ML

공부 (36)

디버거 환경 탐지 NtQueryInformationProcess(), NtQuerySystemInformation() 우회

공부/개인적 공부 공간 알 수 없는 사용자 2020. 2. 11. 13:38

NtQueryInformationProcess() NtQueryInformationProcess() API를 이용하면 프로세스의 디버깅 관련 정보를 얻어 올 수 있다. 두번째 파라미터인 PROCESSINFOCLASS ProcessInformationClass의 값에 따라 디버깅 상태를 확인할 수 있는데, 0x07 일 경우 : ProcessDebugPort 0x1E 일 경우 : ProcessDebugObjectHandle 0x1F 일 경우 : ProcessDebugFlags ProcessDebugPort(0x7) ProcessInformationClass 파라미터에 ProcessDeubgPort(0x7)값을 입력하면 Debug Port를 얻을 수 있다. 만약 프로세스가 디버깅 중이 아니라면 0, 디버깅 중..

쉘코드 분석 방법

공부/개인적 공부 공간 알 수 없는 사용자 2020. 2. 1. 09:31

한글 악성코드를 분석하다가 외부 접속지에서 파일을 받아 그 파일의 데이터를 바로 메모리 상에서 실행시키는 파워쉘 구문을 확인하였다. 확인 결과 다운로드 받은 파일은 쉘코드 였으며, 그 쉘코드를 분석하는 방법을 포스팅하려고한다. 1. 우선 올리디버거를 켜고 notepad.exe 파일을 디버거창에 올려놓는다. 2. 오른쪽 클릭 후 [Backup] - [Load backup from file]을 클릭 후! 쉘코드 파일을 연다! 그럼 다음과 같은 오류가 뜰텐데 예(Y) 클릭! 그 후 파일이 로드되면 [HOME] - [Shift + End] - [Alt + Backspace] + [HoME] - [Ctrl + *] 순서대로 클릭! 처음 메모리 주소 부터 끝 메모리 주소까지 올리디버거가 분석해준 정보를 해제하는 후..

python math, random 모듈 이용 및 문자열 관련 함수

공부/프로그래밍 알 수 없는 사용자 2020. 1. 30. 15:31

1. sqrt 메소드 : 제곱근을 계산하는 메소드 import math x = float(input()) y = math.sqrt(x) print(y) 2. abs 메소드 : 절댓값을 구하는 메소드 a = -1 b = abs(a) 3. divmod 메소드 : 나눗셈에서 몫과 나머지를 구하는 메소드 import math a,b = divmod(5,2) print(a, b, sep=",") 4. randrange 메소드 : 범위 내 랜덤숫자 import random print(random.randrange(1, 45)) 5. range 메소드 : 연속적인 정수들을 반환 a = range(1,6) # [1,2,3,4,5,6] b = range(6) # [0,1,2,3,4,5] c = range(0, 50, 2..

Ghidra 기드라 설치 및 이용방법

공부/개인적 공부 공간 알 수 없는 사용자 2020. 1. 30. 12:27

지원 플랫폼 기드라(Ghidra) 지원 운영체제 : Windows7 또는 10 ( 64 bit ) Linux CentOS 7 선호 ( 64 bit ) macOS (OS X) 10.8.3 이상 (Mountain Lion 이상) ※ 32비트 운영체제는 더이상 지원하지 않음. Ghidra 다운로드 링크 :https://ghidra-sre.org/ Ghidra Getting Help Ghidra provides context-sensitive help on menu items, dialogs, buttons and tool windows. To access the help, press F1 or Help on any menu item or dialog. Visit our Wiki Issue Tracker ghi..

정적 분석 도구 PEStudio 설명

공부/개인적 공부 공간 알 수 없는 사용자 2020. 1. 29. 14:00

PEStudio는 정적 분석 도구 중 최고의 도구라고 생각한다. 파일의 문자열, 사용하는 API 함수, 파일 해시 및 기본 정보들을 한 눈에 보기 쉽게 표시되기 때문이다. 또한 악성코드에 자주 사용되는 것들을 빨간색으로 표시하며 위험한 수치와 어떤 것들이 위험한지 쉽게 알 수 있다. PEStudio 다운로드 링크 주소 : https://www.winitor.com/ 아래 화면은 PEStudio에 악성코드를 올린 첫 화면인데, 파일 고유의 해시 값과 파일 크기, 파일 종류 등을 표시해준다. 왼쪽에 indicators 항목을 클릭하게 되면, 해당 파일의 중요한 정보들을 위험도 순으로 정렬되어 나타난다. 아래 화면에서는 IP 주소와 도메인주소 패턴에 위험도를 제일 높게 평가하였다. VirusTotal 항목은 ..

윈도우 10 iso 파일 만들기!

