티스토리

Study
검색하기

블로그 홈

Study

chive0402.tistory.com/m

마늘부추 님의 블로그입니다.

구독자
1
방명록 방문하기

주요 글 목록

  • Read-Write Lock Reader-Writer Lock 하나의 데이터에 접근하려는 5개의 Thread가 있다. 위 경우에서 Thread 1, 4가 쓰기 작업을 수행하기 위해 Data에 동시 접근하는 경우 문제가 발생할 수 있다. 혹은 Thread 2가 Data를 읽으려는 순간 Thread 1이 Data의 내용을 변경해버릴 경우 문제가 발생할 수 있다. 그렇기 때문에 공유 자원에 접근하기 위해서는 동기화 처리를 해주어야 한다. 한번에 하나씩만 자원에 접근하도록. 그러나 값을 그저 읽기만 하는 경우에는 동기화 작업이 꼭 필요하지 않다. 오히려 한 Thread만이 접근할 수 있기에 대기시간으로 인해 비효율을 초래할 수 있다. 따라서 rwLock은 Read Lock이 걸린 상태에서 다른 Read Lock이 걸려오면 Read 작업을 .. 공감수 0 댓글수 0 2020. 3. 30.
  • CodeEngn Basic 07 7. CodeEngn Basic 07 7.1 문제 풀이 해당 파일에서 사용되는 함수 목록이다. 드라이브 정보를 추출하는 함수로 보이는 부분을 찾았다. BP를 걸고 진행하여 해당 함수로 가보자. 해당 함수를 호출하기 위한 인자들이 스택상에 쌓인 모습이다. 여기서 잠깐 멈추고 MSDN에서 GetVolumeInformationA 함수에 대한 정보를 찾아보자. 첫 번째 인자 lpRootPathName에 대한 설명이다. NULL을 지정하면 현재 경로의 루트 디렉터리가 지정된다. 내 경우, 파일이 존재하는 곳은 바탕화면이므로 루트 디렉터리는 C:\가 된다. 문제를 풀기 위해서는 드라이브 이름을 CodeEngn으로 바꾼 후 시도해야 하는데.. 어.. 그냥 바꾸기 싫었다. 그렇다고 "로컬 디스크"라는 이름으로 관찰하고.. 공감수 0 댓글수 0 2019. 9. 8.
  • CodeEngn Basic 06 6. CodeEngn Basic 06 Back to user모드를 이용하여 해결할 수 있는 문제이다. 6.1 문제 풀이 디버깅을 시작하면 PUSHAD가 먼저 보인다. POPAD와 짝을 이루어 압축 해제하는 코드의 경계를 나타낸다. [Search for] -> [All Commands]를 이용하여 POPAD를 찾는다. PUSHAD 아래의 POPAD를 더블클릭한다. OEP로 진입하는 JMP문이 있다. 정답의 일부이므로 가렸다. Back to user모드에 진입하기 위해 프로그램을 실행시키고 메시지 박스를 띄운다. ※참고 함수가 진행 중일 때 Back to user모드를 이용하여 함수가 끝나는 시점으로 이동할 수 있다. 메시지 박스가 띄워진 시점의 상태이다. Stack Window 아래에서 Running임을 .. 공감수 0 댓글수 0 2019. 6. 15.
  • CodeEngn Basic 05 5. CodeEngn Basic 05 실행압축된 파일에서 키값을 알아내는 문제이다. 5.1 문제 풀이 코드 영역이 압축되었기 때문에 디버깅을 시작하면 이러한 메시지가 뜬다. [예]를 눌러 디버깅을 시작한다. 처음 만나는 명령어는 PUSHAD이다. POPAD와 짝을 이루어 코드영역에 압축을 해제하여 원본 코드를 기록하고 무결성을 검사하는 등의 기능을 하는 코드이므로 OEP부터 디버깅 하고 싶다면 POPAD를 찾아가면 된다. OEP를 찾아가도 찾고자 하는 문자열은 바로 나타나지 않는다. 그 후에 또 어떤 반복과정이 많은데 나는 디버깅하다가 포기했다.. 그냥 첫 화면부터 F9를 눌러 프로그램을 실행시킨다. 실행시킨 후 문자열을 검색해보면 알 수 없는 문자들만 보인다. 이는 압축이 해제되고 문자열을 제대로 분석.. 공감수 0 댓글수 0 2019. 6. 15.
