티스토리

tmxklab

검색하기

블로그 홈

tmxklab

rninche01.tistory.com/m

tmxk4221 님의 블로그입니다.

구독자: 35

방명록 방문하기

주요 글 목록

블로그 이전 2021년 8월 6일 포스팅을 마지막으로 거의 1년 동안 포스팅도 안하고 블로그도 관리하지 않아서 언젠간 한 번 손봐야겠다고 다짐하지만 귀찮아서... ㅎㅎㅎ 관리가 잘 안되었던 것 같습니다. (사실 게을러서..ㅠㅠㅠ) 처음 블로그를 개설하게 된 이유에는 첫 번째로, 제가 잘 까먹기 때문에(ㅠㅠ) 블로그에 남들이 잘 이해할 수 있을 정도로 글을 쓰고 키워드로 검색하면 되기 때문이었고, 두 번째로, 제가 잘 정리한 글을 남들에게도 공유하고 싶은 마음이 컸기 때문이었습니다. 아무튼 계속해서 블로그를 운영해야겠다고 생각하였고, 새롭게 시작한다는 생각으로 블로그를 이전하려고 합니당 (뭐... 가끔 글 보면 코드 블럭 다 이상하게 되어 있고 그래서 심기 불편한 것두 있고...ㅋㅋㅋ) 현재 블로그는 그냥 유지만 하되.. 공감수 6 댓글수 1 2022. 9. 26.
EAT(Export Address Table) 1. EAT(Export Address Table) EAT(Export Address Table)는 라이브러리 파일에서 제공하는 함수를 다른 프로그램에서 가져다 사용할 수 있도록 해주는 핵심 메커니즘이다. 즉, EAT를 통해서만 해당 라이브러리에서 익스포트하는 함수의 시작 주소를 정확히 구할 수 있다. IAT와 마찬가지로 PE 파일 내의 IMAGE_EXPORT_DIRECTORY에 익스포트 정보를 저장하고 있다. IAT와는 달리 PE파일에 IMAGE_EXPORT_DIRECTORY 구조체는 하나만 존재한다. [ PE파일에서 IMAGE_EXPORT_DIRECTORY 구조체의 위치 ] IMAGE_OPTIONAL_HEADER32.DataDirectory[0].VirtualAddress 값이 실제 IMAGE_EXP.. 공감수 1 댓글수 0 2021. 8. 6.
IAT(Import Address Table) IAT(Import Address Table)의 설명에 앞서 먼저 DLL에 간략히 알아보자. 0. DLL(Dynamic Link Library) 1) DLL DLL은 실행 파일에서 해당 라이브러리의 기능을 사용 시에만 참조하여 호출하는 방식의 라이브러리를 뜻한다. Static Link Library와 다르게 컴파일 시점에 실행 파일에 함수를 복사하지 않고 함수의 위치 정보만 가지고 해당 함수를 호출할 수 있게 도와준다. 즉, 프로그램에 라이브러리를 포함시키지 않고 별도의 파일(DLL)로 구성하여 필요한 함수만 불러쓴다. 이러한 방식의 장점으로는 여러 프로그램에서 동시에 사용할 수 있으며, 라이브러리가 업데이트되었을 때 해당 DLL 파일만 교체하면되므로 쉽고 편하다. 다만 실행 파일이 DLL에 있는 특정 .. 공감수 4 댓글수 0 2021. 8. 4.
RVA to RAW PE파일이 메모리에 로딩되었을 때 각 섹션에서 메모리의 주소(RVA)와 파일 옵셋을 잘 매핑해야 하는데 이러한 매핑을 'RVA to RAW'라고 부른다. 먼저 섹션 헤더의 구조체인 IMAGE_SECTION_HEADER에서 주요 멤버를 살펴보자 VirutalSize : 메모리에서 섹션이 차지하는 크기 VirutalAddress : 메모리에서 섹션의 시작 주소(RVA) SizeOfRawData : 파일에서 섹션이 차지하는 크기 PointerToRawData : 파일에서 섹션의 시작 위치 [ Process ] 1) RVA가 속해 있는 섹션을 찾는다. 2) 간단한 비례식을 사용해서 파일 옵셋(RAW)을 계산 [ 비례식 ] RAW - PointerToRawData = RVA - VirtualAddress RAW .. 공감수 0 댓글수 0 2021. 8. 4.
