Robber — DLL 劫持扫描器

免费、开源工具，用于发现 Windows 可执行文件中的 DLL 劫持机会。无第三方依赖。

功能介绍

Windows 按固定顺序搜索一组目录来加载 DLL — 首先是可执行文件自身的目录，然后是 System32、Windows、PATH 条目。如果 DLL 未在系统目录中找到，攻击者若能写入该链中更早的目录，便可放置恶意副本并使其被加载。

Robber 遍历目录树，将每个可执行文件的导入表与磁盘上的实际内容进行核对，并告知您哪些值得关注及其原因。

GUI 使用

将其指向一个目录，点击 扫描。结果会实时显示在树形结构中 — 展开任意可执行文件，可查看哪些 DLL 可被劫持、它们导出的方法，以及完整的搜索顺序及每个目录的可写标志。

颜色配置 面板控制最佳/良好/差评级的阈值：

• 最佳（绿色）— 导入的 DLL 少，二进制文件小。容易构建一个代理 DLL 来桩接所有内容。
• 良好（黄色）— 中等复杂度
• 差（红色）— 导入多或二进制文件大，较难在不导致应用崩溃的情况下进行代理

使用过滤器按体系结构、签名状态、严重性或可执行文件目录是否实际可写来缩小结果范围。完成后点击 导出 保存为 JSON 或 CSV。

设置和上次扫描路径会在会话之间保留。

CLI

Robber.exe --path <dir> [options]

--path <dir>               Directory to scan (required)
--output <file>            Write to file (.json or .csv). Default: stdout
--image-type any|x86|x64
--sign any|signed
--rate any|best|good|bad
--write-perm               Only show results in writable directories
--best-dll-count <n>       (default: 2)
--best-exe-size <n>        KB threshold (default: 10240)
--good-dll-count <n>       (default: 5)
--good-exe-size <n>        KB threshold (default: 51200)
--help

进度输出到 stderr，结果输出到 stdout — 支持管道。

Robber.exe --path "C:\Program Files" --rate best --output hits.json
Robber.exe --path "C:\Program Files" | jq '.[].exePath'
Robber.exe --path "C:\Tools" --sign signed --write-perm

一些值得了解的事项

• 系统 DLL（System32、SysWOW64、Windows\System）被自动排除 — 不会因可再分发运行时（如 msvcr120.dll）产生误报
• 标准导入和延迟导入均会被扫描
• 需要提升权限的可执行文件（requireAdministrator / highestAvailable）会被标记 — 对提升进程的劫持是权限提升，而不仅仅是代码执行
• 搜索顺序树精确显示 Windows 会检查哪些目录以及其中哪些目录您可写入

构建

需要 Delphi XE2 或更高版本。打开 Robber\Robber.dproj，构建。无需其他操作。