DLLHijackHunter

DLLHijackHunter By ProjectMerai 자동화된 DLL 하이재킹 탐지, 검증 및 확인 로컬 구성 오류를 무기화된 확인된 공격 경로로 전환. 개요...

DirCreate2System

DirCreate2System 특권 디렉터리 생성 버그와 Windows Error Reporting을 이용해 NT AUTHORITY\SYSTEM을 획득하는 무기화 간단한 설명: 저는 comctl32.dll시스템 디렉터리에 실제로 존재하지 않는 누락된 파일이 schtasks를 실행함으로써 Windows 오류 보고를 통해 wermgr.exe에 로드된다는 것을 발견했습니다. 즉, C:\windows\system32\wermgr.exe.local 폴더를 Full 권한 ACL로 생성할 수 있다면 해당 폴더에서 comctl32.dll 을...

CVE-2024-6769

블로그 게시물: CVE-2024-6769 활성화 캐시 중독을 통한 중간 무결성에서 높은 무결성으로의 권한 상승 이 블로그는 두 가지 연쇄 버그에 관한 것입니다. 1단계는 ROOT 드라이브 리매핑으로 인한 DLL 하이재킹 버그이며, 2단계는 CSRSS 서버가 관리하는 활성화 캐시 중독 버그입니다. 1단계는 BlueFrost Security의 Nicolás Economou가 Ekoparty 2023에서 발표한 "I'm High"라는 프레젠테이션에서 자세히 소개되었습니다. 그는 당시 Microsoft가 아직 패치하지 않은 취약점을...

ClickOnceBlobber

ClickOnce AppDomainManager 주입 도구 키트 서명된 .NET ClickOnce 애플리케이션을 무기화하여 AppDomainManager 주입을 통해 종속 DLL을 가로채고 C으로 포팅된 ProxyBlob 에이전트를 로드함으로써 초기 접근을 확보합니다. ProxyBlob의 C 포트를 포함합니다. ProxyBlob은 모든 트래픽을 Azure Blob Storage를 통해 터널링하는 SOCKS5 프록시로, .blob.core.windows.net이 허용된 환경에 자연스럽게 녹아듭니다. 작동 원리 ClickOnce는...

OffensiveCSharp

OffensiveCSharp This is a collection of C tooling and POCs I've created for use on operations. Each project is designed to use no external libraries. Open each project's .SLN in Visual Studio and compile as "Release". Project| Description| Minimum .NET Version ---|---|--- AbandonedCOMKeys| 버려진 CO...

CVE-2022-27502

RealVNC server 6.9.0까지의 DLL 하이재킹 익스플로잇 CVE-2022-27502 미리 컴파일된 64비트 버전은 여기에서 사용할 수 있습니다. %TEMP%에 복사한 후 프로그램 추가/제거에서 RealVNC Server의 복구를 시작하십시오. whoami 명령의 출력을 %TEMP%\output.txt에 기록합니다. 실행할 명령을 변경하려면 dllmain.cpp의 191번째 줄을 수정하고 다시 컴파일하십시오...

POC-of-CVE-2022-36271

POC-of-CVE-2022-36271 영향을 받는 제품 이름: Outbyte PC 복구 설치 파일 영향을 받는 버전: 1.7.112.7856 해당 항목의 CVE ID: CVE-2022-36271 설명: iertutil.dll이 누락되어 공격자가 동일한 이름의 악성 DLL을 사용하여 관리자 권한을 획득하고 피해자 시스템에 지속성을 확보할 수 있습니다. 취약점 유형: DLL 하이재킹 이것은 CVE-2022-36271의 작동하는 POC입니다...

Robber

Robber — DLL 하이재킹 스캐너 Windows 실행 파일에서 DLL 하이재킹 기회를 찾기 위한 무료 오픈 소스 도구입니다. 타사 종속성이 없습니다. 기능 Windows는 고정된 디렉터리 순서실행 파일 자체 디렉터리, System32, Windows, PATH 항목 순로 DLL을 검색합니다. DLL이 시스템 디렉터리에서 발견되지 않으면, 해당 체인의 이전 디렉터리에 쓸 수 있는 공격자가 악성 복사본을 배치하여 대신 로드되도록 할 수 있습니다. Robber는 디렉터리 트리를 탐색하며 각 실행 파일의 임포트 테이블을 실제...

cve-2022-32223

CVE-2022-32223 데모 익스플로잇을 생성하기 위한 소스 파일 CVE-2022-32223: Node.js는 Windows 플랫폼의 특정 조건에서 실행 흐름 탈취: DLL 하이재킹에 취약합니다. 이 취약점은 피해자의 Windows 시스템에 다음과 같은 종속성이 존재할 때 악용될 수 있습니다. OpenSSL이 설치되어 있고 “C:\Program Files\Common Files\SSL\openssl.cnf”가 존재해야 합니다. 위 조건이 충족되면, node.exe는 현재 사용자 디렉토리에서 providers.dll을...