SNS을 활용한 위협 정보 수집 1. 트위터(Twitter) Week in OSINT #2018-22 Last weeks edition was very well received, so I guess there really is no turning back any more! In that case, without further ado, here is this week’s “Week in OSINT”... laptrinhx.com 1) 트위터 정보 분석방법 트웨터에서 사용자 정보, 트윗/리트윗 정보, 위치정보가 주 수집 대상 Twitter Analytics for Tweets, Timelines & Twitter Maps | Social Bearing From Date - Any date - Today (23/07/2021) 1 day a.. 공감수 0 댓글수 0 2021. 7. 23.
OSINT 정보 수집 도구 1. 검색엔진을 활용한 위협정보 수집 1) 검색엔진 정보수집 활용 ① Google/Bing 검색엔진을 활용한 수집 특정 키워드(제품명, 모델명, 회사/부서명, 업무명, 파일명, URL 경로)를 이용하여 검색 참고로 Google과 Bing을 동시에 활용해야 한다. 왜냐하면 Google에서는 안나오는 것이 Bing에서 나올 수도 있기 때문이다. ② 트위터 해시태그(#)을 활용한 정보수집 트위터 검색창에서 해시태그 검색 사용빈도가 높은 키워드 #0day #RCE #CyberSecurity #Exploit #CyberBreach #Leaked DataBreach, CyberBreach 이런식으로 "Breach"라는 것을 붙이면 유출된 정보들을 확인할 수 있음 특히, 업무 중에서 악성코드를 분석하는 사람들은 샘플.. 공감수 2 댓글수 0 2021. 7. 23.
OSINT 위협 정보 수집 1. 휴민트 지능정보(HUMINT) 1) 휴민트 지능정보(Human Intelligence) 개요 ① 정보기관 및 기업 인적정보, 협력사 등 Supply Chain 대상 인적 정보 수집 기업 고위 임원(Clevel) 신상정보, 공무원, 국가기관 연구원 등 ② 사이버 보안, 범죄자 정보 수집 APT 해킹그룹, 해킹 공격 타겟대상 고위 임원, 각종 범죄관련 인적정보 ③ 주요 수집 경로 Linkedln : Email 주소, 이름, 소속회사, 프로젝트 수행 등 facebook : Real Name, 소속회사, 주변 친구 및 지인 정보 수집 Google / Bing : 검색을 통해 특정 회사 정보 수집 제안서 같은 거를 통해서 어떤 서버를 쓰는지 알 수 있음 메뉴얼을 알 수 있음, 이 말은 메뉴얼을 통해 서버에 .. 공감수 1 댓글수 0 2021. 7. 23.
OSINT 기반 Cyber Threat Hunting 1. Cyter Threat Hunting 개요 1) 사이버 위협 헌팅(Cyber Threat Hunting)이란 OSINT를 활용하여 다양한 위협 정보를 찾는 보안 활동 OSINT는 인터넷 상에서 수집할 수 있는 모든 정보로써 대상과 범위가 한정되지 않음 2) 사이버 위협 헌팅에서 수집하는 위협정보 Leaked Resource : IT정보(관리자 페이지, 내부망 정보, DB 접속정보, 해킹 흔적) 해킹으로 유출된 자료 : DB Dump, 전자파일, 도면 등 Credential 정보 : AWS 키, Google Oauth Token, Naver/Kakao Credential 정보 개인정보 : 전화번호, 생년월일, UserID/Password, Email & Password 최신 취약점 공격(CVE-코드).. 공감수 0 댓글수 0 2021. 7. 23.
