ideaslocas/adllأداة آلية لاكتشاف ثغرات اختطاف DLL تقوم بتحليل ملفات PE الثنائية في وقت التحميل ووقت التشغيل عبر ربط API، مع تعداد ملفات DLL المفقودة واختبار الانتحال الخبيث.
aDLL هي أداة تحليل ثنائي تركز على الاكتشاف التلقائي لثغرات اختطاف DLL. تقوم الأداة بتحليل صورة الملف القابل للتنفيذ المحملة في الذاكرة للبحث عن ملفات DLL المحملة وقت التحميل، وتستخدم مكتبة Microsoft Detours لاعتراض الاستدعاءات لوظائف LoadLibrary/LoadLibraryEx لتحليل ملفات DLL المحملة وقت التشغيل. الهدف هو الحصول على قائمة بملفات DLL التي لا يعثر عليها الملف القابل للتنفيذ في المجلدات التي يبحث فيها.
لاستخدام aDLL، يتوفر ملف قابل للتنفيذ مُجمَّع في مجلد Binaries. يوصى باستخدام الإصدار الذي تتوافق بنيته (32 بت أو 64 بت) مع إصدار الملف القابل للتنفيذ المراد تحليله.
لكي تعمل الأداة بشكل صحيح، يجب أن توجد ملفات DLL "hook32" و "hook64" و "informer32" و "informer64" في نفس الدليل الذي يوجد به الملف القابل للتنفيذ aDLL.exe.
تم تطوير aDLL واختباره على أنظمة Windows 10. إذا كان النظام قديماً و/أو لم يتم تثبيت Visual Studio، فمن المحتمل أن تُظهر الأداة خطأ مثل "VCRUNTIME140.dll not found". في هذه الحالة، يجب تثبيت تحديث Visual C++ Redistributable. يمكن العثور على التحديث هنا: https://www.microsoft.com/es-ES/download/details.aspx?id=49984.
لتعديل/إعادة تجميع الأداة، يوصى باستخدام Visual Studio 2015 أو أحدث. يتكون حل Visual Studio من ثلاثة مشاريع: aDLL و Hook و Informer. _ -aDLL: يجب تجميعه كملف قابل للتنفيذ. في حالة حدوث أخطاء في الربط، سيكون من الضروري إضافة مكتبة shlwapi.lib باستخدام رابط Visual Studio كاعتماد إضافي._ _ -Hook: يجب تجميعه كـ DLL بنفس بنية الملف القابل للتنفيذ المراد تحليله. يجب إعادة تسمية ملف Hook الناتج إلى hook32.dll أو hook64.dll حسب الاقتضاء. إذا كنت ترغب في تحليل الملفات القابلة للتنفيذ من كلا البنيتين، فسيكون من الضروري وجود كلا ملفي DLL في نفس الدليل الذي يوجد به aDLL.exe._ _ -Informer: نفس Hook. يجب تجميعه كـ DLL وإعادة تسميته إلى informer32.dll أو informer64.dll._
تحتوي الأداة على خيار -h لعرض وصف موجز للخيارات المتاحة على الشاشة.
.\aDLL -h
كمثال شائع للاستخدام، يجب أن يتلقى aDLL على الأقل مسار الملف القابل للتنفيذ المراد تحليله.
.\aDLL -e "C:\System32\notepad.exe"
الخيارات (OPTIONS):
-h يعرض تعليمات الأداة مع وصف موجز لكل خيار.
-e يحدد مسار الملف القابل للتنفيذ الذي سيحلله aDLL.
-t يحدد مسارًا لملف نصي يحتوي على قائمة بمسارات الملفات القابلة للتنفيذ.
-o يحدد مسارًا لدليل سيتم فيه تخزين تقرير لكل ملف قابل للتنفيذ تم فحصه.
-m يبحث عن بيان (manifest) الملف القابل للتنفيذ ويعرضه على الشاشة. يبحث aDLL عن البيان المضمن في الملف الثنائي، ولن يعثر على البيان إذا كان موجودًا كملف خارجي.
-w يحدد عدد الثواني التي سيبقى فيها ملف العملية القابلة للتنفيذ مفتوحًا أثناء البحث عن ملفات DLL المحملة في وقت التشغيل. الوقت الافتراضي هو 20 ثانية.
-aDLL سيختبر تلقائيًا ما إذا كان يتم تنفيذ DLL ضار عن طريق انتحال هوية DLL المشروع في ترتيب البحث إذا تم العثور على DLL مرشح.
-d يُستخدم مع الخيار -a، يسمح لك هذا الخيار بتحديد مسار إلى DLL سيتم استخدامه كـ DLL ضار.
-r كل DLL يتم استيراده بواسطة الملف القابل للتنفيذ يمكنه بدوره استيراد ملفات DLL أخرى كتبعيات. سيتم إجراء بحث "n" مرات متكررة على جميع ملفات DLL التي يعثر عليها aDLL والتي لا يتم إعادة توجيهها (ApiSetSchema أو WinSxS) ولا تنتمي إلى قائمة DLL المعروفة للنظام.
Hook DLL يعتمد على فكرة DLLHSC من ctxis: https://github.com/ctxis/DLLHSC
يمكنك العثور على مزيد من المعلومات حول التراخيص في: licenses.txt
البرنامج موفر "كما هو"، دون أي ضمان من أي نوع، صريحًا كان أم ضمنيًا، بما في ذلك على سبيل المثال لا الحصر ضمانات القابلية للتسويق، والملاءمة لغرض معين، وعدم الانتهاك. في أي حال من الأحوال، لا يكون المؤلفون أو أصحاب حقوق النشر مسؤولين عن أي دعوى أو أضرار أو مسؤولية أخرى، سواء كانت ناشئة عن عقد أو ضرر أو غير ذلك، تنشأ عن أو بسبب أو فيما يتعلق بالبرنامج أو استخدامه أو التعاملات الأخرى فيه. عندما تقدم مساهمة إلى مستودع يحتوي على إشعار ترخيص، فإنك ترخص مساهمتك بموجب نفس الشروط، وتوافق على أن لديك الحق في ترخيص مساهمتك بموجب تلك الشروط. إذا كان لديك اتفاقية منفصلة لترخيص مساهماتك بموجب شروط مختلفة، مثل اتفاقية ترخيص المساهم، فإن تلك الاتفاقية ستكون لها الأولوية.