DLL Ejection

DLL Ejection <--> DLL Injection 반대되는 개념

DLL Injection은 실행 중인 프로세스에 DLL을 삽입하여 공격하는 기법

DLL Ejection은 실행 중인 프로세스에 DLL을 빼는 공격 기법

 

단, DLL Ejection 우리가 강제로 Injection을 한 DLL만 뺄 수 있다.

기본적인 원리는 Injection과 동일

 

CreateRemoteThread()함수를 사용

kernel32.dll의 라이브러리에서 LoadLibrary()함수를 사용 > Injection

kernel32.dll의 라이브러리에서 FreeLibrary()함수를 사용 > Ejection

 

 

LOCAL : 내가 속해있는 프로세스

REMOTE : 내가 속해있지 않은 프로세스

 

CreateRemoteThread()

내가 속하지 않는 프로세스에다가 스레드 생성

 

EjectionDLL 과정

 

다른 파일 Ejection 실행

myhack.dll을 타깃으로 만들어진 코드기 때문에 fail 뜸

 

레지스트리에 dllEjection 설정

실행창 - regedit

Local_Machine - SoftWare - Microsoft - Windows NT - CurrentVersion - Windows

오른쪽 클릭 - 새로만들기 - DWORD 값 - LoadAppInt_DLLs 생성

AppInit_DLLs 더블 클릭 후 C:\novirus\HookMain\KeyHook.dll 입력

LoadAppInt_DLLs 더블 클릭 후 값 데이터에 1 입력 후 확인

 

무조건 재부팅하기

Process Explorer 사용 - Find - Find Handle or DLL - KeyHook.dll 확인