Bug Bounty Program & Platform 1. 국내 1) KISA S/W 신규 취약점 포상 신고제 대상 : 국내 기업에서 제공되는 소프트웨어 KISA 인터넷 보호나라&KrCERT KISA 인터넷 보호나라&KrCERT www.boho.or.kr 2) 네이버 버그바운티 대상 : 네이버 웹 사이트(아래 링크 확인) Naver Bug Bounty 네이버 버그 바운티 프로그램은 네이버 서비스의 취약점을 조기에 찾아 사용자들에게 안전한 서비스를 제공하기 위한 프로그램입니다. 전 세계의 보안 전문가들의 도움으로 네이버 서비스의 bugbounty.naver.com 3) 웨일 버그바운티 대상 : 웨일 브라우저 Whale Bug Bounty 웨일 버그 바운티 프로그램은 웨일 브라우저의 취약점을 조기에 찾아 사용자들에게 안전한 서비스를 제공하기 위해 네이버에서 추.. 공감수 0 댓글수 0 2021. 7. 10.
[rev] rev-basic-2 1. 문제확인 chall2.exe를 실행하면 Input값을 입력할 수 있고 틀리면 종료되는 것 같다. main문을 확인해보면 sub_140001000()에서 검증을 한다. for문이 0x12번 돌면서 aC배열과 입력 값을 1byte씩 비교하여 틀린 경우 0을 맞는 경우 1을 return한다. 2. 접근방법 aC배열을 확인해보자 3. 문제풀이 저 위에 아스키 코드를 합치면 "Comp4re_the_arr4y"인데 이게 플래그 값이다. 공감수 0 댓글수 0 2021. 6. 10.
[Web] command-injection-1 1. 문제확인 특정 Host에 ping을 보내는 서비스이며 Command Injection을 통해 플래그를 획득할 수 있다. 2. 접근방법 subprocess를 이용하여 /bin/sh -c ping -c 3 "{host}"명령을 수행할 수 있으며 host에는 내가 입력한 값이 들어간다. 또한, try문에서 에러가 발생하면 exception처리가 된다. Host입력 란에 쉘 명령어를 쓰려고 하자 필터링이 된다. 개발자 도구[F12]에서 html을 확인한 결과 input에 pattern을 통해 필터링이 되는 것 같다. 3. 문제풀이 html은 수정할 수 있으므로 필터링되는 부분을 제거해주고 /bin/sh -c ping -c 3 "host" 여기서 host부분에 쉘 명령어를 입력해주자(참고로, 에러가 발생하면.. 공감수 1 댓글수 0 2021. 6. 10.
[Web] proxy-1 1. 문제확인 host와 port값을 지정하고 Data를 보낼 수 있는 것 같다. 위와 같이 입력 값을 구성하고 Send 버튼을 누르면 다음과 같이 출력된다. 이제 소스코드를 확인해보자 /admin으로 POST형식으로 접속하면 admin()가 호출되고 if문을 통과하면 FLAG값을 리턴해준다. 2. 접근방법 처음에는 BurpSuite를 통해서 직접 url에 admin과 헤더 값 등을 변경하였는데 첫 번째 if문에서 막혔다.. 그래서 생각한 것은 처음 /socket에서 입력받는 코드 부분을 살펴보았다. host, port, data를 입력하면 소켓 통신을 통해 연결되고 입력한 data값을 보내준다. 따라서, /socket에 있는 입력 폼을 이용하여 웹 서버의 host주소와 port번호를 넘겨주면 다시 웹 .. 공감수 1 댓글수 0 2021. 6. 8.
