dll劫持外加打包钓鱼一条龙!

  • A+
所属分类:安全文章

点击蓝字

dll劫持外加打包钓鱼一条龙!

关注我们



dll劫持

1.dll劫持产生条件

1.dll能否被劫持:    不在'HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerKnownDLLs'注册表中2.其dll是EXE程序首先加载的DLL,而不是依赖其他DLL加载的。3.DLL确实被加载进内存中

2.判断dll是否可以劫持。

2.1手动方法

利用进程查看软件,查看dll是否存'KnownDlls'注册表中。
进程查看工具:ProcessExplorer/ProcessMonitor/火绒剑

ProcessExplorer下载地址:https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer


dll劫持外加打包钓鱼一条龙!


ProcessMonitor下载地址:https://docs.microsoft.com/zh-cn/sysinternals/downloads/procmon


dll劫持外加打包钓鱼一条龙!


火绒剑


dll劫持外加打包钓鱼一条龙!


根据进程查看的dll和注册表进行对比

win7机以上:HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerKnownDLLs


dll劫持外加打包钓鱼一条龙!


notepad为例:6版本之前的SciLexer.dll存在dll劫持。
注册表中没有SciLexer.dll。进程notepad调用到了SciLexer.dll。说明SciLexer.dll可能存在dll劫持。



dll劫持外加打包钓鱼一条龙!


2.2自动审计

常见的几种工具:

1.Ratter(虚拟机中出错不知道为啥)https://github.com/sensepost/rattler/releases


dll劫持外加打包钓鱼一条龙!


2.DLL Hijack Auditor


dll劫持外加打包钓鱼一条龙!
file


3.dll_hijack_detecthttps://github.com/adamkramer/dll_hijack_detect/releases
4.ChkDllHijackhttps://github.com/anhkgg/anhkgg-tools

文件传不上来,这个就不看图了。

2.3测试

利用自动化验证dll劫持发现sxs.dll可能存在劫持


dll劫持外加打包钓鱼一条龙!


msf生成dll,弹出计算机。

msfvenom -p windows/exec CMD = calc.exe EXITFUNC=thread -f dll -o sxs.dll

1.可以替换可能存在dll劫持的文件。

2.可以使用dll注入工具,进行劫持文件

2.1

dll劫持外加打包钓鱼一条龙!


2.2使用InjectProc注入


InjectProc --dll注入工具https://github.com/secrary/InjectProc/releasesInjectProc.exe dll_inj joker.dll notepad.exe

注入成功


dll劫持外加打包钓鱼一条龙!


3.dll注入+重新打包

采用方法:shellcode--dll--pe导入dll--nsis重新打包

3.1cs生成shellcode

利用攻击->生成后门->语言类后门->C语言

dll劫持外加打包钓鱼一条龙!


dll劫持外加打包钓鱼一条龙!


3.2利用DLL注入攻击工具

利用DLL注入攻击工具把shellcode生成dll文件。会在同目录下生成conf.inf 和wwwcomw.dll两个文件


dll劫持外加打包钓鱼一条龙!


dll劫持外加打包钓鱼一条龙!


3.3利用PE工具把DLL导入EXE

把上述生成的文件放到需要劫持的目录下。采用PE查看器,把上述shellcode生成的dll中的函数导入到exePE表中。把EXE放入到PE查看中-->选择函数-->随便选择一个右键Add New Import DLL选择->选择函数->添加到列表->输入表列表中选中刚刚添加到内容,最后点击添加即可。


dll劫持外加打包钓鱼一条龙!



dll劫持外加打包钓鱼一条龙!



dll劫持外加打包钓鱼一条龙!


3.4上线


dll劫持外加打包钓鱼一条龙!


4 nsis重新打包

上述完成后,本地劫持完成,这里使用nsis重新打包,进行钓鱼。

4.1准备工作

源安装包


dll劫持外加打包钓鱼一条龙!


源文件的ico图标提取。


dll劫持外加打包钓鱼一条龙!
4.2打包
选择可视化脚步编辑器


dll劫持外加打包钓鱼一条龙!


安装需求填写


dll劫持外加打包钓鱼一条龙!


dll劫持外加打包钓鱼一条龙!


应用程序默认目录,本地安装一次最好,看一下本地默认安装的目录例如:C:Program Files (x86)VPN(本地)然后修改本地安装了,防止冲突,设置成了VPN1


dll劫持外加打包钓鱼一条龙!


选择需要打包的目录,把每个字目录选中。


dll劫持外加打包钓鱼一条龙!



dll劫持外加打包钓鱼一条龙!



dll劫持外加打包钓鱼一条龙!



dll劫持外加打包钓鱼一条龙!


编译成功


dll劫持外加打包钓鱼一条龙!


打包成功


dll劫持外加打包钓鱼一条龙!


对比一下,下面为最新打包,上面为源文件,文件大小差距。除了没有数字签名


dll劫持外加打包钓鱼一条龙!


打包之类成功安装。


dll劫持外加打包钓鱼一条龙!


dll劫持外加打包钓鱼一条龙!


成功上线。



dll劫持外加打包钓鱼一条龙!
dll劫持外加打包钓鱼一条龙!

扫二维码|关注我们




       Secquan圈子社区

引领实战潮流,回归技术本质

dll劫持外加打包钓鱼一条龙!




本文始发于微信公众号(Secquan圈子社区):dll劫持外加打包钓鱼一条龙!

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: