DLL-инъекция

В компьютерном программировании , DLL инъекция является методом , используемым для запуска кода в пределах адресного пространства другого процесса , заставляя его загрузить динамическую библиотеку . ^[1] Внедрение DLL часто используется внешними программами, чтобы повлиять на поведение другой программы так, как ее авторы не ожидали или не планировали. ^{[1] [2] [3]} Например, внедренный код может перехватить системные вызовы функций, ^{[4] [5]} или прочитать содержимое текстовых полей пароля , что невозможно сделать обычным способом. ^[6]Программа, используемая для внедрения произвольного кода в произвольные процессы, называется инжектором DLL .

Подходы в Microsoft Windows [ править ]

В Microsoft Windows есть несколько способов заставить процесс загружать и выполнять код в DLL, которые авторы не планировали:

• DLL, перечисленные в записи реестраHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs , загружаются в каждый процесс, который загружает User32.dll во время первоначального вызова этой DLL. ^{[7] [8] [9]} Начиная с Windows Vista , AppInit_DLL по умолчанию отключены. ^[10] Начиная с Windows 7, инфраструктура AppInit_DLL поддерживает подписывание кода . Начиная с Windows 8 , вся функциональность AppInit_DLL отключается, когда включена безопасная загрузка , независимо от подписи кода или настроек реестра. ^[11]
• DLL, перечисленные в разделе реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDLLs, загружаются в каждый процесс, который вызывает функции Win32 API CreateProcess, CreateProcessAsUser, CreateProcessWithLogonW, CreateProcessWithTokenW и WinExec. Это правильный способ использовать легальную инъекцию DLL в текущей версии Windows - Windows 10. DLL должна быть подписана действующим сертификатом.
• Функции управления процессами, такие как CreateRemoteThread, или методы внедрения кода, такие как AtomBombing ^[12], могут использоваться для внедрения библиотеки DLL в программу после ее запуска. ^{[5] [6] [13] [14] [15] [16]}
  1. Откройте дескриптор целевого процесса. Это можно сделать, запустив процесс ^{[17] [18]} или отключив что-то, созданное этим процессом, о существовании которого известно, - например, окно с предсказуемым заголовком, ^[19] или получив список запущенных процессов. ^[20] и поиск имени файла целевого исполняемого файла. ^[21]
  2. Выделите часть памяти в целевом процессе ^[22], и в него будет записано имя внедряемой DLL. ^{[13] [23]}

     Этот шаг можно пропустить, если подходящее имя DLL уже доступно в целевом процессе. Например, если процесс ссылается на ' User32.dll ', ' GDI32.dll ', ' Kernel32.dll ' или любую другую библиотеку, имя которой заканчивается на '32 .dll ', можно будет загрузить библиотеку с именем '32. .dll '. Ранее было продемонстрировано, что этот метод эффективен против метода защиты процессов от внедрения DLL. ^[24]

  3. Создайте новый поток в целевом процессе ^[25] с начальным адресом потока, установленным как адрес LoadLibrary, и аргументом, установленным на адрес строки, только что загруженной в целевой объект. ^{[13] [26]}

     Вместо того, чтобы записывать имя загружаемой библиотеки DLL в целевой объект и запускать новый поток в LoadLibrary, можно записать код, который необходимо выполнить, в целевой объект и запустить поток с этого кода. ^[6]

  4. Затем операционная система вызывает процедуру инициализации внедренной DLL. ^{[13] [27]}

  Обратите внимание, что без мер предосторожности этот подход может быть обнаружен целевым процессом из-за уведомлений DLL_THREAD_ATTACH, отправляемых каждому загруженному модулю при запуске потока. ^[27]

• Windows , закрепляя вызовы , такие , как SetWindowsHookEx. ^{[2] [5] [6] [28] [29] [30]}
• Используйте функцию SuspendThread или NtSuspendThread, чтобы приостановить все потоки, а затем используйте функцию SetThreadContext или NtSetContextThread, чтобы изменить контекст существующего потока в приложении для выполнения внедренного кода, который, в свою очередь, может загрузить DLL. ^{[4] [31] [32]}
• Используйте ограничения дизайна в Windows и приложениях, которые вызывают функцию LoadLibrary или LoadLibraryEx без указания полного пути к загружаемой DLL. ^{[33] [34] [35]}
• Операционная система на уровне прокладки .
• Замена библиотеки DLL для конкретного приложения мошеннической заменой, которая реализует тот же экспорт функций, что и оригинал. ^[36]

