DLL Hijacking & COM Hijacking ByPass UAC - 议题解读

type

status

date

slug

summary

0x00 前言

本文章只是方便阅读PPT，对于深入的去理解没有太大帮助，只是做个知识索引。

目录如下：

何为劫持

DLL是什么

DLL加载的过程

DLL劫持的原理

实现一个DLL劫持 - DLL Main

什么是COM

应用程序与COM注册表的关系

COM组件加载的过程

COM组件劫持的原理

实现一个COM组件劫持

UAC简介

ByPASS UAC的几种方式

ByPASS UAC原理

ByPASS UAC演示

挖掘ByPASS UAC的方法

PPT共享在文末的小密圈中了

0x01 何为劫持

即：“在正常事物发生之前进行一个旁路操作”

0x02 DLL是什么

DLL(Dynamic Link Library)文件为动态链接库文件，又称“应用程序拓展”，是软件文件类型。在Windows中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件，放置于系统中。

在Windows平台下，我们使用的应用程序中的功能其实大多都很相似，窗口调用窗口的模块，分配内存调用内存管理的模块，文件操作调用IO模块，这些模块在Windows里的具体表现就是DLL文件。

0X03 DLL的加载过程

2.程序加载目录（SetCurrentDirectory）

PS：Windows操作系统通过“DLL路径搜索目录顺序”和“Know DLLs注册表项”的机制来确定应用程序所要调用的DLL的路径，之后，应用程序就将DLL载入了自己的内存空间，执行相应的函数功能。

注册表路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs

DLL的加载过程 – Know DLLs注册表项

Know DLLs注册表项里的DLL列表在应用程序运行后就已经加入到了内核空间中，多个进程公用这些模块，必须具有非常高的权限才能修改。

DLL的加载过程 – Process Monitor

Process Monitor是Windows的高级监视工具，可显示实时文件系统，注册表和进程/线程活动。

它结合了两个传统Sysinternals实用程序Filemon和Regmon的功能，并添加了大量增强功能，包括丰富和非破坏性过滤，全面的事件属性，如会话ID和用户名，可靠的流程信息，带有集成符号支持的完整线程堆栈对于每个操作，同时记录到文件等等。其独特的强大功能将使Process Monitor成为系统故障排除和恶意软件搜索工具包的核心实用程序。

下载地址： https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-utilities

DLL的加载过程 – Process Monitor Filter

Process Monitor Filter是用于过滤应用程序输出的一部分功能，可以使得进程事件结果成为你想要的内容。

常用过滤条件：Process Name，Path，Result

0x04 DLL劫持的原理

DLL寻找过程：

如果在应用程序寻找成功之前，将我们自己创造的DLL文件放入寻找目录中，那么应用程序就会加载我们自己的DLL？

0x05 实现一个DLL劫持 – DLL Main

载入状态	值	说明
DLL_PROCESS_ATTACH	1	被进程装载时
DLL_PROCESS_DETACH	0	被进程卸载时
DLL_THREAD_ATTACH	2	被线程装载时
DLL_THREAD_DETACH	3	被线程卸载时

实现一个DLL劫持 – DLL Main

Q：如果应用程序调用的DLL没有DLLMain函数呢？

A：这需要实现指定导出函数，然后等待导出函数执行完毕再Load真实DLL。

案例

参考：

http://payloads.online/archivers/2018-06-09/1

https://docs.microsoft.com/en-us/windows/desktop/dlls/dllmain

https://baike.baidu.com/item/dll%E5%8A%AB%E6%8C%81/223198

自动化测试

Rattler：https://github.com/sensepost/rattler

Robber：https://github.com/MojtabaTajik/Robber

0x06 什么是COM

COM是Component Object Model （组件对象模型）的缩写。 COM是微软公司为了计算机工业的软件生产更加符合人类的行为方式开发的一种新的软件开发技术。在COM构架下，人们可以开发出各种各样的功能专一的组件，然后将它们按照需要组合起来，构成复杂的应用系统。

0x07 应用程序与COM注册表的关系

首先需要介绍一下注册表，注册表可以理解为一个树状结构的数据库，它具有一些特殊的数据类型用来存储一些数据满足应用程序的需要。

https://docs.microsoft.com/en-us/windows/desktop/sysinfo/about-the-registry

名称	作用
HKEY_CLASSES_ROOT	用于存储一些文档类型、类、类的关联属性。
HKEY_CURRENT_CONFIG	用户存储有关本地计算机系统的当前硬件配置文件信息。
HKEY_CURRENT_USER	用于存储当前用户配置项。
HKEY_CURRENT_USER_LOCAL_SETTINGS	用于存储当前用户对计算机的配置项。
HKEY_LOCAL_MACHINE	用于存储当前用户物理状态。
HKEY_USERS	用于存储新用户的默认配置项。