DLL Hijacking — атака, при которой Windows загружает не ту динамическую библиотеку, которую ожидало приложение. Если программа вызывает, например, `helper.dll` без абсолютного пути, злоумышленник может разместить библиотеку в каталоге, проверяемом системой раньше настоящего расположения.
Особенно опасен сценарий с доступным для записи каталогом: приложение запускается с повышенными правами, находит подменную DLL и загружает её в собственный процесс.
При расследовании важно анализировать не только EXE, но и источники библиотек. В **Sysinternals Process Monitor** это видно по операциям `CreateFile` и `Load Image`: система перебирает пути, получает `NAME NOT FOUND`, а затем находит DLL в неожиданной директории.
Для защиты используют абсолютные пути, ограничивают запись в каталоги поиска и запрещают загрузку библиотек из пользовательских директорий.
Подпишись, тут про технолоджии.
P.S. Меня зовут Бедняков Артем, я разрабатываю backend-решения на Python любой сложности:
- REST API и микросервисы;
- агентные системы и AI-интеграции;
- Telegram-боты и Mini Apps;
- парсеры и автоматизация;
- интеграции с внешними сервисами и API;
- тестирование и CI/CD;
- DevOps и развёртывание;
- аудит и проверки безопасности.
Если вам нужна разработка или есть вопросы по реализации проекта — пишите мне в Telegram
Всегда рад обсудить задачу и помочь найти решение.
Также подписывайтесь на мой Telegram-канал IT POLICE, где я пишу о Python, backend-разработке, технологиях и кибербезопасности.