Koppeling

هذا المشروع هو عرض لتقنيات اختطاف DLL المتقدمة. تم نشره بالتزامن مع منشور المدونة "Adaptive DLL Hijacking". أوصيك بالبدء من هناك لوضع هذا الكود في سياقه.

يتكون هذا المشروع من العناصر التالية:

• Harness.exe: تطبيق "الضحية" المعرض للاختطاف (ثابت/ديناميكي)
• Functions.dll: المكتبة "الحقيقية" التي تعرض وظائف صالحة للحزام
• Theif.dll: المكتبة "الشريرة" التي تحاول الحصول على التنفيذ
• NetClone.exe: تطبيق بلغة C# يقوم باستنساخ الصادرات من DLL إلى آخر
• PyClone.py: نص برمجي بلغة Python 3 يحاكي وظائف NetClone

يدعم حل VS نفسه 4 تكوينات بناء تتوافق مع 4 طرق مختلفة لوظائف الوكيل. يجب أن يوفر هذا طريقة قابلة للتوسع بشكل جيد لعرض المزيد من التقنيات في المستقبل.

• Stc-Forward: يقوم بتوجيه أسماء التصدير أثناء عملية البناء باستخدام تعليقات الرابط
• Dyn-NetClone: يستنسخ جدول التصدير من functions.dll إلى theif.dll بعد البناء باستخدام NetClone
• Dyn-PyClone: يستنسخ جدول التصدير من functions.dll إلى theif.dll بعد البناء باستخدام PyClone
• Dyn-Rebuild: يعيد بناء جدول التصدير ويصحح جداول الاستيراد المرتبطة بعد التحميل لتحضير وكيل الوظائف ديناميكيًا

الهدف من كل تقنية هو التقاط تنفيذ التعليمات البرمجية بنجاح مع توجيه الوظائف إلى DLL الشرعي. يتم اختبار كل تقنية لضمان معالجة حالات المصارف الثابتة والديناميكية. هذا ليس بأي حال كل أشكال البدائيات أو الاختلافات التقنية. المنشور أعلاه يقدم المزيد من التفاصيل.

مثال

تحضير سيناريو اختطاف باستخدام DLL غير صحيح بشكل واضح

> copy C:\windows\system32\whoami.exe .\whoami.exe
        1 file(s) copied.

> copy C:\windows\system32\kernel32.dll .\wkscli.dll
        1 file(s) copied.

تنفيذ الأمر في التكوين الحالي يجب أن يؤدي إلى خطأ

> whoami.exe 

"Entry Point Not Found"

تحويل kernel32 إلى وظيفة وكيل لـ wkscli

> NetClone.exe --target C:\windows\system32\kernel32.dll --reference C:\windows\system32\wkscli.dll --output wkscli.dll
[+] Done.

> whoami.exe
COMPUTER\User