如何采用aDLL自动识别DLL劫持漏洞
发布时间：2022-01-17 11:27:42 所属栏目：安全 来源：互联网
导读：aDLL是一款功能强大的代码分析工具，可以帮助广大研究人员以自动化的方式识别并发现DLL劫持漏洞。该工具可以分析加载至内存中的源码镜像，并在加载过程中搜索DLL，并且利用了微软Detours代码库来拦截针对LoadLibrary/LoadLibraryEx函数的调用，然后分析在代
|
aDLL是一款功能强大的代码分析工具，可以帮助广大研究人员以自动化的方式识别并发现DLL劫持漏洞。该工具可以分析加载至内存中的源码镜像，并在加载过程中搜索DLL，并且利用了微软Detours代码库来拦截针对LoadLibrary/LoadLibraryEx函数的调用，然后分析在代码运行时过程中加载的DLL文件。 该工具的主要目标就是帮助广大研究人员搜索可执行程序所使用的DLL列表，并从中识别出潜在的DLL劫持漏洞。 DLL劫持指的是，病毒通过一些手段来劫持或者替换正常的DLL，欺骗正常程序加载预先准备好的恶意DLL。首先我们要了解Windows为什么可以DLL劫持呢?主要是因为Windows的资源共享机制。为了尽可能多得安排资源共享，微软建议多个应用程序共享的任何模块应该放在Windows的系统目录中，如kernel32.dll，这样能够方便找到。但是随着时间的推移，安装程序会用旧文件或者未向后兼容的新文件来替换系统目录下的文件，这样会使一些其他的应用程序无法正确执行，因此，微软改变了策略，建议应用程序将所有文件放到自己的目录中去，而不要去碰系统目录下的任何东西。 为了提供这样的功能，在Window2000开始，微软加了一个特性，强制操作系统的加载程序首先从应用程序目录中加载模块，只有当加载程序无法在应用程序目录中找到文件，才搜索其他目录。利用系统的这个特性，就可以使应用程序强制加载我们指定的DLL做一些特殊的工作。 首先，我们需要使用下列命令将该项目源码克隆至本地：git clone https://github.com/ideaslocas/aDLL.git；接下来，我们就可以在项目的Binaries文件夹中找到已编译好的aDLL可执行文件了。我们建议广大用户使用版本架构(32为或64位)对应的版本来分析目标可执行文件。 为了保证该工具可以正常运行，我们必须将“hook32”、“hook64”、“informer*32”和“informer64”放置于“aDLL.exe”的相同目录下。 aDLL是在Windows 10操作系统平台上开发和测试的，如果你所使用的操作系统版本比较老，或者没有安装Visual Studio的话，那么工具在运行时可能会抛出例如“VCRUNTIME140.dll not found”之类的错误，此时我们就需要安装Visual C++ Redistributable更新了。 （编辑：东莞站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