For3nsic/Forensic

ํœ˜๋ฐœ์„ฑ ๋ฐ์ดํ„ฐ ์ˆ˜์ง‘ 3ํƒ„์ธ๋ฐ... ์–ธ๋ฅธ ๋งˆ๋ฌด๋ฆฌ ์ง€์–ด์•ผ์ง•

๐“›๐“พ๐“ฌ๐“ฎ๐“ฝ๐“ฎ_๐“ข๐“ฝ๐“ฎ๐“ต๐“ต๐“ช 2018. 12. 18.
728x90
๋ฐ˜์‘ํ˜•

์–ธ๋ฅธ ๋งˆ๋ฌด์œผ๋ฆฌ!!! ์ง€์–ด์•ผ ํ•  ๊ฒƒ๊ฐ™์Šต๋‹ˆ๋‹ค!!! :)


2ํƒ„์—์„œ ์ƒ๊ฐ๋ณด๋‹ค ๋งŽ์€ ๊ฒƒ๋“ค์„ ๋ชปํ–ˆ์Šต๋‹ˆ๋‹ค. ์ด์œ ๋Š” SysinternalsSuite ๋„์›€์ด ํ•„์š”ํ•ด์„œ ๋ง์ด์ฃ !!

๊ทธ๋ž˜์„œ ์˜ค๋Š˜์€ SysinternalsSuite ๋„์›€์„ ์ข€ ๋ฐ›์•„๋ด…์‹œ๋‹ค.! NetBIOS ๋Š” ๋‹ค์Œ ์‹œ๊ฐ„์—ฅ ์ผ€์ผ€์ผ€์ผ€


ummmmmmmmmmm..................

๋จผ์ € ๋ญ๋ถ€ํ„ฐ ๋ด์•ผํ• ๊นŒ์š”?


๋จผ์ € ํ•ธ๋“ค ์ •๋ณด๋ถ€ํ„ฐ ์•Œ์•„๋ด…์‹œ๋‹ค!!

ํ•ธ๋“ค์ด๋ž€ ํ”„๋กœ์„ธ์Šค ์ •๋ณด ์ค‘ ํ•˜๋‚˜๋กœ ์ปค๋„์ด ๊ด€๋ฆฌํ•˜๋Š” ์˜ค๋ธŒ์ ํŠธ๋“ค์— ํ• ๋‹น๋˜๋Š” ์œ ์ผํ•œ ๊ฐ’์ด๋‹ค.

๊ทธ๋Ÿผ ํ•ธ๋“ค์€ ํ•˜๋‚˜๋งŒ ์žˆ์„๊นŒ? ์•„๋‹ˆ๋‹ค. ํ•œํ”„๋กœ์„ธ์Šค ๋‹น ํ•ธ๋“ค์€ ์—ฌ๋Ÿฌ๊ฐœ๊ฐ€ ์žˆ๋Š”๋ฐ ์‹ค์ œ๋กœ ๊ฐ€๋ฆฌํ‚ค๊ณ  ์žˆ๋Š” ์˜ค๋ธŒ์ ํŠธ๋Š” ๋ ˆ์ง€์ŠคํŠธ๋ฆฌ์— ๊ธฐ๋ณธ์ ์œผ๋กœ ๊ธฐ๋ก๋˜์–ด์žˆ๋‹ค.

