通过某哔哩实现白加黑
字数 931 2025-08-29 08:30:13

Bilibili白加黑攻击技术分析与实现

一、技术概述

白加黑攻击是一种利用合法程序(白文件)加载恶意DLL(黑文件)的技术手段。本文详细分析如何通过Bilibili客户端实现白加黑攻击。

二、准备工作

必要工具

  1. Process Monitor - 用于监控程序行为，特别是DLL加载情况
  2. PE查看工具 - 用于分析DLL导出表(本文仅使用Process Monitor)

三、攻击原理

白加黑攻击的核心在于：

  • 目标程序(白exe)在启动时加载特定DLL
  • 攻击者伪造同名DLL(黑DLL)放置在优先搜索路径中
  • 程序加载攻击者伪造的DLL而非合法DLL

本文案例的特殊性在于：程序尝试加载某个DLL但路径中不存在该DLL，从而允许攻击者伪造。

四、详细实施步骤

1. 配置Process Monitor筛选条件

为准确捕捉目标行为，需设置以下筛选条件：

  • 筛选Bilibili客户端的exe进程
  • 筛选DLL文件加载事件

2. 监控Bilibili.exe行为

启动Bilibili客户端，观察Process Monitor日志，重点关注：

  • 调用了KernelBase.dll中的LoadLibraryExW函数的DLL
  • 查找加载失败(未找到)的DLL

3. 识别脆弱点

在监控日志中发现程序尝试加载KBDUS.dll但路径中不存在该文件，这成为攻击入口点。

4. 制作恶意DLL

  • 创建一个简单的DLL项目，实现恶意功能(如弹窗)
  • 将生成的DLL命名为KBDUS.dll

5. 实施攻击

将伪造的KBDUS.dll放置在程序搜索路径中，确保其优先于系统目录被加载。

6. 验证攻击

双击启动Bilibili.exe，观察恶意DLL是否被成功加载并执行预设功能。

五、技术扩展

基础攻击成功后，可进一步开发：

  1. 上线功能 - 使受害主机连接C2服务器
  2. 权限维持 - 实现持久化访问
  3. 功能扩展 - 根据导出函数实现更复杂的功能劫持

六、防御建议

  1. 应用程序应使用绝对路径加载DLL
  2. 实施DLL签名验证机制
  3. 使用DLL搜索顺序加固技术
  4. 监控异常的DLL加载行为

七、法律声明

本技术仅限学习交流，严禁用于非法用途。任何非法使用产生的后果与作者无关。

Bilibili白加黑攻击技术分析与实现 一、技术概述 白加黑攻击是一种利用合法程序(白文件)加载恶意DLL(黑文件)的技术手段。本文详细分析如何通过Bilibili客户端实现白加黑攻击。 二、准备工作 必要工具 Process Monitor - 用于监控程序行为，特别是DLL加载情况 PE查看工具 - 用于分析DLL导出表(本文仅使用Process Monitor) 三、攻击原理 白加黑攻击的核心在于： 目标程序(白exe)在启动时加载特定DLL 攻击者伪造同名DLL(黑DLL)放置在优先搜索路径中 程序加载攻击者伪造的DLL而非合法DLL 本文案例的特殊性在于：程序尝试加载某个DLL但路径中不存在该DLL，从而允许攻击者伪造。 四、详细实施步骤 1. 配置Process Monitor筛选条件 为准确捕捉目标行为，需设置以下筛选条件： 筛选Bilibili客户端的exe进程 筛选DLL文件加载事件 2. 监控Bilibili.exe行为 启动Bilibili客户端，观察Process Monitor日志，重点关注： 调用了 KernelBase.dll 中的 LoadLibraryExW 函数的DLL 查找加载失败(未找到)的DLL 3. 识别脆弱点 在监控日志中发现程序尝试加载 KBDUS.dll 但路径中不存在该文件，这成为攻击入口点。 4. 制作恶意DLL 创建一个简单的DLL项目，实现恶意功能(如弹窗) 将生成的DLL命名为 KBDUS.dll 5. 实施攻击 将伪造的 KBDUS.dll 放置在程序搜索路径中，确保其优先于系统目录被加载。 6. 验证攻击 双击启动Bilibili.exe，观察恶意DLL是否被成功加载并执行预设功能。 五、技术扩展 基础攻击成功后，可进一步开发： 上线功能 - 使受害主机连接C2服务器 权限维持 - 实现持久化访问 功能扩展 - 根据导出函数实现更复杂的功能劫持 六、防御建议 应用程序应使用绝对路径加载DLL 实施DLL签名验证机制 使用DLL搜索顺序加固技术 监控异常的DLL加载行为 七、法律声明 本技术仅限学习交流，严禁用于非法用途。任何非法使用产生的后果与作者无关。