anonymous?

쉘코드를 넣어서 실행되도록 해보자. 쉘코드에서 \x 없애기 import binascii shellcode_arr=[ b"\x31\xd2\xb2\x30\x64\x8b\x12\x8b\x52\x0c\x8b\x52\x1c\x8b\x42", b"\x08\x8b\x72\x20\x8b\x12\x80\x7e\x0c\x33\x75\xf2\x89\xc7\x03", b"\x78\x3c\x8b\x57\x78\x01\xc2\x8b\x7a\x20\x01\xc7\x31\xed\x8b", b"\x34\xaf\x01\xc6\x45\x81\x3e\x57\x69\x6e\x45\x75\xf2\x8b\x7a", b"\x24\x01\xc7\x66\x8b\x2c\x6f\x8b\x7a\x1c\x01\xc7\x8b\x7c\xaf", b"\xfc\x..

REVERSING/Reversing Study 2021. 5. 18. 03:07

1. Detect It Easy: PE 파일 정보 확인하기 따로 compress가 진행되진 않았다. 2. 디스어셈블러 사용해보기 1) x32dbg F9로 EntryPoint를 찾았다. EntryPoint에서 우클릭해서 다음을 찾기 -> 현재 구역 -> 문자열 참조 Congratulations!가 Name과 Serial 모두 맞았을 때 가는 branch일 것이므로, 해당 문자열에서 우클릭해서 디스어셈블리에서 따라가기를 선택한다. Congratulations!로 가는 조건을 보자. branch문을 찾는데, 위에 &__vbaFreeObj 함수 호출 후 je로 같을 경우 점프한다. 00403329에서 breakpoint(F5)를 잡고, 실행을 시킨다. Name과 Serial을 hihi와 hello로 주고 Che..

REVERSING/Reversing Study 2021. 5. 18. 01:48

PE 파일 분석 프로그램 PEView 한눈에 PE 구조를 볼 수 있다. PEView 에서 받을 수 있다. Detect It Easy PE 구조, 프로그램을 개발한 언어, 패킹 여부 정보 제공한다. die 통해 파일 수정 가능하다. Detect It Easy 에서 받을 수 있다. 메모리 덤프 OllyDumpEx : OllyDbg 플러그인 OllyDumpEx 사이트에서 파일을 받아서 OllyDbg 플러그인 폴더에 넣는다. IDA, x32dbg/x64dbg OllyDbg 뿐만 아니라 IDA, x32dbg/x64dbg 모두 메모리 덤프 기능을 제공한다. 손상된 IAT 복구 프로그램 LoadPE LoadPE 사이트에서 파일을 받을 수 있다. 압축을 풀고 설치 없이 LordPE.exe 실행하여 사용할 수 있다. R..

REVERSING/Reversing Study 2021. 5. 17. 21:39

Window → Preference → Server → Runtime Environments Add → Apache → Apache Tomcat v9.0 Tomcat 설치 경로를 지정해준 후, Finish를 누른다. Apply and Close Window → Show View → Others → Server → Server 선택해서 Open No servers are available. Click this link to create a new server 선택 아까 만들었던 Tomcat 버전의 서버 선택 후 Finish를 누른다. 이 과정까지 완료 후, Servers 창이 위와 같이 되어있다. 오른쪽 상단의 Java EE를 클릭한다. File → New → Dynamic Web Project 선택 프로..

TOOLS/TIPS 2021. 5. 17. 09:55

Tomcat 작동을 확인하려고 localhost:8080을 브라우저에서 해보면, 로그인하라는 팝업창이 뜬다. 이는 오라클의 포트와 겹쳐서 발생하는 문제이다.

TOOLS/TIPS 2021. 5. 15. 18:08

1. 패킹과 언패킹 1.1 패킹과 언패킹의 개요 패킹(Packing) 프로그램 코드 크기 줄이기 위해 압축(Compressing)하거나, 프로그램 분석 어렵게 하려고 암호화(Protecting)하는 것 컴프레싱(Compressing): 단순 압축하는 것 초기엔 메모리와 하드디스크 용량이 작아 프로그램의 크기를 줄이기 위해 Compressing 기술을 사용했다. 실행 코드를 압축해서 PE 파일의 특정 섹션에 저장 후, 프로그램이 실행될 때 공간에 압축을 풀어 실행하는 구조 요즘엔 파일 배포 시 전송 시간과 데이터 요금 줄이기 위해 압축 사용 프로텍팅(Protecting): 실행파일을 암호화해서 분석을 어렵게 하는 기술 실행 코드를 암호화된 상태로 배포하고, 실행 시점에서 복호화하여 동작을 수행한다. 속도 ..

