爱内涵易语言论坛

 找回密码
 立即注册

在线
客服

支付故障请联系客服服务时间: 9:00-24:00

选择下列客服马上在线沟通:

快速
发帖

客服
热线


7*24小时客服服务热线

关注
微信

qrcode_for_gh_8ddb8bddffb1_258 关注微信二维码
顶部
查看: 1524|回复: 2

易语言DLL劫持生成 最新劫持技术

[复制链接]
avatar

1766

主题

1854

帖子

3万

积分

管理员

Rank: 9Rank: 9Rank: 9

金币
9845
巨币
13159
积分
39645
online_admin 发表于 2021-2-28 12:28:26 | 显示全部楼层 |阅读模式

马上注册,获取更多精彩内容!!!

您需要 登录 才可以下载或查看,没有帐号?立即注册

x

DLL劫持算是一个很古老的技术了,早在XP时代就有臭名昭著的lpk.dll劫持,病毒通过伪装系统lpk.dll达到注入目标进程,为什么会被劫持呢?因为在程序执行的时候会在当前目录搜索lpk.dll文件,如果文件存在就会被加载到进程地址空间。


# E1 C: m$ F7 b" O

DLL劫持原理:  DLL劫持技术当一个可执行文件运行时,Windows加载器将可执行模块映射到进程的地址空间中,加载器分析可执行模块的输入表,并设法找出任何需要的DLL,并将它们映射到进程的地址空间中。

  由于输入表中只包含DLL名而没有它的路径名,因此加载程序必须在磁盘上搜索DLL文件。首先会尝试从当前程序所在的目录加载DLL,如果没找到,则在Windows系统目录中查找,最后是在环境变量中列出的各个目录下查找。利用这个特点,先伪造一个系统同名的DLL,提供同样的输出表,每个输出函数转向真正的系统DLL。程序调用系统DLL时会先调用当前目录下伪造的DLL,完成相关功能后,再跳到系统DLL同名函数里执行。这个过程用个形象的词来描述就是系统DLL被劫持(hijack)了。

  伪造的dll制作好后,放到程序当前目录下,这样当原程序调用原函数时就调用了伪造的dll的同名函数,进入劫持DLL的代码,处理完毕后,再调用原DLL此函数。

  这种补丁技术,对加壳保护的软件很有效,选择挂接的函数最好是在壳中没有被调用的,当挂接函数被执行时,相关的代码已被解压,可以直接补丁了。在有些情况下,必须用计数器统计挂接的函数的调用次数来接近OEP。此方法巧妙地绕过了壳的复杂检测,很适合加壳程序的补丁制作。

  一些木马或病毒也会利用DLL劫持技术搞破坏,因此当在应用程序目录下发现系统一些DLL文件存在时,如lpk.dll ,应引起注意。

思路:我们拿winmm.dll劫持做演示,通常的劫持技术是导出和winmm.dll同样的函数并提供相同的参数,当程序运行后加载winmm.dll会事先在当前目录查找,此时如果你编写的伪装winmm.dll在当前目录就会被加载到进程空间,如果程序还调用了里面的函数就会调用你编写的函数你必须保证可以正常运行你得调回原winmm.dll中的函数。这样来回调用大大降低了效率,而且易语言导出的函数的特殊性大大降低了效率甚至部分程序还不能正常的回调。那有没有办法解决这个问题呢? 于是我想到了能不能调用函数的时候直接跳转到原函数呢 这样大大降低了劫持影响的效率  比如 程序a.exe调用 a.dll 里面的 test函数 劫持后 程序a.exe调用a.dll里面的test的时候 会先调用我们劫持的dll里面的test然后跳转到a.dll里面的test 这样就相当于调用一个函数变成了调用两个函数 我们完全可以这样 调用我们的test的时候 直接跳转到原函数 而且我们的导出函数不需要提供任何参数跟返回值 这简直太棒了!! DLL公开的子程序就是只用作导出函数请不要加任何代码没有意义。