CVE-2022-25943

CVE-2022-24934 취약점 개요 WPS Office를 설치할 때 관리자 권한으로 wpscloudsvr 서비스 프로그램이 설치됩니다. 이 서비스 프로그램은 수동 시작으로 구성되어 있지만, 해당 서비스 프로그램이 위치한 폴더의 ACL액세스 제어 목록 속성이 잘못 구성되어 있어 일반 Users 그룹 구성원도 해당 폴더에 대한 읽기/쓰기 권한을 여전히 가지고 있습니다. 영향 범위 WPS Office 11.2.0.10258 미만 버전 모두 이 취약점이 존재합니다. WPS 버전 번호는 마지막 숫자 그룹으로 확인하며, 마지막 그룹의...

koppeling-p

koppeling-p 적응형 DLL 하이재킹 / 동적 내보내기 전달 - EAT 보존 개요 이 프로젝트는 Nick Landers@monoxgas의 놀라운 프로젝트에 대한 제한적인 Python 전용 확장판으로, 여기에서 확인할 수 있습니다. 차이점 원본 프로젝트와의 유일한 차이점은 koppeling-pp는 preserve를 의미가 복제 중 DLL 대상 내보내기 주소 테이블EAT을 보존하는 것을 목표로 한다는 것입니다. 동기 이 작은 도구는 더 발전된 라이브러리Interleaver의 기반이 되었으며, DriverJack 연구 및 다...

faxhell

faxhell "팩스 셸" Fax 서비스와 Ualapi.dll 기반 DLL 하이재킹을 사용하는 개념 증명 바인드 셸입니다. 저희 분석 글은 다음에서 확인하세요: https://windows-internals.com/faxing-your-way-to-system/ 사용 방법 Ualapi.dll을 빌드하여 c:\windows\system32에 배치합니다. Fax 서비스를 시작하면 DLL이 로드되고 UalStart 내보내기가 호출됩니다. UalStart는 스레드 풀 작업 항목을 큐에 넣고, 이 작업 항목은 RpcSs에 대한 핸들을 ...

HelakuruV.1.1-DLLHijack

Helakuru의 DLL 하이재킹 취약점 요약 Helakuru Desktop 버전 1.1v는 64비트 및 32비트 아키텍처에서 모두 작동합니다. 테스트 중 프로그램이 최신 Windows 운영 체제에 기본적으로 포함되지 않은 wow64log.dll을 로드하려 시도하는 것이 확인되었습니다. 이로 인해 'Name not found' 오류가 발생하여 프로그램이 DLL 하이재킹 취약점에 노출됩니다. 악성 wow64log.dll을 제작하면 임의 코드 실행이 가능합니다. 영향받는 버전 Helakuru Desktop 1.1v 재현 단계 1...

CVE-2023-34312-exp

공지 본 프로젝트는 오직 재현 실험을 위해 생성되었습니다 영향을 받는 버전 QQ 9.6.2.27855 9.7.11.29088（QQ 9.7.10 제외, QQProtect.exe가 없기 때문인 듯） TIM 3.4.5.22071 3.4.7.22084 사용 방법 QQ/TIM을 설치한 후, 두 악성 dll을 QQprotect.exe와 같은 폴더에 두어야 합니다. root@kitploit: QQProtect.exe evil.dll...

Lockbit3.0-MpClient-Defender-PoC

Lockbit3.0-MpClient-Defender-PoC Lockbit3.0 Microsoft Defender MpClient.dll DLL 하이재킹 PoC 기반: LockBit 랜섬웨어가 Windows Defender를 악용해 Cobalt Strike를 로드함 https://www.bleepingcomputer.com/news/security/lockbit-ransomware-abuses-windows-defender-to-load-cobalt-strike/ 직접 테스트하는 방법 새 디렉터리를 만들고 C:\Program...

CVE-2021-36934-DLL-Hijacking-DFIR-Investigation

CVE-2021-36934-DLL-Hijacking-DFIR-Investigation...

aDLL

aDLL - 동적 링크 라이브러리의 모험 aDLL은 DLL 하이재킹 취약점을 자동으로 발견하는 데 중점을 둔 바이너리 분석 도구입니다. 이 도구는 메모리에 로드된 바이너리 이미지를 분석하여 로드 시점에 로드된 DLL을 검색하고, Microsoft Detours 라이브러리를 사용하여 LoadLibrary/LoadLibraryEx 함수 호출을 가로채서 런타임에 로드된 DLL을 분석합니다. 목적은 실행 파일이 DLL을 검색하는 폴더에서 찾을 수 없는 DLL 목록을 얻는 것입니다. 시작하기 aDLL을 사용하려면 Binaries 폴더에...

CVE-2024-27518

CVE-2024-27518 - SUPERAntiSpyware Professional X LPE PoC 이 취약점은 Secunnix Vulnerability Research Team의 M. Akil Gündoğan에 의해 발견 및 공개되었습니다. 이 저장소는 개념 증명PoC과 권고 사항을 포함할 것입니다. 세부 사항: 제품: SUPERAntiSpyware Professional X 및 모든 에디션. 영향받는 버전: =10.0.1262 및 최신 버전 10.0.1264 CVE ID: CVE-2024-27518 운영 체제: 지원되는 ...

dcomhijack

DCOM DLL Hijacking 우리는 최근 DLL 하이재킹에 취약한 다음과 같은 DCOM 클래스를 발견했습니다. 공격자가 관련 경로에 쓸 수 있다면 COM 개체를 인스턴스화하여 측면 이동을 수행할 수 있습니다. 일부 클래스에는 여기에 나열되지 않은 추가 DLL 하이재킹 기회가 있습니다. 클래스| DLL 경로| 프로세스| 아키텍처 ---|---|---|--- WordPad Document| C:\Program Files\Windows NT\Accessories\XmlLite.dll| wordpad.exe| x64...

DllShimmer

DllShimmer DLL 하이재킹을 쉽게 무기화하세요. 정상적인 프로세스 동작을 방해하지 않고 모든 DLL의 모든 함수를 백도어하세요. 작동 방식 DllShimmer는 원본 DLL을 파싱하여 내보낸 함수에 대한 정보이름, 서수, 포워더 정보를 추출합니다. 이 정보를 기반으로 DllShimmer는 C++ 보일러플레이트 파일.cpp을 생성합니다. 생성된 파일을 사용하면 프로그램의 정상적인 작동을 방해하지 않고 원본 DLL에서 내보낸 각 함수에 고유한 코드를 추가할 수 있습니다. DllShimmer는 함수 시그니처에 의존하지 않으...