'공부'에 해당되는 글 93건

  1. 2013.04.24 PE Structure
  2. 2013.03.08 Android-Trojan/FakeInst
  3. 2013.03.06 Win-Trojan/Scar.109568.U
  4. 2013.03.06 Win32/Aimbot.worm.15872
  5. 2013.02.08 MUP 강좌 페이지 링크 모음 (1)
  6. 2013.02.07 SMB Protocol
  7. 2013.01.20 [Protocol]NBNS (1)
  8. 2012.08.22 [InForensics] 메모리 분석 - 4
  9. 2012.08.22 [InForensics] 메모리 분석 - 3 (1)
  10. 2012.08.12 [InForensics] 메모리 분석 - 2 (2)

PE Structure

공부/Forensics 2013. 4. 24. 02:02 |


PE-Analysis-v1.0.pdf



'공부 > Forensics' 카테고리의 다른 글

PE Structure  (0) 2013.04.24
[InForensics] 메모리 분석 - 4  (0) 2012.08.22
[InForensics] 메모리 분석 - 3  (1) 2012.08.22
[InForensics] 메모리 분석 - 2  (2) 2012.08.12
[InForensics] 메모리 분석 - 1  (0) 2012.08.09
[Metasploit]Meterpreter API Cheat Sheet  (0) 2012.07.26
Posted by extr

댓글을 달아 주세요

첫 안드로이드 악성코드 분석


배우지도 않은 자바를 배우게되네


http://www.popstar1.com으로 유포되는 042.apk에 관한 분석 보고서입니다.



042apk_Report.pdf



'공부 > Reversing' 카테고리의 다른 글

Android-Trojan/FakeInst  (0) 2013.03.08
Win-Trojan/Scar.109568.U  (0) 2013.03.06
Win32/Aimbot.worm.15872  (0) 2013.03.06
MUP 강좌 페이지 링크 모음  (1) 2013.02.08
Windows Kernel Debugger(VirtualKD)  (1) 2012.08.12
Posted by extr

댓글을 달아 주세요


Win-Trojan/Scar.109568.U 분석


5d25e3f2a9dfb7a032089cf1dfccfa8f분석.pdf



'공부 > Reversing' 카테고리의 다른 글

Android-Trojan/FakeInst  (0) 2013.03.08
Win-Trojan/Scar.109568.U  (0) 2013.03.06
Win32/Aimbot.worm.15872  (0) 2013.03.06
MUP 강좌 페이지 링크 모음  (1) 2013.02.08
Windows Kernel Debugger(VirtualKD)  (1) 2012.08.12
Posted by extr

댓글을 달아 주세요

Win32/Aimbot.worm.15872 분석

(일명 2090바이러스)


2090분석.pdf


'공부 > Reversing' 카테고리의 다른 글

Android-Trojan/FakeInst  (0) 2013.03.08
Win-Trojan/Scar.109568.U  (0) 2013.03.06
Win32/Aimbot.worm.15872  (0) 2013.03.06
MUP 강좌 페이지 링크 모음  (1) 2013.02.08
Windows Kernel Debugger(VirtualKD)  (1) 2012.08.12
Posted by extr

댓글을 달아 주세요

Manual Unpacking 에 대한 해외 자료 입니다.

 

