티스토리

일단적자

검색하기

블로그 홈

일단적자

zooonique.tistory.com/m

zooonique 님의 블로그입니다.

구독자: 2

방명록 방문하기

반응형

주요 글 목록

WS2_32.connect 보호되어 있는 글입니다. 공감수 0 댓글수 0 2023. 2. 24.
BAT 2 EXE 보호되어 있는 글입니다. 공감수 0 댓글수 0 2022. 6. 16.
How to Debug PE 악성코드를 분석하다보면, 디버깅은 뗄래야 뗄 수 없는 분석방법이다. 이 과정에서 실제 악성행위를 하는 부분이나 혹은 분석가가 원하는 부분만을 디버깅하는 것이 중요하다. (나는 실제로 간단한 샘플을 초기에 ntdll부터 디버깅을 해서 아주 고생한적이 있다.) 데이터파일이나 메모리상에 존재하는 쉘코드를 읽어서 특정 프로세스에 주입시키거나, 어떤 지점으로 가고자 할 때 쓰는 방법이 있다. * 해당 dll이나 exe파일이 어떤 데이터파일을 읽어온다면, (주로 CreateFile -> ReadFile -> VirtualAlloc~ ) 그 데이터파일을 올리디버거가 존재하는 동일 경로에 놓아야한다. 쉘 코드의 시작지점이나 아니면 원하는 모듈의 EP를 EB FE(jmp 0x0)로 변경하여 디버깅을 시도한다. 이 .. 공감수 0 댓글수 0 2022. 3. 31.
랜섬웨어 주요 암호화 알고리즘 랜섬웨어를 빠르게 분류하기 위해 어떠한 암호화 로직을 사용하는지 파악하고 있는 것이 중요하다. 자세한 내용은 해당 보고서를 읽어보면, 굉장히 좋다! https://www.fsec.or.kr/common/proc/fsec/bbs/163/fileDownLoad/3091.do 간단하게 필요한 부분만 발췌해서 메모해보자. 먼저, 암호화 알고리즘은 대칭키 암호와 공개키 암호로 구분할 수 있는데, 대칭키 암호는 속도가 빠르지만 암/복호화에 동일한 키를 사용하기에 키 확보시에 복구가 가능하다. 공개키 암호는 공개키를 확보해도 개인키를 모르면 복호화가 불가능해서 공격자입장에서는 유리할 수 있지만, 암호화 속도가 느리다는 단점이 있다. 이에따라 공격자는 파일 암호화에는 속도가 빠른 대칭키 암호 알고리즘을 사용하고, 파일.. 공감수 0 댓글수 0 2022. 3. 22.
Python - Subprocess Error Traceback (most recent call last): File "", line 1, in File "c:\Python27\lib\subprocess.py", line 493, in call return Popen(*popenargs, **kwargs).wait() File "c:\Python27\lib\subprocess.py", line 679, in __init__ errread, errwrite) File "c:\Python27\lib\subprocess.py", line 896, in _execute_child startupinfo) WindowsError: [Error 2] The system cannot find the file specified 파이썬으로 간단한 스크립트를 만들때 s.. 공감수 0 댓글수 0 2022. 3. 20.
[Malware] Cobalt Strike Cobalt Strike는 사용 침투 테스팅 도구이며, 본 목적은 공격 시뮬레이션을 수행하는 소프트웨어이다. 보안전문가에 의해 합법적인 목적으로도 사용되지만, Crack버전을 활용해 실제 공격에도 사용되기에 단순히 악성코드로 보기에는 어렵다. Cobalt Strike는 크게 Beacon, Listener, Team Server(C&C 서버) 3가지로 구성되어 있다. 주로 분석하는 유형은 Beacon이다. Beacon은 공격 기능을 수행하는 Payload 이름이다. Beacon은 여러 악성코드와 마찬가지로 문서 파일 및 다양한 경로를 통해 설치된다. Beacon의 공격 기능으로는 PowerShell Script 실행, InfoStealer(Key Logger, Screen Shot, 파일 전송), SOCK.. 공감수 0 댓글수 0 2022. 2. 25.