ํ”„๋กœ์„ธ์Šค ์ƒ์„ฑ์‹œ ํ•„์š”ํ•œ ์ž์›์— ๋Œ€ํ•œ ์‚ฌ์šฉ ์š”์ฒญ์„ ํ•  ๋•Œ ์‚ฌ์šฉํ•˜๋Š” ๊ฐ’, ํŒŒ์ผ,ํฌํŠธ ๋“ฑ์„ ํฌํ•จํ•˜๊ณ  ์žˆ๋‹ค.

handle != PID(Process ID)

  * PID : Process์—๊ฒŒ ํ• ๋‹น๋˜๋Š” ๊ณ ์œ ์˜ ID

์ด๋ฅผ ํ™•์ธํ•˜๊ธฐ ์œ„ํ•ด์„œ SysinternalsSuite์˜ handle.exe ๋„๊ตฌ๋ฅผ ์“ธ ๊ฒƒ์ด๋‹ค. ์ด์œ ๋Š” ๊ธฐ๋ณธ์ ์œผ๋กœ ํ•ธ๋“ค ์ •๋ณด๋ฅผ ์ˆ˜์ง‘ํ•ด์ฃผ๋Š” ๋ช…๋ น์–ด๊ฐ€ ์—†๋‹ค.

๊ทธ๋Ÿผ ๋จผ์ € handle.exe์˜ ์˜ต์…˜์„ ํ™•์ธํ•ด ๋ด…์‹œ๋‹ค.

handle.exe /? ๋ฅผ ์ด์šฉํ•˜์—ฌ ์˜ต์…˜๋“ค์„ ํ™•์ธํ•  ์ˆ˜ ์žˆ๋‹ค.

ํ•˜์ง€๋งŒ ๊ธฐ๋ณธ์ ์œผ๋กœ ์˜ต์…˜์—†์ด handle.exe ๋งŒ์„ ์ด์šฉํ•˜์—ฌ ํ•  ์ˆ˜์žˆ์ง€๋งŒ ๋„ˆ๋ฌด๋‚˜๋„ ๋งŽ์€ ์–‘๋“ค์ด ์žˆ๊ธฐ๋•Œ๋ฌธ์— more์ด๋ผ๋Š” ๋ช…๋ น์–ด๋ฅผ ์ด์šฉํ•˜์—ฌ ์กฐ๊ธˆ์”ฉ ๋‚˜๋ˆ ์„œ ํ™•์ธํ•  ์ˆ˜ ์žˆ๋‹ค.

์ด๋Ÿฌํ•œ ์‹์œผ๋กœ ํ™•์ธ์„ ํ•  ์ˆ˜ ์žˆ๋‹ค.!!!


๋‘๋ฒˆ์งธ๋Š” dll ์ •๋ณด๋ฅผ ์ˆ˜์ง‘ํ•  ๊ฒƒ ์ด๋‹ค.

๊ทธ๋Ÿผ ๋จผ์ € dll ์ด ๋ญ”์ง€ ๋ฅผ ์•Œ์•„๋ณด์ž

dll์€ ๋™์  ๋งํฌ ๋ผ์ด๋ธŒ๋Ÿฌ๋ฆฌ(dynamic-link library)์ด๋ฉฐ ์†Œํ”„ํŠธ์›จ์–ด ๊ฐœ๋ฐœ์— ์ž์ฃผ์“ฐ๊ณ  ๊ธฐ์ดˆ์ ์ธ ํ•จ์ˆ˜๋“ค์„ ์ค‘๋ณต ๊ฐœ๋ฐœํ•˜๋Š” ๊ฒƒ์„ ํ”ผํ•˜๊ธฐ ์œ„ํ•ด ๋งŒ๋“  ๊ฒƒ์ด๋ผ๊ณ  ๋ณผ์ˆ˜ ์žˆ๋‹ค. ์ฆ‰, ๊ฐ ํ”„๋กœ์„ธ์Šค์—์„œ ์‚ฌ์šฉ๋˜๊ณ  ์žˆ๋Š” dll ์ •๋ณด๋ฅผ ์–ป์–ด์™€์•ผ ํ•œ๋‹ค. 

dll ๊ฐ™์€ ๊ฒฝ์šฐ listdlls.exe ๋ผ๋Š” ๋„๊ตฌ๋ฅผ ์‚ฌ์šฉํ•  ๊ฒƒ์ด๋‹ค.

