티스토리

단디연구소

검색하기

블로그 홈

단디연구소

dandilab.tistory.com/m

단디연구소 님의 블로그입니다.

구독자: 0

방명록 방문하기

주요 글 목록

범용 레지스터 구조 인텔의 IA-32구조에서 사용 되는 레지스터레지스터는 범용레지스터 8개, 명령 포인터(EIP), 세그먼트 레지스터, 플래그 레지스터 등으로 나뉜다. 공감수 0 댓글수 0 2016. 5. 2.
[쉘코드] kernel32.dll base address 찾기 시스템이 재시작 되거나 시스템이 다를경우 DLL이 메모리에 로드되는 위치가 변한다. 이러한 상황과 상관없이 API를 사용하기 위해서 커널 구조체를 이용해서 dll의 base 주소를 찾을수 있다 mov eax, fs:[eax+0x30] // PEBmov eax, [eax+0xc] // PEB_LDR_DATAmov eax, [eax+0x14] // .exe InMemoryOrderModuleListmov ebx, [eax] // ntdll.dll InMemoryOrderLinksmov ebx, [ebx] // kernel32.dll InMemoryOrderLinks mov ebx, [ebx+0x10] // ebx = kernel32.dll base address 공감수 0 댓글수 0 2016. 4. 29.
[파밍] PAC를 이용한 악성코드 PAC(프록시 자동 구성) 파일은 인터넷 또는 인트라넷에 대한 사용자 액세스를 제어하는 방법입니다. PAC 파일은 웹 브라우저가 요청된 콘텐츠를 검색하기 위해 ProxySG 어플라이언스를 사용해야 하는 시기와 사용 여부에 대한 지침을 포함하며, .pac 확장자가 있는 JavaScript 스크립트 파일입니다. 네트워크 관리자는 PAC 파일이 중앙에서 관리되며 업데이트가 쉽기 때문에 PAC 파일 사용을 즐겨합니다.네트워크 상의 웹 서버에 이미 PAC 파일이 있는 경우 네트워크 상의 모든 클라이언트에 대한 이 파일의 URL을 웹 브라우저 구성에 추가합니다. PAC 파일 위치를 정의하면 웹 브라우저가 웹 요청 처리에 대한 프록시 구성 지침을 검색 및 다운로드할 수 있습니다. - 출처 : https://bto.b.. 공감수 0 댓글수 0 2016. 4. 14.
커널 디버깅 간단하게 세팅하기!! 커널디버깅하기위해 VMware에 시리얼 포트를 이용해 windbg를 사용하는 방법을 이용한다. 하지만 virtualKD를 이용하여 간단하게 커널 디버깅을 할수 있다. virtualKD 사이트http://virtualkd.sysprogs.org/ 현재 3.0 까지 나왔고 windows10까지 지원된다. 1. 위 사이트에서 virtualkd를 다운 받고 압축을 푼다음 target 폴더를 VM에 이동 시킨후 vminstall.exe를 실행 시키고 install를 진행한다. 2. vmmon.exe를 실행 시키고 디버거의 위치를 설정 하고 Run Debugger 버튼을 눌러 커널 디버깅을 한다. VM 부팅시에는 virtualKD 디버그 모드로 부팅한다. 공감수 0 댓글수 0 2016. 2. 4.
스위치문과 봇! 악성코드 중 봇 기능을 수행하는 악성코드들이 많이 있다. 이런 봇기능을 수행하는 악성코드들은 C&C에서 명령을 받고 명령에 따라 수행하는데 . 이때 스위치 문을 많이 쓰게 된다. 물론 IF문을 사용할때도 있지만 스위치와 IF문의 특성을 고려해서 스위치문을 많이 사용하는 듯하다. 악성코드를 분석 하면 스위치문은 다음과 같은 특성을 가지게 된다. 점프문이 가리키는 오프셋을 확인해 보면 위와 같이 점프로 이동 될수 있는 주소값들이 있고 이곳으로 선택 되어 조건을 실행 시킨다. #물론 스위치문이 있다고 다 봇은 아니다. 스위치문으로 들어가기전 C&C와의 통신을 통해 명령을 받아야 하고 받은 명령어가 악의 적인 행위를 해야 악성코드로 볼수 있다. 스위치문은 누구나 쓸수 있으니까. ㅋㅋㅋ 공감수 0 댓글수 0 2016. 2. 4.
VMware Anti VM 우회 기법 악성코드가 분석을 방해 하기 위해 Anti VM 기법을 적용할 때가 있다. 이를 우회 하기 위해서 VM이미지파일이 있는 경로에 vmx파일안에 아래 내용을 추가 한다. isolation.tools.getPtrLocation.disable = "TRUE"isolation.tools.setPtrLocation.disable = "TRUE"isolation.tools.setVersion.disable = "TRUE"isolation.tools.getVersion.disable = "TRUE"monitor_control.disable_directexec = "TRUE"monitor_control.disable_chksimd = "TRUE"monitor_control.disable_ntreloc = "TRUE"mo.. 공감수 0 댓글수 1 2016. 2. 2.
