0.ring3-파괴knowndlls반납치보호

https://support.microsoft.com/zh-cn/kb/164501 https://support.microsoft.com/en-us/kb/164501Known Dlls는 시스템 디렉터리에 있어야 하며, 시스템이 시작될 때, 등록표에서 Known Dlls 목록을 읽은 후, 이 dll을 불러오면 먼저 시스템 디렉터리를 검색하고, 그 다음에 현재 디렉터리를 검색합니다.knowndlls, 말 그대로 시스템 디렉터리에 기본적으로 불러오는 DLL을 가리킨다. 현재 바이러스가 위장한 조끼 DLL을 파일 시작 디렉터리에 놓고 서버를 시작하는 것은 창의적인 방법이 아니다.프로그램이 시작되기 전에 현재 디렉터리에 필요한 DLL을 우선적으로 불러옵니다. 이것은 목마의 시작에 또 다른 경로를 제공합니다. knowndlls 키 값은 바로 이 전파가 끊어지는 날카로운 검입니다. 현재 디렉터리에 마갑 DLL이 얼마나 있든지 간에 프로그램은 SYSTEM 디렉터리에서 찾아서 마갑의 독해를 피할 수 있습니다.KnownDlls는 시스템 디렉터리에 있어야 하며, 시스템이 시작될 때, 등록표에서 KnownDlls 목록을 읽어야 합니다.다음에 이 dll을 불러오면 시스템 디렉터리를 먼저 검색하고 현재 디렉터리를 검색합니다.
시스템은 자체적으로 Known Dlls를 가지고 있으며, 등록표의 dll를 읽으면 다른 dll는 상관하지 않는다
HKEYLOCAL_MACHINE\System\CurrentControlSet\Control\SessionManager\knowndlls에서 lpk 항목을 삭제하고 컴퓨터를 다시 시작하면 dll로 납치할 수 있습니다
win7의 경우 HKEYLOCAL_MACHINE\System\Current Control Set\Control\Session Manager에는 Exclude From Known Dlls라는 항목이 있습니다. (만약 이 항목이 없다면 수동으로 하나를 추가하세요.) 당신의 Lpk를 추가합니다.dll을 넣고 컴퓨터를 다시 시작하면 됩니다. 왜냐하면 win7에서 knowndlls는 조작할 권한이 없기 때문입니다!
여기에 knowdlls의 마이크로소프트 공식 설명을 덧붙인다.

DLLs: 32-bit

For 32-bit DLLs the KnownDLLs registry key is found at:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager
				

The REG_SZ registry value name is the name of the DLL without the extension. The registry value data is the name of the DLL with the extension. This entry affects only implicitly loaded DLLs, not DLLs loaded using the LoadLibrary() API. 
Without this entry, Windows NT uses the following search order to locate the DLL:
The directory of the executable for the process that is loading the DLL.
The current directory of the process that is loading the DLL.
The\WINNT\SYSTEM32 directory.
The\WINNT directory.
A directory listed in the path environment variable.
With the KnownDLLs registry entry, Windows NT uses the following search order to locate the DLL:
The\WINNT\SYSTEM32 directory.
The directory of the executable for the process that is loading the DLL.
The current directory of the process that is loading the DLL.
The\WINNT directory.
A directory listed in the PATH environment variable.