ํด๋น ๋ธ๋ก๊ทธ๋ ํดํน ๋ฐ ๋ณด์ ๋ธ๋ก๊ทธ๋ก ๊ณต๋ถ ๋ฐ ์ฐ๊ตฌ์ฉ์ผ๋ก ์์ฑ๋์ด์ง๊ณ ์์ต๋๋ค. ์๋์ ๋ด์ฉ์ ๊ธฐ๋ฐ์ผ๋ก ํดํน ์๋ ๋ฐ ์ค์ ๊ณต๊ฒฉ์ ์๋ํ์ฌ ์ผ์ด๋๋ ๋ชจ๋ ์ฑ ์์ ๋ณธ์ธ(๋ฐ๋ผํ์)์๊ฒ ์์์ ์๋ ค๋๋ฆฌ๋ฉฐ, ๊ธ์ด์ด๋ ์๋ฌด๋ฐ ์ฑ ์์ ์ง์ง ์์ต๋๋ค. ๊ผญ ๊ณต๋ถ ๋ฐ ์ฐ๊ตฌ์ฉ์ผ๋ก๋ง ์ฌ์ฉํ์ฌ ์ฃผ์๊ธธ ๋ฐ๋๋๋ค. ๊ฐ์ฌํฉ๋๋ค. ๋ด์ฉ ์ต๊ทผ์ ์ด๊ฒ์ ๊ฒ ํ๋ค๊ฐ ํ๊ฐ์ง ์๋ฌธ์ ์ด ์๊ฒผ๋ค. ์๋ํ๋ฅผ ๋ง๋ค๊ณ ์๋๋ฐ NTFSํ์ผ ์์คํ ์ ๊ฒฝ์ฐ MFT(master file table)์ ์์ฝ๊ฒ ์์ง์ ํ ์์์๋ค. ๊ทธ๋ฐ๋ฐ ์ด๋ ์์คํ ์์๋ ์๋๋๋ฐ ์ด๋ ์์คํ ์์๋ ์์ง์ด ์์๋์ด์ ๊ถ๊ธ์ฆ์ด ์๊ฒผ์๋ค. ๊ทธ๋์ ์ด๊ฒ์ ๊ฒ ์ฐพ๋ค๊ฐ GPT(GUID Partition Table)์ ๊ฒฝ์ฐ ์์ง์ด ์์๋๋ ๊ฒ๊ฐ์๋ค. ์์ธ์ด ๊ณผ์ฐ ์ด๊ฒ์ผ๊น ์๊ฐํ๋ฉด์ ํ์ธ์ ํด..
์์ฆ ์ผ์ด ๋ง์์ CTF(Capture The Flag)์ ์ฐธ์ฌํ์ง ๋ชปํ์ง ์ค๋๋ ๋ฏํ๋ค... ๊ทธ๋์ ํผ์ ๋ฌธ์ ๋ค ๋ญ์๋ ๋ณด๋ค๊ฐ ...forensic(file carving)์ด๋ผ๋ ๋ฌธ์ ๋ฅผ ๋ณด๊ณ ์ค์ค์ค์ค์ค์ค!!!!!!!!!!!์ด๊ฑฐ๋ค!!! ๋ผ๊ณ ์๊ฐํด์ ํ์ด๋ณด์๋ค.. ๋ฌธ์ ๊ฐ ์๊ฐ๋ณด๋ค ์ฝ๊ฒ ํ๋ ธ๊ณ ํ์ด๋ ์ฌ๋ฌ๊ฐ์ง ๋ฐฉ๋ฒ์ผ๋ก ํ์ด๋ณด์๋ค. ์ ์๋ 150์ ์ด์๋๋ฐ!!! ๋ฌธ์ ๋ There used to be a bunch of animals here, what did Dr. Xernon do to them? ์ด๊ฑฐ์๋ค.ํ๋ฒ ํ์ด๋ณด์ ์ฒซ๋ฒ์งธ ๋ฐฉ๋ฒ์ foremost๋ฅผ ์ด์ฉํ์ฌ ํธ๋ ๋ฐฉ๋ฒ์ด๋ค.animals.dd ์ด๋ฏธ์ง๊ฐ ์ฃผ์ด์ง๋ค. file ๋ช ๋ น์ด๋ฅผ ์ด์ฉํ์ฌ file animals.dd๋ฅผ ํด๋ณด๋ฉด DOS/MBR boot sect..
์ง์~!! ๋์งํธ ํฌ๋ ์์ ์์ด์ ์นจํด ๋นํ๊ฑฐ๋ ์ฌ๊ณ ๊ฐ ์ผ์ด๋๋ฉด ์ฆ๊ฑฐ๋ฅผ ์์งํ๊ณ ์ฒ๋ฆฌํ๋ ๊ฒ์ ๋ํด ์์๋ณด์ :D ์ฌ๊ณ ๊ฐ ์ผ์ด๋ ์ฌ๊ณ ๋์ ์ ์ฐจ๋ฅผ ๋ณด๊ฒ ๋๋ฉด ํฌ๊ฒ 6๊ฐ๋ก ๋๋์ด์ง๋ค.1. ์ค๋น - ์ค๋น๊ฐ ๋์ด์์ผ๋ฉด ์ด๋ ํ ์ฌ๊ณ ๊ฐ ๋ฐ์ํ์ ์ ์ ์ํ๊ฒ ๋์ ํ ์ ์๋ค. ์ค๋น๋ ์ฌ๊ณ ๋์ ๊ณํ์ ์๋ฆฝํ๋ ๋จ๊ณ๋ฅผ ์ด์ผ๊ธฐํ๋ค. - ํ๋ก์ธ์ค, ์ ์ฐจ, ์กฐ์ฌ์ ํ์ํ ๋๊ตฌ ๋ฑ์ด ๋ชจ๋ ํฌํจ๋๋ฉฐ ๋ฌผ๋ก ์กฐ์ฌ์ ํ์ํ ๋๊ตฌ ์ฌ์ฉ๋ฒ ๋ํ ํฌํจ๋๋ค.2. ํ์ง - ์๊ฐ์ ํด๋ณด์ ๊ธฐ๋ณธ์ ์ผ๋ก ๋ง์ ๊ด์ ํ์ฌ ๋ฟ์๋๋ผ ์ฌ๋ฌ๊ณณ์์ ๊ด์ ๋ฅผ ํ์ง๋ง ๊ณต๊ฒฉ์ ๊ณ์๋ค์ด์ค๊ณ ์ฌ๊ฑด ์ฌ๊ณ ๋ ๊ณ์ ๋ฐ์ํ๋ค. ์ฌ๊ธฐ์ ํ์ง ๋ฅ๋ ฅ์ ์ด๋ง์ ๊ฒ๋ค ์ค ์ค์ํ ๊ฒ์ ๊ณจ๋ผ ์ด๋ ํ ๊ณต๊ฒฉ(์ฌ๊ฑด)์ผ๋ก ์ฐ๊ฒฐ๋๋์ง๋ฅผ ํ๋จํ๋ ๋ฅ๋ ฅ์ธ ๊ฒ ๊ฐ๋ค.3. ๋ถ์ - ์ด ๋๋ถํฐ ๋ณธ๊ฒฉ์ ์ผ๋ก..
์ด์ฉ๋ค ๋ณด๋ ์ฐพ๊ฒ ๋๋ฌธ์ !!! ํ์ด๋ณด์ !! ๊ทผ๋ฐ ๋ง๊ฒ ํธ๋์ง๋ฅผ ๋ชจ๋ฅด๊ฒ ๋ค :( ๋ฌธ์ ๋ Auth : MalwarePid_C&C_Attacker.Serverex) 123_http://www.naver.com/index.php_1.2.3.4 Hint) No ParameterHint-2) Attacker.Server on the MemoryHint-3) Attacker.Server is pharming Server ์ด๋ ๊ฒ ๋๋ค.์์ํ์ !! ํฌ์์์์ ๋์๋ผ ! volatility!!!! ๋จผ์ imageinfo ๋ฅผ ํตํด profile๊ณผ ๋ฉ๋ชจ๋ฆฌ ๋คํํ์ผ ์์ฑ ์๊ฐ์ ํ์ธ ํ pslist๋ช ๋ น์ด๋ฅผ ํตํด ํ๋ก์ธ์ค ๋ฆฌ์คํธ๋ฅผ ํ์ธ ํด๋ณด์๋ค. ๋ณด๋ค๋ณด๋ attrib.exe๋ฅผ ๋ณด๊ณ ๋ฌด์จ ํ์ผ์ธ์ง ์๋ฌธ ์ด์๊ฒผ๋ค.๋ฐ๋ก ๊ตฌ๊ธ๋ก ๋ฌ๋ ค..
๋ฉ๋ชจ๋ฆฌ ํฌ๋ ์์ ๋น ์ ธ์ ์์ฆ ๊ณต๋ถํ๋ค๊ฐ volatility๋ฅผ ์ฌ์ฉํ๋ ๋์ค ์๋ฌธ์ด ๋ค์๋ค. ์๋ฌธ์ด๋ผ๊ธฐ ๋ณด๋จ ์ ๋ณด์ง ์์ ์๊ธด ๋ฌธ์ ์ด์ง๋ง ... ๋จผ์ imageinfo ๋ฅผ ํ์ฌ ๋ฉ๋ชจ๋ฆฌ๋คํ์ ํ๋กํ์ผ์ ํ์ธ ํ ์์๋ค...์ฌ๊ธฐ์ ์๋ฌธ์ด ๋ค์๋๋ฐ ........ ๋๋ฅ !!! BoB.vmem ํ์ผ์ ํ๋กํ์ผ์ windows XPSP2x86๊ณผ XPSP3x86 2๊ฐ๊ฐ ๋์จ๋ค... ๋ฌผ๋ก ์๋ ์ฌ๋๋ ์๋ค. ์ด๋ป๊ฒ ์๋น์คํฉ์ ์ฐพ์๋ด๋์ง... ๋์ด์๋ค๋ฉด ์๋ค... ๋ ๋์ด์์๋ค.๊ทธ๋์ ๋ช ๋ น์ด๋ฅผ ํตํด์ ์์ ๋ดค๋ค. ์ด๋ป๊ฒ? dlllist | grep xpsp2
300 - Breaking NewsWe just received this transmission from our news correspondents. We need to find out what they are telling us.file ๋ฌธ์ ์ธ๋ฐ ๋ฌธ์ ์ ํ์ผ์ ๋ฐ์๋ณด๋ฉด ์์ง์ผ๋ก ํ์ผ์ ํ๋ ์ฃผ๊ณ ๊ทธ๊ฒ์ ํ๋ฉด ์ด์ ์ฐ๋ฆฌ๊ฐ ํ์ด์ผ ํ๋ ๋ฌธ์ ํ์ผ๋ค์ด ๋์จ๋ค. ๋จผ์ ํฅ์ค๋ก ํ์ผ์ ํ์ธ ํด๋ณด๋ฉด ๋ณ ํน์ดํ ๊ฒ์ด ์๋ ๊ฒ๊ฐ๋ค ํ๋ ํ๋ ๋ณด๋ ๋์ค ๋ง์ง๋ง์ base64๋ก ๋์ฝ๋ฉ์ด ๋์ด ์๋ ๊ฒ ๊ฐ์ ๋ฌธ์์ด์ ๋ฐ๊ฒฌํ๊ณ ํ๋ํ๋ ํ์ผ์์ ๊ทธ๋ฌํ ๊ธ์๋ง ๋ชจ์๋ณด์๋ค. ์ด ๋์จ ํ์ผ์ 5๊ฐ chapter 4, 9, 10, 15, 18 ์ด๋ ๊ฒ ๋์๋ค. ์ด์ base 64 decoding ์ ํด๋ณด์ base 64 ๋์ฝ๋ฉ์ ํ๋..
- ๋์คํฌ ๋น๊ต์ ๋จ์ํ ๊ตฌ์กฐ๋ฅผ ๊ฐ์ง๊ณ ์๋ค. ๊ทธ๋ฌ๋ ๋ง์ฝ ์ธ๋ถ ์ ์ฒด์ ์๋ขฐ๋ฅผ ํ๋ค๋ฉด ์ ๋ณด ์ ์ถ์ด ๋๋ฏ๋ก ์ฃผ์ ํด์ผํ๋ ๋จ์ ์ด ์๋ค.๋์คํฌ๋ฅผ ๋ถ์ ํ ๋๋ ์ฆ๊ฑฐ ์ ์ฅ์ฉ ๋์คํฌ๋ฅผ Master๋ก ์ค์ ํ์ฌ ๋ถ์ ๋์ ๋์คํฌ๋ฅผ slave๋ก ์ง์ ํ์ฌ ๋ถํ ์ master๋ก ํ๋ค.์ด์ ๋ ์ฆ๊ฑฐ์ฉ ๋์คํฌ์ ์ํฅ์ ์ฃผ์ง ์๊ธฐ ์ํด์ ์ด๋ค. ๋์คํฌ ๋ถ์ - ๋ฐ๋์ ์๋ณธ์ ๋ณต์ ํ ๋ณต์ฌ๋ณธ์ ๊ฐ์ง๊ณ ๋ถ์์ ํ๋ค. - ์ฝ๊ธฐ ์ ์ฉ์ผ๋ก ์ค์ ํ ํ ๋ถ์ํ๋ค. - ๋ณต์ ๋์คํฌ๋ ์๋ณธ ๋์คํฌ๋ ์ฉ๋์ ๊ฐ๊ฒํ๋ค. (๊ฐ์๊ฒ ์๋ค๋ฉด ํฌ๊ฒ) ๋์คํฌ ๋ณต์ - H/W ์ ์ธ ๋ฐฉ๋ฒ : ์ฅ๋น๋ฅผ ์ด์ฉ, ์ฌ์ฉ์ด ๊ฐํธํ๊ณ ์๋๊ฐ ๋น ๋ฅด์ง๋ง ๊ฐ๊ฒฉ์ด ๋น์ธ๋ค. ๋ํ ๋ผ์ด๋ธ ์์คํ ์์ ์ํ์ด ๋ถ๊ฐ๋ฅํ๋ค. - S/W ์ ์ธ ๋ฐฉ๋ฒ : ๋ผ์ด๋ธ ํ ์์คํ ์์ ๊ทธ๋๋ก ๋์คํฌ ๋ณต์ฌ ..
ํ์๋ผ์ธ์ด ๋ฌด์์ผ๊น? ํ์๋ผ์ธ์ ์ฌ์ ์๋ฏธ๋ก๋ ์ฐ๋ํ, ์๊ฐํ ์ด๋ฌํ ์๋ฏธ๋ฅผ ๋ค๊ณ ์๋ค.๋๋ ๋น๋์ค ํด๋ฆฝ์ด๋ ์ค๋์ค ํด๋ฆฝ์ ์์๋๋ก ๋ฐฐ์นํ๋ ํธ์ง ํ๋ก๊ทธ๋จ ์์ ๊ณต๊ฐ. ํ์๋ผ์ธ์ ๋ ์ด์ด์ ํ๋ ์์ผ๋ก ๊ตฌ์ฑ๋์ด ์๋๋ฐ, ๋ ์ด์ด์ ๊ฒฐํฉ์ ํตํด ํ๋ฉด์ ์ด๋ฏธ์ง๋ ์ค๋์ค๋ฅผ ๋ฐฐ์นํจ์ผ๋ก์จ ์์ง์ด๋ ์ ๋๋ฉ์ด์ ์ด๋ ์์ ์ ๋ง๋๋ ๊ธฐ๋ฅ์ด๋ค.- ๋ค์ด๋ฒ ์ฉ์ด์ฌ์ - ๊ทธ๋ฌ๋ ์ฌ์ ์ ์๊ฐํ์ง ๋ง๊ณ ์๋๋ผ๋ ์ฃผ์์ ์์ ์ ํ๋ ์ฌ๋์ด๋ ๋น์ทํ ์ผ์ ํ๋ ์ฌ๋๋ค์ ๋ณด๋ฉด ํ์๋ผ์ธ์ด๋ผ๋ ๋จ์ด๋ฅผ ๋ง์ด ์ฌ์ฉํ๋ค.