웹브라우저 자동로그인 계정정보 탈취? 악성코드 분석 중에 웹브라우저 자동로그인 계정정보 탈취?를 하는 악성코드가 있었다 . 어떤 웹사이트에 계정정보를 보내는듯 했다. 해당 사이트는 로그인이 필요 했고 .. 로그인만하면.. 탈취된 계정을 전부 볼수 있지 않을까??? 전송 방법?action=add&username=[username]&password=[password]&app=[application]&pcname=[computer_name]&sitename=[server_address] # 그런데 ISI AGU TEAMS ????? 공감수 0 댓글수 0 2016. 1. 28.
HWP 쉘코드 찾기 가장 간단한 방법으로 HWP의 쉘코드를 찾는 방법을 기록한다. 여기서는 누리랩에서 만든 HwpSacn이라는 툴을 이용한다. 1. HwpSacn으로 HWP을 열고 취약점 검사 버튼을 누르면 취약점이 존재하는 섹션은 알수가 있다. 2. 취약점이 존재하는 섹션을 덤프를 떠야 하는데 한글은 데이터가 압축되어 있어 정확한 데이터를 얻기 힘들지만 HwpSacn 툴은 압축을 해제한 데이터 덤프도 제공하고 있다. 취약점 색션 우클릭 > Save a Hex (Decompress).. 3. 해당 덤프를 올리로 실행시켜 쉘코드를 찾는다. 올리디버거로 아무 EXE를 실행한다. (예. 나 같은 경우는 올리에서 쓰는 loaddll.exe를 많이 씀) 그이후 memory map창을 열고 덤프 파일을 로드 시킨다.memory map.. 공감수 0 댓글수 0 2016. 1. 25.
DNS변조 파밍 악성 코드 간단 분석 파밍 악성코드는 여러가지 형태로 파밍사이트에 접속을 유도 하는데 이번 악성코드는 DNS서버 설정을 변경하는 파밍 악성 코드 이다. 이 악성코드에 감염 되면 DNS설정이 다음과 같이 바뀐다. DNS서버를 로컬호스트로 바꼈는데 어떻게 이런식으로 파밍 사이트 로 접속 되는지를 확인해 보면악성코드는 서비스를 등록해 DNS서버 기능 을 한다. 위사진 처럼 53번 포트를 열어 DNS서버 기능을 수행해 파밍 사이트로 접속 된다. 공감수 0 댓글수 0 2016. 1. 21.
Themida 단순 Unpack 악성코드 분석을 하다보면 여러가지 팩커를 만나는데 너무 힘들게 하는 패커는 더미다 이다. 분석을 편하게 완벽하게 만들수는 없지만 간단한 방법으로 언팩하는 방법을 기술 한다. # 이방법은 단순히 메인 함수를 찾는 방법이다 . 더미다의 분석 방해 기법인 API리다이렉트 등에 대한 해결책은 제시 되어 있지 않다. 1. 더미다 안티 디버깅 우회종종 이런것들이 힘들게 한다 PhamtOm플러그인으로 우회를 할껀데 귀찬으니까 옵션을 다켠다. 2. ZwFreeVirtualMemory 에 BPZwFreeVirtualMemory 에 BP를 건다. 3. 코드섹션 값 확인 Shift + F9 를 눌러가면서 코드섹션 값을 확인한다. 코드섹션 값이 코드로 변하면 ZwFreeVirtualMemory 에 BP 없엔다. 4. 메인 함.. 공감수 0 댓글수 0 2016. 1. 20.
OllyDBG PhantOm Plugin 악성코드 분석 할때 악성코드들이 안티 디버깅과 모니터링 툴을 확인해 동작을 안하거나 분석을 방해하는 경우가 있다 . 이때 PhantOm Plugin을 통해 우회 하여 분석을 할 수 있다. 공감수 0 댓글수 0 2016. 1. 20.
IE Single Process 설정 악성코드를 분석하다 보면 IE를 디버깅을 해야할 때가 있다. IE는 실행되면 2개 이상의 프로세스가 생겨서 어떤 프로세스를 디버깅 해야 할지 난감 할때 가 있다. 그래서 IE 프로세스를 하나로 동작하게 하는 것을 세팅 하면 편하다. 아래 레지스트리를 설정한다. 없으면 만든다. PATH : HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MainName : TabProcGrowth(Type : DWORD)Value : 0 공감수 0 댓글수 0 2016. 1. 13.
Win32 API Shellcode Hash 악성코드 분석하다보면 다양한 방법으로 API를 가져 온다 API의 이름을 해쉬로 만들어 원하는 API를 가져오는 방법이 있어 기술 한다. 아래는 API이름을 해쉬로 만드는 코드 이다 unsigned int __stdcall hashString(char* symbol){__asm {mov esi, symbol; # 원하는 API이름 로드xor edi, edi;xor eax, eax;cld;Hash_loop:lodsb; # 한 바이트씩 입력 test al, aljz hash_done; # API이름의 마지막인지를 확인 하여 끝났으면 loop에서 빠져 나감ror edi, 0xd; # rotate right 13(0x0d) add edi, eax;jmp Hash_loop;hash_done:mov eax, edi.. 공감수 0 댓글수 0 2016. 1. 13.