๋งˆ์ฐฌ๊ฐ€์ง€๋กœ listdlls.exe /? ๋ช…๋ น์–ด๋ฅผ ์ž…๋ ฅํ•˜์—ฌ ๊ฐ ์˜ต์…˜๋“ค๊ณผ ์‚ฌ์šฉ๋ฐฉ๋ฒ•์„ ๋ณผ์ˆ˜ ์žˆ๋‹ค.

listdlls.exe๋ฅผ ์ž…๋ ฅ ํ•  ๊ฒฝ์šฐ ์—„์ฒญ๋‚˜๊ฒŒ ๋งŽ์€ ํ”„๋กœ์„ธ์Šค์˜ dll๋“ค์ด ๋‚˜์˜ค๊ธฐ ๋•Œ๋ฌธ์— more ๋ช…๋ น์„ ๊ฐ™์ด ์‚ฌ์šฉํ•˜๋Š” ๊ฒƒ์ด ์ข‹๋‹ค.

ํ•˜์ง€๋งŒ ํŠน์ • PID๋ฅผ ์ด์šฉํ•˜์—ฌ dll์„ ๋ณผ์ˆ˜ ์žˆ๋‹ค.

์ด๋ ‡๊ฒŒ listdlls.exe ๋’ค์— PID ๋ฒˆํ˜ธ๋ฅผ ์ž…๋ ฅํ•˜๊ฒŒ ๋˜๋ฉด ํŠน์ • PID์˜ dll์„ ๋ณผ์ˆ˜ ์žˆ๋‹ค.


๋‹ค์Œ์€ ๋กœ๊ทธ์˜จ ์ •๋ณด์ด๋‹ค.

๋กœ๊ทธ์˜จ ์ •๋ณด๋Š” ๋ง๊ทธ๋Œ€๋กœ ์‚ฌ์šฉ์ž์˜ ์ •๋ณด๋ฅผ ์ˆ˜์ง‘ํ•˜๋Š” ๊ฒƒ์ธ๋ฐ ๊ธฐ๋ณธ์ ์œผ๋กœ net session์ด๋ผ๋Š” ๋ช…๋ น์–ด๊ฐ€ ์žˆ๋‹ค.

์ด๋Š” ๊ธฐ๋ณธ windows์—์„œ ์ง€์›์„ ํ•ด์ฃผ๋Š” ๋ช…๋ น์–ด์ง€๋งŒ ๋งŽ์ด ๋ถ€์กฑ ํ•˜๋ฉฐ net session์˜ ๊ฒฝ์šฐ ์›๊ฒฉ์—์„œ ๋กœ๊ทธ์˜จ ํ•œ ์‚ฌ์šฉ์ž ์ •๋ณด๋ฅผ ๋ณด์—ฌ์ฃผ๋Š” ๊ฒƒ์ด๋‹ค.

์ข€๋” ์ƒ์„ธํžˆ ์•Œ์•„๋ณด๊ธฐ ์œ„ํ•ด PsLoggedon.exe.์™€ Logonsessions.exe ๋ผ๋Š” ๋„๊ตฌ๋ฅผ ์‚ฌ์šฉํ•ด๋ณผ ๊ฒƒ์ธ๋ฐ...

net session์„ ์ž…๋ ฅํ•ด๋ณด๋ฉด ๋ชฉ๋ก์— ํ•ญ๋ชฉ์ด ์—†์Šต๋‹ˆ๋‹ค. ๋ผ๋Š” ๋ง์„ ๋ณด์—ฌ์ค€๋‹ค. ์ด์œ ๋Š” ์œ„์—์„œ ๋งํ–ˆ๋˜ ๊ฒƒ ์ฒ˜๋Ÿผ ์›๊ฒฉ์—์„œ ์ ‘์†ํ•œ ์‚ฌ์šฉ์ž๋ฅผ ๋ณด์—ฌ์ฃผ๋Š”๋ฐ ์›๊ฒฉ์œผ๋กœ ์ ‘์†ํ•œ ์‚ฌ์šฉ์ž๊ฐ€ ์—†๊ธฐ๋•Œ๋ฌธ์ด๋‹ค.

