'분류 전체보기' 카테고리의 글 목록 (4 Page)

분류 전체보기 (52)

Window Registry-Analysis [2]

Digital Forensic/Windows-Forensic Gflow 2017. 12. 14. 16:17

본 포스팅에서는 윈도우의 레지스트리에 대해서 다룹니다.(도구 사용법 등과 같이 기초 지식은 본 포스팅에서 다루지 않습니다.) 앞서 레지스트리 구성과 채증하는 방법 그리고 분석하는 방법에 대해서 알아 보았습니다. 이번 포스팅에서는 레지스트리를 통해 얻을 수 있는 정보들에 대해 알아 보도록 하겠습니다. (해당 내용이 많으므로 여러 횟차에 걸쳐 포스팅 하겠습니다.) 1. 시스템정보 ■ HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion cmd창에서 systeminfo명령어를 입력하였을 때와 같이 시스템에 대한 전반적인 정보를 담고있습니다. -OS 설치 정보, 버전, 사용자정보 등 [시스템정보] 2. 사용자의 PC에 설치된 프로그램 목록 ■ HKLM\SOFTWARE\Micr..

Windows Registry Analysis[1]

Digital Forensic/Windows-Forensic Gflow 2017. 12. 11. 16:16

본 포스팅에서는 윈도우의 레지스트리에 대해서 다룹니다.(도구 사용법 등과 같이 기초 지식은 본 포스팅에서 다루지 않습니다.) 윈도우의 레지스트리는 리눅스의 커널과 같이 중요 핵심 구성 요소입니다. 모든 정보가 레지스트리에 저장된다고 봐도 될만큼 윈도우 포렌식에 있어서 레지스트리만 분석을 잘하여도 원하는 증거를 채증할 수 있습니다. 물론 이는 해당 OS가 윈도우여야 한다는 가정입다. 본 포스팅에서는 윈도우 포렌식의 기본이 되는 레지스트리에 대해서 어떤 정보들을 채증하여 활용할 수 있는지에 대해서도 알아 보도록 하겠습니다. 1. 레지스트리 구성레지스트리의 구성은 크게 5가지의 항목으로구성되어 있습니다.(레지스트리 편집기를 통해 확인 할 수 있으며, Windows + R 을 누른 후 regedit을 입력하여 ..

[Browser Exploit] 3 Step To Exploit Edge

System/Windows Gflow 2017. 9. 20. 23:30

출처: http://blogs.360.cn/blog/three-roads-lead-to-rome-2/ 출처: https://github.com/Microsoft/ChakraCore 설명하는 edge 취약점은 이미 해결된 취약점입니다. 다음은 Bug trigger code 입니다. __proto__ 구성은 함수에만 해당되는 속성입니다. JS에서는 함수를 정의하고 파싱단계에 들어가면 내부적으로 수행되는 작업이 존재합니다.var intarr = new Array(1, 2, 3, 4, 5, 6, 7) var arr = new Array(alert) arr.length = 24 arr.__proto__ = new Proxy({}, { getPrototypeOf:function() { return intarr } ..

[Window Application Exploit] ROP2

System/Windows Gflow 2017. 9. 18. 23:30

본 exploit code는 이전 ROP를 수행했던 vuplayer와 같은 조건과 환경에서 실습하였습니다. Step 1. Application 프로그램을 실행시키면 평범한 형태의 음악 재생 프로그램이라는 것을 알 수 있습니다. 이전과 마찬가지로 input 값을 넣을 수 있는 부분을 추측하자면 playlist를 추가하는 곳을 추측할 수 있습니다. m3u 형태의 파일을 생성해 “A”를 20000bytes정도 넣어주었더니 아래의 그림과 같이 SEH handler가 바뀐 것을 알 수 있습니다. 따라서 SEH overwrite기법이 가능합니다. 패턴을 만들어 handler 함수까지의 offset을 알아낼 수 있습니다. Step 2. 취약점 패턴을 넣어 알아낸 SEH handler까지의 offset은 5144byt..

[Window Application Exploit] ROP

System/Windows Gflow 2017. 9. 15. 23:30

본 exploit code는 module rebase를 고려하지 않는 환경을 기준으로 생각해주시기 바랍니다. Step 1. Application 처음 프로그램을 실행시키면 아래와 같은 실행화면이 나오게 됩니다. 보통 music player같은 프로그램들은 playlist나 음악 파일 같은 걸로 input을 넣게 됩니다. 따라서 위의 화면에서 추정해보면 붉은 상자 안에 폴더나 playlist들을 open하는 곳이 input을 넣을 수 있는 부분이라고 생각할 수 있습니다. Step 2. 취약점 BOF 취약점을 확인하기 위해서 위와 같은 code를 이용해 m3u file을 만들고 해당 파일을 playlist에 추가시킵니다.import struct exploit = "A"*20000 file = open("ex..