  • ASProtect 1.23 RC4 - 1.3.08.24 with CloneCD.htm
  • ASProtect 1.23 RC4 - 1.3.08.24 with CloneCD_files/
  • ASProtect_2.x_SKE_inline_patching_tutorial_by_ThunderPwr_trans.htm
  • ASProtect_2.x_SKE_inline_patching_tutorial_by_ThunderPwr_trans_files/
  • Amardillo 4.xx-Patching Hardware Fingerprint (HWID).htm
  • Amardillo 4.xx-Patching Hardware Fingerprint (HWID)_files/
  • AntiTracks_Arm 4.xx-Code Splicing.htm
  • AntiTracks_Arm 4.xx-Code Splicing_files/
  • AoA DVD Ripper.htm
  • AoA DVD Ripper_files/
  • Armadillo & Macromedia Games.htm
  • Armadillo & Macromedia Games_files/
  • Armadillo 3.70_IAT elimination_Code splicing_Standard.htm
  • Armadillo 3.70_IAT elimination_Code splicing_Standard_files/
  • Armadillo 4.xx- Code Splicing (Other Method).htm
  • Armadillo 4.xx- Code Splicing (Other Method)_files/
  • Armadillo 5.x Dll - Visual.Assist.X.V10.4.1640 Build 2008.05.22.htm
  • Armadillo 5.x Dll - Visual.Assist.X.V10.4.1640 Build 2008.05.22_files/
  • Armadillo DLL – Unpacking and MORE.htm
  • Armadillo DLL – Unpacking and MORE_files/
  • Armadillo Exact Version Location Tutorial.htm
  • Armadillo Exact Version Location Tutorial_files/
  • Armadillo v3.xx Manual Unpacking.htm
  • Armadillo v3.xx Manual Unpacking_files/
  • Armadillo_tut_serie1.htm
  • Armadillo_tut_serie1_files/
  • Armadillo_tut_serie1_fixed.htm
  • Armadillo_tut_serie1_fixed_files/
  • Armadillo_tut_serie2.htm
  • Armadillo_tut_serie2_files/
  • Armadillo_tut_serie3.htm
  • Armadillo_tut_serie3_files/
  • Armadillo_tut_serie4.htm
  • Armadillo_tut_serie4_files/
  • Armadillo_tut_serie5.htm
  • Armadillo_tut_serie5_files/
  • Armdillo_tut_serie6.htm
  • Armdillo_tut_serie6_files/
  • Asprotect20beta.htm
  • Asprotect20beta_files/
  • AutoPlayMediaStudio6_Arm 4.xx - Standard Protection+IAT Elimination.htm
  • AutoPlayMediaStudio6_Arm 4.xx - Standard Protection+IAT Elimination_files/
  • Basic Steps to Unpack.htm
  • Basic Steps to Unpack_files/
  • Bypass Registration EncryptPE V2.2007.htm
  • Bypass Registration EncryptPE V2.2007_files/
  • Cach khac de defeat debugBlocker.htm
  • Cach khac de defeat debugBlocker_files/
  • Code_Splicing_Evil_Method.htm
  • Code_Splicing_Evil_Method_files/
  • DOC_Regenerator211_Debug Blocker+ Hardware Finger Print.htm
  • DOC_Regenerator211_Debug Blocker+ Hardware Finger Print_files/
  • Debugblocker + Nanomites.htm
  • Debugblocker + Nanomites_files/
  • DiaryOne 5.6.htm
  • DiaryOne 5.6_files/
  • ExeCryptor_2.2.x_2.3.x.htm
  • ExeCryptor_2.2.x_2.3.x_files/
  • Game Editor 1.3.2.htm
  • Game Editor 1.3.2_files/
  • GetRight60beta_Arm 4.xx Full Protections.htm
  • GetRight60beta_Arm 4.xx Full Protections_files/
  • GetRight_5_0_Final_Arm 2.xx-3.xx - Debug Blocker+CopyMem.htm
  • GetRight_5_0_Final_Arm 2.xx-3.xx - Debug Blocker+CopyMem_files/
  • How to unpack AHTeam EP Protector 0.3.htm
  • How to unpack AHTeam EP Protector 0.3_files/
  • How to unpack ASPack 2.12_dqtln.htm
  • How to unpack ASPack 2.12_dqtln_files/
  • How to unpack ASProtect 1.22-1.23.htm
  • How to unpack ASProtect 1.22-1.23_files/
