DLL 劫持攻擊原理是什么

DLL劫持指的是，病毒通過一些手段來劫持或者替換正常的DLL，欺騙正常程序加載預先準備好的惡意DLL。window系統為了盡可能多得安排資源共享，建議多個應用程序共享的任何模塊應該放在系統目錄中方便尋找但這樣會使其他的應用程序無法正確執行，修改后強制操作系統的加載程序首先從應用程序目錄中加載模塊，如果沒有找到模塊則才能搜索其他目錄，攻擊者利用這個特性就可以使應用程序強制加載指定的DLL。

新型DLL挾持攻擊方式有以下這些：

• BT鏈接下載傳播：挖掘出支持BT下載的流行軟件（比如uTorrent ）的DLLHijacking漏洞，然后構造一個惡意dll文件（估計會設置隱藏屬性，這樣你解壓以后將不會看到這個文件）和BT種子文件打包成壓縮包上傳到網上供用戶下載，用戶一旦下載了這個壓縮包雙擊BT種子文件的時候會調用uTorrent 打開，uTorrent 運行的時候由于設計上的不和諧根據dll加載的順序最后會將種子所在目錄的惡意dll加載。

• 圖片分享傳播：挖掘出流行圖片瀏覽工具的DLLHijacking漏洞，然后構造一個惡意dll文件和圖片文件打包成壓縮包上傳到網上供用戶下載，用戶一旦下載了這個壓縮包，解壓瀏覽圖片后會調用圖片瀏覽工具打開從而觸發漏洞加載惡意dll文件。

• 軟件下載包含的網頁文件傳播：挖掘出流行網頁瀏覽工具的DLL Hijacking漏洞，然后構造一個惡意dll文件，應用程序和html等網頁文件打包成軟件壓縮包并上傳到網上供用戶下載。用戶一旦下載了這個軟件壓縮包，解壓以后運行安裝必看.htm之類的網頁文件會調用網頁瀏覽工具打開從而觸發漏洞加載惡意dll文件。

• 熱門視頻音頻文件傳播：挖掘出流行視頻音頻播放工具的DLL Hijacking漏洞，然后構造一個惡意dll文件和rmvb等視音頻文件打包壓縮包并上傳到網上供用戶下載。用戶一旦下載了這個壓縮包，解壓播放相應視頻的時候從而觸發漏洞加載惡意dll文件。

回答所涉及的環境：聯想天逸510S、Windows 10。