Find Windows OS (ASLR) 먼저 ASLR은 PE파일을 메모리에 로딩할 때 Start Base Address를 랜덤하게 바꾸는 기법이다. (디버깅할 때에도 실행할 때마다 시작 주소가 바뀐다.) PE파일을 메모리에 로딩할 때는 .reloc 섹션을 참고해서 재배치한다. (DLL은 항상 재배치 고려해야해서 .reloc 섹션이 있다고 한다.) 악성코드를 분석하다보면, x86/x64의 문제가 아닌 OS에 따라서 PE파일이 실행이 되지않는 경우가 가끔 있다. 그럴땐 어떤 환경에서 해당 파일을 실행시켜야하는지 알아내야하는데, ASLR이 그 단서가 되기도한다. 예를 들어보면, 디버깅 도중에 특정 주소로 CALL/JMP 하는 명령어가 존재하고, 그 주소가 DLL 주소를 가리킴과 동시에 명령어 실행하자마자 프로세스가 죽어버린다면? 이 부분을 의심해보.. 공감수 0 댓글수 0 2022. 2. 21.
[Malware] Agent Tesla Agent Tesla는 주로 메일의 첨부파일을 통해 유포되는 Infostealer형 악성코드이다. 해당 문서파일에 있는 매크로의 Auto_open을 통해 주로 트리거되며, 인코딩된 매크로가 많다. 매크로된 함수의 내용은 대부분 악성 URL에 mshta 프로세스를 통해 접근하게 유도하는 형태이다. 이 과정에서 공격자는 최대한 매크로를 숨기거나 에러 경고창을 띄워 사용자의 관심을 돌린다. 악성 URL에 접근하면, URL에 내장된 악성 스크립트가 실행된다. 예를 들어 VBSCRIPT가 실행된다고 하면, 굉장히 많은 것들을 할 수 있다. 레지스트리 RunKey에 PowerShell명령어를 저장후 해당 명령어를 실행할 수 있고, 해당 PowerShell 명령어를 통해 추가 악성행위도 가능하게 된다. 개인적으로 유.. 공감수 0 댓글수 0 2021. 12. 30.
[Malware] Rootkit 루트킷(Rootkit)은 시스템의 루트 권한을 얻는 도구(Kit)이다. 초기에는 이미 장악한 시스템에서 해커가 다시 Root권한을 손쉽게 얻기위해 심어놓은 백도어를 지칭했지만, 점차 보안 프로그램이나 OS로부터 악성코드를 보호하고 은닉하기 위해 제작된 프로그램을 지칭하게 됐다. 1) 1세대 루트킷 1세대 루트킷은 운영체제의 커널이나 시스템 프로그램을 바꿔치기 하는 방법을 이용해 시스템 접근을 용이하도록 만드는 프로그램들이다. 이와 같은 형태의 루트킷은 파일의 무결성 검증을 통해 방어가 가능하다. 2) 2세대 루트킷 2세대 루트킷은 무결성 검증을 우회하기위해 메모리 공간에 로드된 코드를 수정하는 방법을 사용한다. 해당 방법을 통해 코드 뿐만 아니라 서비스 처리코드, 하드웨어 인터럽트 처리 코드, MSR 레.. 공감수 0 댓글수 0 2021. 12. 29.
[Malware] Formbook Formbook 악성코드는 메일의 첨부파일 형태를 통해 주로 인포스틸러 행위를 하도록 유포되는 악성코드이다. 인스톨러나 내부의 악성코드를 포함한 PE파일의 형태로 유포되고, Dephi, VisualBasic, .NET과 같이 다양한 형태로 패킹되어 유포된다. 악성코드를 실행시키면, 주로 AV의 로직을 갖는다. 샘플명의 이름을 확인, 실행중인 백신 프로세스 확인, vmtools 프로세스 실행 여부 확인 등 다양한 로직을 거친다. 이후, 인코딩된 Formbook Binary를 디코딩하여 인젝션을 하는 과정을 많이 보여준다. 인젝션 타겟은 주로 재귀 실행된 자기 자신이고, 인젝션된 FormBook Binary는 다른 정상 실행파일을(주로 System32 | SysWOW64 경로의 실행파일) 실행시키고 인젝션한.. 공감수 0 댓글수 0 2021. 12. 27.
