windows持久化之DLL代理加载

介绍

DLL（动态链接库）代理加载是一种技术，它允许一个程序在运行时动态地加载和解析另一个程序的DLL文件。这种技术可以用于多种目的，包括但不限于：

1. 调试和测试：在开发过程中，代理加载可以用来模拟或替换实际的DLL文件，以便于测试和调试程序。

2. 兼容性：通过代理加载，可以使得一个程序能够运行那些依赖于不同版本DLL的程序。

3. 功能扩展：程序可以通过加载额外的DLL文件来扩展其功能，而无需重新编译或重新分发。

4. 安全和沙箱环境：在某些安全环境中，代理加载可以用来隔离和控制DLL的加载过程，以减少安全风险。

5. 版本控制：代理加载可以用于管理不同版本的DLL，确保程序加载的是正确的版本。

6. 热修复：在不重启程序的情况下，通过代理加载可以动态地修复程序中的问题

总结，在安全方面，DLL 代理加载是一种技术，任意 DLL 导出与合法 DLL 相同的函数，并将调用转发给合法 DLL，以尝试不中断执行流程，从而使二进制文件正常执行。该技术属于DLL 劫持的范畴，它通常被用作一种更隐蔽的方法来加载任意 DLL，而不会破坏进程的原始操作，这对于防御者来说可能是妥协的迹象。

原理

当进程启动时，DLL 也会被加载并调用导出的函数，如下图所示：

DLL 代理加载技术需要将任意 DLL 植入到与合法 DLL 相同的目录中并具有相同的名称，并且将代理与原始 DLL 相同的导出。然而，任意 DLL 也会加载植入代码，因此代码将在可信进程的上下文中执行。

原文始发于微信公众号（暴暴的皮卡丘）：windows持久化之DLL代理加载