关于aDLL
aDLL是一款功能强大的代码分析工具，可以帮助广大研究人员以自动化的方式识别并发现DLL劫持漏洞。该工具可以分析加载至内存中的源码镜像，并在加载过程中搜索DLL，并且利用了微软Detours代码库来拦截针对LoadLibrary/LoadLibraryEx函数的调用，然后分析在代码运行时过程中加载的DLL文件。
该工具的主要目标就是帮助广大研究人员搜索可执行程序所使用的DLL列表，并从中识别出潜在的DLL劫持漏洞。
DLL劫持攻击
DLL劫持指的是，病毒通过一些手段来劫持或者替换正常的DLL，欺骗正常程序加载预先准备好的恶意DLL。
首先我们要了解Windows为什么可以DLL劫持呢?主要是因为Windows的资源共享机制。为了尽可能多得安排资源共享，微软建议多个应用程序共享的任何模块应该放在Windows的系统目录中，如kernel32.dll，这样能够方便找到。但是随着时间的推移，安装程序会用旧文件或者未向后兼容的新文件来替换系统目录下的文件，这样会使一些其他的应用程序无法正确执行，因此，微软改变了策略，建议应用程序将所有文件放到自己的目录中去，而不要去碰系统目录下的任何东西。
为了提供这样的功能，在Window2000开始，微软加了一个特性，强制操作系统的加载程序首先从应用程序目录中加载模块，只有当加载程序无法在应用程序目录中找到文件，才搜索其他目录。利用系统的这个特性，就可以使应用程序强制加载我们指定的DLL做一些特殊的工作。
快速开始
首先，我们需要使用下列命令将该项目源码克隆至本地：
接下来，我们就可以在项目的Binaries文件夹中找到已编译好的aDLL可执行文件了。我们建议广大用户使用版本架构(32为或64位)对应的版本来分析目标可执行文件。
为了保证该工具可以正常运行，我们必须将“hook32”、“hook64”、“informer*32”和“informer64”放置于“aDLL.EXE”的相同目录下。
工具要求
aDLL是在Windows 10操作系统平台上开发和测试的，如果你所使用的操作系统版本比较老，或者没有安装Visual Studio的话，那么工具在运行时可能会抛出例如“VCRUNTIME140.dll not found”之类的错误，此时我们就需要安装Visual C++ Redistributable更新了。【下载地址】
项目编译
如需对项目代码进行修改或重新编译，建议使用Visual Studio 2015或更高版本。
工具使用
该工具提供了一个-h选项，可以帮助我们获取aDLL全部可用的参数选项：
针对aDLL的使用，我们需要提供至少一个运行参数，即需要分析的可执行程序路径：
工具选项
项目地址
aDLL：【GitHub传送门】
蠕虫病毒是一种常见的计算机病毒。 它是利用网络进行复制和传播，传染途径是通过网络和电子邮件。 最初的蠕虫病毒定义是因为在DOS环境下，病毒发作时会在屏幕上出现一条类似虫子的东西，胡乱吞吃屏幕上的字母并将其改形。 蠕虫病毒是自包含的程序(或是一套程序),它能传播它自身功能的拷贝或它（蠕虫病毒）的某些部分到其他的计算机系统中(通常是经过网络连接)。 请注意，与一般病毒不同，蠕虫不需要将其自身附着到宿主程序，它是一种独立智能程序。 有两种类型的蠕虫：主机蠕虫与网络蠕虫。 主计算机蠕虫完全包含（侵占）在它们运行的计算机中，并且使用网络的连接仅将自身拷贝到其他的计算机中，主计算机蠕虫在将其自身的拷贝加入到另外的主机后，就会终止它自身(因此在任意给定的时刻，只有一个蠕虫的拷贝运行)，这种蠕虫有时也叫野兔，蠕虫病毒一般是通过1434端口漏洞传播。 比如近几年危害很大的“尼姆亚”病毒就是蠕虫病毒的一种,去年春天流行“熊猫烧香”以及其变种也是蠕虫病毒。 这一病毒利用了微软视窗操作系统的漏洞，计算机感染这一病毒后，会不断自动拨号上网，并利用文件中的地址信息或者网络共享进行传播，最终破坏用户的大部分重要数据。
发表评论