關(guān)于aDLL

aDLL是一款功能強(qiáng)大的代碼分析工具，可以幫助廣大研究人員以自動(dòng)化的方式識(shí)別并發(fā)現(xiàn)DLL劫持漏洞。該工具可以分析加載至內(nèi)存中的源碼鏡像，并在加載過(guò)程中搜索DLL，并且利用了微軟Detours代碼庫(kù)來(lái)攔截針對(duì)LoadLibrary/LoadLibraryEx函數(shù)的調(diào)用，然后分析在代碼運(yùn)行時(shí)過(guò)程中加載的DLL文件。

該工具的主要目標(biāo)就是幫助廣大研究人員搜索可執(zhí)行程序所使用的DLL列表，并從中識(shí)別出潛在的DLL劫持漏洞。

[[442051]]

DLL劫持攻擊

DLL劫持指的是，病毒通過(guò)一些手段來(lái)劫持或者替換正常的DLL，欺騙正常程序加載預(yù)先準(zhǔn)備好的惡意DLL。

首先我們要了解Windows為什么可以DLL劫持呢?主要是因?yàn)閃indows的資源共享機(jī)制。為了盡可能多得安排資源共享，微軟建議多個(gè)應(yīng)用程序共享的任何模塊應(yīng)該放在Windows的系統(tǒng)目錄中，如kernel32.dll，這樣能夠方便找到。但是隨著時(shí)間的推移，安裝程序會(huì)用舊文件或者未向后兼容的新文件來(lái)替換系統(tǒng)目錄下的文件，這樣會(huì)使一些其他的應(yīng)用程序無(wú)法正確執(zhí)行，因此，微軟改變了策略，建議應(yīng)用程序?qū)⑺形募诺阶约旱哪夸浿腥?，而不要去碰系統(tǒng)目錄下的任何東西。

為了提供這樣的功能，在Window2000開(kāi)始，微軟加了一個(gè)特性，強(qiáng)制操作系統(tǒng)的加載程序首先從應(yīng)用程序目錄中加載模塊，只有當(dāng)加載程序無(wú)法在應(yīng)用程序目錄中找到文件，才搜索其他目錄。利用系統(tǒng)的這個(gè)特性，就可以使應(yīng)用程序強(qiáng)制加載我們指定的DLL做一些特殊的工作。

快速開(kāi)始

首先，我們需要使用下列命令將該項(xiàng)目源碼克隆至本地：

git clone https://github.com/ideaslocas/aDLL.git 

接下來(lái)，我們就可以在項(xiàng)目的Binaries文件夾中找到已編譯好的aDLL可執(zhí)行文件了。我們建議廣大用戶使用版本架構(gòu)(32為或64位)對(duì)應(yīng)的版本來(lái)分析目標(biāo)可執(zhí)行文件。

為了保證該工具可以正常運(yùn)行，我們必須將“hook32”、“hook64”、“informer*32”和“informer64”放置于“aDLL.exe”的相同目錄下。

工具要求

aDLL是在Windows 10操作系統(tǒng)平臺(tái)上開(kāi)發(fā)和測(cè)試的，如果你所使用的操作系統(tǒng)版本比較老，或者沒(méi)有安裝Visual Studio的話，那么工具在運(yùn)行時(shí)可能會(huì)拋出例如“VCRUNTIME140.dll not found”之類的錯(cuò)誤，此時(shí)我們就需要安裝Visual C++ Redistributable更新了?！?a >下載地址】

項(xiàng)目編譯

如需對(duì)項(xiàng)目代碼進(jìn)行修改或重新編譯，建議使用Visual Studio 2015或更高版本。

工具使用

該工具提供了一個(gè)-h選項(xiàng)，可以幫助我們獲取aDLL全部可用的參數(shù)選項(xiàng)：

.\aDLL -h 

針對(duì)aDLL的使用，我們需要提供至少一個(gè)運(yùn)行參數(shù)，即需要分析的可執(zhí)行程序路徑：

.\aDLL -e "C:\System32\notepad.exe" 

工具選項(xiàng)

• -h：顯示工具的幫助信息，并簡(jiǎn)要說(shuō)明每個(gè)選項(xiàng)的功能。
• -e：指定aDLL要分析的可執(zhí)行文件的路徑。
• -t：指定文本文件的路徑，其中包含可執(zhí)行路徑列表。
• -o：指定掃描報(bào)告的存儲(chǔ)目錄路徑，每個(gè)掃描的可執(zhí)行文件都將在其中存儲(chǔ)報(bào)告。
• -m：搜索可執(zhí)行文件的清單列表并將其顯示在屏幕上。aDLL將會(huì)搜索嵌入在二進(jìn)制文件中的清單列表，如果清單列表作為外部文件存在，aDLL將無(wú)法找到該清單列表。
• -w：定義在運(yùn)行時(shí)搜索加載的DLL時(shí)可執(zhí)行進(jìn)程保持打開(kāi)狀態(tài)的秒數(shù)。默認(rèn)時(shí)間為20秒。
• -aDLL：如果搜索到了待測(cè)DLL，則會(huì)自動(dòng)檢測(cè)該DLL是否會(huì)通過(guò)偽裝成合法DLL來(lái)執(zhí)行(惡意DLL偽裝)。
• -d：與-a選項(xiàng)結(jié)合使用，此選項(xiàng)允許我們選擇惡意DLL的路徑。
• -r：可執(zhí)行文件導(dǎo)入的每個(gè)DLL都可以作為依賴項(xiàng)導(dǎo)入其他DLL。將對(duì)aDLL找到的所有未重定向(ApiseSchema或WinSxS)且不屬于系統(tǒng)已知DLL列表的DLL進(jìn)行“n”次遞歸搜索。

項(xiàng)目地址

aDLL：【GitHub傳送門】