[Excel] Very hidden Sheet VBA Macro 엑셀문서로 위장한 악성코드는 대부분 VBA 매크로를 활용한다. 공격자는 해당 매크로를 들키지 않기위해 난독화를 해놓거나, Sheet를 숨겨놓거나 하는 방법을 주로 사용한다. Sheet를 숨기는 속성은 Hidden 속성과 Very Hidden 속성 두 가지 속성이 존재한다. Hidden 속성은 그냥 Sheet 탭에서 숨기기 취소를 통해 숨겨놓은 Sheet를 활성화 시킬 수 있지만, Very Hidden 속성은 그 방법이 유효하지 않는다. 이를 해결하기위해서는 Hxd로 숨기기 속성에 인자를 바꾸거나 (Sheet에 이름을 검색해서 접근한다.) 아래의 코드를 VBA 매크로로 한 번 돌리면 된다. Sub UnHide() Dim ws As Worksheet For Each ws In Sheets ws.Visible.. 공감수 0 댓글수 0 2021. 12. 27.
IDA Plugin 개발 - 1 아주 예전에 잠깐 해봤었던 IDA Plugin 개발에 대해 간략하게 적고자한다. IDA Plugin을 개발하기 위해서는 IDAPython을 활용해야 한다. 먼저 References 더보기 IDA 파이썬 공식 API 레퍼런스: https://www.hex-rays.com/products/ida/support/idapython_docs/ IDA 파이썬 공식 예제 모음: https://github.com/idapython/src/tree/master/examples IDA 파이썬 가이드 모음: https://reverseengineering.stackexchange.com/questions/11391/good-training-for-idapython IDA 파이썬 간단 가이드 (한글): https://susp.. 공감수 0 댓글수 0 2021. 6. 24.
justCTF - debug me if you can 이 문제는 ptrace 개념을 익히는데 도움이 되는 문제이다. (Feat, club) 일단 ptrace는 리눅스에서 지원하는 시스템 콜이다. 더보기 long ptrace(enum __ptrace_request request, pid_t pid, void *addr, void *data); 즉, 부모 프로세스가 다른 프로세스의 실행을 관찰하거나 제어하는 수단을 제공한다. (자식프로세스) 사용자는 _ptrace_request 값들을 이용하여 다른 프로세스의 실행을 관찰 또는 제어하는 것이 가능하다. 일단 문제파일은 crackme.enc flag.png.enc supervisor 세 개의 파일이다. 일단 supervisor를 분석해보자. 일단 fork함수가 활용된다. fork를 호출하는 프로세스는 부모 프로세.. 공감수 0 댓글수 0 2021. 3. 10.
RedpwnCTF 2020 - i-wanna-find-the-flag 이 문제는 exe파일을 분석하는 방법론을 어느정도 가르쳐준 문제라고 생각한다. 사실 리버싱을 하지만, 정확하게 PE파일이 어떻게 메모리를 로드하고 실행되는지 제대로 모르는데 이 반성의 기회를 살려서 공부를 해야겠다... (+악성코드 분석도) 다시 풀이로 돌아와서 프로그램을 실행시키면, 다음의 화면이 뜬다. Shift키를 누르면 실행이 되고, 게임을 저장하거나 할 수도 있다. 인게임화면이다. 이 화면에서 점프를 하여 저 구름? 안으로 들어가면 슈팅게임? 같은것을 할 수 있다. 근데 이거 뭐 깨는 법을 모르겠다. 이걸 깨야되는 건지도 모르겠고... 치트엔진 문제인가 생각했는데 그것도 아닌 것 같다. IDA를 통해 분석을 시작해본다. 일단 WinMain함수부터 살펴보자. GetVersion 함수로 OS의 버전.. 공감수 0 댓글수 0 2021. 3. 9.
