ideaslocas/adllAutomatisiertes Tool zur Erkennung von DLL-Hijacking-Schwachstellen, das PE-Binärdateien zur Ladezeit und Laufzeit mittels API-Hooking analysiert, fehlende DLLs aufzählt und bösartige Identitätstäuschung testet.
aDLL ist ein Tool zur Binäranalyse, das sich auf die automatische Erkennung von DLL-Hijacking-Schwachstellen konzentriert. Das Tool analysiert das im Speicher geladene Image der Binärdatei, um zur Ladezeit geladene DLLs zu suchen, und nutzt die Microsoft Detours-Bibliothek, um Aufrufe der Funktionen LoadLibrary/LoadLibraryEx abzufangen, um die zur Laufzeit geladenen DLLs zu analysieren. Ziel ist es, eine Liste der DLLs zu erhalten, die vom ausführbaren Programm in den Ordnern, in denen sie gesucht werden, nicht gefunden werden.
Um aDLL zu verwenden, steht eine kompilierte ausführbare Datei im Ordner Binaries zur Verfügung. Es wird empfohlen, die Version zu verwenden, deren Architektur (32-Bit oder 64-Bit) mit der Version der zu analysierenden ausführbaren Datei übereinstimmt.
Für das korrekte Funktionieren des Tools müssen sich die DLLs „hook32“, „hook64“, „informer32“ und „informer64“ im selben Verzeichnis wie die ausführbare Datei aDLL.exe befinden.
aDLL wurde auf Windows 10 Systemen entwickelt und getestet. Falls das System alt ist und/oder Visual Studio nicht installiert ist, kann das Tool einen Fehler wie „VCRUNTIME140.dll nicht gefunden“ ausgeben. In diesem Fall muss das Visual C++ Redistributable Update installiert werden. Das Update ist hier zu finden: https://www.microsoft.com/download/details.aspx?id=49984.
Zum Ändern/Neukompilieren des Tools wird die Verwendung von Visual Studio 2015 oder höher empfohlen. Die Visual Studio-Lösung besteht aus drei Projekten: aDLL, Hook und Informer. _ -aDLL: Muss als ausführbare Datei kompiliert werden. Wenn Linker-Fehler auftreten, muss die Bibliothek shlwapi.lib als zusätzliche Abhängigkeit über den Visual Studio-Linker hinzugefügt werden._ _ -Hook: Muss als DLL mit derselben Architektur wie die zu analysierende ausführbare Datei kompiliert werden. Die resultierende Hook-Datei muss je nach Bedarf in hook32.dll oder hook64.dll umbenannt werden. Wenn Sie ausführbare Dateien beider Architekturen analysieren möchten, müssen beide DLLs im selben Verzeichnis wie aDLL.exe vorhanden sein._ _ -Informer: Genau wie Hook. Muss als DLL kompiliert und in informer32.dll oder informer64.dll umbenannt werden._
Das Tool verfügt über eine Option -h, um eine kurze Beschreibung der verfügbaren Optionen auf dem Bildschirm auszugeben.
.\aDLL -h
Als häufiges Anwendungsbeispiel sollte aDLL mindestens den Pfad zur zu analysierenden ausführbaren Datei erhalten.
.\aDLL -e "C:\System32\notepad.exe"
OPTIONEN:
-h Zeigt die Hilfe des Tools mit einer kurzen Beschreibung jeder Option an.
-e Gibt den Pfad zur ausführbaren Datei an, die von aDLL analysiert werden soll.
-t Gibt einen Pfad zu einer Textdatei mit einer Liste von Pfaden zu ausführbaren Dateien an.
-o Gibt einen Pfad zu einem Verzeichnis an, in dem für jede gescannte ausführbare Datei ein Bericht gespeichert wird.
-m Sucht nach dem Manifest der ausführbaren Datei und zeigt es auf dem Bildschirm an. aDLL sucht nach dem in der Binärdatei eingebetteten Manifest; es wird das Manifest nicht finden, wenn es als externe Datei existiert.
-w Legt die Anzahl der Sekunden fest, die der Prozess der ausführbaren Datei offen gehalten wird, während nach zur Laufzeit geladenen DLLs gesucht wird. Die Standardzeit beträgt 20 Sekunden.
-aDLL testet automatisch, ob eine bösartige DLL ausgeführt wird, indem es die legitime DLL in der Suchreihenfolge imitiert, wenn eine Kandidaten-DLL gefunden wurde.
-d In Verbindung mit der Option -a ermöglicht diese Option die Auswahl eines Pfads zu einer DLL, die als bösartige DLL verwendet wird.
-r Jede von der ausführbaren Datei importierte DLL kann wiederum andere DLLs als Abhängigkeiten importieren. Es wird eine „n“-mal rekursive Suche auf allen DLLs durchgeführt, die von aDLL gefunden werden, die nicht umgeleitet sind (ApiSetSchema oder WinSxS) und nicht zur Liste der bekannten DLLs des Systems gehören.
Hook DLL basiert auf der Idee von ctxis' DLLHSC: https://github.com/ctxis/DLLHSC
Weitere Informationen zu Lizenzen finden Sie unter: licenses.txt
DIE SOFTWARE WIRD OHNE MÄNGELGEWÄHR BEREITGESTELLT, WEDER AUSDRÜCKLICH NOCH KONKLUDENT, EINSCHLIESSLICH, ABER NICHT BESCHRÄNKT AUF DIE GEWÄHRLEISTUNG DER MARKTGÄNGIGKEIT, DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK UND DER NICHTVERLETZUNG VON RECHTEN DRITTER. IN KEINEM FALL SIND DIE AUTOREN ODER URHEBERRECHTSINHABER HAFTBAR FÜR JEGLICHE ANSPRÜCHE, SCHÄDEN ODER SONSTIGE VERPFLICHTUNGEN, OB AUS VERTRAG, UNERLAUBTER HANDLUNG ODER ANDERWEITIG, DIE SICH AUS DER NUTZUNG DER SOFTWARE ODER DAMIT IM ZUSAMMENHANG ERGEBEN. WENN SIE EINEN BEITRAG ZU EINEM REPOSITORY LEISTEN, DAS EINEN LIZENZHINWEIS ENTHÄLT, LIZENZIEREN SIE IHREN BEITRAG UNTER DENSELBEN BEDINGUNGEN UND SIE BESTÄTIGEN, DASS SIE DAS RECHT HABEN, IHREN BEITRAG UNTER DIESEN BEDINGUNGEN ZU LIZENZIEREN. FALLS SIE EINE SEPARATE VEREINBARUNG ZUR LIZENZIERUNG IHRER BEITRÄGE UNTER ANDEREN BEDINGUNGEN HABEN, WIE ZUM BEISPIEL EINE CONTRIBUTOR LICENSE AGREEMENT, HAT DIESE VEREINBARUNG VORRANG.