安全课程设计DLL注入设计

妖狐艹你老母 2024-03-29 14:26 1阅读 0赞

DLL注入文档  
目录  
DLL注入文档 1  
一、 注入的DLL内容 1  
二、静态注入方法 2  
1、导入表注入 2  
2、 DLL 劫持注入 2  
3、 注册表注入 3  
三、动态注入方法 5  
1、远程线程注入 5  
2、 消息钩子注入 6  
3、 APC注入 9  
四、 文件说明 10  
二、静态注入方法  
1、导入表注入  
通过010editor查看FlappyBird.exe二进制格式发现最后一个节表头后面仅剩余56个字节，无法插入新的字节。  
2、DLL 劫持注入  
通过x64dbg获取应用加载的所有动态链接库，如下：  
C:\\Windows\\System32\\advapi32.dll  
C:\\Windows\\System32\\bcrypt.dll  
C:\\Windows\\System32\\bcryptprimitives.dll  
C:\\Windows\\System32\\cfgmgr32.dll  
C:\\Windows\\System32\\combase.dll  
C:\\Windows\\System32\\dnsapi.dll  
C:\\Users\\22057\\Documents\\Study\\Class\\GameSecurity\\《校企合作课》-客户端-FlappyBird\\FlappyBird.exe  
C:\\Windows\\System32\\gdi32.dll  
C:\\Windows\\System32\\gdi32full.dll  
C:\\Windows\\System32\\glu32.dll  
C:\\Windows\\System32\\hid.dll  
C:\\Windows\\System32\\imm32.dll  
C:\\Windows\\System32\\IPHLPAPI.DLL  
C:\\Windows\\System32\\kernel.appcore.dll  
C:\\Windows\\System32\\kernel32.dll  
C:\\Windows\\System32\\KernelBase.dll  
C:\\Users\\22057\\Documents\\Study\\Class\\GameSecurity\\《校企合作课》-客户端-FlappyBird\\FlappyBird\_Data\\Mono\\EmbedRuntime\\mono.dll  
C:\\Users\\22057\\Documents\\Study\\Class\\GameSecurity\\《校企合作课》-客户端-FlappyBird\\FlappyBird\_Data\\Mono\\EmbedRuntime\\mono\_original.dll  
C:\\Windows\\System32\\msvcp140.dll  
C:\\Windows\\System32\\msvcp\_win.dll  
C:\\Windows\\System32\\msvcrt.dll  
C:\\Windows\\System32\\mswsock.dll  
C:\\Windows\\System32\\nsi.dll  
C:\\Windows\\System32\\ntdll.dll  
C:\\Windows\\System32\\ole32.dll  
C:\\Windows\\System32\\oleaut32.dll  
C:\\Windows\\System32\\opengl32.dll  
C:\\Windows\\System32\\psapi.dll  
C:\\Windows\\System32\\rpcrt4.dll  
C:\\Windows\\System32\\sechost.dll  
C:\\Windows\\System32\\setupapi.dll  
C:\\Windows\\System32\\SHCore.dll  
C:\\Windows\\System32\\shell32.dll  
C:\\Windows\\System32\\shlwapi.dll  
C:\\Windows\\System32\\ucrtbase.dll  
C:\\Windows\\System32\\user32.dll  
C:\\Windows\\System32\\uxtheme.dll  
C:\\Windows\\System32\\vcruntime140.dll  
C:\\Windows\\System32\\vcruntime140\_1.dll  
C:\\Windows\\System32\\version.dll  
C:\\Windows\\System32\\win32u.dll  
C:\\Windows\\System32\\winhttp.dll  
C:\\Windows\\System32\\winmm.dll  
C:\\Windows\\System32\\ws2\_32.dll  
通过ChkDllHijack进行自动分析，发现没有可以用于劫持的链接库，故此方法无法实施。  
![在这里插入图片描述][173fa3a09de34ce7a55c99e45f9d135d.png]

图1 ChkDllHijack分析结果图  
![在这里插入图片描述][ee0e19dfc7cb45079e216cadc9dae2a6.png_pic_center]  
![在这里插入图片描述][918bded889b3435dbdb6e9628f32b6f6.png_pic_center]  
![在这里插入图片描述][ff2e2c830a3245a28f687858ba83b301.png_pic_center]  
![在这里插入图片描述][70bf514e306d485daec57dd18190c82d.png_pic_center]  
![在这里插入图片描述][b217ea4db329436eb1c4165f17cb984c.png_pic_center]  
![在这里插入图片描述][db63fc27c705476ba9e59ef80c8da88e.png_pic_center]  
![在这里插入图片描述][6c1d3c8c61a64a81b71cabb525c101e7.png_pic_center]  
![在这里插入图片描述][9f3fa7301f8c4b9591f3fa0dc8e4b9c8.png_pic_center]  
![在这里插入图片描述][5d96864f88cc46c4875dc53521ec54f6.png_pic_center]  
![在这里插入图片描述][16590eaf3c5646ee842e03f5f6879737.png_pic_center]  
![在这里插入图片描述][efc841ee7ef640edb6fdca25c7a1a006.png_pic_center]  
![在这里插入图片描述][8465acd94290426e8e54b560f78e29f9.png_pic_center]  
![在这里插入图片描述][c01a6fe6f52e41288781be0547affdf5.png_pic_center]  
![在这里插入图片描述][1967497efb4847699e6a5027320ca1ea.png_pic_center]

[173fa3a09de34ce7a55c99e45f9d135d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/5972c64feeed433b9f5f9c98148ace1f.png
[ee0e19dfc7cb45079e216cadc9dae2a6.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/b422fc3a28f04d8cb2e6a7ffa0c5fe43.png
[918bded889b3435dbdb6e9628f32b6f6.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/45dee209facd4988b3b47ee2311e2588.png
[ff2e2c830a3245a28f687858ba83b301.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/e605aa247229498c9a20cc89a123990f.png
[70bf514e306d485daec57dd18190c82d.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/7a6270ce038e43cea29a70825bfb6346.png
[b217ea4db329436eb1c4165f17cb984c.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/2f53597ed4bd45038c87763fe9cc3363.png
[db63fc27c705476ba9e59ef80c8da88e.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/2f57fe323f8348648f3ea9c11ad50d43.png
[6c1d3c8c61a64a81b71cabb525c101e7.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/480d5e725b214686ad07634f1f59b536.png
[9f3fa7301f8c4b9591f3fa0dc8e4b9c8.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/c40fb1b13ba143c180c2e9f89c494d0e.png
[5d96864f88cc46c4875dc53521ec54f6.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/f575b74a77014a0a86061f1675c8f2d7.png
[16590eaf3c5646ee842e03f5f6879737.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/3efcbdf647ce4515a0bb3d3e4e4768fc.png
[efc841ee7ef640edb6fdca25c7a1a006.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/5acd24323cf94258ad3b6560f875d08c.png
[8465acd94290426e8e54b560f78e29f9.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/af313addba814f9fadd0c046aa55f363.png
[c01a6fe6f52e41288781be0547affdf5.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/bcd3a25721694a59a605ff533f1a358f.png
[1967497efb4847699e6a5027320ca1ea.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/28/fc9807364ac54ffd967def60e7cff431.png