Koppeling

このプロジェクトは、高度なDLLハイジャック手法のデモンストレーションです。これは、「Adaptive DLL Hijacking」というブログ記事と併せて公開されました。このコードを理解するために、まずその記事を読むことをお勧めします。

このプロジェクトは以下の要素で構成されています：

• Harness.exe: ハイジャックに対して脆弱な「被害者」アプリケーション（静的/動的）
• Functions.dll: ハーネスに正当な機能を提供する「本物の」ライブラリ
• Theif.dll: 実行を試みる「悪意のある」ライブラリ
• NetClone.exe: あるDLLから別のDLLへエクスポートをクローンするC#アプリケーション
• PyClone.py: NetCloneの機能を模倣するPython 3スクリプト

VSソリューション自体は、4つのビルド構成をサポートしており、それぞれが機能のプロキシを行う4つの異なる方法に対応しています。これにより、将来的にさらに多くの手法を拡張可能な形でデモンストレーションできるようになります。

• Stc-Forward: リンカコメントを使用してビルドプロセス中にエクスポート名を転送します
• Dyn-NetClone: NetCloneを使用してビルド後に functions.dll から theif.dll へエクスポートテーブルをクローンします
• Dyn-PyClone: PyCloneを使用してビルド後に functions.dll から theif.dll へエクスポートテーブルをクローンします
• Dyn-Rebuild: エクスポートテーブルを再構築し、ロード後に関連するインポートテーブルにパッチを適用して、動的に関数プロキシに備えます

各手法の目標は、正当なDLLに機能をプロキシしながら、コード実行を正常にキャプチャすることです。各手法は、静的および動的シンク状況が処理されることを確認するためにテストされています。これは、原始的な手法やバリエーションのすべてを網羅しているわけではありません。上記のブログ記事で詳細が説明されています。

例

明らかに正しくないDLLを使ってハイジャックシナリオを準備します

> copy C:\windows\system32\whoami.exe .\whoami.exe
        1 file(s) copied.

> copy C:\windows\system32\kernel32.dll .\wkscli.dll
        1 file(s) copied.

現在の構成で実行すると、エラーが発生するはずです

> whoami.exe 

"Entry Point Not Found"

kernel32を変換してwkscliのプロキシ機能を提供します

> NetClone.exe --target C:\windows\system32\kernel32.dll --reference C:\windows\system32\wkscli.dll --output wkscli.dll
[+] Done.

> whoami.exe
COMPUTER\User