吾爱破解 - LCG - LSG |安卓破解|病毒分析|破解软件|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

搜索
查看: 1993|回复: 28
上一主题 下一主题

[漏洞分析] 微game平台dll劫持&bypassuac分析

  [复制链接]
跳转到指定楼层
楼主
abc2342537 发表于 2019-10-10 13:39 回帖奖励
本帖最后由 abc2342537 于 2019-10-10 13:58 编辑

FBI warning:本文章仅供学习探讨使用,本贴为科普读物,干货较少大佬轻喷。
本文章使用到的工具:
l  进程监视器(Process Monitor)(用来监控程序干了什么,自行搜索下载)
l  Dll_hijackerp.py(用来生成dll文件源码,自行搜索下载)
l  Vc6.0(编译生成dll文件,自行搜索下载)
0x00 Dll劫持?
《DLL劫持》技术当一个可执行文件运行时,Windows加载器将可执行模块映射到进程的地址空间中,加载器分析可执行模块的输入表,并设法找出任何需要的DLL,并将它们映射到进程的地址空间中。           ----参考自百度百科
说人话就是某A.exe需要调用A.dll文件,使用里面的A函数,那么A.exe就需要加载A.dll,如果A.exe在开发的时候没说这个dll放在哪里,只说了dll的名字叫A.dll,那么A.exe会首先在当前目录寻找A.dll,没找到?A.exe就去Windows的系统目录下去找。还没找到?A.exe就去环境变量中列出的目录去找。还莫得?那就报错吧。利用这个特性,我们将A.dll改名为A_fucked.dll放到A.exe的目录下,然后我们在A.exe的目录下放入我们自己的dll并命名为A.dll,这样,A.exe启动都时候就会加载我们的A.dll,调用里面的A函数,里面的A函数我们是已经改过的,这个函数会去调用A_fucked.dll中的A函数,对于A.exe和用户,该做的事都做了程序都执行了,所以一般都感觉不到什么异常,我们就可以添加一些其他的代码,做爱做的事了。
0x01 bypassuac
BypassUAC是一款使用Windows系统内置的AutoElevate后门攻陷Windows用户帐户控制(UAC)机制的工具。意思就是,如果你们被大黑阔通过某种方法植入了后门,通常被植入的后门需要管理员权限才能做最有趣的事,然鹅,微软搞了个必须让用户确认授权的一个东西,比如鹅厂的微game就需要管理员权限,他的图标上就有一个小盾牌。当你启动时就会弹一个确认框让用户确认。如果用户没点确认,那么黑阔的后门就莫得管理员权限,做不了有趣的事情,比如替换系统文件。我们就要通过一些特殊的方法,绕过微软的uac,获取管理员权限。


通常绕过uac有几种方法:
1.     白名单机制过uac
2.     Dll劫持(本文章探讨的就是这个)
3.     Windows自身漏洞绕过
4.     Com劫持
5.     远程注入
有兴趣的同学自行搜索。
0x02 如何发现程序可被dll劫持?
这里就需要用到ProcessMonitorProcess Monitor启动,首先打开过滤器,我们只想知道微game干了什么,我们就过滤进程。我们只想知道微gamedll进行了哪些操作,就添加路径,包含dll。



然后开始捕获事件,启动微game。就可以看到捕获的事件。
可以看到,微game首先在当前目录下加载winmmbase.dll,但未找到,于是去syswow64目录下成功加载了winmmbase.dll,此dll就符合前面说的特性。我们就可以劫持此dll


0x03使用Dll_hijacker快速生成dll
使用Dll_hijacker这个工具可以快速生成dll,会写dll的大佬无视,我这菜鸡就用工具模板生成一个dll,弹个框框,弹个powershell