์ด๋ฒˆ์—๋Š” psloggedon.exe๋ฅผ ์‚ฌ์šฉํ•ด๋ณด๋ฉด

์ด๋Š” ๋กœ์ปฌ ์‚ฌ์šฉ์ž์™€ ์›๊ฒฉ ์‚ฌ์šฉ์ž ๋ชจ๋‘ ๋ณด์—ฌ์ค€๋‹ค. ์ง€๊ธˆ ๊ฐ™์€ ๊ฒฝ์šฐ ์›๊ฒฉ ์‚ฌ์šฉ์ž๊ฐ€ ์—†๊ธฐ ๋•Œ๋ฌธ์— ๋กœ์ปฌ์‚ฌ์šฉ์ž๋ฅผ ๋ณด์—ฌ ์ฃผ๋Š” ๊ฒƒ์ด๋‹ค.

ํฌ์ŠคํŒ…์€ 17์ผ์— ๋˜๊ณ  ์žˆ๋Š”๋ฐ ์™œ 2018-12-12 ์ผ๊นŒ ??? ์‚ฌ์‹ค 12์ผ์— ์ปดํ“จํ„ฐ๋ฅผ ์ผœ๊ณ  ๋„์ง€์•Š์•˜๋‹ค...

๋‹ค์Œ์€ logonsession.exe ์ด๋‹ค.  ์ด ๋˜ํ•œ /?๋ฅผ ์ด์šฉํ•˜์—ฌ ์‚ฌ์šฉ๋ฐฉ๋ฒ•์„ ๋ณผ์ˆ˜์žˆ๋Š”๋ฐ c์˜ต์…˜์„ ์ด์šฉํ•˜์—ฌ csvํŒŒ์ผ๋กœ ๋ฝ‘์„ ์ˆ˜๋„ ์žˆ๊ณ  ์‹œ๋Œ€ ์ข‹์•„์กŒ๋‹ค..


/p์˜ต์…˜์„ ์ด์šฉํ•˜๋ฉด ์‚ฌ์šฉ์ž๊ฐ€ ์‚ฌ์šฉํ•˜๊ณ ์žˆ๋Š” ํ”„๋กœ์„ธ์Šค ์ •๋ณด๊นŒ์ง€ ์•Œ๋ ค์ฃผ๊ธฐ ๋•Œ๋ฌธ์— psloggedon.exe ๋ผ๋Š” ๋„๊ตฌ๋ณด๋‹ค ์ข€๋” ์„ฌ์„ธํ•˜๋‹ค๊ณ  ๋ณผ์ˆ˜ ์žˆ๋‹ค.

๋‹ค๋“ค ํž˜๋“œ์‹œ์ฃ  ใ… ใ…  ์กฐ๊ธˆ๋งŒ ๋” ํž˜๋ƒ…์‹œ๋‹ค!!!

๋‹ค์Œ์€ ํŒŒ์ผ ํ•ธ๋“ค์ด๋‹ค. ํŒŒ์ผํ•ธ๋“ค์€ ๋ญ˜๊นŒ? ์‰ฝ๊ฒŒ ์ƒ๊ฐํ•˜๋ฉด ์ด๋ฆ„ ๊ทธ๋Œ€๋กœ์ด๋‹ค. ํŒŒ์ผ์ด ๊ฐ€์ง€๋Š” ํ•ธ๋“ค์ด๋‹ค.

๊ทธ๋Ÿผ ์–ด๋–ป๊ฒŒ ์ˆ˜์ง‘ํ•ด์•ผํ• ๊นŒ? 

