redteamsocietegenerale/dllirantDLLirant is a tool to automatize the DLL Hijacking researches on a specified binary.
DLLirant est un outil pour automatiser les recherches de DLL Hijacking et de DLL Proxying sur un binaire spécifié.
Sélectionnez le fichier PE souhaité ; s'il s'agit d'un .exe, l'application recherchera actuellement les DLL Search Order Hijacking ; si vous sélectionnez une DLL, l'application vous proposera de la proxifier.
Concernant la deuxième option, vous devez spécifier un chemin pour la DLL proxy ; ce chemin peut être spécifié de deux manières :
Avec un nom, cela générera la DLL proxy et la renommera avec le nom de la DLL sélectionnée, et l'application copiera la DLL sélectionnée (originale) et la renommera avec le nom que vous avez sélectionné.
Avec un chemin, cette option générera un seul fichier, la DLL proxy, qui appellera les fonctions exportées depuis la DLL spécifiée dans la zone de texte.
Vous pouvez également créer un répertoire import et y placer les fichiers DLL manquants dont votre application a besoin si nécessaire (les fichiers DLL seront copiés automatiquement dans le répertoire output avec le binaire ciblé).
Important
Concernant les messages d'erreur de votre application ciblée, j'ai essayé d'éviter les messages d'erreur, mais vous ne pouvez pas vraiment, car la boîte de message est générée par le Système via csrss.exe, et non via l'application ciblée. Vous pouvez donc essayer de tuer les threads, les fenêtres enfants, utiliser SetErrorMode etc... cela ne fonctionnera pas.
Le script créera un répertoire de sortie dans le même répertoire que DLLirant, copiera le binaire ciblé dans le répertoire de sortie.
Via la bibliothèque PeNet, le script extraira les noms des DLL requis par le binaire, et testera chaque fonction d'import disponible une par une en compilant une DLL personnalisée avec les fonctions exportées requises.
Si une fonction requise par le binaire est exécutée, la DLL personnalisée créera un fichier C:\DLLirant\output.txt pour s'assurer qu'un DLL Hijacking est possible.
Les PoC des DLL Hijackings seront également créés dans le répertoire DLLirant/dll-hijacks.
