (4444) 能力值： ( LV2，RANK：10 ) 在线值：发帖 40 回帖 782 粉丝 4 关注私信	option 14 楼学习一下 2025-10-15 22:44 0
asuralove 雪币： 71 活跃值： (1993) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 118 粉丝 2 关注私信	asuralove 15 楼 666 2025-10-16 09:07 0
书生怕怕雪币： 108 活跃值： (1654) 能力值： ( LV2，RANK：10 ) 在线值：发帖 19 回帖 84 粉丝 1 关注私信	书生怕怕 16 楼 6666 2025-10-16 09:47 0
cmputer 雪币： 1925 活跃值： (2487) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 151 粉丝 1 关注私信	cmputer 17 楼学习一下 2025-10-16 10:30 0
huangjw 雪币： 6768 活跃值： (11987) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 516 粉丝 2 关注私信	huangjw 18 楼有空好好学习下 2025-10-17 09:18 0
mb_lghhumnu 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	mb_lghhumnu 19 楼谢谢分享 2025-10-17 13:52 0
flyingx 雪币： 10628 活跃值： (6931) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 149 粉丝 2 关注私信	flyingx 20 楼谢谢分享 2025-10-18 10:11 0
wandering 雪币： 6138 活跃值： (11164) 能力值： ( LV2，RANK：10 ) 在线值：发帖 47 回帖 622 粉丝 46 关注私信	wandering 21 楼厉害 2025-10-18 12:21 0
zglg 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	zglg 23 楼强大，看看文章 2025-10-20 12:13 0
zylyy 雪币： 144 活跃值： (2738) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 491 粉丝 3 关注私信	zylyy 24 楼强大，看看文章 2025-10-20 16:10 0
寞叶_ 雪币： 583 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 21 粉丝 0 关注私信	寞叶_ 25 楼学习一下 2025-10-20 17:05 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复