[Kernel] Kernel Shellcode Analysis

System/Windows Gflow 2017. 9. 13. 23:30

출처: https://github.com/hacksysteam/HackSysExtremeVulnerableDriver Step 1. Token 이전 kernel exploit에서 payload를 구성하고 아래에 나와 있는 System token을 얻기위한 shellcode를 추가해 현재 프로세스의 권한을 올리고 cmd.exe를 실행시켰습니다.VOID TokenShellcode() { __asm { pushad xor eax, eax mov eax, fs:[eax + 0x124]; KTHREAD offset mov eax, [eax + 0x50]; EPROCESS offset mov ecx, eax mov edx, 0x4; system process PID SearchSystemPID : mov eax, ..

[Kernel] Kernel Shellcode

System/Windows Gflow 2017. 9. 11. 23:30

이전 문서들에서도 보이듯 일반적인 Application exploit과 달리 Kernel exploit에서는 실행할 process를 system 권한으로 만드는 것에 중점을 두게 됩니다. 따라서 특정 Application을 통해 다른 process를 실행시키는 것이 아닌 현재 내가 실행시킬수 있는 프로그램의 권한을 올리는 것이 목적입니다. Step 1. Token Window에서 실행중인 process와 관련된 사용자 계정 및 접근 권한은 token이라는 커널 개체에 의해서 결정됩니다. 다양한 process의 커널 데이터 구조에는 process의 token에 대한 pointer가 들어가 있습니다. 단순히 cmd.exe를 실행시켜 현재 process의 권한을 보면 PC user의 이름만 나타나게 됩니다. ..

[Kernel] Kernel Pool Attack

System/Windows Gflow 2017. 9. 8. 23:30

출처: Kernel Pool Exploitation on Windows7 (Tarjei Mandt) 본 포스팅은 Kernel Pool Exploitation on Windows7 논문을 분석 및 의역하여 작성하였습니다. Step 1. ListEntry Flink Overwrite Kernel에서 Pool chunk를 ListHeads의 목록에서 할당할 때 Flink의 유효성을 제대로 검사하지 못하는 대신 ListHeads[n] LIST_ENTRY 구조체의 유효성만을 검사합니다.for (n = BlockSize – 1; n < 512; n++) { if (ListHeads[n].Flink == &ListHeads[n]) { // empty continue; } } 공격자가 free된 chunk에 POOL ..

[Kernel] Allocate Kernel Memory Free

System/Windows Gflow 2017. 9. 6. 23:30

출처: Kernel Pool Exploitation on Windows7 (Tarjei Mandt) 본 포스팅은 Kernel Pool Exploitation on Windows7 논문을 분석 및 의역하여 작성하였습니다. Step 1. Windows Kernel Pool windows 버전이 바뀔 때마다 memory design NUMA를 더 최적화시켜 memory 관리의 효율이 올라가게 됩니다. 그 결과로 Kernel의 KNODE 구조체에 의해 정의된 node라고 하는 작은 단위로 memory가 관리됩니다. System을 시작하게 되면 memory 관리자는 Pool Descriptor에 의해 관리되는 Memory Pool을 형성하게 됩니다. Paged Pool: 실제 memory에 상주하지 않고 pagi..

[Kernel Exploitation] GDI Bitmap Abuse

System/Windows Gflow 2017. 9. 4. 23:30

출처: https://www.fuzzysecurity.com/tutorials.html 본 포스팅은 fuzzysecurity Tutorials part 17 -> GDI Bitmap Abuse를 분석 및 의역하여 작성하였습니다. Sample Windows Driver code에 존재하는 취약점을 학습하는 데 그 목적이 있습니다. Step 1. 취약점 분석 해당 취약점은 Arbitrary Overwrite가 한 번 가능할 때 Bitmap 객체를 이용한 취약점입니다. 간략히 설명하면 Bitmap 객체를 이용해서 한번의 Write-What-Where 취약점을 그 후에도 무한적으로 이용할 수 있게 세팅하는 것입니다. CreateBitmap() API는 Bitmap 객체를 생성하는 함수입니다.HBITMAP Cre..

1
2
3
4
5
6

Gflow