  • CodeEngn Basic 04 4. CodeEngn Basic 04 함수 이름을 찾는 문제이다. 4.1 문제 풀이 프로그램을 올려 F8을 이용해 한 줄씩 진행시키다 보면 어느 시점에서 디버깅을 탐지하는지 알 수 있다. 위 그림 속 함수를 실행시키자 디버깅이 시작되었다. 시작. 내부적으로 반복문이 계속 돌고 있다. 해당 함수 안으로 들어왔다. 조금 아래에 의심스러운 이름을 가진 함수가 보인다. 정답이기에 이름을 가렸다. 실행시키면 콘솔엔 아무 일도 일어나지 않는다. 단순히 탐지만 하는 함수인가 보다. 아래의 함수를 실행시키고 나서야 콘솔에 1회 출력된다. 프로그램 구성이 복잡하게 되어있지 않아 바로 찾았지만, 그냥 더 쉽게 찾으려면 CodeEngn 3번 문제처럼 Found intermodular calls를 이용하여 바로 찾아도 된다. 공감수 0 댓글수 0 2019. 6. 15.
  • CodeEngn Basic 03 3. CodeEngn Basic 03 3.1 문제 풀이 뭐라는지 모르겠지만 확인 누르면 입력창이 나오는 걸로 봐선 키 입력해서 통과하는 프로그램인가 보다. 아무거나 입력했더니 에러가 뜬다. 직접 F7과 F8로 디버깅을 해서 찾으면 필요 이상으로 몹시 고생하니까 제공되는 기능으로 빠르게 함수를 찾 아간다. [Search for] -> [All intermodular calls] 문자열 비교 함수로 추측되는 함수가 보인다. 함수의 이름이 답이라 파란색으로 가렸다. (이후의 과정은 답과 상관없음) 더블클릭해서 위치를 찾아간다. 두 개의 인자를 이용한 함수임을 알 수 있다. 두 번째 인자는 하드코딩된 문자열의 주소를 참조한다. 그럼 첫 번째 인자는 아마 사용자가 입력한 값일 텐데 확인해보자. 해당 위치까지 디버.. 공감수 0 댓글수 0 2019. 6. 13.
  • CodeEngn Basic 02 2. CodeEngn Basic 02 섹션에 대한 이해가 필요한 문제이다.(아마도) 2.1 풀이 과정 파일을 실행시키면 정상적으로 열 수 없다는 메시지가 뜬다. 그렇기 때문에 OllyDbg로는 볼 수 없고 Hex Editor를 이용해야 한다. DOS Header의 시그니처인 MZ는 존재하지만 NT Header의 시그니처인 PE는 찾아볼 수 없다. 그래서 정상적으로 열 수 없는 것이다. 조금 아래에 바로 섹션 헤더가 보인다. 정답은 파일의 키값을 찾는 것인데, 보통 프로그램에 사용되는 문자열은 .data 섹션 또는 .rdata섹션에 있다. ※참고 .data Section - 전역변수, 정적변수가 위치하는 섹션 .rdata Section - Const로 선언된 자료 키값은 수정할 수 없도록 Const로 선언.. 공감수 0 댓글수 0 2019. 6. 13.
  • CodeEngn Basic 01 1. CodeEngn Basic 01 레지스터의 값을 수정하는 문제이다. 1.1 풀이 과정 파일을 열어보면 프로그램의 흐름을 알 수 있다. 00401024에서 EAX와 ESI의 값을 비교 후 같으면 0040103D로 분기하는 조건문이다. 우선 GetDriveTypeA 함수의 반환값이 무엇인지 실행시켜보자. 함수 실행 후 EAX의 값은 00000003이다. 그다음 조건문 실행 직전의 값은 무엇인지 실행시켜보자. EAX는 00000001로 원래 값에서 2가 감소되었음을 알 수 있다. ESI는 최종적으로 00000003의 값을 가지게 된다. 함수 호출 후 분기문까지 DEC EAX가 두 번 등장하였으니 디버깅을 다시 시작해 GetDriveTypeA의 반환값을 초기값에서 2를 더해준 00000005로 수정해준다... 공감수 0 댓글수 0 2019. 6. 13.
  • 리버싱 핵심원리_21_Windows 메시지 후킹 21. Windows 메시지 후킹 21.1 훅 - 훅(Hook) : 원하는 정보를 엿보거나 가로채는 도구 - 후킹(Hooking) : 실제로 정보를 엿보고 조작하는 행위 21.2 메시지 훅 Windows 운영체제는 GUI를 제공하고, 이는 Event Driven 방식으로 동작한다. 키보드를 입력하고, 마우스를 이용해 버튼 선택, 창 크기 변경, 창 이동 등의 클릭하는 등의 행위는 모두 이벤트이다. 이런 이벤트가 발생할 때 OS는 미리 정의된 메시지를 해당 응용 프로그램으로 통보한다. 응용 프로그램은 해당 메시지를 분석하여 필요한 작업을 진행하는 것이다. [그림 21.1] ① 키보드 입력 이벤트가 발생하면 WM_KEYDOWN 메시지가 [OS message queue]에 추가된다. ② OS는 어느 응용 프로.. 공감수 1 댓글수 0 2019. 3. 7.
