iprip（dll）

大家好，小龙妹来为大家解答以上问题。iprip，dll很多人还不知道，现在让我们一起来看看吧！

1.动态链接库原理

1.动态链接库

动态链接库，全称：动态链接库，缩写：DLL，用于为应用程序提供扩展功能。如果一个应用程序要调用一个DLL文件，它需要与它‘动态链接’；从编程的角度来说，应用程序需要知道DLL文件导出的API函数才能被调用。这样，DLL文件本身无法运行，需要应用程序调用。因为DLL文件在运行时必须插入到应用程序的内存模块中，所以显示DLL文件不能删除。这是由于Windows的内部机制：正在运行的程序无法关闭。于是，DLL后门诞生了！

2.DLL后门的原理和特点

把实现后门功能的代码写成一个DLL文件，然后插入到一个EXE文件中使其可执行，这样就不需要占用进程，也没有对应的PID号，可以隐藏在任务管理器中。DLL文件本身类似于EXE文件，但它必须由程序(EXE)调用才能执行DLL文件。DLL的执行需要加载EXE文件。但是如果EXE要加载一个DLL文件，就需要知道一个DLL文件的入口函数(也就是DLL文件的导出函数)。所以按照DLL文件的编写标准：EXE必须执行DLL文件中的DLLMain()作为加载条件(像EXE的mian())。做DLL后门基本有两种：1)实现DLL文件中的所有函数；2)将DLL做成启动文件，需要时启动普通EXE后门。

常见的书写方法有：

(1)只有一个DLL文件

这种后门很简单，把自己做成一个DLL文件，用Rundll32.exe在注册表运行键值或者其他可以被系统自动加载的地方自动启动。什么是Rundll32.exe？顾明思一，“执行32位DLL文件”。其作用是执行DLL文件中的内部函数，使进程中只会有Rundll32.exe，不会有DLL后门进程，从而实现进程隐藏。如果你看到系统中有多个Rundll32.exe，不要惊慌，这证明了有多少DLL文件是用Rundll32.exe启动的。当然，Rundll32.exe执行的这些DLL文件是什么，我们可以从系统自动加载的地方找到。

现在，我要介绍一下文件Rundll32.exe，这意味着它的功能是通过命令行调用动态链接库。系统中还有一个Rundll.exe文件，意思是‘执行16位DLL文件’。请注意这里。我们来看看Rundll32.exe使用的函数原型：

Void回调函数名称(

HWND hwnd，

HINSTANCE hinst，

LPTSTR lpCmdLine，

显示的状态

);

命令行下的使用方法是：Rundll32.exe dllname，函数名[arguments]

DLLname是要执行的DLL的文件名；Functionname是前面要执行的DLL文件的具体派生函数；【Arguments】是求导函数的具体参数。

(2)替换系统中的DLL文件

这种借壳比上面那种更高级。它把实现后门功能的代码做成与系统相匹配的DLL文件，改变原来的DLL文件名。当应用程序请求原始DLL文件时，DLL后门起着转发的作用，将‘参数’传递给原始DLL文件；如果遇到特殊请求(比如客户端)，DLL后门就会启动，启动，运行。对于这种后门，在DLL文件中实现所有操作是最安全的，但是需要大量的编程知识，也不好写。所以这种后门一般是把DLL文件做成‘启动’文件，在特殊情况下(比如客户端的请求)，启动一个普通的EXE后门；客户端结束连接后，停止EXE后门，然后DLL文件进入‘休眠’状态，直到下一次客户端连接才会启动。但随着微软‘数字签名’和‘文件恢复’功能的推出，这种后门逐渐式微。

提示：

在WINNT/system32目录下，有一个dllcache文件夹，里面存放了很多DLL文件(包括一些重要的EXE文件)。DLL文件被非法修改后，系统会从这里恢复修改后的DLL文件。如果要修改一个DLL文件，应该先删除或者重命名dllcache目录中同名的DLL文件，否则系统会自动恢复。

(3)动态嵌入

这是DLL后门最常用的方法。它的意思是将DLL文件嵌入到正在运行的系统进程中。在Windows系统中，每个进程都有自己的私有内存空间，但是仍然有各种方式访问其进程的私有内存空间来实现动态嵌入。因为系统的关键进程不能终止，所以这种后门非常隐蔽，很难查杀。常见的动态嵌入有：‘钩子API’‘全局钩子’‘远程线程’等等。

远程线程技术是指通过在进程中创建远程线程来访问该进程的内存地址空间。当EXE载体(或Rundll32.exe)在插入的进程中创建一个远程线程，并命令它执行一个DLL文件时，我们的DLL后门就会被挂起并执行。这里不会有新的流程。要停止DLL后门，只有链接DLL后门的进程将被终止。但如果和某些系统的关键流程挂钩，就不是了。

本文到此结束，希望对大家有所帮助。

标签：

版权声明：本文由用户上传，如有侵权请联系删除！