티스토리

정보보호 뿜뿜

검색하기

블로그 홈

정보보호 뿜뿜

dyoerr9030.tistory.com/m

Y06 님의 블로그입니다.

구독자: 7

방명록 방문하기

주요 글 목록

[리버싱 핵심 원리] 24장, DLL 이젝션 DLL 이젝션(DLL Ejection)은 프로세스에 강제로 삽입한 DLL을 빼내는 기법이다. 기본 동작 원리는 CreateRemoteThread API를 이용한 DLL 인젝션(Injection)의 동작원리와 같다. DLL 이젝션 동작 원리 CreateRemoteThread() API를 이용한 DLL 인젝션의 동작원리는 아래와 같다. 대상 프로세스로 하여금 LoadLibrary() API를 호출하도록 만드는 것 마찬가지로 DLL 이젝션의 동작 원리도 아래와 같다. 대상 프로세스로 하여금 FreeLibrary() API를 호출하도록 만드는 것 즉 CreateRemoteThread()의 IpStartAddress 파라미터에 FreeLibrary() API 주소를 넘겨주고, IpParameter 파라미터에 이젝.. 공감수 0 댓글수 0 2021. 12. 2.
[리눅스 핵심 원리] 23장, DLL 인젝션 다른 프로세스에 침투하는 가장 쉽고 강력한 방법인 DLL 인젝션에 대해 살펴보자! DLL 인젝션 기법을 통하여 API 후킹, 프로그램 기능 개성 및 버그 패치 등의 작업을 수행할 수 있다. DLL 인젝션 DLL 인젝션이란 실행 중인 다른 프로세스에 특정 DLL 파일을 강제로 삽입하는 것이라고 말할 수 있다. 조금 더 기술적으로 표현하자면 다른 프로세스에게 LoadLibrary() API를 스스로 호출하도록 명령하여 사용자가 원하는 DLL을 로딩(Loading)하는 것이다. DLL 인젝션이 일반적인 DLL 로딩과 다른 점은 로딩 대상이 되는 프로세스가 나 자신이냐 아니면 다른 프로세스냐 하는 것이다. notepad 프로세스에 myhack.dll을 강제로 삽입했다. 이처럼 notepad.exe 프로세스에 로.. 공감수 1 댓글수 0 2021. 12. 2.
[리버싱 핵심 원리] 27장, Code 인젝션 Code Injection Code Injection이란 상대방 프로세스에 독립 실행 코드를 삽입한 후 실행하는 기법이다. 일반적으로 CreateRemoteThread() API를 이용하여 원격 스레드 형태로 실행하므로 Thread 인젝션이라고도 얘기한다. 인젝션 대상이 되는 target.exe 프로세스에 코드와 데이터를 삽입한다. 이때 코드의 형식은 스레드 프로시저(Thread Procedure) 형식으로 해주고, 코드에서 사용되는 데이터는 스레드의 파라미터로 전달한다. 즉 코드와 데이터를 각각 인젝션해주는 것이다. 이와 같이 개념은 간단하지만 구현에 있어서 주의해야 할 내용이 있다. Code 인젝션 구현의 주의사항에 대하서는 DLL 인젝션과 비교하여 설명할 수 있다. DLL 인젝션 vs Code 인젝.. 공감수 0 댓글수 0 2021. 12. 2.
[리버싱 핵심 원리] 21장, Windows 메시지 후킹 훅이란, 우리말로는 갈고리, 낚시바늘 정도의 뜻을 가지고 있는데, 원하는 것을 낚아채고 싶을 때 사용하는 도구이다. 이 갈고리의 뜻이 확장되어서 정보를 엿보거나 가로채는 경우에도 훅이라는 말을 쓴다. 메시지 훅 Windows 운영체제는 GUI(Graphic User Interface)를 제공하고, 이는 Event Driven 방식으로 동작합니다. 키보드/마우스를 이용하여 메뉴 선택, 버튼 선택, 마우스 이동, 창 크기 변경, 창 위치 이동 등의 작업은 모두 이벤트(Event)입니다. 이런 이벤트가 발생할 때 OS는 미리 정의된 메시지를 해당 응용 프로그램으로 통보한다. 응용 프로그램은 해당 메시지를 분석하여 필요한 작업을 진행하는 것입니다. 즉, 키보드를 입력할 때에도 OS로부터 응용 프로그램으로 메시지.. 공감수 0 댓글수 0 2021. 11. 24.
