DLL注入的术与道：分析攻击手法与检测规则
💡
原文中文，约10700字，阅读约需26分钟。
📝
内容提要
本文探讨了DLL注入技术的原理、特征和检测规则，以及环境构建和攻击模拟的方法。同时分析了攻击过程和日志，并给出了几条检测规则。
🎯
关键要点
- 攻击者的攻击变得复杂，防守人员需要改进技术保护系统和数据。
- DLL是可供其他程序使用的函数和数据的集合，Windows程序不断调用动态链接库。
- DLL注入是通过Windows API调用将恶意文件路径写入目标进程的虚拟地址空间并执行。
- 环境构建包括使用Vmware安装Windows10、Kali和Ubuntu等系统，并配置Sysmon和PowerShell日志。
- 使用msfvenom生成恶意DLL文件，并通过HTTP服务下载到目标机器进行注入。
- 注入恶意DLL后，攻击者可以与受控机器建立连接并执行命令。
- 通过Sysmon和PowerShell日志分析攻击过程，发现异常网络连接和进程行为。
- 使用Process Hacker等工具分析进程属性，发现可疑的父子进程关系和命令行参数。
- 通过Sysmon和PowerShell日志收集到恶意软件的活动特征和网络请求信息。
- 提出检测规则，包括监控rundll32.exe的使用、命令行参数和网络连接行为，以识别潜在的恶意活动。
➡️