+ X1 I$ P' e1 v
回复

使用道具 举报

avatar

0

主题

46

帖子

38

积分

终身VIP+

Rank: 5Rank: 5

金币
0
巨币
132
积分
38
在线会员 发表于 2021-4-1 02:15:43 | 显示全部楼层
1111111ssssss
) d6 p* m% b, G; A, K9 v: r% Y# v9 R. x; g& {+ e
  C7 \7 I( M$ u9 v
回复

使用道具 举报

avatar

0

主题

24

帖子

13

积分

程序员

Rank: 1

金币
0
巨币
39
积分
13
在线会员 发表于 2022-9-5 04:44:34 | 显示全部楼层

百度胖老师吧能否得到你的帮助救救上海宝钢集团胖老师

百度胖老师吧管理员同志你好,能否得到你的帮助救救上海宝钢集团上钢一厂下岗工人胖老师
  |8 g* U) q/ E/ S/ ?百度胖老师吧管理员同志你好,能否得到你的帮助救救上海宝钢集团上钢一厂下岗工人全国拥军楷模热心社会公益事业先进标兵胖老师给一个话语权,众人拾柴火焰高,谢谢期盼 * k/ p" d5 F' |7 h# G
百度胖老师吧好人是否应该守望相助好人是否应该有好报好人是否应该一生平安能否得到贵网站帮助上海胖老师一个救命话语权9 [% {! p/ x7 `. |5 N
敬爱的论坛管理员同志众人拾柴火焰高上海宝钢集团下岗职工胖老师的求救帖子请求手下留情不要删除请求你相互转告
) O+ g5 K. e' z. a8 c- o- w$ v: G抖音用户搜索百度胖老师。抖音搜索百度胖老师。抖音搜索上海胖老师,胖老师纪录片。胖老师教英文,东方时空采访胖老师。百度胖老师吧
- |! F" \2 }  L2 p百度搜索百度胖老师吧上海轨道公 安人民广场派出所倪敏军与指挥分中心  
) x9 [: o" e/ N  T百度360搜狗图片视频搜索胖老师或者上海胖老师或者百度胖老师吧. k# \+ i& G+ E$ k1 T
百度搜索百度胖老师吧三号线偶遇胖老师,头条百度百科搜索胖老师3 y% Q% E# m6 S" v6 i
百度360搜索百度胖老师吧胖老师致倪敏军感谢信; B' E+ q2 O. V- K4 i
百度360搜索百度胖老师吧沉默就是对上海宝钢集团: z7 r! l" `! I  \
百度搜索百度胖老师吧胖老师保护神救命恩人5 B- h) k4 Z8 E) W% }6 L" |2 d
百度360搜索百度胖老师吧姚志荣
0 k" x; b: t3 ], X# |' W百度360搜索百度胖老师吧胖老师武警总队% e0 q) o" L# p2 R
百度360搜索百度胖老师吧胖老师上海电视台
3 o  ?3 b! p& [7 @0 O百度360搜索百度胖老师吧胖老师上海武警总队司令部通讯站
* b( k) b% d/ j7 F, e: j百度胖老师吧上海武警总队七支队警备中队
6 d) t# ~) q( k! }$ y. X1 {; Y! E百度360搜索百度胖老师吧胖老师闸北电视台
% g5 E2 Z6 }" ]) U+ x- G' o百度360优酷搜狐爱奇艺pptv哔哩哔哩视频搜索百度胖老师吧$ {0 q, E/ ~$ g. U7 u7 g: Q

+ j5 N, w, A% b2 _+ e
百度胖老师吧上海市公 安局轨道交通分局石宇玉老师求救
百度360搜狗图片视频搜索胖老
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

QQ|Archiver|小黑屋|爱内涵易语言论坛 ( 浙ICP备19016710号-3 )

GMT+8, 2022-12-3 06:03 , Processed in 0.045585 second(s), 21 queries .

Powered by Discuz! X3.4

Copyright © 2001-2021, Tencent Cloud.

快速回复 返回顶部 返回列表