如何使用aDLL自动识别DLL劫持漏洞
关于aDLL
aDLL是一款功能强大的代码分析工具,可以帮助广大研究人员以自动化的方式识别并发现DLL劫持漏洞。该工具可以分析加载至内存中的源码镜像,并在加载过程中搜索DLL,并且利用了微软Detours代码库来拦截针对LoadLibrary/LoadLibraryEx函数的调用,然后分析在代码运行时过程中加载的DLL文件。
该工具的主要目标就是帮助广大研究人员搜索可执行程序所使用的DLL列表,并从中识别出潜在的DLL劫持漏洞。
DLL劫持攻击
DLL劫持指的是,病毒通过一些手段来劫持或者替换正常的DLL,欺骗正常程序加载预先准备好的恶意DLL。
首先我们要了解Windows为什么可以DLL劫持呢?主要是因为Windows的资源共享机制。为了尽可能多地安排资源共享,微软建议多个应用程序共享的任何模块应该放在Windows的系统目录中,如kernel32.dll,这样能够方便找到。但是随着时间的推移,安装程序会用旧文件或者未向后兼容的新文件来替换系统目录下的文件,这样会使一些其他的应用程序无法正确执行,因此,微软改变了策略,建议应用程序将所有文件放到自己的目录中去,而不要去碰系统目录下的任何东西。
为了提供这样的功能,在Window2000开始,微软加了一个特性,强制操作系统的加载程序首先从应用程序目录中加载模块,只有当加载程序无法在应用程序目录中找到文件,才搜索其他目录。利用系统的这个特性,就可以使应用程序强制加载我们指定的DLL做一些特殊的工作。
快速开始
首先,我们需要使用下列命令将该项目源码克隆至本地:
git clone https://github.com/ideaslocas/aDLL.git
接下来,我们就可以在项目的Binaries文件夹中找到已编译好的aDLL可执行文件了。我们建议广大用户使用版本架构(32位或64位)对应的版本来分析目标可执行文件。
为了保证该工具可以正常运行,我们必须将“hook32”、“hook64”、“informer*32”和“informer64”放置于“aDLL.exe”的相同目录下。
工具要求
aDLL是在Windows 10操作系统平台上开发和测试的,如果你所使用的操作系统版本比较老,或者没有安装Visual Studio的话,那么工具在运行时可能会抛出例如“VCRUNTIME140.dll not found”之类的错误,此时我们就需要安装Visual C++ Redistributable更新了。
项目编译
如需对项目代码进行修改或重新编译,建议使用Visual Studio 2015或更高版本。
工具使用
该工具提供了一个-h选项,可以帮助我们获取aDLL全部可用的参数选项:
.aDLL -h
针对aDLL的使用,我们需要提供至少一个运行参数,即需要分析的可执行程序路径:
.aDLL -e "C:System32
otepad.exe"
工具选项
-h:显示工具的帮助信息,并简要说明每个选项的功能。 -e:指定aDLL要分析的可执行文件的路径。 -t:指定文本文件的路径,其中包含可执行路径列表。 -o:指定扫描报告的存储目录路径,每个扫描的可执行文件都将在其中存储报告。 -m:搜索可执行文件的清单列表并将其显示在屏幕上。aDLL将会搜索嵌入在二进制文件中的清单列表,如果清单列表作为外部文件存在,aDLL将无法找到该清单列表。 -w:定义在运行时搜索加载的DLL时可执行进程保持打开状态的秒数。默认时间为20秒。 -aDLL:如果搜索到了待测DLL,则会自动检测该DLL是否会通过伪装成合法DLL来执行(恶意DLL伪装)。 -d:与-a选项结合使用,此选项允许我们选择恶意DLL的路径。 -r:可执行文件导入的每个DLL都可以作为依赖项导入其他DLL。将对aDLL找到的所有未重定向(ApiseSchema或WinSxS)且不属于系统已知DLL列表的DLL进行“n”次递归搜索。
项目地址
https://github.com/ideaslocas/aDLL
参考资料
https://www.microsoft.com/es-ES/download/details.aspx?id=49984
https://github.com/ctxis/DLLHSC
相关文章
- 【技术种草】cdn+轻量服务器+hugo=让博客“云原生”一下
- CLB运维&运营最佳实践 ---访问日志大洞察
- vnc方式登陆服务器
- 轻松学排序算法:眼睛直观感受几种常用排序算法
- 十二个经典的大数据项目
- 为什么使用 CDN 内容分发网络?
- 大数据——大数据默认端口号列表
- Weld 1.1.5.Final,JSR-299 的框架
- JavaFX 2012:彻底开源
- 提升as3程序性能的十大要点
- 通过凸面几何学进行独立于边际的在线多类学习
- 利用行动影响的规律性和部分已知的模型进行离线强化学习
- ModelLight:基于模型的交通信号控制的元强化学习
- 浅谈Visual Source Safe项目分支
- 基于先验知识的递归卡尔曼滤波的代理人联合状态和输入估计
- 结合网络结构和非线性恢复来提高声誉评估的性能
- 最佳实践丨云开发CloudBase多环境管理实践
- TimeVAE:用于生成多变量时间序列的变异自动编码器
- 具有线性阈值激活的神经网络:结构和算法
- 内网渗透之横向移动 -- 从域外向域内进行密码喷洒攻击