ideaslocas/adll로드 시점 및 런타임에 API 후킹을 통해 PE 바이너리를 분석하여 누락된 DLL을 열거하고 악의적인 가장을 테스트하는 자동화된 DLL 하이재킹 취약점 발견 도구입니다.
aDLL은 DLL 하이재킹 취약점을 자동으로 발견하는 데 중점을 둔 바이너리 분석 도구입니다. 이 도구는 메모리에 로드된 바이너리 이미지를 분석하여 로드 시점에 로드된 DLL을 검색하고, Microsoft Detours 라이브러리를 사용하여 LoadLibrary/LoadLibraryEx 함수 호출을 가로채서 런타임에 로드된 DLL을 분석합니다. 목적은 실행 파일이 DLL을 검색하는 폴더에서 찾을 수 없는 DLL 목록을 얻는 것입니다.
aDLL을 사용하려면 Binaries 폴더에 컴파일된 실행 파일이 있습니다. 분석할 실행 파일의 아키텍처(32비트 또는 64비트)와 일치하는 버전을 사용하는 것이 좋습니다.
도구의 올바른 작동을 위해서는 "hook32", "hook64", "informer32" 및 "informer64" DLL이 aDLL.exe 실행 파일과 동일한 디렉터리에 있어야 합니다.
aDLL은 Windows 10 시스템에서 개발 및 테스트되었습니다. 시스템이 오래되었거나 Visual Studio가 설치되지 않은 경우 도구에서 "VCRUNTIME140.dll을 찾을 수 없습니다"와 같은 오류가 발생할 수 있습니다. 이 경우 Visual C++ 재배포 가능 패키지 업데이트를 설치해야 합니다. 업데이트는 다음에서 찾을 수 있습니다: https://www.microsoft.com/es-ES/download/details.aspx?id=49984.
도구를 수정/재컴파일하려면 Visual Studio 2015 이상을 사용하는 것이 좋습니다. Visual Studio 솔루션은 aDLL, Hook, Informer의 세 프로젝트로 구성됩니다. _ -aDLL: 실행 파일로 컴파일해야 합니다. 연결 오류가 발생하면 Visual Studio 링커를 사용하여 shlwapi.lib 라이브러리를 추가 종속성으로 추가해야 합니다._ _ -Hook: 분석할 실행 파일과 동일한 아키텍처의 DLL로 컴파일해야 합니다. 결과 Hook 파일은 적절하게 hook32.dll 또는 hook64.dll로 이름을 바꿔야 합니다. 두 아키텍처의 실행 파일을 모두 분석하려면 aDLL.exe와 동일한 디렉터리에 두 DLL이 모두 있어야 합니다._ _ -Informer: Hook과 동일합니다. DLL로 컴파일하고 informer32.dll 또는 informer64.dll로 이름을 바꿔야 합니다._
도구에는 사용 가능한 옵션에 대한 간단한 설명을 화면에 출력하는 -h 옵션이 있습니다.
.\aDLL -h
일반적인 사용 예로 aDLL은 최소한 분석할 실행 파일의 경로를 받아야 합니다.
.\aDLL -e "C:\System32\notepad.exe"
옵션:
-h 각 옵션에 대한 간단한 설명과 함께 도구의 도움말을 표시합니다.
-e aDLL로 분석할 실행 파일의 경로를 지정합니다.
-t 실행 파일 경로 목록이 있는 텍스트 파일의 경로를 지정합니다.
-o 스캔된 각 실행 파일에 대한 보고서가 저장될 디렉터리 경로를 지정합니다.
-m 실행 파일의 매니페스트를 검색하여 화면에 표시합니다. aDLL은 바이너리에 포함된 매니페스트를 검색하며, 외부 파일로 존재하는 매니페스트는 찾지 않습니다.
-w 런타임에 로드된 DLL을 검색하는 동안 실행 파일 프로세스를 열어 둘 시간(초)을 정의합니다. 기본 시간은 20초입니다.
-a 후보 DLL이 발견된 경우 aDLL이 검색 순서에서 합법적인 DLL을 가장하여 악성 DLL이 실행되는지 자동으로 테스트합니다.
-d -a 옵션과 함께 사용되며, 악성 DLL로 사용될 DLL의 경로를 선택할 수 있습니다.
-r 실행 파일이 가져온 각 DLL은 다시 다른 DLL을 종속성으로 가져올 수 있습니다. aDLL이 찾은 DLL 중 리디렉션되지 않고(ApiSetSchema 또는 WinSxS) 시스템의 알려진 DLL 목록에 속하지 않는 모든 DLL에 대해 "n"회 재귀 검색이 수행됩니다.
Hook DLL은 ctxis의 DLLHSC 아이디어를 기반으로 합니다: https://github.com/ctxis/DLLHSC
라이선스에 대한 자세한 정보는 licenses.txt에서 확인할 수 있습니다.
본 소프트웨어는 "있는 그대로" 제공되며, 명시적이든 묵시적이든, 상품성, 특정 목적에의 적합성 및 비침해에 대한 보증을 포함하되 이에 국한되지 않는 어떠한 종류의 보증도 하지 않습니다. 어떠한 경우에도 저작자나 저작권 소유자는 계약, 불법 행위 또는 기타 행위로 인해 발생하는 모든 청구, 손해 또는 기타 책임에 대해 책임을 지지 않습니다. 본 소프트웨어의 사용이나 기타 거래로 인해 발생하는 모든 책임은 면책됩니다.
라이선스 고지가 포함된 리포지토리에 기여하는 경우, 귀하는 동일한 조건으로 기여물에 라이선스를 부여하며, 해당 조건에 따라 기여물에 라이선스를 부여할 권리가 있음에 동의합니다. 기여자 라이선스 계약과 같이 다른 조건으로 기여물에 라이선스를 부여하는 별도 계약이 있는 경우 해당 계약이 우선합니다.