Koppeling

Questo progetto è una dimostrazione di tecniche avanzate di DLL hijack. È stato rilasciato insieme all'articolo del blog "Adaptive DLL Hijacking". Ti consiglio di iniziare da lì per contestualizzare questo codice.

Questo progetto è composto dai seguenti elementi:

• Harness.exe: L'applicazione "vittima" vulnerabile all'hijacking (statico/dinamico)
• Functions.dll: La libreria "reale" che espone funzionalità valide all'harness
• Theif.dll: La libreria "maligna" che cerca di ottenere l'esecuzione
• NetClone.exe: Un'applicazione C# che clona gli esportati da una DLL a un'altra
• PyClone.py: Uno script Python 3 che imita la funzionalità di NetClone

La soluzione VS stessa supporta 4 configurazioni di build che corrispondono a 4 diversi metodi di proxy delle funzionalità. Questo dovrebbe fornire un modo scalabile per dimostrare più tecniche in futuro.

• Stc-Forward: Inoltra i nomi degli esportati durante il processo di build utilizzando commenti del linker
• Dyn-NetClone: Clona la tabella degli esportati da functions.dll su theif.dll dopo la build usando NetClone
• Dyn-PyClone: Clona la tabella degli esportati da functions.dll su theif.dll dopo la build usando PyClone
• Dyn-Rebuild: Ricostruisce la tabella degli esportati e corregge le tabelle di importazione collegate dopo il caricamento per prepararsi dinamicamente al proxy delle funzioni

L'obiettivo di ogni tecnica è catturare con successo l'esecuzione del codice mentre si fa da proxy per la DLL legittima. Ogni tecnica viene testata per garantire che le situazioni di sink statico e dinamico siano gestite. Non si tratta affatto di ogni primitiva o variazione di tecnica. L'articolo sopra entra più nel dettaglio.

Esempio

Prepara uno scenario di hijack con una DLL ovviamente errata

> copy C:\windows\system32\whoami.exe .\whoami.exe
        1 file(s) copied.

> copy C:\windows\system32\kernel32.dll .\wkscli.dll
        1 file(s) copied.