Tenable CTF 2021 - Play Me 게임보이 문제이다. 이전에도 게임보이 문제를 풀었는데, 그것이랑은 다른 에뮬레이터가 필요하다. BGB GameBoy Emulator (current version: BGB 1.5.8) BGB is a GameBoy emulator/debugger which runs on Windows and Wine. Within: features; downloads; documentation; changelog; contact; back links. BGB is a Gameboy emulator, a program that lets you play Gameboy and Gameboy Color games on a pc. It does this wit bgb.bircd.org 여기서 다운받을 수 있는 에뮬레이터는 치트엔.. 공감수 0 댓글수 0 2021. 2. 24.
Tenable CTF 2021 - Forwards from Grandma 이 문제도 리버싱은 아니고 misc엿나? 아마 그렇다. eml파일이 하나 주어진다. 처음에는 ffg.jpg가 코믹한 이미지파일인데 이 밈을 이해 못해서 못푸나?? 했었다.. 근데 알고보니 모스부호 FWD: . RE: - flag{i_miss_aol} 공감수 0 댓글수 0 2021. 2. 23.
Trollcat CTF - Solver 어려운 문제가 아니니까, 간단하게 풀이할 수 있다. Key를 buf에 입력받고, sub_1200 함수를 통해 비교한다. z3를 사용하는 문제이다. 왜 문제이름도 Solver인지 알 수 있다. from z3 import * # Creates solver s = Solver() # Creates an array of variables to solve for flag = [BitVec('flag%i'%i,8) for i in range(0, 22)] # checks that variables are in range for i in range(0, 22): s.add(flag[i] >= 48) s.add(flag[i] 공감수 0 댓글수 0 2021. 2. 17.
RaziCTF2020 - Protected Conditions Easy Conditions였나? 그 문제랑 비슷해보인다. 디버깅이 필요한가 했었는데... 딱히 필요없다. std::cin+4을 통해 문자를 입력받는다. 입력받은 문자를 sub_F93C20함수를 통해 어딘가에 입력한 문자를 저장한다. (v9 or v16) sub_F93540에 들어가는 파라미터는 비교할 특정 문자인데, 위에 저장되어있는 어딘가에 저장한 문자와 비교하여 같으면 0을 반환한다. 그렇다면 우리가 알아야되는것은 sub_F93540의 들어가는 파라미터가 어떤것들인지 알아봐야한다. 저기에서보면 v114부터 v117, v120, ... 위에 해당 변수들을 선언과 초기화를 다 해놔서 디버깅할 필요없이 이 부분만 확인하면 될듯하다. 더보기 v114[16] = v117[16] R v120[16] a v10.. 공감수 0 댓글수 0 2021. 1. 29.
RaziCTF2020 - Revme 보호되어 있는 글입니다. 공감수 0 댓글수 0 2021. 1. 27.
RaziCTF2020 - Easy Conditions 더보기 int __cdecl main(int argc, const char **argv, const char **envp) { unsigned __int8 v3; // al int v4; // edi int v5; // ecx void *v6; // ecx void *v7; // ecx void *v8; // ecx void *v9; // ecx _BYTE *v10; // ecx _BYTE *v11; // ecx _BYTE *v12; // ecx void *v13; // ecx _BYTE *v14; // ecx void *v15; // ecx _BYTE *v16; // ecx _BYTE *v17; // ecx _BYTE *v18; // ecx _BYTE *v19; // ecx _BYTE *v20; // .. 공감수 0 댓글수 0 2021. 1. 25.
