Koppeling

Este proyecto es una demostración de técnicas avanzadas de secuestro de DLL. Se publicó junto con la entrada de blog "Adaptive DLL Hijacking". Recomiendo empezar por allí para contextualizar este código.

Este proyecto consta de los siguientes elementos:

• Harness.exe: La aplicación "víctima" que es vulnerable al secuestro (estático/dinámico)
• Functions.dll: La biblioteca "real" que expone funcionalidad válida al harness
• Theif.dll: La biblioteca "maliciosa" que intenta obtener ejecución
• NetClone.exe: Una aplicación en C# que clona exportaciones de una DLL a otra
• PyClone.py: Un script de Python 3 que imita la funcionalidad de NetClone

La solución de VS en sí soporta 4 configuraciones de compilación que corresponden a 4 métodos diferentes de proxy de funcionalidad. Esto debería proporcionar una buena forma escalable de demostrar más técnicas en el futuro.

• Stc-Forward: Reenvía nombres de exportación durante el proceso de compilación usando comentarios del enlazador
• Dyn-NetClone: Clona la tabla de exportación de functions.dll en theif.dll post-compilación usando NetClone
• Dyn-PyClone: Clona la tabla de exportación de functions.dll en theif.dll post-compilación usando PyClone
• Dyn-Rebuild: Reconstruye la tabla de exportación y parchea las tablas de importación enlazadas post-carga para preparar dinámicamente el proxy de funciones

El objetivo de cada técnica es capturar exitosamente la ejecución de código mientras se realiza un proxy de funcionalidad a la DLL legítima. Cada técnica se prueba para asegurar que se manejan situaciones de sumidero estático y dinámico. Esto no es ni mucho menos todas las primitivas o variaciones de técnica. La publicación anterior entra en más detalle.

Ejemplo