[리버싱 핵심 원리] 19장, UPack 디버깅 - OEP 찾기 19장, UPack 디버깅 - OEP 찾기 19.1. OllyDbg 실행 에러 UPack으로 압축된 메모장(notepad_upack.exe) 파일을 OllyDbg로 열어보면 에러 메시지가 보인다. UPack은 IMAGE_OPTIONAL_HEADER에서 NumberOfRvaAndSizes 값을 A로 변경(기본 값 10)하기 때문에 OllyDbg의 초기 검증 과정에서 에러 메시지가 출력되는 것이다. 위 에러 때문에 OllyDbg는 EP로 가지 못하고, 에러 메세지와 같이 ntdll.dll 영역에서 멈춰버린다. OllyDbg의 버그(혹은 엄격한 PE 체크) 때문에 이런 현상이 발생한 것이므로 강제로 EP를 설정해줘야 한다. 그럼 먼저 PE가 어디인지 알아야 하기 때문에 Stud_EP를 이용한다. Imageba.. 공감수 0 댓글수 0 2020. 11. 19.
[리버싱 핵심 원리] 18장, UPack PE 헤더 상세 분석 18장, UPack PE 헤더 상세 분석 UPack으로 압축한 notepad를 PEView로 열었을 때, PE HEADER를 제대로 읽어들이지 못한다. IMAGE_OPTIONAL_HEADER, IMAGE_SECTION_HEADER 등의 정보들이 없다. HxD로 notepad와 Upack을 살펴보니 차이점이 뚜렸하다. 먼저 MZ 뒤에 써있는 KERNEL32.DLL MZ와 PE 시그니처간의 간격이 너무 가깝기도 하다. DOS Stub 영역이 없어서 그런 것 같다. 18.5. UPack의 PE 헤더 분석 18.5.1 헤더 겹쳐쓰기 IMAGE_DOS_HEADER와 IMAGE_NT_HEADERS를 겹쳐쓰는 기법이다. 헤더를 겹처씀으로서 헤더 공간을 절약할 수 있으며 복잡성을 증가시켜 분석을 어렵게 만든다. Stu.. 공감수 0 댓글수 0 2020. 11. 15.
[리버싱 핵심 원리] 17장, 실행 파일에서 .reloc 섹션 제거하기 17장, 실행 파일에서 .reloc 섹션 제거하기 17.1 .reloc 섹션 EXE 형식의 파일에서 Base Relocation Table 항목은 실행에 큰 영향이 끼치지 않는다. 단, DLL, SYS 형식의 파일은 Base Relocation Table이 거의 필수적이기 때문에 이 내용은 EXE 파일에만 해당되는 내용이다. .reloc 섹션이 제거 되면 당연히 PE 파일의 크기가 줄어드는 효과를 볼 수 있다. .reloc 섹션은 보통 마지막에 위치하는데, 이렇게 마지막에 위치한 섹션을 제거하는 건 생각보다 어렵지 않다. 17.2 reloc.exe 실습 파일의 끝에 존재하는 .reloc 섹션을 제거하려면 4단계의 작업과정을 거친다. (1) .reloc 섹션 헤더 정리 (2) .reloc 섹션 제거 (3).. 공감수 0 댓글수 0 2020. 11. 15.
[리버싱 핵심 원리] 16장, Base Relocation Table 16장, Base Relocation Table 16.1. PE 재배치 PE 파일(EXE, DLL, SYS)이 프로세스 가상 메모리에 로딩(loading)될 때 PE 헤더의 ImageBase 주소에 로딩된다. DLL(SYS) 파일의 경우 ImageBase 위치에 이미 다른 DLL(SYS) 파일이 로딩되어 있다면 다른 비어 있는 주소 공간에 로딩된다. 이것을 PE 파일 재배치라고 한다. 즉, PE 재배치란 PE 파일이 ImageBase에 로딩되지 못하고 다른 주소에 로딩될 때 수행되는 일련의 작업들을 의미한다. 16.1.1. DLL/SYS TEST.EXE 프로세스에 A.DLL이 10000000 주소에 로딩되어 있다. 이후 B.DLL이 같은 주소(10000000)에 로딩을 시도하면 PE 로더는 비어 있는 주.. 공감수 0 댓글수 0 2020. 11. 7.