์ด์ฒ๋ผ ์ปดํจํฐ๋ฅผ ๋ถ์ํ ๋ ๋ํ ํ์๋ผ์ธ์ด ์ฌ์ฉ๋๋๋ฐ ์ด๋ ํ ๋์์ ํ๋์ง ์๊ฐ์ ๋จ๊ฒจ์ค๋ค. ์ฐจ์ด๊ฐ ์์ ์ ์์ง๋ง ์ด๋ฌํ ์๋ฏธ๋ฅผ ๊ฐ์ง๋ค. ์ด๋ฌํ ๊ธฐ๋ฅ์ ์ด๋์ ํ ์ ์์๊น?ํ์๋ผ์ธ ๊ธฐ๋ฅ์ ์ธ์ผ์ด์ค์ ์๋ ๊ธฐ๋ฅ์ด๋ผ๊ณ ์๋ค. ์ธ์ผ์ด์ค 7.x..
์ ๋ชฉ ๊ทธ์์ฒด๋ก ์ ์ฅ์ฅ์น์์๊ฐ ์๋ ์ด์์ฒด์ ๋จ์์ ์ ์ฅ์ฅ์น์์ ์ฐ๊ธฐ ๋ฐฉ์งํ๋ ๋ฐฉ๋ฒ์ด๋ค.์ด๋ป๊ฒ ๋ณด๋ฉด ์ข๊ณ ์ด๋ป๊ฒ ๋ณด๋ฉด ์.... - Key : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies- Value : WriteProtect- Data : 0x00000001 (์ฐ๊ธฐ ๋ฐฉ์ง ์ค์ ), 0x00000000 (์ฐ๊ธฐ ๋ฐฉ์ง ํด์ )
์ต๊ทผ๋ค์ด ์ด๋์ ๋์คํฌ ์ฆ, USB์ ์ฌ์ฉ์ด ๋ง์์ง๊ณ ์๋ค. ๋ํ ์์ผ๋ก๋ ๋์ด๋ ๊ฒ ๊ฐ์? ๋๋์ด ๋ค๊ณ ์ด๋ฅผ ์ ์ฑ์ฝ๋ ์ ํฌ ๋๋ ์๋ฃ ์ ํฌ ๋ฑ์ผ๋ก ๋ง์ด ์ด์ฉ ๋๊ณ ์๋ค. ๊ณผ์ฐ usb๋ ์ด๋ป๊ฒ ์ธ์์ด ๋๊ณ ์ด๋ป๊ฒ ์ฌ์ฉ๋ ๊น? ๋จผ์ usb๋ฅผ ๊ฝ์์ ๋ Bus Driver๋ผ๋ ๊ณณ์์ PnP Manager์๊ฒ ์ ์กฐ์ฌ์ device์ ์ผ๋ จ ๋ฒํธ๋ฅผ ๋ณด๋ด์ด ์ฐ๊ฒฐ์ด ๋์์์ ์๋ฆฐ๋ค.๊ทธ ํ ์ปค๋๋ชจ๋ PnP Manager๋ ๋ ์ง์คํธ๋ฆฌ๋ฅผ ๊ธฐ๋ฐ์ผ๋ก ๋๋ผ์ด๋ฒ๊ฐ ์ค์น๋์ด์๋์ง๋ฅผ ํ์ธํ๋ค.๋ง์ฝ ์ค์น๊ฐ ๋์ด ์์ง ์๋ค๋ฉด ์ปค๋๋ชจ๋ PnP Manager๋ ์ ์ ๋ชจ๋ PnP Manager์๊ฒ ๋๋ผ์ด๋ฒ์ ๊ด๋ จ ์ํญ์ ์ ๋ฌ ํ๋ค. ์ค์น๊ฐ ๋์ด ์๋ค๋ฉด ๋๋ผ์ด๋ฒ๋ฅผ ๋ก๋ํ๋ค.์์ ๊ณผ์ ์ ๋ง์น๋ฉด ๋ ์ง์คํธ๋ฆฌ์ ๊ธฐ๋ก์ํ๊ณ ์ค์น๊ณผ์ ์ SetupAPI ๋ก๊ทธ..