  • 윈도우즈 시스템 프로그래밍_02_아스키코드 vs 유니코드 02. 아스키코드 vs 유니코드 02.1 Windows에서의 유니코드(UNICODE) 02.1.1 문자셋(Charactre Sets)의 종류와 특성 ◎ 종류 [아스키코드(ASCII CODE)] - 미국에서 정의하고 있는 표준. - 1byte로 문자 표현. - 알파벳 26자와 그림문자, 다양한 기호들 포함 256가지 문자 표현 가능. [유니코드(UNICODE)] - 영어권이 아닌 국가에서 사용하는 문자 표현. - 2byte로 문자 표현. - 영어, 기호, 한글 포함 65,536가지 문자 표현 가능. ◎ 문자셋 표현 방식 [SBSC(Single Byte Character Set)] - 문자를 표현하는데 1byte만을 사용하는 방식. - 아스키코드가 대표적인 SBCS. [MBCS(Multi Byte Chara.. 공감수 0 댓글수 4 2019. 3. 4.
  • 리버싱 핵심원리_20_인라인 패치 실습 20. 인라인 패치 실습 20.1 인라인 패치 - 인라인 코드 패치 : 원하는 코드를 직접 수정하기 어려울 때 간단히 코드 케이브라는 패치 코드를 삽입한 후 실행해 프로그램을 패치시키는 기법 - 대상 프로그램이 실행압축 혹은 암호화되어 있어서 파일을 직접 수정하기 어려울 경우 많이 사용하는 기법 왼쪽의 그림을 보면 EP는 원본 코드가 아닌 암호화된 원본 코드를 디코딩 하는 코드에 존재하고 그곳에서 OEP 코드를 복호화 하고 나면 OEP로 점프한다. 만약 패치하고자 하는 코드가 암호화된 OEP 코드에 존재한다면 EP의 복호화 코드를 실행시킨 후에 패치를 해야 하기 때문에 실행 시 복호화, 패치를 모두 수행할 수 있도록 Code Cave를 추가한다. 그리고 복호화가 끝난 후 점프할 주소를 OEP가 아닌 Co.. 공감수 0 댓글수 0 2019. 2. 21.
  • 리버싱 핵심원리_18_UPack PE 헤더 상세 분석 18. UPack PE 헤더 상세 분석 18.1 UPack 설명 - 중국의 dwing이라는 사람이 만든 PE 패커 - PE 헤더를 독특하게 변형하는 패커 18.2 UPack으로 실행압축된 notepad.exe ▲ PEview가 notepad의 헤더를 제대로 읽어내지 못한다. 그래서 다른 유틸리티인 Stud_PE를 이용해서 본다. 18.3 PE 헤더 비교 ▲ 원본의 PE 헤더이다. IMAGE_DOS_HEADER와 DOS Stub, IMAGE_NT_HEADER 순의 전형적인 PE header가 보인다. ▲ 그러나 실행 압축된 PE 파일을 살펴보면 맨 앞에 MZ 문자열이 나타나는 것 말고는 원본 PE와 크게 다름을 알 수 있다. 18.4 상세 분석 18.4.1 헤더 겹쳐쓰기 이는 Header를 겹쳐 쓰는 기법.. 공감수 0 댓글수 0 2019. 2. 18.
  • 리버싱 핵심원리_17_실행 파일에서 .reloc 섹션 제거하기 17. 실행 파일에서 .reloc 섹션 제거하기 17.1 .reloc 섹션 - exe 형식의 PE 파일에서 Base Relocation Table 항목은 실행에 큰 영향을 미치지 않는다. - PEView와 HxD만 가지고도 수동으로 충분히 제거가 가능하다. 17.2 .reloc 제거 ▶ .reloc 섹션을 제거하는 순서 ① .reloc 섹션 헤더 정리 ② .reloc 섹션 제거 ③ IMAGE_FILE_HEADER 수정 ④ IMAGE_OPTIONAL_HEADER 수정 17.2.1 .reloc 섹션 헤더 정리 섹션 헤더의 범위는 270~297이다. 이 부분을 HxD를 이용하여 0으로 덮어쓴다. 17.2.2 .reloc 섹션 제거 .reloc 헤더를 보면 file에서 .reloc 섹션의 범위는 C000~D00.. 공감수 0 댓글수 0 2019. 2. 10.
  • 리버싱 핵심원리_16_Base Relocation Table 16. Base Relocation Table 16.1 PE 재배치 - PE 파일(EXE/DLL/SYS)이 프로세스 가상 메모리에 로딩될 때 PE 헤더의 ImageBase 주소에 로딩된다. - DLL(SYS) 파일의 경우 ImageBase 위치에 이미 다른 DLL(SYS) 파일이 로딩되어 있다면 다른 비어 있는 주소 공간에 로딩된다. - PE 파일이 ImageBase에 로딩되지 못하고 다른 주소에 로딩될 때 수행되는 일련의 작업을 의미한다. 16.1.1 dll/sys 이미지 베이스 10000000을 갖는 a와 b 두 dll이 있다. a.dll이 먼저 로드되어 있을 때 b.dll을 로드하려 하면 a.dll가 로드된 주소를 포기하고 다른 주소를 찾아 로드된다. ex) 메모장을 로드한 후 실행시키고 dll 인.. 공감수 0 댓글수 0 2019. 2. 10.