[리버싱 핵심 원리] 5장, 스택(Stack) 05, 스택(Stack) : 차곡차곡 쌓여진 데이터를 의미 [ 스택의 특징] - 메모리의 데이터들을 효율적으로 다루기 위해 고안된 데이터 참조 방식 중 하나 - 가장 먼저 입력된 데이터가 가장 아래쪽에 쌓이고, 나중에 입력된 데이터는 그 위에 쌓이게 되는 구조를 가진다 ( FILO(First in Last out) 구조) - 구조상 특징이 마치 더미를 쌓아 올린 모습과 흡사 - 가장 먼저 처리해야 될 것을 가까운 곳에 둔다. - push: 스택에 새로운 자료 추가 / pop: 스택에 저장된 값을 뺌 - TOP: 스택에 쌓인 데이터의 가장 높은 위치의 메모리 주소 값(실제로는 가장 낮은 주소 값) - 기준이 되는 위치 - Bottom: 스택에 쌓인 데이터의 가장 낮은 위치의 메모르 주소 값 (실제로는 가장.. 공감수 0 댓글수 0 2020. 11. 7.
[리버싱 핵심 원리] 4장, IA-32 Register 기본 설명 04, IA-32 Register 기본 설명 4.1.CPU 레지스터란? 레지스터: CPU 내부에 존재하는 다목적 공간 - Ram과는 다른 성격을 가진다. - CPU가 RAM에 있는 데이터를 엑세스 하기 위해서는 물리적으로 먼 길을 돌아가야 하기 때문에 시간이 오래 걸린다. 그러나 레지스터는 CPU와 한 몸이기 때문에 고속으로 데이터를 전송할 수 있다. 4.1.1.레지스터를 알아야 하는 이유? - 리버싱 초급 단계에서 애플리케이션 디버깅을 잘 하려면 디버거가 해석해 주는 어셈블리 명령어를 공부해야 한다. - 어셈블리 명령어의 대부분은 레지스터를 조작하고 그 내용을 검사하는 것들인데, 정작 레지스터를 모르면 명령어 자체도 이해하기 힘들다. 4.2. IA-32의 레지스터 - Intel Architecture .. 공감수 0 댓글수 0 2020. 11. 7.
[리버싱 핵심 원리] 3장, 리틀 엔디언 표기법 03C 3.1. 바이트 오더링(Byte Ordering) 데이터를 저장하는 방식 (바이트를 배열하는 방법) 3.1.1. 리틀 엔디언 & 빅 엔디언 1) 엔디언(Endian) : 여러 개의 연속된 대상을 배열하는 방법 2) 리틀 엔디언(Little Endian) : 데이터를 저장할 때 역순으로 저장 [ 특징 ] - 사람이 보기에 직관적이지 않다. - Intel x86 CPU에서 사용 - 산술 연산, 데이터 타입 확장/축소될 때 더 효율적 3) 빅 엔디언(Big Endian): 데이터를 저장할 대 앞에서부터 순차적으로 저장 [특징] - 사람이 보기에 직관적 - 대형 UNIX 서버에 사용되는 RISC 계열의 CPU에서 많이 사용 - 네트워크 프로토콜에 사용 공감수 0 댓글수 0 2020. 11. 7.
[리버싱 핵심 원리] 8장, abex' crackme #2 분석 08, abex' crackme #2 분석 첫 화면 Check 클릭 About 클릭 실행화면이다. 이름과 시리얼을 맞는 것을 입력해야 한다. Visual Basic? : 윈도우용 응용 프로그램을 개발할 수 있는 프로그래밍 언어 - 비주얼 언어는 화면 디자인을 위해 많은 줄의 코드를 작성하지 않고 미리 만들어진 도구를 이용하여 그림 그리듯이 디자인할 수 있는 언어 VB 전용 엔진 (1) VB 파일은 MSVBVM60.dll (Microsoft Visual Basic Virtual Machine 6.0)이라는 VB전용 엔진을 사용한다. (2) VB 엔진의 사용 예를 들어보면 메세지 박스를 출력하고 싶을 때 VB 소스코드에서 MshBox() 함수를 사용한다. (3) VB 컴파일러는 실제로 MSVBVM60.dll.. 공감수 0 댓글수 0 2020. 11. 7.
[리버싱 핵심 원리] 7장, 스택 프레임 07, 스택 프레임 - ESP는 수시로 변하기 때문에 스택에 저장되어진 변수, 파라미터에 접근하고자 할 때 ESP 값을 기준으로 하면 프로그램을 만들기 힘들고 CPU가 정확한 위치를 참고할 때 어려움이 있다. - 어떤 기준 시점(함수 시작)의 ESP의 값을 EBP에 저장하고 이를 함수 내에서 유지해준다면, ESP 값이 아무리 변하더라도 EBP를 기분(base)으로 안전하게 해당 함수의 변수, 파라미터, 복귀 주소에 접근할 수 있다. - EBP 레지스터 베이스 포인터 역할 //스택 프레임의 구조 PUSH EBP ;함수 시작(EBP를 사용하기 전에 기존의 값을 스택에 저장) MOV EBP, ESP ; 현재의 ESP(스택 포인터)를 EBP에 저장 ... ; 함수 본체 ; 여기서 ESP가 변경되더라도 EBP가 .. 공감수 0 댓글수 0 2020. 11. 7.
