Dll injection
# Dll injection

La dll injection, utilizzata da diversi malware, fa parte di un gruppo di tecniche più ampio chiamato code injection (iniezione di codice).

## Principi generali di funzionamento

La dll injection si basa nello scrivere il codice che si vuole far eseguire a un altro processo in una libreria dinamica (dll su Microsoft Windows). Quindi si avvia un programma che carica questa dll nel processo esterno (ovviamente con privilegi superiori rispetto al nostro processo) e il sistema operativo vede il codice come se fosse eseguito dal processo esterno e non dal nostro processo.

## Principi approfonditi di funzionamento (con esempio pratico)

Analizziamo in dettaglio il funzionamento di un programma che inietta una dll in un altro processo. Un esempio renderà di più facile comprensione l'algoritmo

"hack.exe" deve fare eseguire il suo codice all'interno del processo "msnmsgr.exe". Per semplificare assumeremo che "hack.exe" conosca già il PID (process identifier, usato per identificare univocamente un processo in esecuzione nel sistema) di "msnmsgr.exe".

-Viene creata la dll "fnc.dll" e, all'interno della DllMain, viene inserito il codice da far eseguire ad "msnmsgr.exe".

-A questo punto "hack.exe" chiama OpenProcess con il PID di "msnmsgr.exe" che permette appunto di creare un handle a un processo attivo.

-"hack.exe" chiama la funzione VirtualAllocEx per allocare all'interno del processo "msnmsgr.exe" uno spazio di memoria

-"hack.exe" chiama la funzione WriteProcessMemory per scrivere all'interno dello spazio di memoria appena allocata la stringa "func.dll\0"

-"hack.exe" chiama CreateRemoteThread per creare un nuovo thread nel processo "msnmsgr.exe". Questo nuovo thread chiama la funzione LoadLibraryA e per unico argomento un puntatore alla stringa allocata all'interno dello stack di "msnmsgr.exe" contenente il path alla nostra dll

-Windows crea il nuovo thread e chiama LoadLibraryA nello "spazio del thread". LoadLibraryA viene chiamato nel nuovo thread quindi non può fare riferimento allo stack del nostro processo. Ecco perché abbiamo bisogno di allocare la stringa contenente il path alla dll nella memoria nel processo "vittima". A sua volta LoadLibraryA chiama la DllMain di "func.dll" contenente il codice da eseguire nello spazio di "msnmsgr.exe"

## Codice di esempio

Di seguito è mostrato un codice di esempio nel quale si mostra un esempio di dll injection in c++

## Difesa

La miglior difesa consiste nell'installare un HIPS che intercetti le dll injection.