printkey ์ด ๋ช ๋ น์ด๋ ๋ ์ง์คํธ๋ฆฌ ํค๊ฐ์ ๋ณด์ฌ์ค๋ค. netscan์ด ๋ช ๋ น์ด๋ ํ์ฑํ๋ ๋คํธ์ํฌ ์ ๋ณด๋ฅผ ์๋ ค์ค๋ค.(windows 7์์๋ง ์ฌ์ฉ๊ฐ๋ฅ) connections๋ช ๋ น์ด๋ฅผ ์ด์ฉํ์ฌ ๋คํธ์ํฌ๋ฅผ ๊ฒ์ฌํ๋ค.์ฌ๊ธฐ์ ๋ ์์ธํ ์๊ธฐ์ํด ๋ฐ์ ๋ช ๋ น์ด๋ฅผ ์ฌ์ฉํ๋ค. connscan ์ด ๋ช ๋ น์ด๋ ์์ ๋ช ๋ น์ด์ ๊ฐ์ง๋ง ์ด๋ฏธ ๋์ด์ง ๋คํธ์ํฌ๋ ๋ํ๋ด ์ค๋ค. ] yarascan์ด๋ช ๋ น์ด๋ yara๋ฅผ ์ด์ฉํ์ฌ ์ ๋์ฝ๋ ๋ฑ์ ๊ฒ์ํ์ฌ ์ค๋ค.
kpcrscan์ด๋ Finding Object Roots in Vista ์ ๋ฌ์ฌ๋ ๊ฒ์ฒ๋ผ ์์ฒด์ฐธ์กฐ ๋ฉค๋ฒ๋ค์ ์ฒดํฌํจ์ผ๋ก์จ ์ ์ฌ์ KPCR ๊ตฌ์กฐ๋ค์ ์ค์บํ๊ธฐ ์ํ์ฌ ์ฌ์ฉ๋๋ ๋ช ๋ น์ด์ด๋ค.IDT ์ GDT ์ฃผ์, current,idle, ๊ทธ๋ฆฌ๊ณ ๋ค์ ์ฐ๋ ๋๋ค, CPU ์ซ์, ๋ฒค๋&์๋, ๊ทธ๋ฆฌ๊ณ CR3 ๊ฐ๋ค์ ํฌํจํ๋ ๊ฐ๊ฐ์ ํ๋ก์ธ์์ ๋ํ ์์ธํ ์ธ๋ถ ์ ๋ณด๋ค์ ๋ํด ์์๋ณด๊ธฐ ์ํด ์ฌ์ฉํ๋ค. ๋ํ ์ด๋ช ๋ น์ด๋ฅผ ์ฌ์ฉํ๊ธฐ ์ํด profile์ด๋ ๋ช ๋ น์ด๋ฅผ ์ฌ์ฉํด์ผํ๋๋ฐ. profile ์ imageinfo๋ช ๋ น์ด๋ฅผ ์ด์ฉํ์ฌ ์์์๋ค. pslist์ด ๋ช ๋ น์ด๋ ์์คํ ์ ํ๋ก์ธ์ค๋ค์ ๋ณด์ฌ์ค๋ค. PsActiveProcessHead ๋ฅผ ๊ฐ๋ฆฌํค๋ ์ด์ค์ฐ๊ฒฐ๋ฆฌ์คํธ๋ฅผ ์ง๋๊ฐ๋ฉฐ ์คํ์ , ํ๋ก์ธ์ค ์ด๋ฆ, ํ๋ก์ธ์ค ID, ๋ถ๋ชจ ํ๋ก์ธ์ค ID..