HTB - Nostalgia 이 문제는 gba파일의 존재여부와 디버거의 존재를 가르쳐주는 문제였다. 일단 gba파일에 대해서 간단하게 적어놓자, gba는 게임보이 어드밴스 전용 게임파일이라고 한다. 게임보이 어드밴스는 닌텐도가 발매한 첫 휴대용 게임기이다. 그리고 뭐 CPU가 8비트로 동작해서 높은 호환성을 가지고 있다는데, 자세히는 잘 모르겠다. 솔직히! 어쨌든 gba파일이라는 것이 있구나! 라는 것을 알게되었다. 추가적으로 디버거도 존재한다. www.nogba.com/no$gba-download.htm No$GBA Download Latest Version : No$GBA Emulator » No$GBA Download No$GBA Download Latest Version : No$GBA Emulator v3.02 - rele.. 공감수 0 댓글수 0 2021. 1. 22.
HTB - exalton_v1 하.. 기본에 충실하지 못했던 문제다. ELF파일을 보면, 패킹이 되어있는지 확인하는게 중요한데.... 사실 PEID로 검사를 해보긴했는데, PEID는 PE파일만 검사가 가능한가보다... (몰랐다. 나는..) 나는 gdb-peda로 디버깅을 시도해보다가 UPX라는 문자열을 발견하고, UPX로 패킹되어있는 것을 알아차렸다. 리눅스 바이너리 언패킹은 어떻게 하지? 했는데, 그냥 윈도우 PE파일 언패킹하듯이 똑같이 하면된다. 언패킹을 하고, 해당 바이너리를 다시 IDA에 올리니까... 아 이렇게 함수가 많은 파일이었구나 새삼 느낀다.... 늘 그렇듯이 main을 찾고, main에서 문제이름과 같은 exalton함수를 찾을 수 있었다. 26째 라인에서 입력을 받고, exatlon함수로 진입한다. C++은 진짜 .. 공감수 0 댓글수 0 2021. 1. 20.
HTB - Hackybird 이 문제는 문제파일을 실행시키는 것이 제일 어려웠다. Windows defender가 열일하는것을 알 수 있었다. 게임을 통해서, 스코어를 올리는 스타일의 문제는 항상 치트엔진을 제일 먼저 생각하게된다. 일단 처음에는 항상 0점이고, First Scan을 0으로 설정하여 데이터를 담은 메모리주소를 찾고, 점수를 올려가면서 값을 찾아가보면 된다. 0에서 First scan > (1점) 재빠르게 next scan 근데 점수를 올리기가 쉽지않다. (TeaClicker문제를 참고하면 쉽다.) Anyway, 스코어가 저장된 주소를 찾았다면 그 부분을 999로 만들어주고 게임을 재시작한다음에 1포인트를 더 쌓아주면.. 공감수 0 댓글수 0 2021. 1. 18.
HTB - Bypass 이번 문제는 C#으로 짜여진 프로그램을 dnspy를 통해 디버깅하여 풀어보는 문제이다. 먼저 dnspy의 주요 단축키를 알아보자. F9 : break point F10 : step over F11 : step into Shift + F11 : step out Ctrl + Shift + F5 : restart F5 : start 이부분에서 global::0.1()을 통해, ID와 PW를 입력받는다. 어떤 값을 넣어줘도 flag는 false가 나오고 else문으로 분기하게된다. 그래서 if(flag2)부분에 bp를 걸고, true로 바꿔서 안으로 진입한다. global::0.2()로 분기하면, EMPTY_NAME에 어떠한 문자열을 저장하는데, 문자열의 내용을 보면, "ThisIsAReallyReallySec.. 공감수 0 댓글수 0 2021. 1. 15.
HTB - debugme.exe ```c // positive sp value has been detected, the output may be wrong! char mainCRTStartup_0() { int v0; // eax unsigned __int64 v1; // rax int v2; // ebx unsigned __int64 v3; // rax int (__cdecl *v4)(int, const char **, const char **); // eax LOBYTE(v0) = NtCurrentPeb()->BeingDebugged; if ( !(_BYTE)v0 ) { LOBYTE(v0) = NtCurrentPeb()->UnicodeCaseTableData; if ( !(_BYTE)v0 ) { v1 = __rdtsc(); v2 =.. 공감수 0 댓글수 0 2021. 1. 13.