๋ช…๋ น์–ด๋Š” net file์ด๋ผ๋Š” ๋ช…๋ น์–ด๊ฐ€ ์žˆ๋‹ค. ๊ทธ๋ฆฌ๊ณ  psfile.exe ๋ผ๋Š” ๋„๊ตฌ๊ฐ€ ์žˆ๋‹ค.

์ผ€์ผ€์ผ€์ผ€์ผ€์ผ€์ผ€์ผ€์ผ€ ์—ด๋ฆฐ ํŒŒ์ผ์ด ์—†๋‹จ๋‹น


๋‹ค์™€๊ฐ„๋‹คใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…ใ…

๋‹ค์Œ์€ open port์™€ ํ”„๋กœ์„ธ์Šค ๋งตํ•‘ ์ •๋ณด ์ˆ˜์ง‘์ด๋‹ค.

๋‹ค๋“ค open port๋ฅผ ๋ณด๋Š” ๋ฐฉ๋ฒ•์€ ๋งŽ์ด ๋ดค์„ ๊ฒƒ์ด๋‹ค.(netstat ๋ช…๋ น์–ด) 

๊ทธ๋Ÿผ ์ด์ •๋ณด๋ฅผ ์–ด๋””๋‹ค๊ฐ€ ์“ธ๊นŒ? ์ด์ •๋ณด๋Š” ํ”„๋กœ์„ธ์Šค๊ฐ€ ์–ด๋–ค ํฌํŠธ๋กœ ์–ด๋–ค ์„œ๋ฒ„์™€ ์—ฐ๊ฒฐํ•˜์—ฌ ์–ด๋–ค ์ž‘์—…์„ ํ•˜๊ณ  ์žˆ๋Š”์ง€๋ฅผ ์•Œ ์ˆ˜ ์žˆ๋„๋ก ๋„์™€์ค€๋‹ค.

์ด๋ฅผ ์•Œ์•„ ๋ณด๊ธฐ์œ„ํ•ด์„  netstat -b ๋ช…๋ น์–ด๋ฅผ ์‚ฌ์šฉํ•  ๊ฒƒ์ด๋‹ค. 

์ด๋ ‡๊ฒŒ ์‰ฝ๊ฒŒ ์ •๋ณด๋ฅผ ์ˆ˜์ง‘๊ฐ€๋Šฅํ•˜์ง€๋งŒ ํ”„๋กœ์„ธ์Šค์˜ ์ „์ฒด ๊ฒฝ๋กœ๊ฐ€ ๋‚˜์˜ค์ง€ ์•Š์•„ ๋˜ ๋‹ค๋ฅธ ์ž‘์—…์ด ํ•„์š”ํ•˜๋‹ค.


๋‹ค์Œ์€ ์œˆ๋„์šฐ ์„œ๋น„์Šค ์ •๋ณด๋ฅผ ์•Œ์•„๋ณผ๊ฒƒ์ด๋‹ค.

์ด๋Š” ์–ด๋– ํ•œ ์•…์„ฑ ํ”„๋กœ๊ทธ๋žจ์ด ์„œ๋น„์Šค์— ๋“ฑ๋ก๋˜์–ด ์‚ฌ์šฉ์ž ๋ชฐ๋ž˜ ์‹คํ–‰๋˜๊ณ  ์žˆ๋Š”์ง€๋ฅผ ํ™•์ธ ๊ฐ€๋Šฅ์ผ€ ํ•œ๋‹ค.

์ด๋ฅผ ์•Œ์•„๋ณด๊ธฐ ์œ„ํ•ด์„œ psservice.exe ๋„๊ตฌ๋ฅผ ์‚ฌ์šฉ ํ•ด๋ณผ๊ฒƒ์ด๋‹ค.

์˜ต์…˜์„ ์•Œ์•„๋ณด๊ธฐ ์œ„ํ•ด์„  /?๋กœ ๋‹ค๋ฅธ ๋„๊ตฌ๋“ค๊ณผ ๋™์ผ ํ•œ๊ฒƒ์„ ํ™•์ธ ํ•  ์ˆ˜ ์žˆ๋‹ค.