[Web] pathtraversal 1. 문제확인 접속해서 userid에 guest에 대해 View버튼을 누르면 위와 같이 key-value형태로 나온다. 문제 정보에서는 Path Traversal 취약점을 이용하여 /api/flag에 있는 플래그를 획득할 수 있다고 나온다. 2. 접근방법 이번에도 마찬가지로 문제 파일을 다운로드하여 코드를 확인해보자 먼저 FLAG변수에 flag값이 담긴다. get_info()에서는 request의 method형식에("GET", "POST") 따라 다르게 처리되는데 POST형식인 경우 '{API_HOST}/api/user/{userid}'형식으로 요청을 보낸다. 마지막으로 밑에 빨간색 박스를 보면 '/api/flag' 형식의 요청이 들어온경우 flag()를 호출하여 우리가 원하는 flag값을 return한.. 공감수 0 댓글수 0 2021. 6. 7.
[Web] cookie 1. 문제확인 쿠키로 인증 상태를 관리하며, admin 계정을 접속해야 플래그를 획득할 수 있다. 2. 접근방법 먼저, 문제 파일을 다운로드하여 코드를 확인해보자 맨 위 빨간색 박스를 살펴보면 ./flag.txt를 읽어들인 다음 'admin'에 대한 비밀번호를 저장한다. 'guest'유저는 비밀번호가 그대로 'guest'이다. 그리고 아래 빨간색 박스를 살펴보면 'username'에 대한 cookie값을 가져와서 username이 존재하면 index.html에 'guest' 또는 'admin'에 따라 다르게 표시되는 것을 확인할 수 있다. 특히 if문에서는 username이 'admin'이면 플래그 값을 보여준다. 3. 문제풀이 먼저, guest유저로 접속해보자(id = 'guest', pw = 'gue.. 공감수 0 댓글수 0 2021. 6. 7.
[pwnable.kr] ascii_easy 1. 문제확인 ascii_easy@pwnable:~$ ls -l total 1700 -r-xr-sr-x 1 root ascii_easy_pwn 7624 Nov 3 2017 ascii_easy -rw-r--r-- 1 root root 1041 Nov 3 2017 ascii_easy.c -r--r----- 1 root ascii_easy_pwn 52 Aug 6 2014 flag -r--r----- 1 root ascii_easy_pwn 141 Oct 27 2016 intended_solution.txt -rwxr--r-- 1 root root 1717736 Oct 27 2016 libc-2.15.so ascii_easy@pwnable:~$ 1) mitigation 확인 2) 문제 확인 3) 코드흐름 확인 3.. 공감수 0 댓글수 0 2021. 6. 7.
[pwnable.kr] otp 1. 문제 확인 otp@pwnable:~$ ls -l total 20 -r--r----- 1 otp_pwn root 65 Jun 14 2014 flag -r-sr-x--- 1 otp_pwn otp 9052 Jun 14 2014 otp -rw-r--r-- 1 root root 820 Jun 14 2014 otp.c 1) mitigation 확인 2) 문제 확인 3) 코드 흐름 확인 3-1) otp.c #include #include #include #include int main(int argc, char* argv[]){ char fname[128]; unsigned long long otp[2]; if(argc!=2){ printf("usage : ./otp [passcode]\n"); return 0.. 공감수 0 댓글수 0 2021. 6. 7.
[pwnable.kr] simple login 1. 문제확인 1) mitigation 확인 statically linked 2) 문제 확인 입력 값을 받고 hash값을 출력해주는 것 같다. 3) 코드흐름 확인 3-1) main() int __cdecl main(int argc, const char **argv, const char **envp) { int dec_val; // [esp+18h] [ebp-28h] char enc_val; // [esp+1Eh] [ebp-22h] unsigned int len; // [esp+3Ch] [ebp-4h] memset(&enc_val, 0, 0x1Eu); setvbuf(stdout, 0, 2, 0); setvbuf(stdin, 0, 1, 0); printf("Authenticate : "); _isoc99_s.. 공감수 0 댓글수 0 2021. 6. 7.
