gluegate

检测研究概念验证：通过Mozilla签名的 mozglue.dll 代理内存操作（内存映射、本地内存分配），使得内核回调将最终用户模块属性关联到受信任的厂商 DLL（Mozilla 签名），而非不受信任或未签名的模块。

代理的 API

两者均为 mozglue.dll 的 MFBT_API 导出（需安装 Firefox）：

x64 MSVC 修饰名称：

?MapRemoteViewOfFile@mozilla@@YAPEAXPEAX0_K01KK@Z
MozVirtualAlloc

构建

MSYS2 mingw-w64：

./build.sh
./build.sh shellcode   # 可选：重新构建 shellcode/msgbox.bin

用法

仓库中包含预编译的 mozglue_gate.exe（64 位，需安装 Firefox），用于快速检测工程测试。

# 跨进程映射 + APC（MapRemoteViewOfFile）
.\mozglue_gate.exe inject <pid> shellcode\msgbox.bin

# 本地 RWX 分配（MozVirtualAlloc）
.\mozglue_gate.exe alloc --size 10240

shellcode/msgbox.bin 弹出 "来自 Mozglue 的消息" / 标题 gluegate（无子进程）。

需要经典版 Firefox：C:\Program Files\Mozilla Firefox\mozglue.dll（或使用 --mozglue / MOZGLUE_DLL）。

预期的遥测数据

最终用户模块为 Mozilla Corporation 签名/受信任

MapViewOfFile

VirtualAlloc

检测

• 来自未签名或非 Mozilla 签名进程的调用栈中出现 mozglue.dll!MozVirtualAlloc 或 mozglue.dll!?MapRemoteViewOfFile。
• 异常进程加载了 mozilla.dll（尤其是已安装在 Program Files 中的）。

免责声明

仅用于授权的安全研究和检测测试。