์˜ต์…˜์„ ํ™•์ธ ํ•˜๊ณ  ๋‚˜๋ฉด ๋ฐ”๋กœ ์‹คํ–‰ ๊ฐ€๋Šฅ ํ•˜๋‹ค๋Š” ๊ฒƒ์„ ์•Œ ์ˆ˜ ์žˆ์„๊ฒƒ์ด๋‹ค.

์ด๋ ‡๊ฒŒ ์œˆ๋„์šฐ ์„œ๋น„์Šค ์ •๋ณด๋ฅผ ์•Œ์•„ ๋‚ผ ์ˆ˜ ์žˆ๋‹ค.


์˜ค๋Š˜ ๋งˆ์ง€๋ง‰์œผ๋กœ ์•Œ์•„ ๋ณผ ๊ฒƒ์€ ์‹œ์ž‘ ํ”„๋กœ๊ทธ๋žจ ๋ชฉ๋ก ์ •๋ณด์ด๋‹ค. ์‹œ์ž‘ ํ”„๋กœ๊ทธ๋žจ ๋ชฉ๋ก์— ๋“ฑ๋ก๋œ ์„œ๋น„์Šค๋Š” ์‹œ์Šคํ…œ์ด ์‹œ์ž‘ ๋ ๋•Œ ์ž๋™์œผ๋กœ ์‹œ์ž‘  ๋œ๋‹ค. ์ด๋Š” ์•…์„ฑ ํ”„๋กœ๊ทธ๋žจ์ด ์‹œ์ž‘ ํ”„๋กœ๊ทธ๋žจ ๋ชฉ๋ก์— ๋“ฑ๋ก๋˜์–ด ์•…์˜์ ์ธ ํ–‰์œ„๋ฅผ ํ•  ์ˆ˜ ์žˆ๋‹ค๋Š” ๊ฒƒ์ด๋‹ค. 

์ด๊ฒƒ์„ ์•Œ์•„๋ณด๊ธฐ ์œ„ํ•ด autorunsc.exe๋ฅผ ์‚ฌ์šฉ ํ•  ๊ฒƒ์ด๋‹ค.


์ด๋ ‡๊ฒŒ ๊ฒฝ๋กœ์™€ ๋‚ ์งœ ํ”„๋กœ๊ทธ๋žจ ๋ช…๋“ฑ์„ ๋‚˜ํƒ€๋‚ด์–ด ์ค€๋‹ค.

์ด๋ ‡๊ฒŒ ์˜ค๋Š˜๋„ ๋งŽ์€ ๊ฒƒ๋“ค์„ ์ˆ˜์ง‘ํ•˜๋Š” ๊ฒƒ์„ ์•Œ์•„ ๋ณด์•˜๋‹ค.

๋งŽ์€ ๊ฒƒ์„ ํฌ์ŠคํŒ… ํ•˜๊ณ  ์‹ถ์ง€๋งŒ ์‹œ๊ฐ„๋„ ์—†๊ณ  ,... ์šฐ์šธํ•˜๋‹น


์—ด์‹ฌํžˆ ํฌ์ŠคํŒ…์„ ํ•ด๋ณด๊ฒ ์Šต๋‹ˆ๋‹ค.!!!! ๊ทธ๋ฆฌ๊ตฌ ์ง€๊ธˆ Aํ˜• ๋…๊ฐ ์œ ํ–‰์ด๋ž˜์š”!! ๋‹ค๋“ค ๋…๊ฐ์กฐ์‹ฌํ•˜์‹œ๊ณ  ๋Š˜ ๊ฑด๊ฐ•์ด ์ตœ์„ ์ž…๋‹ˆ๋‹ค.


728x90
๋ฐ˜์‘ํ˜•

๋Œ“๊ธ€