I/O 관련 작업(Device Driver, I/O Manager) 여기서 다루는 내용은 Device Driver와 I/O Manager에 중점을 둔다. 다음 그림은 유저단에서 WriteFile() API 함수를 호출했을 때 I/O Manager와 Device Drvier가 처리하는 과정이다. syscall(x64) 또는 sysenter(x86) 요청을 발생하면 커널 익스큐티브(ntoskrnl.exe)에서 NtWriteFile() 시스템 서비스 루틴을 호출한 후 요청을 I/O Manager에게 전달한다. I/O Manager는 요청한 연산을 처리하는 드라이버를 파악하여 해당 드라이버에게 IRP(I/O Request Packet)을 전달한다. (IRP는 데이터 구조체로 I/O연산에 수행되어야 하는 연산과 필요한 버퍼의 정보를 포함한다.) Device Driver는 IRP를.. 공감수 2 댓글수 2 2021. 5. 7.
[Volatility] 커널 공간 후킹 탐지 후킹의 목적은 정상 API 호출을 차단하여 API에 전달되는 파라미터를 모니터링하거나 API에서 반환되는 값을 필터하는 것이다. 공격자가 악성 커널 드라이버를 설치하여 커널 공간에서 후킹을 시도할 수 있다. 커널 컴포넌트가 시스템 작동에 매우 중요한 역할을 하기 때문에 커널 공간에서 후킹은 유저 공간에서 후킹하는 것보다 강력하다. 따라서, 커널 공간에서 이루어지는 다양한 후킹 기술과 탐지 방법을 살펴보자 1. SSDT 후킹 커널 공간에 존재하는 SSDT(System Service Descriptor Table)은 커널 익스큐티브(ntoskrnl.exe, ntkrnlpa.exe 등)에서 export한 서비스 루틴의 포인터를 포함한다. Window API 호출 흐름 0. 목차 1. 커널 메모리 내용 2. 유.. 공감수 0 댓글수 0 2021. 5. 7.
[Volatility] 디바이스 및 드라이버 조사 참고) I/O 관련 작업(Device Driver, I/O Manager) 여기서 다루는 내용은 Device Driver와 I/O Manager에 중점을 둔다. 다음 그림은 유저단에서 WriteFile() API 함수를 호출했을 때 I/O Manager와 Device Drvier가 처리하는 과정이다. syscall(x64) 또는 sysenter.. rninche01.tistory.com 1) devocetree 플러그인 Device Tree정보를 확인 vol_2.6.exe -f --profile= devicetree 2) driverirp 플러그인 특정 드라이버 또는 모든 드라이버와 관련된 주요 IRP 함수를 표시 vol_2.6.exe -f --profile= driverirp -r -r옵션을 지정하지 .. 공감수 0 댓글수 0 2021. 4. 28.
[Volatility] 커널 모드 루트킷 탐지 1. kernel mode rootkit 루트킷과 같은 프로그램은 커널 드라이버를 커널 모드에서 코드를 실행할 수 있음 커널 공간에 실행되면 내부 OS 코드에 접근하여 시스템 이벤트의 모니터링, 함수 후킹, 호출 테이블 수정 등 가능 커널 드라이버는 드라이버 서비스 유형의 서비스를 생성할 때 로드 커널 드라이버는 .sys확장자를 가지며 %windir%/system32/drivers에 존재 일반적으로 루트킷은 유저 모드 컴포넌트(EXE or DLL)와 커널 모드 컴포넌트(Device Driver)로 구성되며 루트킷의 유저 모드 컴포넌트는 지정된 메커니즘을 통해 커널 모드 컴포넌트와 통신한다. 통신 방법과 관련 컴포넌트를 이해하기 위해서 다음 링크를 참고하자 관련 보호기법) ① 커널 모드 코드 서명(KMCS.. 공감수 0 댓글수 0 2021. 4. 28.
[Volatility] API 후킹 탐지 인젝션한 후 악성코드는 타겟 프로세스의 API호출을 후킹해 실행 경로를 제어하여 악성코드로 재설정할 수 있다. 프로세스와 커널 메모리에서 API 후킹을 식별하고자 apihooks 플러그인을 사용한다. vol_2.6.exe -f --profile= apihooks -p Hook mode(kernel, user mode) / Hook Type(후킹 유형 : IAT, Inline, 등등...)확인할 수 있음 순서) 1) malfind 플러그인을 사용하여 인젝션된 코드를 탐지한다. 2) apihooks 플러그인을 사용하여 JMP가 인젝션된 실행 파일 내의 주소로 리다이렉션하는지 확인한다. 공감수 0 댓글수 0 2021. 4. 28.
