dll劫持代码演示
DLL文件
在说dll劫持之前，我觉得有必要先说明一下dll文件的用途，dll文件是windows下的动态链接库文件，通常情况下，我们的应用程序并不是将所有的代码内容都生成为一个exe可执行文件的，开发者会将部分内容编译打包成一个后缀为.dll的库文件，这样做就我所知有三大好处：
- 应用程序本体体积会很小。
- 不同程序间可共享一个库文件。
- 可以增强程序的可扩展性。
介于这些好处，微软本身也是鼓励动态库文件的使用，当然，他也有一个缺点，那就是每次发布程序，都要讲这些dll文件打包与应用程序放在同一目录下发布，如果缺少dll文件，则这个程序将无法正常启动，而相对的就有了静态链接库.lib文件，lib文件会将其里面的内容一起编译进可执行文件中，使用在发布应用程序时，不将.lib文件打包进目录，该应用程序也是可以运行的。
DLL劫持
对于对渗透安全有了解的人肯定都听说过这个词，他就是利用动态链接库动态加载的特性来运行恶意代码。
然后，先来说说dll库的加载顺序，通常情况下，应用程序并不知道她所要加载的库文件所在的路径，他只知道库文件的名称，所以它在加载库文件时有一个墨守陈规的顺序
Windows查找DLL的目录以及对应的顺序：
windows xp sp2以前版本
- 进程对应的应用程序所在目录；
- 当前目录（Current Directory）；
- 系统目录（通过 GetSystemDirectory 获取）；
- 16位系统目录；
- Windows目录（通过 GetWindowsDirectory 获取）；
- PATH环境变量中的各个目录；
windows xp sp2以后版本
微软在XP SP2之后，为了安全性添加了一个SafeDllSearchMode的注册表属性（HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session
Manager\SafeDllSearchMode），如果将此项开启（设为1），那路径将会变为：
- 进程对应的应用程序所在目录（可理解为程序安装目录比如C:\ProgramFiles\uTorrent）
- 系统目录（即%windir%system32）；
- 16位系统目录（即%windir%system）；
- Windows目录（即%windir%）；
- 当前目录（运行的某个文件所在目录，通常情况下某个特定格式的文件会固定用某个软件打开，比如.docx文件默认用office或者WPS打开，要打开的文件在哪个路径，则那个打开这个文件的软件当前路径就在哪）；
- PATH环境变量中的各个目录；
windows 7 以上版本
win7以上版本使用了KnownDLLs（可在注册表中查看）凡是此项下的DLL文件就会被禁止从exe自身所在的目录下调用，路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs
所以win7以上版本想要对ws2_32等dll库进行劫持已经很难了，但是通常情况下，软件自身会带有很多自带的dll库，我们就可以从这些库进行入手。
这次我来对010Editor这个软件进行劫持演示，这是一个用来分析PE文件格式的程序，正常启动界面
然后我们来看看它的目录下大概有那些dll库
可用看到这个程序是基于Qt5开发的，现在我们想要找到其中一个dll库，然后编写一个与其同名的库来对这个库进行劫持，在劫持之前我们也应该想到，这些库中都提供了很多的函数，如果这些函数无法使用的话，那这个应用程序自然也就无法正常运行了，那如何解决这个问题？这里有很多方法，我在这演示最简单的函数转发的方法，就是在我们的dll库中将所有被劫持dll库中的函数进行转发，转发到那个被劫持的dll库中去，这样就不会影响到原程序的运行了。不过这种办法还是比较繁琐的，因为有些库中可能有成千上百个函数。。。
在确认要劫持哪个dll库之前，我们先用procexp查看这个应用程序都加载了哪些库，要说明的是，要先将我们要劫持的程序先运行起来，因为procexp查看的是进程。
除去系统库，还有Qt的库，而Qt的库，就像我说的里面的函数非常多，我实在是。。。写不起，所有在这我劫持一个叫quazip的库，这个库中的函数相对少一点大概有213个函数
转发函数方法
#pragma comment(linker, "/EXPORT:[查找的函数名]=[函数实现所在的DLL模块].[实际导出的函数名],@序号")
s然后还要说明一下DllMain函数
BOOL APIENTRY DllMain
(
HMODULE hModule,
DWORD ul_reason_for_call,
LPVOID lpReserved
)
- hModule参数：指向DLL本身的实例句柄；
- lpReserved参数：为0表示隐式载入，1表示显式载入
- ul_reason_for_call参数：指明了DLL被调用的原因，可以有以下4个取值：
DLL_PROCESS_ATTACH：
当DLL被进程 第一次 调用时，导致DllMain函数被调用，
同时ul_reason_for_call的值为DLL_PROCESS_ATTACH，
如果同一个进程后来再次调用此DLL时，操作系统只会增加DLL的使用次数，不会再用DLL_PROCESS_ATTACH调用DLL的DllMain函数
DLL_PROCESS_DETACH：
当DLL被从进程的地址空间解除映射时，系统调用了它的DllMain，传递的ul_reason_for_call值是DLL_PROCESS_DETACH。
DLL_THREAD_ATTACH：
当进程创建一线程时，系统查看当前映射到进程地址空间中的所有DLL文件映像，
并用值DLL_THREAD_ATTACH调用DLL的DllMain函数。
新创建的线程负责执行这次的DLL的DllMain函数，
只有当所有的DLL都处理完这一通知后，系统才允许线程开始执行它的线程函数
DLL_THREAD_DETACH：
如果线程调用了ExitThread来结束线程（线程函数返回时，系统也会自动调用ExitThread），
系统查看当前映射到进程空间中的所有DLL文件映像，
并用DLL_THREAD_DETACH来调用DllMain函数，通知所有的DLL去执行线程级的清理工作。
s然后我们就可以写代码了，用CFF Explore来查看动态库都导出了哪些函数
注意，因为本人怕麻烦，直接将编译好的dll命名为quazip.dl然后复制到程序所在目录下，并且将原本的quazip.dll改名为quazip2.dll，在真正利用漏洞时过程虽然不同但道理是一样的
代码：
#include编译时要注意程序到底是x86还是x64的，位数不一样可能会导致dll库无法被加载
效果图
运行程序后先弹出
然后程序正常运行
如果我们将DLL_PROCESS_ATTACH下的代码改成开启一个管道并且开启socket通讯执行反弹shell就能很好的隐藏运行这个后门。