红队安全研究之DLL 旁加载

主要观点总结

本文详细介绍了DLL旁加载技术，包括其在初始访问场景中的应用，如何对自定义应用程序的DLL进行植入，以及相关的OPSEC考量。文章还涵盖了在DLL函数中植入后门的方法，有效payload的投递，以及代理DLL的签名和元数据等问题。

关键观点总结

关键观点1: DLL旁加载技术介绍

DLL旁加载是一种将应用程序的可执行文件拷贝到另一个文件夹，并用自己的DLL库替换程序期望加载的库的技术。这不是一个特殊的漏洞，而更是一种特性，因为大多数应用程序都会为了在任何位置都能运行而选择相对路径来加载DLL。

关键观点2: 在初始访问场景中的应用

在红队演习中，DLL旁加载技术可以被用于将恶意DLL替换进合法程序，然后将其打包并发送给受害者，以此实现初始访问。

关键观点3: 如何对自定义应用程序的DLL进行植入

使用工具如DllShimmer可以解析原始DLL并提取导出函数的信息，然后生成一个样板C++文件，允许在程序与其原始DLL之间插入代理DLL，从而在不破坏程序正常运行的情况下添加后门。

关键观点4: 在导出函数中植入后门

在应用程序的导出函数中植入后门是一种更隐蔽、更有效的方法，可以防止随意尝试直接运行DLL本身。

关键观点5: OPSEC考量

在对LOLBIN或已签名应用进行植入时需要注意监控和检测。使用代理DLL签名和修改元数据可以降低检测率。此外，创建完全合法的已签名EXE文件并运行而不带任何参数是运行应用程序的最隐蔽方式。