[Volatility] Process Hollowing 탐지 Process Hollowing 먼저, 프로세스 할로윙에 대한 개념을 살펴보기 위해서 다음 링크를 참고하자 Dropper 3-2(Process Hollowing) 0. 목차 0. 목차 1. Process Hollowing이란 2. Process Hollowing 유형 분석 2.1 분석 환경 2.2 예제 소스 코드 및 컴파일 3. 분석 3.1 정적 분석 1) CreateProcessA() 2) CreateFileA(ExeName, 0x80000000, 1, 0,.. rninche01.tistory.com Process Hollowing 순서) ① CreateProcess - 인젝션할 프로세스를 일시 중지된 상태로 생성한다. ② NtUnmapViewOfSection - 섹션 매핑 해제 ③ VirtualAll.. 공감수 1 댓글수 0 2021. 4. 28.
[Volatility] Code Injection 탐지 코드 인젝션 코드 인젝션은 정상 프로세스 메모리에 악성코드(pe파일, 쉘 코드, dll 등)을 인젝션하고 정상 프로세스의 콘텍스트 안에서 인젝션한 악성코드를 실행하는 기술이다. 코드를 인젝션하고자 일반적으로 RWX권한(PAGE_EXECUTE_READWRITE)의 메모리를 할당한 다음 할당된 메모리에 코드를 인젝션한다. 위 코드 인젝션의 특징에 기반해 RWX권한을 가지는 메모리 내용을 통해 의심스러운 메모리 범위를 탐지하는데 여기서 이전에 volatility plugin에서 dll조사를 하는 부분에서 VAD(Virtual Address Descriptors)를 이용할 것이다. [Volatility] DLL 조사 1. dlllist 플러그인 로드된 DLL을 나열, DKOM 공격에 취약 dlllist플러그인은.. 공감수 0 댓글수 0 2021. 4. 28.
[Volatility] 명령어 히스토리 조사 cmdscan, consoles 플러그인 명령어 히스토리 조사 명령어 히스토리를 조사함으로써 실행된 명령어, 호출한 프로그램, 공격자가 접근한 파일과 폴더와 같은 정보 파악할 수 있음 cmdscan 플러그인은 cmd.exe가 실행한 명령을 나열 consoles 플러그인은 명령이 성공했는지 안했는지 알 수 있다. vol_2.6.exe -f --profile= cmdscan vol_2.6.exe -f --profile= consoles 공격자는 시스템에 침투한 후 다양한 명령어를 실행할 수 있다. 예를 들면 미미카츠와 같은 도구를 사용하여 윈도우 계정정보를 얻어올 수 있다. 미미카츠 관련자료) [Tool] mimikatz를 이용하여 윈도우 계정 정보 알아내기 일반적으로 윈도우 해킹 시 계정정보를 알아오기 위.. 공감수 0 댓글수 0 2021. 4. 28.
[Volatility] 서비스 조사 svcscan 플러그인 서비스 조사 서비스와 해당 서비스의 이름, 유형, 시작 유형과 같은 정보 나열 vol_2.6.exe -f --profile= svcscan 추가로 -v옵션을 주면 DLL로 구현된 서비스의 전체 경로를 표시할 수 있다. 하지만 지속 메커니즘 중에 새로운 서비스를 생성하지 않고 기존의 정상적인 서비스를 수정하여 목표를 달성할 수 있다. BlackEnergy 드로퍼의 예로 실행 시 system32\\drivers 디렉터리에 있는 aliide.sys라는 정상 드라이버를 악의적인 aliide.sys 드라이버로 대체하고 aliide서비스와 관련된 레지스트리 항목을 수정하고 마지막으로 자동시작되도록 설정한다. 악성코드 지속메커니즘 일반적으로 공격자는 윈도우가 재부팅되더라도 악성코드가 계속 실행.. 공감수 0 댓글수 0 2021. 4. 28.
