后门及持久化访问3---进程注入之AppInit_DLLs注册表项

进程注入是一种常见的攻击方式，攻击者会将恶意代码注入到其他进程中，以达到控制目标主机的目的。AppInit_DLLs注册表项就是一种常见的进程注入技术，其原理是通过修改Windows系统注册表中的AppInit_DLLs键值，让操作系统在启动任何进程时，都会自动加载其中指定的DLL文件，从而实现将恶意代码注入到其他进程中并持久化的效果。

一、AppInit_DLLs的工作原理

AppInit_DLLs是Windows系统提供的API函数，用于在系统启动时加载指定的DLL文件。在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows中，有一个名为AppInit_DLLs的键值，在该键值下添加需要加载的DLL文件路径即可。

攻击者可以通过修改该注册表项来实现将恶意代码注入到其他进程中的目的，具体思路类似于以下过程：

1. 攻击者在系统启动时，将AppInit_DLLs键值设置为指向恶意DLL文件的路径。

2. 操作系统在启动任何进程时，都会自动加载AppInit_DLLs键值下指定的DLL文件。

3. 恶意DLL文件被加载后，注入到目标进程中，并在目标进程中执行恶意代码。

二、AppInit_DLLs的使用方法

1. 打开注册表编辑器（regedit.exe），找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows键值。

2. 在Windows键值下，找到名为AppInit_DLLs的键值，如图所示：


3. 双击AppInit_DLLs键值，修改键值数据为需要加载的DLL文件路径。如果需要加载多个DLL文件，每个文件之间用分号隔开即可。

4. 保存修改后的注册表项，重新启动系统或某个进程后，系统将自动加载指定的DLL文件并执行其中的代码。

三、AppInit_DLLs的攻击案例

1. OSX/Olyx恶意软件

Olyx是一种可在Windows和MacOS平台上运行的后门软件，其中在MacOS平台上使用了AppInit_DLLs的注入技术。攻击者在受害机器上安装了Olyx后，会修改注册表项AppInit_DLLs并将恶意DLL文件路径添加进去，然后它就能够持久化地在所有进程中执行恶意代码。


2. Cobalt Strike

Cobalt Strike是一个常用的红队工具，其中也集成了AppInit_DLLs注入技术。攻击者在使用Cobalt Strike时，可以通过添加AppInit_DLLs注册表项实现注入功能，在注入后创建后门，并将连接和操作指令传递给Cobalt Strike辅助程序的C2服务端。


四、如何检测和防止AppInit_DLLs注入

1. 检测方式

- 观察注册表的AppInit_DLLs键值

- 观察进程中加载的模块是否包含可疑的DLL文件

2. 防护方式

- 对AppInit_DLLs键值进行监视，并禁止非法修改注册表。

- 对恶意DLL文件进行感知，并实时阻止其执行。

总而言之，AppInit_DLLs注入技术是一种常见的持久化攻击方法，可以让攻击者在系统启动时自动执行恶意代码，从而获取系统权限。因此，在系统安全管理中，我们需要时刻关注系统的注册表状况，及时处理发现的异常情况，有效提高系统的安全性。 如果你喜欢我们三七知识分享网站的文章， 欢迎您分享或收藏知识分享网站文章 欢迎您到我们的网站逛逛喔！https://www.ynyuzhu.com/