Подходы к Unix-подобным системам [ править ]

В Unix-подобных операционных системах с динамическим компоновщиком на основе ld.so (в BSD ) и ld-linux.so (в Linux ) произвольные библиотеки могут быть связаны с новым процессом, указав путь к библиотеке в переменной среды LD PRELOAD. , который можно настроить глобально или индивидуально для одного процесса. ^[37]

Например, в системе Linux эта команда запускает команду «prog» с разделяемой библиотекой из файла «test.so», связанного с ней во время запуска:

LD_PRELOAD = "./test.so" прога

Такую библиотеку можно создать так же, как и другие общие объекты . В GCC это включает в себя компиляцию исходного файла, содержащего новые глобальные объекты, которые необходимо связать, с параметром -fpic или -fPIC , ^[38] и связывание с параметром -shared . ^[39] Библиотека имеет доступ к внешним символам, объявленным в программе, как и любая другая библиотека.

В macOS следующая команда запускает команду «prog» с разделяемой библиотекой из файла «test.dylib», связанной с ней во время запуска: ^[40]

DYLD_INSERT_LIBRARIES = "./test.dylib"  DYLD_FORCE_FLAT_NAMESPACE = 1 прога

Также возможно использовать методы на основе отладчика в Unix-подобных системах. ^[41]

Образец кода [ править ]

Использование функции API LoadLibrary [ править ]

В приведенном ниже примере функции используется метод внедрения DLL, который использует тот факт, что kernel32.dll отображается на один и тот же адрес почти во всех процессах. Поэтому LoadLibrary (которая является функцией kernel32.dll) также отображается на тот же адрес. LoadLibrary также подходит для процедуры запуска потока, требуемой CreateRemoteThread.

#include  <windows.h>РУЧКА  inject_DLL ( Const  символ *  имя_файла ,  INT  ПИД ) {  HANDLE  h_process  =  OpenProcess ( PROCESS_ALL_ACCESS ,  FALSE ,  ПИД );  // получение дескриптора целевого процесса char  fullDLLPath [ _MAX_PATH ];  // получение полного пути к файлу dll  GetFullPathName ( имя_файла ,  _MAX_PATH ,  fullDLLPath ,  NULL ); LPVOID  DLLPath_addr  =  VirtualAllocEx ( h_process ,  NULL ,  _MAX_PATH ,  MEM_COMMIT  |  MEM_RESERVE ,  PAGE_READWRITE );  // выделение памяти в целевом процессе  WriteProcessMemory ( h_process ,  DLLPath_addr ,  fullDLLPath ,  strlen ( fullDLLPath ),  NULL );  // записываем путь к dll в эту память LPVOID  LoadLib_addr  =  GetProcAddress ( GetModuleHandle ( "Kernel32" ),  // получение адреса LoadLibraryA (то же самое для  "LoadLibraryA" );  // все процессы), чтобы начать выполнение на нем HANDLE  h_rThread  =  CreateRemoteThread ( h_process ,  NULL ,  0 ,  // запуск потока удаленного выполнения в LoadLibraryA  ( LPTHREAD_START_ROUTINE ) LoadLib_addr ,  DLLPath_addr ,  0 ,  NULL );  // и передавая путь к dll в качестве аргумента WaitForSingleObject ( h_rThread ,  БЕСКОНЕЧНЫЙ );  // ждем завершения DWORD  exit_code ;  GetExitCodeThread ( h_rThread ,  & exit_code );  // получение возвращаемого значения, т. е.  дескриптора модуля, // возвращаемого LoadLibraryA CloseHandle ( h_rThread );  // освобождение дескриптора  внедренного потока VirtualFreeEx ( h_process ,  DLLPath_addr ,  0 ,  MEM_RELEASE );  // ... и память, выделенная для пути к DLL,  CloseHandle ( h_process );  // ... и дескриптор целевого процесса return  ( HANDLE ) код_выхода ; }

Ссылки [ править ]