[Volatility] 레지스트리 조사 1. printkey 하이브 파일 내부에 존재하는 서브 키 검색 레지스트리 키, 하위 키, 값을 출력하려면 -K옵션 사용 vol_2.6.exe -f --profile= printkey -K 2. hivelist 메모리에 존재하는 하이브 파일 목록 출력(가상+물리주소) vol_2.6.exe -f --profile= hivelist 3. userassist, shellbags, shimcache 플러그인 이진 데이터를 포함한 레지스트리 키를 파싱하고 훨씬 더 읽기 쉬운 형식으로 정보 표시 userassist 플러그인 : userassist 레지스트리 정보 출력, userassist키는 시스템에서 유저가 실행한 적이 있는 프로그램과 프로그램이 실행된 시간에 대한 목록을 포함한다 shimcache 플러그인 : .. 공감수 0 댓글수 0 2021. 4. 28.
[Volatility] 네트워크 및 소켓 조사 대부분 악성코드는 추가적으로 컴포넌트를 다운로드하거나 명령을 전달받거나 등등 네트워크 활동을 진행한다. 이러한 네트워크 활동을 조사함으로써 악성코드의 네트워크 활동을 파악하고 실행 중인 프로세스와 네트워크에서 탐지한 활동을 연관시켜 유의미한 결과를 얻을 수 있다. 1. connections 플러그인 이전 비스타 시스템(Windows XP, 2003)에서 활성 네트워크 연결 파악 pslist 방식 vol_2.6.exe -f --profile= connections 2. connscan 플러그인 이전 비스타 시스템(Windows XP, 2003)에서 활성 네트워크 연결 파악 풀 태그 스캐닝 방식을 사용해 연결을 파악 -> 종료된 연결까지 파악 가능하다. vol_2.6.exe -f --profile= conn.. 공감수 0 댓글수 0 2021. 4. 28.
[Volatility] DLL 조사 1. dlllist 플러그인 로드된 DLL을 나열, DKOM 공격에 취약 dlllist플러그인은 PEB구조체를 찾아서 로드한 모듈 정보를 얻는다. _EPROCESS구조체에 PEB포인터를 포함하는 peb라는 필드를 가지고 있음 따라서, _EPROCESS구조체를 찾으면 PEB를 찾을 수 있음 vol_2.6.exe -f --profile= dlllist -p옵션을 사용하여 pid값을 줘서 해당 프로세스에 로드된 모듈들을 확인할 수 있음 이제 커널 디버깅을 통해서 dlllist 플러그인이 어떻게 dll목록을 가져오는지 확인해보자 먼저 현재 실행 중인 "explorer.exe"프로세스를 대상으로 확인해보자 explorer.exe의 _EPROCESS구조체 주소는 0xffffe2897d03d080이며 peb값은 0x.. 공감수 0 댓글수 0 2021. 4. 28.
[Volatility] 프로세스 조사 1. pslit 플러그인 프로세스 리스트 출력(리스트워킹-가상주소) Double Linked List 탐색에 의존 DKOM 탐지 못함 vol_2.6.exe -f --profile= pslist [ pslist 도움말 확인 ] vol_2.6.exe -f "IE11 - Win7 (2)-462275e1.vmem" --profile=Win7SP0x86 pslist -h [ 출력 결과 리다이렉션 ] vol_2.6.exe -f "IE11 - Win7 (2)-462275e1.vmem" --profile=Win7SP0x86 pslist --output-file=result.txt 프로세스들은 Double Linked List구조로 되어있음, 다음 링크를 통해 참고하자 윈도우 프로세스(프로세스 관련) 윈도우 OS는 객체.. 공감수 0 댓글수 0 2021. 4. 28.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.