[리버싱 핵심 원리] 11장, Lena's Reversing for Newbies 11장, Lena's Reversing for Newbies 확인을 누르면 아래와 같이 Regcode를 입력하는 부분이 나온다. 메세지 박스가 뜨면서 두 가지를 지시한다. 1) 모든 성가신 Nags를 없애라. 2) registration code를 찾아라. 전형적인 serial crackme이다. 화면의 파란 글씨를 읽어보면 registration을 위해 'SmartCheck'을 사용하라고 하고 있다. (SmartCheck는 Numega 사에서 만든 유틸리티이며 크래커들이 애용하는 툴 중 하나이다.) 올리디버거로 먼저 열어보았을 때 화면은 다음과 같다. [마우스 오른쪽 클릭] - [Search for] - [All referenced text strings] 검색을 통해 성공부분을 따라 들어가면 main.. 공감수 0 댓글수 0 2020. 11. 7.
[리버싱 핵심 원리] 10장, 함수 호출 규약 10장, 함수 호출 규약 함수 호출 규약? Calling Convention은 우리 말로 '함수 호출 규약'이라고 한다. 이것은 '함수를 호출할 때 파라미터를 어떤 식으로 전달하는가?'에 대한 일동의 약속이다. 함수 호출 전에 파라미터를 스택을 통해서 전달한다. 스택이란 프로세스에서 정의된 메모리 공간이며 아래 방향(주소가 줄어드는 방향)으로 자란다. 또한 PE 헤더에 그 크기가 명시되어 있다. 즉 프로세스가 실행될 때 스택 메모리의 크기가 결정된다(malloc/new 같은 동적 메모리 할당과는 다르다). Q, 그렇다면 함수가 실행완료되었을 때 스택에 들어있던 파라미터는 어떻게 해야 될까요? A, 그대로 둔다. 스택에 저장된 값은 임시로 사용하는 값이기 때문에 더 이상 사용하지 않는다고 하더라고 값을 지.. 공감수 0 댓글수 0 2020. 11. 7.
[리버싱 핵심 원리] 15장, UPX 실행 압축된 notepad 디버깅 15장, UPX 실행 압축된 notepad 디버깅 15.1 notepad.exe의 EP Code 원본의 notepad.exe의 EP 코드이다. 010073B2 주소에서 GetModuleHangleA() API를 호출해서 notepad.exe. 프로세스의 ImageBase를 구한다. 그리고 010073B4와 010073C0 주소에서 각각 MZ와 PE 시그니처를 비교한다. 15.2.notepad_upx.exe의 EP Code notepad_upx.exe를 OllyDbg로 열어보면 위와 같은 경고 메세지 박스가 나타난다. 디버거가 해당 파일이 압축되었다고 판단하였다. 예/아니오 중에 아무거나 선택해서 넘어가면 UPX EP코드가 나타난다. EP 주소는 01015330이며, 이곳은 두 번째 섹션의 끝부분이다. 실.. 공감수 0 댓글수 0 2020. 11. 7.
[리버싱 핵심 원리] 14장, 실행 압축 14장, 실행 압축 14.1_데이터 압축 데이터 압축 : 큰 용량을 작은 용량으로 적절한 압축 알고리즘을 사용하여 크기를 줄이는 것 - 데이터 손실 없이 100% 원래대로 복원할 수 있으면 비손실 압축, 원래대로 복원할 수 없다면 손실 압축이라고 한다. 1. 비손실 압축(Lossless Data Compression) : 파일 크기를 줄여서 보관 및 이동에 용이하도록 하여는 목적으로 사용 - 7-zip, 빵집과 같은 압축 프로그램을 이용하여 파일을 압축하는 경우 - 대표적인 비손실 압축 알고리즘 : Run-Length, Lempel-Ziv, Huffman 등 - 많은 알고리즘이 있지만 적어놓은 3개의 알고리즘만 이해하면 나머지는 쉽게 이해가 가능함 - ZIP, RAR 등도 근본 압축 개념은 결국 Run-.. 공감수 0 댓글수 0 2020. 10. 31.