首先,我们要找到微game调用的正常的dll,在syswow64目录下将winmmbase.dll复制出来,这是为了dll转发,让微game正常加载dll。使用Dll_hijacker生成cpp文件。

file:///C:/Temp/msohtmlclip1/01/clip_image009.jpg


找到生成的cpp文件,打开vs6.0新建动态链接库工程—>一个简单的dll工程

将用Dll_hijacker生成的cpp文件内容复制进去,记得加头文件stdafx.h,不然编译报错。


找到lstrcpy函数,里面填上需要调用的原始的dll文件名。
找到Hijack函数,这里我们弹个框框,弹个powershell。注意system需要头文件stdlib.h
F7组建,在vc debug目录找到生成的dll


然后我们现在有两个dll文件了,将其扔到微game目录下,就可以实现对其的dll劫持。




我们再使用ProcessMonitor看看微game是如何加载winmmbase.dll


Exe会先加载winmmbase.dll然后再加载winmmbase_o.dll,程序和我们自己添加的代码都正常的运行执行了

6261a38798f4fc7c320074d0752227cf.0.jpg (56.18 KB, 下载次数: 3)

6261a38798f4fc7c320074d0752227cf.0.jpg

免费评分

参与人数 9吾爱币 +7 热心值 +9 收起 理由
247700432 + 1 + 1 热心回复!
寒枫雨雪 + 1 + 1 谢谢@Thanks!
_小白 + 1 + 1 谢谢@Thanks!
lookerJ + 1 用心讨论,共获提升!
as1329 + 1 + 1 用心讨论,共获提升!
小2b + 1 + 1 牛牛牛牛
银.桑 + 1 + 1 热心回复!
Dream_Peng + 1 谢谢@Thanks!
极品黑车 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

推荐
涛之雨 发表于 2019-10-10 14:49
腾讯有入驻吾爱。。。建议加上权限限制

免费评分

参与人数 1热心值 +1 收起 理由
JuncoJet + 1 想多了,人家只发帖才懒得看帖……

查看全部评分

推荐
小灵、 发表于 2019-10-12 20:36
这样的话相当于是劫持了WEGAME的文件起到启动自己的DLL或者说EXE的目的吧 但是这个EXE并不会被带进游戏里的吧 以前有想过研究腾讯的游戏助手是不是往游戏里注入过什么东西 劫持这个做到注入自己的东西进去
3#
yc19951005 发表于 2019-10-10 14:58
我只想了解 wegame为什么会导致玩英雄联盟变卡  怎么优化
4#
Tokay_ 发表于 2019-10-10 15:00
yc19951005 发表于 2019-10-10 14:58
我只想了解 wegame为什么会导致玩英雄联盟变卡  怎么优化

哈哈哈,同问,我现在经常打到一半就重连,但是网络一点问题都没有
5#
indian806 发表于 2019-10-10 15:09
看不太懂,请问接下来会发生什么事增加胜率,还是有酷炫的效率
6#
 楼主| abc2342537 发表于 2019-10-10 15:14 <
涛之雨 发表于 2019-10-10 14:49
腾讯有入驻吾爱。。。建议加上权限限制

帖子还没被删,不慌
7#
 楼主| abc2342537 发表于 2019-10-10 15:16 <
yc19951005 发表于 2019-10-10 14:58
我只想了解 wegame为什么会导致玩英雄联盟变卡  怎么优化

买新电脑
8#
 楼主| abc2342537 发表于 2019-10-10 15:18 <
indian806 发表于 2019-10-10 15:09
看不太懂,请问接下来会发生什么事增加胜率,还是有酷炫的效率

技能无CD,地图除雾
9#
indian806 发表于 2019-10-10 15:21
abc2342537 发表于 2019-10-10 15:18
技能无CD,地图除雾

太牛了吧你那是修改了LOL,而不是修改WG
如果我没猜错,你这是学习技术贴(关于WG的发送与接收的原理)
10#
蓝枫冰笛 发表于 2019-10-10 15:50
好强,慢慢学习
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:禁止回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2019-10-14 21:01

Powered by Discuz!

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表