윈도우 검색 결과
10 개의 검색 결과가 있습니다.
윈도우/악성코드 분석

악성코드나 공격기법에서 자주 보이는 함수 목록 및 과정

악성코드는 결국 프로그래밍에서 특정 함수를 사용하여 악의적인 행동을 할 때 그냥 프로그램에서 악성코드로 바뀌게 되는 것이다. 결국 개발과 악성코드는 똑같은 프로그램이라도, 악성 행위를 하느냐 하지 않느냐로 구분할 수 있다. 당연히 개발할 때 사용하는 함수도 악성행위를 목적으로 사용된다면 악성코드로 봐야 하기 때문에, 아래 함수들은 개발할때 사용되는 함수이면서, 악성코드에서 자주 보이는 함수들의 목록이다. 특정 함수만 보고도 악성코드의 목적이나 종류를 알 수 있어야 하겠다. 일단 이 3개의 함수는 일반적인 프로그램에서는 사용하지 않는 함수이고, 디버깅 API라고 한다. 이 함수들은 sysmon에서 관찰하고 있는데 그만큼 위험하다는 소리다. VirtualAllocEx() WriteProcessMemory()..

2022. 5. 19. 23:13
윈도우/윈도우 팁

윈도우에서 WSL로 리눅스 환경 구축하기

윈도우 10이 나오면서 마이크로소프트가 우분투 개발사와 협력하여 리눅스 서브 시스템을 윈도우 커널에 구축 하였다. 그래서 윈도우에서 부가 서비스로 리눅스를 사용할 수 있게 되었는데, 이 방법을 이용해서 리눅스 환경을 구축해보도록 하겠다. 원래는 리눅스 바이너리 파일을 만들 때나, 리눅스 관련 정보가 필요할 때 직접 가상머신을 구축하여 사용했어야 했는데, WSL은 윈도우와 리눅스가 같이 동시에 부팅되는 원리기 때문에 필요할 때마다 잠깐씩 사용할 수 있다. 설치 방법 1. Linux기능 활성화 제어판 -> 프로그램 및 기능 Windows 기능 켜기/끄기 탭을 열고 Linux용 Windows 하위 시스템을 체크해주고 확인을 누른다. 2. 리눅스와 터미널 설치 Microsoft Store에서 원하는 리눅스와 윈..

2022. 5. 9. 14:29
윈도우/PE 구조

PE 구조 (7) - EAT

IAT는 응용 프로그램이 불러다 사용하는 dll과 함수의 테이블이였다면, EAT는 프로그램이 dll과 함수에 접근할 수 있도록 주소와 정보를 기록해놓은 테이블이다. EAT를 통해서만 해당 라이브러리에서 익스포트하는 함수의 시작 주소를 정확히 구할 수 있다. EAT는 IMAGE_EXPORT_DIRECTORY구조체 안에 기록 되어 있는데, 이것 또한 IAT처럼 PE바디 안에 있고, 이것은 PE구조에 단 한개만 존재한다. IMAGE_OPTIONAL_HEADER.DataDirectory[1].VirtualAddress 값이 IAT의 구조체 배열 시작 주소였다면, IMAGE_OPTIONAL_HEADER.DataDirectory[0].VirtualAddress 값이 실제 IMAGE_EXPORT_DIRECTORY 구..

2022. 5. 2. 23:59
윈도우/PE 구조

PE 구조 (6) - IAT

IAT에는 Windows 운영체제의 핵심 개념인 Process, Memory, DLL구조 등에 대한 내용이 함축되어 담겨있다. IAT는 한마디로 프로그램이 어떤 라이브러리에서 어떤 함수를 사용하고 있는지를 적어놓은 테이블이다. 1. DLL (Dynamic Linked Library) DLL은 직역하면 "동적 연결 라이브러리" 라고 한다. DOS운영체제 시절에는 DLL개념이 없어서 프로그램에서 printf라는 함수를 사용하려고 한다면 printf의 바이너리 코드를 프로그램 자체에 삽입시키는 방식을 사용하였다. (하드코딩과 비슷한 방식을 사용) 윈도우에서 멀티 태스킹을 지원하면서 프로그램이 실행 중에 다른 곳에 접근 하는 등 다른 동작들을 할 수 있게 되버렸기 때문에 직접 삽입하는 방식은 정말 비효율적이였다..

2022. 4. 19. 22:50
윈도우/PE 구조

PE 구조 (5) - (RVA to RAW) 예제 포함

PE파일이 메모리에 로딩 되었을 때 각 섹션에서 메모리와 파일 옵셋을 잘 매핑할 수 있어야 한다. 이러한 매핑을 "RVA to RAW" 라고 부른다. Image Base RVA VA PointerToRawData 이 4개의 값으로 식을 세우면 실제 파일 오프셋의 위치를 알 수 있다. 쉽게 메모리에 파일이 실행 되고 있을때, 오프셋의 실제 주소를 알 수 있다. 식은 이러하다. RAW - PointerToRawData = RVA - VirtualAddress RAW = RVA - VirtualAddress + PointerToRawData RVA가 속해 있는 섹션을 찾는다. 간단한 비례식을 사용해서 파일 옵셋(RAW)을 계산한다. RVA = 5000h; File Offset = ? RVA 10005000 는..

2022. 4. 5. 21:24
윈도우/PE 구조

PE 구조 (4) - (Section Header)

각 Section의 속성을 정의한 것이 Section Header이다. PE 파일을 여러개의 Section 구조로 만들었을 때 장점은 바로 프로그램의 안정성이다. Code와 data가 하나의 섹션으로 되어있고 섞여있다면 복잡함을 무시하고라도 안정성에 문제가 생길 수 있다. 예) data에 값을 쓰다가 overflow가 발생했을 때, 다음의 명령어를 그대로 덮어 써버리므로 프로그램은 뻗는다. 이런 이유 때문에 섹션마다 권한이 다 다르다. 종류 엑세스 권한 code (.text) 실행, 읽기 권한 data (.data) 비실행, 읽기, 쓰기 권한 resourse (.rsrc) 비실행, 읽기 권한 그래서 각각의 Section 속성이 Section header에 저장되어 있다. Section 의 속성에는 fil..

2022. 4. 2. 16:58