[리버싱 핵심 원리] 13장, PE File Format 13장, PE File Format 13.1. 소개 PE(Portable Excutable) 파일? Windows 운영체제에서 사용되는 실행 파일 형식이다. 기존 UNIX에서 사용되는 COFF(Common Object File Format)를 기반으로 Microsoft에서 만들었다. 애초에는 다른 운영체제에 이식성을 좋게 하려고 만들었으나 현재는 Windows 계열의 OS에서만 사용되고 있다. 13.2.PE File Format PE File Format PE 파일의 종류 종류 주요 확장자 실행 계열 EXE, SCR 라이브러리 계열 DLL, OCX, CPL, DRV 드라이버 계열 SYS, VXD 오브젝트 파일 계열 OBJ OBJ(오브젝트) 파일을 제외한 모든 것은 실행 가능한 파일이다. DLL, SYS .. 공감수 4 댓글수 0 2020. 9. 29.
[리버싱 핵심원리] 9장, Process Explorer - 최고의 작업 관리자 9장, Process Explorer - 최고의 작업 관리자 Process Explorer? 1) windows 운영체제에서 최고의 프로세스 관리 도구는 Process Explorer 2) 유명한 sysinternals(현재는 MS에 인수되었음)의 Mark Russinovich가 만든 프로세스 관리 유틸리티 3) 이 분이 만든 유용한 유틸리티에는 FileMon, RegMon, TcpView, DbgView, AutoRuns, Rookit Revealer을 만들어 공개 Process Explorer을 다운로드 받은 후, 실행시키면 이와 같은 화면을 볼 수 있다 화면 위의 좌측의 경우, 현재 실행 중인 프로세스들을 Parent/Child의 트리 구조로 표시된다. 우측의 경우, 프로세스 각각의 PID, CPU.. 공감수 0 댓글수 0 2020. 9. 28.
[리버싱 핵심 원리] 6장,abex' crackme #1 분석 06, abex' crackme #1 분석 crackme : 크랙 연습 목적으로 작성되어 공개된 프로그램 exex 확장자로 되어있는 파일을 exe 확장자로 변경해 실행시키면 위와 같은 메세지를 볼 수 있다. CD-Rom 단어를 보고 HD가 HDD(Hard Disk Drive)를 의미한다 [ 정적 분석] Ok 단어가 나와야 한다. JE라고 되어있는 부분을 JMP로 바꿔준다. JE는 Equal 부분이기 때문에 같으면 점프한다. 때문에 점프 명령어인 JMP로 바꾼다. copy to executable을 이용해 저장한다. OK가 나오는 것을 확인할 수 있다. 공감수 0 댓글수 1 2020. 9. 15.
[리버싱 핵심 원리] 2장, Hello World! 리버싱 02. Hello World! 리버싱 1. Hello World.exe 1.1 Hello World.exe 1) 소스코드 및 실행 화면 1.2 디버거와 어셈블리 언어 1.2.1. 프로그램 처리 과정 소스코드(.cpp) -> 실행파일(.exe) -> 디버거 유틸리티 -> 어셈블리 언어 1) 실행 파일에 작성된 기계어는 사람이 알아보기 어렵기 때문에 좀 더 편하게 보기 위해서 디버거 유틸리티 사용 2) 디버거에 탑재된 디스 어셈블러 모듈은 이 기계어를 어셈블리 언어로 변역해서 보여줌 2. HelloWorld.exe 디버깅 2.2 OllyDbug 직관적인 인터페이스와 강렬한 확장 기능으로 무장한 Win32 디버거 설치: www.ollydbg.de/ 1) Code Window : 기본적으로 disassembly.. 공감수 0 댓글수 1 2020. 9. 14.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.