ideaslocas/adllOutil automatisé de découverte de vulnérabilités de détournement de DLL qui analyse les binaires PE au moment du chargement et lors de l'exécution via le hooking d'API, en énumérant les DLL manquantes et en testant l'usurpation malveillante.
aDLL est un outil d'analyse binaire axé sur la découverte automatique de vulnérabilités de détournement de DLL. L'outil analyse l'image du binaire chargé en mémoire pour rechercher les DLL chargées au moment du chargement et utilise la bibliothèque Microsoft Detours pour intercepter les appels aux fonctions LoadLibrary/LoadLibraryEx afin d'analyser les DLL chargées à l'exécution. L'objectif est d'obtenir une liste des DLL qui ne sont pas trouvées par l'exécutable dans les dossiers où elles sont recherchées.
Pour commencer à utiliser aDLL, un exécutable compilé est disponible dans le dossier Binaries. Il est recommandé d'utiliser la version dont l'architecture (32 bits ou 64 bits) correspond à la version de l'exécutable à analyser.
Pour le bon fonctionnement de l'outil, il est nécessaire que les DLLs "hook32", "hook64", "informer32" et "informer64" se trouvent dans le même répertoire que l'exécutable aDLL.exe.
aDLL a été développé et testé sur des systèmes Windows 10. Si le système est ancien et/ou que Visual Studio n'est pas installé, il est possible que l'outil génère une erreur du type "VCRUNTIME140.dll introuvable". Dans ce cas, la mise à jour Visual C++ Redistributable doit être installée. La mise à jour peut être trouvée ici : https://www.microsoft.com/es-ES/download/details.aspx?id=49984.
Pour modifier/recompiler l'outil, il est recommandé d'utiliser Visual Studio 2015 ou ultérieur. _ -aDLL : doit être compilé en tant qu'exécutable. Si des erreurs de liaison se produisent, il sera nécessaire d'ajouter la bibliothèque shlwapi.lib en utilisant l'éditeur de liens Visual Studio comme dépendance supplémentaire._ _ -Hook : doit être compilé en tant que DLL avec la même architecture que l'exécutable à analyser. Le fichier Hook résultant doit être renommé en hook32.dll ou hook64.dll selon le cas. Si vous souhaitez analyser des exécutables des deux architectures, il sera nécessaire d'avoir les deux DLL dans le même répertoire que aDLL.exe._ _ -Informer : identique à Hook. Doit être compilé en tant que DLL et renommé en informer32.dll ou informer64.dll._
L'outil dispose d'une option -h pour afficher une brève description des options disponibles à l'écran..
.\aDLL -h
Comme exemple d'utilisation courant, aDLL doit recevoir au moins le chemin de l'exécutable à analyser.
.\aDLL -e "C:\System32\notepad.exe"
OPTIONS :
-h Affiche l'aide de l'outil avec une brève description de chaque option.
-e Spécifie le chemin de l'exécutable à analyser par aDLL.
-t Spécifie le chemin d'un fichier texte contenant une liste de chemins d'exécutables.
-o Spécifie un chemin vers un répertoire dans lequel un rapport sera stocké pour chaque exécutable scanné.
-m Recherche le manifeste de l'exécutable et l'affiche à l'écran. aDLL recherche le manifeste intégré dans le binaire, il ne trouvera pas le manifeste s'il existe en tant que fichier externe.
-w Définit le nombre de secondes pendant lesquelles le processus de l'exécutable restera ouvert lors de la recherche des DLL chargées à l'exécution. Le temps par défaut est de 20 secondes.
-aDLL testera automatiquement si une DLL malveillante est exécutée en usurpant la DLL légitime dans l'ordre de recherche si une DLL candidate a été trouvée.
-d Utilisée conjointement avec l'option -a, cette option vous permet de sélectionner un chemin vers une DLL qui sera utilisée comme DLL malveillante.
-r Chaque DLL importée par l'exécutable peut à son tour importer d'autres DLL en tant que dépendances. Une recherche récursive "n" fois sera effectuée sur toutes les DLL trouvées par aDLL qui ne sont pas redirigées (ApiSetSchema ou WinSxS) et n'appartiennent pas à la liste des DLL connues du système.
La DLL Hook est basée sur l'idée de DLLHSC de ctxis : https://github.com/ctxis/DLLHSC
vous pouvez trouver plus d'informations sur les licences dans : licenses.txt
LE LOGICIEL EST FOURNI "EN L'ÉTAT", SANS GARANTIE D'AUCUNE SORTE, EXPRESSE OU IMPLICITE, Y COMPRIS MAIS SANS S'Y LIMITER LES GARANTIES DE QUALITÉ MARCHANDE, D'ADAPTATION À UN USAGE PARTICULIER ET D'ABSENCE DE CONTREFAÇON. EN AUCUN CAS LES AUTEURS OU TITULAIRES DU DROIT D'AUTEUR NE POURRONT ÊTRE TENUS RESPONSABLES DE TOUTE RÉCLAMATION, DOMMAGE OU AUTRE RESPONSABILITÉ, QUE CE SOIT DANS LE CADRE D'UNE ACTION CONTRACTUELLE, DÉLICTUELLE OU AUTRE, DÉCOULANT DE, OU EN RELATION AVEC LE LOGICIEL OU SON UTILISATION OU D'AUTRES INTERACTIONS AVEC LE LOGICIEL. LORSQUE VOUS EFFECTUEZ UNE CONTRIBUTION DANS UN DÉPÔT CONTENANT UNE MENTION DE LICENCE, VOUS ACCORDEZ VOTRE CONTRIBUTION SOUS LES MÊMES CONDITIONS, ET VOUS CONVENEZ QUE VOUS AVEZ LE DROIT D'ACCORDER VOTRE CONTRIBUTION SOUS CES CONDITIONS. SI VOUS AVEZ UN ACCORD SÉPARÉ POUR ACCORDER VOS CONTRIBUTIONS SOUS DES CONDITIONS DIFFÉRENTES, TEL QU'UN ACCORD DE LICENCE DE CONTRIBUTEUR, CET ACCORD PRÉVAUDRA.