REVERSING/Reversing Study 2021. 5. 11. 01:29

OEP 찾기 F9로 프로그램을 실행하면 '004650BE' 주소에서 실행이 멈추는데, EntryPoint에 해당한다. 그리고 F7로 들어가면 함수 프롤로그를 만날 수 있다. ESP 레지스터 값이 EBP 레지스터에 저장된다. 스택 top(ESP 레지스터가 가리키는 곳)에는 EBP 레지스터 값이 저장되어 있다. 현재 EBP 레지스터에는 EBP 값이 저장된 스택의 주소를 가진다. 언패킹이 끝나면 다시 이전 루틴의 EBP 값을 ESP 레지스터에 가져와서 EBP 레지스터에 저장해야 하므로, ESP 레지스터 값이 가리키는 메모리 주소에 BP를 설정하면 OEP로 이동하는 지점을 확인할 수 있다. 스택 top에 저장된 이전 루틴의 EBP 값에 hardware breakpoint를 설정한다. x32dbg에서 이전 루틴의..

REVERSING/Reversing Study 2021. 5. 11. 00:05

OEP를 구한 후 '등록성공' 으로 가는 분기점의 OPCODE를 구하시오. 정답인증은 OEP + OPCODE EX) 00400000EB03 파일이 패킹되어있는 것 같다. Detect It Easy 툴을 사용해서 PE 파일 정보를 확인했다. horsicq.github.io/ 위 사이트에서 die_win64_portable_3.01.zip 을 다운받았다. 압축해제 후, die.exe를 실행하면 바로 사용가능하다. Aspack v2.0으로 패킹된 것을 확인했다. Aspack 언패킹 방법 1. Hardware breakpoint 2. RETN 0C 찾고 BP를 걸어서 OEP를 찾는다. 두 번째 방법을 사용한다. 과정은 다음과 같다. 1. PUSHAD: 현재 레지스터를 스택에 저장 2. 원본코드를 특정 메모리에 ..

REVERSING/Reversing Study 2021. 5. 10. 18:12

OEP를 구하시오 Ex) 00400000 UPX로 패킹되어있어서, 언패킹을 한다. 언패킹한 실행파일을 x32dbg에서 열고, F9로 EntryPoint로 이동한다. OEP는 패킹하기 전의 EntryPoint에 해당하므로 0x01012475이다. 따라서 정답은 01012475

REVERSING/Reversing Study 2021. 5. 9. 23:46

Unpack을 한 후 Serial을 찾으시오. 정답인증은 OEP + Serial Ex) 00400000PASSWORD CodeEngn Basic RCE L05에서와 동일하게 UPX로 패킹된 파일로, L05와 동일하게 언패킹을 진행하면 된다. UPX(The Ultimate Packer for eXecutables)는 실행 파일 압축 프로그램이다. upx 명령어를 이용해서 언패킹을 할 수 있다. 윈도우 쉘에서 기본 명령어로 깔려있지 않아서 CodeEngn Basic RCE L05 에서 upx 명령어를 설치하는 과정을 진행했어서 따로 설치없이 바로 언패킹을 진행했다. UPX로 패킹된 실행파일 언패킹하기 upx.exe -d 실행파일 언패킹 후 다시 IDA로 열어보면 패킹된 실행파일에서는 start 심볼만 보였는..

REVERSING/Reversing Study 2021. 5. 9. 22:44

Description upstream 커널의 waitid 구현 시 access_ok 함수를 이용한 체크의 부재로 타겟 목적지에 정보를 복사하는 것을 제한하지 않아서, 로컬의 사용자는 임의의 커널 메모리에 쓸 수 있고, 이는 권한 상승(privilege escalation)으로 이어질 수 있다. Background SMEP (Supervisor Mode Execution Prevention) User Mode의 실행 코드를 Ring-0 권한으로 제한하여 신뢰할 수 없는 애플리케이션의 메모리 실행을 방지하는 커널 보호 기법 EoP exploit 실행하지 못하도록 하여 EoP(Escalation of Privilege) 공격 방지 Supervisor Mode에서 명령 패치 및 코드 실행 제어 커널이 user ..

ANALYSIS/Vulnerability Analysis 2021. 5. 9. 02:15

사용하는 프로세서의 가상화(virtualization) 지원 여부 확인 grep -Eoc '(vmx|svm)' /proc/cpuinfo 0 이외의 숫자가 출력되는 경우, 현재 가상화 기능이 활성화되어있다는 의미이다. 0 값이 출력되는 경우, virtualization 기능을 enable 해야 한다. Virtualization Enable 하기 - Virtual Machine Settings에서 적용하기 가상머신이 power off된 상태에서 Settings의 Processors에서 Virtualize Intel VT-x/EPT or AMD-V/RVI 부분을 체크한다. 다시 위의 명령어로 가상화 지원 여부를 확인해보면 0이 아닌 값을 출력해준다. Virtualization Enable 하기 - vmx 파일..

TOOLS/TIPS 2021. 5. 3. 18:35