해킹&보안/리버싱 검색 결과

해당 글 14건

[D+14] 악성코드 분석

7. 악성코드 분석 1) 악성코드란? ▣ 악성코드란?- 정당한 사융벗이 정보통신 시스템, 데이터 또는 프로그램 등을 훼손, 멸실, 변경, 위조 또는 그 운용을 방해할 수 있는 프로그램. ▣ 관련 규정- 정보통신망법 제 48조 제 2항: 악성프로그램을 전달 또는 유포하여서는 아니된다.: 위반시 징역 5년 또는 벌금 5천만원 이하 (62조)- 정보통신망법 제 50조의 5: 정보통신서비스 제공자는 영리목적의 광고성 정보가 보이도록 하거나 개인정보를 수집하는 프로그램을 이용자의 컴퓨터, 그 밖에 대통령려이 정하는 정보처리장치에 설치하고자 할때에 이용자의 동의 얻어야한다. : 이 경우 해당 프로그램의 용도와 삭제할 수 있는 방법을 고지하여야 한다.: 위반시 과태료 3천만원 이하 (67조) 2) 악성코드 분류 ▣ ..
해킹&보안/리버싱 2017. 4. 21. 18:25

[D+13] DLL Injection (2)

6. DLL Injection 2) DLL (Dynamic Linked Library) ▣ LoadLibrary & FreeLibrary- 두 함수 모두 Kernel32.DLL 안에 들어있음.- HINSTANCE LoadLibrary(LPCTSTR lpLibFileName);☞ 해당 dll 파일을 메모리 상으로 로드.☞ HINSTANCE : 로딩한 DLL의 핸들값.☞ LPCTSTR lpLibFileName : DLL 경로(상대, 절대 경로 모두 가능)- BOOL FreeLibrary(HMODULE hLibModule);☞ 해당 dll 파일을 메모리 상에서 해제.☞ HMODULE hLibModule : 핸들 값- Load된 수 만큼 메모리 상에서 개수만 중첩되기 때문에 Free또한 load한 만큼 해야함...
해킹&보안/리버싱 2017. 4. 20. 21:15

[D+12] DLL Injection (1)

6. DLL Injection 1) 프로세스 실행흐름 ▣ DLL Injection?- 시스템 해킹 시간때는 코드를 주입하고 RET 정보를 수정해줘야 실행이 됐음.- DLL Injection은 dll 주입만 하면 dll 자체가 PE 구조라 알아서 E.P 참조해서 EIP 정해서 코드 실행까지 됨.- 편하지만 알아서 실행되기 때문에 굉장히 위험할 수 있음. ▣ 가상 메모리 공간- 가상 메모리 공간이 생김으로써 각각의 프로세스들이 서로 다른 프로세스의 메모리 공간에 접근을 못하게 됨.- 보안 상 이유로 생겨남.- 그러나 DLL Injection은 해당 사고를 파괴시킴. (한 프로세스의 가상메모리 상에 올라가서 동작을 함) ▣ 프로세스- DLL Injection은 원래 프로그램이 정상동작을 해야하는 경우가 많기 ..
해킹&보안/리버싱 2017. 4. 18. 20:59

[D+11] 안티 디버깅

5. 안티 디버깅 1) Anti-Debugging ▣ 안티 디버깅이란? - 고급 리버싱 과정- 각종 안티 디버깅 기법들의 동작 원리 파악 후 회피- 지금까지 배운 내용을 총 동원- 디버거와 OS에 강한 의존성- 지속적인 최신 기술 습득- 안티디버깅의 최종목표는 디버깅을 못하게가 아닌 최대한 지연시키는 것임.- 디버깅 중일때랑 아닐때 실행결과를 다르게함 (안티디버깅인지 모르게) ▣ 안티 디버깅 분류- API Based Detection : OS에서 함수를 제공해줌. 고로 분석하기도 제일 쉬움.☞ FindWindow, IsDebuggedPresent(PEB 구조체) 등..- Process and Thread Block Detection : PEB 구조체를 통해서 정보를 얻어옴.- Hardware and Re..
해킹&보안/리버싱 2017. 4. 17. 19:06

[D+10] 패킹&언패킹 (2)

4. 패킹&언패킹 3) 수동 언패킹 (Manual Unpacking) ▣ 수동 언패킹- OllyDbg를 사용하여 upx로 패킹되어있는 파일을 수동으로 언패킹함.- OllyDbg는 처음 실행 시 Entry Point를 찾아서 첫 바이트를 0xCC(Interrupt)로 잠시 바꿔둠. 그래서 멈춰있는 것임.☞ 직접 중단점을 설정할 때도 해당 줄에서 첫바이트를 0xCC로 잠시 바꾸기에 해당 줄에 멈춰있는 것임.- OllyDump.dll : 패킹을 풀고 저장하기위한 plugin ☞ 첫 줄에 PUSHAD는 프로그램 초기 실행시 레지스터 값을 백업하는 것임.☞ 복호화 코드를 다 실행하고 OEP를 찾아서 떠날때 레지스터값들을 복원하기 위해 존재.☞ PUSHAD가 있다는 말은 그에 대응하는 POPAD가 있을 확률이 큼...
해킹&보안/리버싱 2017. 4. 12. 20:03

[D+9] 패킹&언패킹 (1)

4. 패킹&언패킹 1) 패킹 ▣ Packing (실행압축)?- 1번째 압축 : 파일 형태가 바뀜. 용량도 바뀜. 여러 파일들을 한번에 묶는 용도로도 사용. - 2번째 압축 : 실행파일 형태(PE구조)의 파일만 압축. 원본파일과 동일한 형태의 PE구조 파일이 나옴. 용량은 줄어든다.☞ 압축을 풀 필요없이 압축된 상태 그대로 실행가능. 압축전과 동일한 동작을 함.- Packing과 암호화 : 둘 다 내용을 바꾸긴 하지만 암호화는 완전 다르게 기능도 바꿔버림. Packing은 실행시 기능이 전과 동일. ▣ Packing 목적- 파일 용량 압축- 안티 디버깅 & 리버싱 : 코드 분석이 어렵도록..☞ 요즘은 상용프로그램은 잘 쓰지 않음. 악성코드 프로그램이 많이 사용. ▣ Packing 원리 - Packing된 ..
해킹&보안/리버싱 2017. 4. 11. 20:53

[D+8] PE 구조

3. PE 구조 1) PE 구조란 ▣ PE 란?- Microsoft의 운영체제 Windows 3.1 부터 지원되는 (실행)파일의 형식 ▣ PE 파일의 종류- 실행 파일 계열 : EXE, SCR(Screen Saver)☞ 독립프로그램 형태. 혼자서 실행가능 - 라이브러리 계열 : DLL, OCX☞ 독립프로그램 형태가 아님. 혼자서 실행불가하고 다른 프로그램에 들어가서 빌붙어 실행.- 드라이브 계열 : SYS- 오브젝트 파일 계열 : OBJ ==> PE 구조를 보기위해 PEview 프로그램을 사용할 것임. ▣ PE 구조 [헤더] -> like 설명서- IMAGE_DOS_HEADER & Dos Stub : 시그니처랑 다음 헤더의 위치 및 Dos에서 실행될때.. - IMAGE_NT_HEADER☞ Signatur..
해킹&보안/리버싱 2017. 4. 10. 22:23