Decompilation failure - positive sp value has been found 간혹 디컴파일을 시도하다가 이런 화면을 IDA에서 확인할 수 있다. 이럴때는 Options > General > Stack pointer를 체크해준다. 그다음 디컴파일하려고 하는 부분에 가보면 이런식으로 retn이 -04로 표시되어있는 것을 확인할 수 있는데, -0x4 윗라인으로 커서를 이동하여 Alt+K를 통해 0x0으로 수정하면 디컴파일이 가능하다. 공감수 0 댓글수 0 2021. 1. 13.
HTB - headache 64bit 실행 바이너리이다. IDA 헥스레이로 분석이 불가능해서, 디버깅을 바로 시작한다. gdb 디버깅을 하려고보니까 까다롭다. IDA로 리눅스디버깅으로 진행한다. 맨 처음 init_proc() 하는 함수에 브레이크포인트를 걸고 진행하면, 진행되는 함수들을 볼 수 있다. F7로 함수에 진입하고 디컴파일되지않는 영역들은 패킹하여 디컴파일을 하면 Initialinsing을 출력하는 함수를 확인할 수 있다. 그 후 Enter the key를 하는 부분이 있는데, 여기서 v6에 key를 입력받는다. 그 후 v6가 20자인지 파악하고, sub_55E718B2B35F함수를 통해 앞서 저장한 v2~v4 (사실상 v2에 주르륵 저장한 값들이다.) 활용하여 연산을 한다. 그 후, v2와 v3들을 아래의 로직으로 연산.. 공감수 0 댓글수 0 2021. 1. 11.
HTB - BombsLanded 보호되어 있는 글입니다. 공감수 0 댓글수 0 2021. 1. 7.
Christmas CTF 2020 - angrforge 이 문제는 분석보다는 기존에 나와있는 라이트업을 통해 angr의 활용방법을 정리하는 방법으로 진행한다. angr의 설치와 사용방법은 간단하게 zooonique.tistory.com/26 여기에 정리를 해뒀다. 구글링해보면 더 좋은 글들이 많다! 바이너리를 실행시키면, 57자리의 input을 받고 제대로 입력을 하면, "OMG, Thank you for your good works :)"이 출력된다. 더보기 import angr import claripy def main(): p = angr.Project('angrforge') # 8비트 즉 1바이트의 심볼릭 비트벡터를 57개 만들어준다. flag_chars = [claripy.BVS('flag_%d' % i, 8) for i in range(57)] #.. 공감수 0 댓글수 0 2021. 1. 4.
Python3 Angr Install & How to use Angr 문제를 접하고 푸는 도중에 기존에 알고있던 Angr과는 조금 바뀐 부분이 있어서 이에 대한 내용을 메모합니다. 일단 Angr을 설치하는데, Python3 환경에서 설치하여 구동한다. 참고한 블로그에 따르면, Python3의 가상환경을 생성하고 그 위에 설치한다. 그 이유는 angr의 모듈도 z3의 Solver를 이용하면서 동시에 설치하면 서로의 영역에 침범해서 모듈을 사용할 수 없다고 한다. 아래와 같은 순서대로 설치를 진행한다. sudo apt install python3 sudo apt install python3-pip sudo apt install git sudo apt-get install virtualenvwrapper python2.7-dev build-essential libxml.. 공감수 0 댓글수 0 2021. 1. 4.

반응형

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.