  • 리버싱 핵심원리_15_UPX 실행 압축된 notepad 디버깅 15. UPX 실행 압축된 notepad 디버깅 15.1 압축코드 소개 ▲ 파일을 키면 UPX EP 코드(1015330)가 나타난다. 이는 UPX1 영역에 속하는 주소이며 notepad 프로그램을 실행시키는 코드의 진입점이 아니라 원본 코드를 압축 해제하는 코드의 EP 코드이다. ※ 참고 ① UPX는 압축된 원본 코드와 압축 해제 코드를 UPX1 섹션에 저장하고, UPX0 섹션에 압축을 풀어 원본 코드를 올린다는 것을 14장에서 배웠다. ② .rsrc 섹션은 압축이 되지 않고 원본 그대로 남아있는데, 그 이유는 파일의 아이콘, 이미지, IAT 관련 정보를 담고 있기 때문이다. 실행 이전에 필요한 리소스를 담고 있으므로 압축해서는 안 된다. 원본 코드를 복원시키는 코드는 UPX1의 마지막 부분에 있으며 1.. 공감수 1 댓글수 0 2019. 2. 5.
  • 리버싱 핵심원리_13_PE File(2) 13. PE File 13.3 IAT ▶ IAT란? 프로그램이 어떤 라이브러리에서 어떤 함수를 사용하고 있는지를 기술한 테이블 13.3.1 DLL ▶ DLL이란? 16비트 DOS 시절은 어떠한 라이브러리 함수를 사용하고자 할 때 라이브러리에서 해당 함수의 binary 코드를 그대로 가져와 프로그램에 포함시켰다. 그러나 32비트 Windows 환경에서는 멀티태스킹을 지원하기 때문에 여러 곳에서 자주 사용되는 라이브러리 함수를 매번 프로그램에 포함시키는 방법이 비효율적이 되어버렸다. 또한 Windows 환경을 제대로 지원하기 위해서는 매우 많은 라이브러리 함수가 필요하다. (process, memory, window, message 등) 따라서 심각한 자원낭비를 방지하기 위해 고안해낸 방법이 DLL 방법이다.. 공감수 0 댓글수 2 2019. 1. 31.
  • 리버싱 핵심원리_13_PE File(1) 13. PE File 13.1 PE File이란? - Windows 운영체제에서 사용되는 실행 파일 형식. - 기본적으로 32비트 형태의 실행 파일을 의미하며 PE32라는 용어를 사용하기도 한다. - 64비트 형태의 실행 파일은 PE+ 또는 PE32+라고 부르며 PE 파일의 확장 형태이다. 실행 계열 .scr - Screen Saver의 약자. 윈도우 화면 보호기 파일. 이 파일은 혼자서도 실행된다. - 윈도우 디렉터리나 System 디렉터리에 설치되며, 디스플레이 등록정보에서 설정하여 사용한다. .exe - Executable의 약자로 가장 기본적인 실행파일. - 그 외 실행 파일로는 .bat, .com등이 있다. 드라이버 계열 .sys - System의 약자로 시스템 운영에 꼭 필요한 파일이며, co.. 공감수 1 댓글수 0 2019. 1. 30.
  • 리버싱 핵심원리_07_Stack Frame 07. Stack Frame 7.1 Stack Frame이란? ESP(스택 포인터)가 아닌 EBP(베이스 포인터)를 사용하여 스택 내의 로컬 변수, 파라미터, 복귀 주소에 접근하는 기법 - ESP는 프로그램 실행 과정 중 스택 내에서 수시로 변경되기 때문에 이를 기준으로 프로그램을 작성하면 프로그래머도 힘들고, CPU도 정확한 위치를 참고할 때 어려움이 있다. - 따라서 EBP를 이용하여 함수가 실행되는 동안 일정한 위치를 유지해주면 그것을 기준으로 안전하게 해당 함수의 변수, 파라미터, 복귀 주소에 접근할 수 있다. 7.2 StackFrame.exe 분석 예제 코드를 준비하고 OllyDbg에서 열어 main()을 호출하는 CALL 명령어부터 보기로 한다. ▲ CALL StackFra.00401020 m.. 공감수 0 댓글수 0 2019. 1. 15.
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.