공부/컴퓨터 지식 알 수 없는 사용자 2020. 1. 29. 13:54

Windows10 iso 파일 만들기 기드라(Ghidra)를 설치하려고 했는데 기존 가상 OS들이 다 32bit 환경이어서 설치가 안돼 64비트 환경인 Windows10을 설치하도록 하겠다. 먼저 가상머신에 설치하기 위해 Windows10 iso 파일을 만들어야 한다. Windows10 도구 다운로드 주소 : https://www.microsoft.com/ko-kr/software-download/windows10 Windows 10 다운로드 Windows 10용 ISO 파일을 다운로드한 경우, 해당 파일은 선택한 위치에 로컬로 저장됩니다.컴퓨터에 타사 DVD 굽기 프로그램이 설치되어 있으며 해당 프로그램을 사용하여 설치 DVD를 만들려는 경우, 파일이 저장된 위치로 이동하여 ISO 파일을 두 번 클릭하..

난독화 해제 도구(CyberChef) 사용방법

공부/개인적 공부 공간 알 수 없는 사용자 2020. 1. 29. 09:09

난독화란 프로그래밍 언어로 작성된 코드에 대해 분석가가 분석하기 어렵게 만드는 작업이다. 코드 난독화는 프로그램 코드의 일부 또는 전체를 변경하는 방법 중 하나로, 코드의 가독성을 낮춰 역공학에 대한 대비책을 제공한다. 그럼 난독화를 해제하는 도구 중 하나인 CyberChef에 대해 알아보자. CyberChef는 영국 정보기관인 GCHQ에서 만든 데이터 분석 및 변환을 위한 오픈 소스 웹 응용 프로그램이다. 압축 문자열 해제, 해시 및 난독화 분석에 관련된 모든 도구를 실시간 및 직관적으로 제공한다. 프로그램 작동 환경은 아래와 같다. Chrome 40 이상 Mozilla FireFox 35 이상 Microsoft Edge 14 이상 CyberChef 파일 다운로드 링크 : https://github.c..

Wireshark 와이어샤크 이용방법

공부/개인적 공부 공간 알 수 없는 사용자 2020. 1. 28. 19:57

와이어샤크란 네트워크 패킷 분석 프로그램이다. 실시간 네트워크 통신 패킷을 캡처하여 전송되는 패킷들을 분석할 수 있으며, 패킷들을 파일로 저장할 수 있다. 다운로드 링크 : https://www.wireshark.org/#download Wireshark · Go Deep. What is SharkFest? SharkFest™, launched in 2008, is a series of annual educational conferences staged in various parts of the globe and focused on sharing knowledge, experience and best practices among the Wireshark® developer and user communit..

악성코드 정의 및 분석 절차

공부/개인적 공부 공간 알 수 없는 사용자 2020. 1. 28. 19:51

악성코드란? 악의적인 목적을 위해 작성된 실행 가능한 코드의 통칭을 말한다. 악성코드는 동작에 의한 분류와 목적에 의한 분류 두가지로 나눌 수 있는데, 동작에 의한 분류는 크게 4가지로 나눌 수 있다 Virus : 스스로 복제하고 다른 파일을 감염시켜 피해 범위를 확대하는 악성코드 Worm : 네트워크를 통해 전파하며 네트워크 트래픽에 영향을 주는 악성코드 Trojan : 정상 프로그램으로 가장하여 악의적인 목적을 수행하는 프로그램 PUP : 프로그램 설치 시 사용자 동의를 구하여 설치하는 프로그램 ( 잠재적으로 원하지 않은 프로그램 ) 목적에 의한 분류는 7가지 정도로 나눌 수 있는데, 다운로더 : 인터넷 상에 있는 파일을 다운로드 드롭퍼 : 자기 자신 안에 있는 데이터를 통해 새로운 파일을 생성 런쳐..

악성코드 분석 가상환경 구축

공부/개인적 공부 공간 알 수 없는 사용자 2020. 1. 28. 19:49

악성코드 분석 시 동적 분석을 진행하기 위하여 가상 머신인 VMware workstation(유료), Virtual Box(무료) 등을 보통 사용한다. VMware 유료버전을 사용하는 이유는 snapshot이라는 기능이 있기 때문인데, 해당 기능은 악성코드 실행 전의 상태를 사진을 찍는 것처럼 찍고 난 후 언제든 그 스냅샷을 찍은 상태로 돌아갈 수 있기 때문입니다. VMware 무료 버전 다운로드 링크 : https://www.vmware.com/products/workstation-player.html Workstation Player : Run a Second, Isolated Operating System on a Single PC with VMware Workstation Player VMware..

ASLR 제거하기

공부/개인적 공부 공간 알 수 없는 사용자 2019. 1. 16. 21:54

IMAGE_NT_HEADERS -> IMAGE_OPTIONAL_HEADER -> IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE => 0으로 설정

16진수 변환 코드

공부/프로그래밍 알 수 없는 사용자 2018. 6. 26. 17:22

#include #define_CRT_SECURE_NO_WARNINGS char Dec2HexChar(int d){if (d >= 16) {return '?';}return d + '0' + (d > 9) * 7;} void main(){int input; for (;;) {printf("0~255 사이의 수를 입력하시오(끝낼 때 -1):");scanf_s("%d", &input);if (input == -1) {break;} printf("입력한 수의 16진 표기 = %c%c \n",Dec2HexChar(input >> 4), Dec2HexChar(input & 0xf));}}

Copyright © ML All Rights Reserved
Designed by JB FACTORY