freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

ImpulsiveDLLHijack:一款基于C#实现的DLL劫持技术研究工具
2021-11-26 11:12:18

关于ImpulsiveDLLHijack

ImpulsiveDLLHijack是一款功能强大的DLL劫持技术安全研究工具,该工具基于C#开发实现,可以帮助广大研究人员以自动化的方式扫描、发现并利用目标设备二进制文件中的DLL安全问题,并实现DLL劫持。红队研究人员也可以利用该工具来识别劫持路径,并在定制工具中实现该技术以绕过EDR产品的检测。

工具机制

该工具能够通过下列两个自动化阶段步骤实现DLL劫持检测:

发现:寻找潜在的DLL劫持路径;

利用:判断并确认DLL是否已从劫持路径加载,从而确定目标DLL劫持路径是否100%可利用;

工具要求

exe:【点我获取

自定义DLL路径确认:下面这些DLL文件,可帮助工具确认DLL是否已从已识别的劫持路径成功加载:dll(从本项目的MalDLL目录中获取)、maldll64.dll(从本项目的MalDLL目录中获取)、PeNet(【点我获取】)

工具安装

首先,我们需要使用下列命令将该项目源码克隆至本地:

git clone https://github.com/knight0x07/ImpulsiveDLLHijack.git

接下来,在Visual Studio中导入ImpulsiveDLLHijack项目源码,然后点击"Project" --> "Manage NuGet packages" --> 浏览工具包并安装 "PeNet" -> https://www.nuget.org/packages/PeNet/

然后构建项目,此时项目的bin目录中就会出现ImpulsiveDLLHijack.exe文件了。

DLL路经确认

首先,我们需要使用下列命令将该项目源码克隆至本地:

git clone https://github.com/knight0x07/ImpulsiveDLLHijack.git

接下来,根据目标系统架构构建x86或x64版本。

将x86编译结果重命名为maldll32.dll,将x64编译结果重命名为maldll64.dll。

最后,将编译生成的路经确认DLL(maldll32 & maldll64)拷贝至ImpulsiveDLLHijack.exe目录下,然后执行ImpulsiveDLLHijack.exe即可。

工具使用

工具使用样例

目标可执行程序:OneDrive.exe

操作阶段:DLL劫持路径发现

操作阶段:DLL劫持利用

DLL劫持成功:

DLL劫持失败:

DLL没有以入口点进行加载,手动分析后即可成功实现DLL劫持:

操作阶段:最终结果和日志记录

日志文件路径:C:\DLLLogs\output_logs.txt

项目地址

ImpulsiveDLLHijack:GitHub传送门

参考资料

https://arxiv.org/abs/2108.10422

https://docs.microsoft.com/en-us/sysinternals/downloads/procmon

https://www.nuget.org/packages/PeNet/

# DLL劫持 # DLL安全
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录