DLL 인젝션(OS SIG)

1. 22. DLL 인젝션

2. 1. 다른 프로세스에 의해 생성된 윈도우를
subclassing
2. 디버깅을 위해 필요한 경우.
3. 다른 프로세스를 후킹하려는 경우.
프로세스의 경계를 무너트리고 싶은 경우?

3. DLL
injection
SetWindowLongPtr(hWnd, GWLP_WNDPROC, MySubclassProc);

4. DLL
injection
실패
SetWindowLongPtr(hWnd, GWLP_WNDPROC, MySubclassProc);

5. DLL
injection
실패
다른 프로세스이기 때문
SetWindowLongPtr(hWnd, GWLP_WNDPROC, MySubclassProc);

6. DLL injection : registry
AppInit_DLLs
- 공백을 구분자로 DLL파일의 이름을 저장
LoadAppInit_DLLs
- Globally enables or disables AppInit_DLLs.
User32.dll
HKEY_LOCAL_MACHINESoftwareMicrosoft
Windows NTCurrentVersionWindows

7. DLL injection : trojan
original trojan

8. DLL injection : debugger
원 래 하 던 작 업 기 계 어 ...
주 입 이 된 코 드 으 으 … ...
IP

9. DLL injection : debugger
원 래 하 던 작 업 기 계 어 ...
주 입 이 된 코 드 으 으 … ...
IP

10. DLL injection : hook
Hook을 이용한 injection
HHOOK hHook = SetWindowsHookEx(WH_GETMESSAGE,
GetMsgProc,
hInstDll, 0);

11. DLL injection : hook
Unhook 함수
HHOOK hHook = SetWindowsHookEx(WH_GETMESSAGE,
GetMsgProc,
hInstDll, 0);
BOOL UnhookWindowsHookEx(HHOOK hHook);

12. DLL injection : remote thread
홍 너무 쉬워
HANDLE CreateRemoteThread(
HANDLE hProcess,
PSECURITY_ATTRIBUTES psa,
DWORD dwStackSize,
PTHREAD_START_ROUTINE pfnStateAddr,
PVOID pvParam,
DWORD fdwCreate,
PDWORD pdwThreadId);

13. DLL injection : remote thread
LoadLibrary가 그대로 실행될까?
Wide Character Version?
HANDLE hThread = CreateRemoteThread(hProcessRemote, NULL, 0,
LoadLibraryW, L”C:MyLib.dll”, 0, NULL);
ANSI Character Version?
HANDLE hThread = CreateRemoteThread(hProcessRemote, NULL, 0,
LoadLibraryA, ”C:MyLib.dll”, 0, NULL);

14. DLL injection : remote thread
LoadLibaray의 실제 주소를 획득
Wide Character Version
PTHREAD_START_ROUTINE pfnThreadRtn = (PTHREAD_START_ROUTINE)
GetProcAddress(GetModuleHandle(TEXT(“Kernel32”)),
“LoadlibraryW”);
HANDLE hThread = CreateRemoteThread(hProcessRemote, NULL, 0,
LoadLibraryW, L”C:MyLib.dll”, 0, NULL);

15. DLL injection : remote thread
사실은 문자열의 주소값
Wide Character Version
PTHREAD_START_ROUTINE pfnThreadRtn = (PTHREAD_START_ROUTINE)
GetProcAddress(GetModuleHandle(TEXT(“Kernel32”)),
“LoadlibraryW”);
HANDLE hThread = CreateRemoteThread(hProcessRemote, NULL, 0,
LoadLibraryW, L”C:MyLib.dll”, 0, NULL);

16. DLL injection : remote thread
VirtualAllocEx과 VirtualFreeEx를 사용하면
다른 프로세스 공간 상에 Vmemory Alloc 가능.
ReadProcessMemory와 WriteProcessMemory를 사용하면…
이름만 봐도 알지?

17. Thank you
CrePAS /Jung Dawoon