CK vip Exploit Kit 난독화 방법 CK 는 예전부터 지금 까지 계속 많이 이용되고 있는 Exploit Kit 이다 CK의 난독화 방법은 예전에 사용되었던 Yszz EK의 난독화기법과 dean.edwards packer 의 기법을 사용 한다, http://dean.edwards.name/ http://www.kahusecurity.com/2012/new-chinese-exploit-pack/ 공감수 0 댓글수 0 2015. 4. 13.
다양한 Encoder HTML 디코딩 http://www.opinionatedgeek.com/dotnet/tools/htmlencode/Decode.aspxOGZmM2I5ZmJhYWQzNDg2MGQwYmMyYTc0NDhhODdhN2I= Base64 디코딩 (OGZmM2I5ZmJhYWQzNDg2MGQwYmMyYTc0NDhhODdhN2I=)brainfuck 디코딩 (http://www.splitbrain.org/services/ook) +++++ +++++ [->++ +++++ +++++++ .++ ++ ++..- ---.+ ++.- ----- -- ----- --. -----.. ++++ +++++++ .++ ++ ++++. ----- ----. +++ ++ ++.---- -. ---- ------- --.+ +++++ ++ .. 공감수 0 댓글수 0 2015. 4. 10.
DoSwf encrypt 요즘 EK로 떨어지는 swf파일을 분석해보면 DoSwf 로 암호화가 되어 있다 . 복호화 방법을 아무리 찾아봐도 나오질 않는다. 하나 찾았는데... SWF Revealer Ultimate 라는 툴인데 리미티드 에디션이다...위 툴이 Action Script Viewer 2012? 인가 부터는 내장되어 있다는 말이 있어서 찾아봤지만 보이질 않는다. 공식 페이지에도 다운로드를 제공하지 않고 업데이트만 제공하고 있다. DoSwf 의 doswf decrypt가 궁금하다면 다음 링크를 참고 바란다.DoSwf때문에 분석가는 너무 힘들다..http://blog.codestage.ru/2013/05/06/decrypting-doswf/ 공감수 0 댓글수 0 2015. 4. 7.
CapTipper 0.2 released! CapTipper 0.2가 릴리즈 되었다. 악성코드 유포 트래픽을 찾는데 특화되어 도움이 될만하다.0.2에서는 웹서버와 html, json파일로 리포트를 제공해줘 상당히 만은 도움이 될꺼 같다.http://www.omriher.com/2015/03/captipper-02-released.html 공감수 0 댓글수 0 2015. 4. 3.
DLL Pre-Load 공격 DLL 로드 우선 순위를 이용해 악성 DLL등이 사전 로드 되게 하는공격DLL 로드 우선 순위LoadLibrary, LoadLibraryEx 로드 우선 순위1. DLL이 로드하는 프로그램이 위치한 디렉토리 2. 시스템 디렉토리 3. 16비트 시스템 디렉토리 4. Windows 디렉토리 5. 현재 작업 디렉토리(CWD) 6. PATH 환경 변수에 나열된 디렉토리SearchPath 로드 우선 순위1. DLL이 로드하는 프로그램이 위치한 디렉토리 2. 현재 작업 디렉토리(CWD) 3. 시스템 디렉토리 4. 16비트 시스템 디렉토리 5. Windows 디렉토리 6. PATH 환경 변수에 나열된 디렉토리 위와 같은 우선순위에서 악성 파일을 로드하는 DLL보다 높은곳에 위치하게 되면 악성 DLL이 로드 된다. 보안.. 공감수 0 댓글수 0 2015. 3. 9.
악성코드에서 사용하는 Windows Registry Windows Registry 보안 설정 “숨김파일설정” HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden “작업관리자 설정” HKCU\Software\Microsoft\Windows\CurrentVersion\policies\DisableTaskMgr “레지스트리 설정” HKCU\Software\Microsoft\Windows\CurrentVersion\policies\system\DisableRegistryTools “IE 오프라인 설정” HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\GlobalUserOffline “안전모드 설정” HKCU\System.. 공감수 0 댓글수 0 2015. 2. 10.
CuckooSandbox 파이썬 기반의 행위 기반 악성코드 자동 분석 시스템 상당히 좋다. http://cuckoosandbox.org/ 공감수 0 댓글수 0 2015. 2. 10.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.