  • How to unpack ASProtect 1.23 RC4_dqtln.htm
  • How to unpack ASProtect 1.23 RC4_dqtln_files/
  • How to unpack ASProtect.htm
  • How to unpack ASProtect_files/
  • How to unpack AntiCrack Protector 1.0x.htm
  • How to unpack AntiCrack Protector 1.0x_files/
  • How to unpack Asprotect 1.23 rc4 series1.htm
  • How to unpack Asprotect 1.23 rc4 series1_files/
  • How to unpack Asprotect 1.23 rc4 series2.htm
  • How to unpack Asprotect 1.23 rc4 series2_files/
  • How to unpack FSG v1.33.htm
  • How to unpack FSG v1.33_files/
  • How to unpack FSGv2.0.htm
  • How to unpack FSGv2.0_files/
  • How to unpack PELock v1.0x.htm
  • How to unpack PELock v1.0x_files/
  • How to unpack PESpin v0.3.htm
  • How to unpack PESpin v0.3_files/
  • How to unpack Petite 2.2.htm
  • How to unpack Petite 2.2_files/
  • How to unpack exe32packv1.42.htm
  • How to unpack exe32packv1.42_files/
  • HyperSnap-DX_Arm 4.xx - Standard Protection_IAT Elimination_Code Splicing.htm
  • HyperSnap-DX_Arm 4.xx - Standard Protection_IAT Elimination_Code Splicing_files/
  • Inline Patching Ap Document to PDF Converter v3.htm
  • Inline Patching Ap Document to PDF Converter v3_files/
  • Inline_Patching for UPX.htm
  • Inline_Patching for UPX_files/
  • InsaneFIDO UnWrapMe.htm
  • InsaneFIDO UnWrapMe_files/
  • Intro.htm
  • Intro_files/
  • MANUAL UNPACK Software Compress 1.2.htm
  • MANUAL UNPACK Software Compress 1.2_files/
  • MUP Armadillo 3.78_Crack and reduce size of ASFConverter 2.68.htm
  • MUP Armadillo 3.78_Crack and reduce size of ASFConverter 2.68_files/
  • MUP Armadillo v4.64 Small Case.htm
  • MUP Armadillo v4.64 Small Case_files/
  • MUP Armadillo v5.42 Case Study.htm
  • MUP Armadillo v5.42 Case Study_files/
  • MUP Armadillo v600.htm
  • MUP Armadillo v600_files/
  • MUP EXEcryptor v2.2.6 with target_ PowerArchiver 2007.htm
  • MUP EXEcryptor v2.2.6 with target_ PowerArchiver 2007_files/
  • MUP ID Application Protector 1.2.htm
  • MUP ID Application Protector 1.2_files/
  • MUP NTkrnl_Protector_0.1.htm
  • MUP NTkrnl_Protector_0.1_files/
  • MUP_Armadillo_Fraps_Code_Splicing_+_IAT_Elimination.htm
  • MUP_Armadillo_Fraps_Code_Splicing_+_IAT_Elimination_files/
  • Manual unpacking FSG 2.0.htm
  • Manual unpacking FSG 2.0_files/
  • Manual unpacking Petite 2.3.htm
  • Manual unpacking Petite 2.3_files/
  • Manual unpacking Mew 11 SE v1.2.htm
  • Manual unpacking Mew 11 SE v1.2_files/
  • Manual Fixing IAT-NTKRNL Packer.htm
  • Manual Fixing IAT-NTKRNL Packer_files/
  • Manual Removing Visual Protect 3.5.4.htm
  • Manual Removing Visual Protect 3.5.4_files/
  • Manual Unpack ACTIVEMARK 5.31.htm
  • Manual Unpack ACTIVEMARK 5.31_files/
  • Manual Unpack ActiveMark 5.x.htm
  • Manual Unpack ActiveMark 5.x_files/
  • Manual Unpack Armadillo v4.62.htm
  • Manual Unpack Armadillo v4.62_files/
  • Manual Unpack ExeStealth.htm
  • Manual Unpack ExeStealth_files/
  • Manual Unpack PECompact 1.68-1.84.htm
  • Manual Unpack PECompact 1.68-1.84_files/
  • Manual Unpack PECompact 2.x.htm
  • Manual Unpack PECompact 2.x_files/
  • Manual Unpack PESpinv0.7 tlandn.htm
  • Manual Unpack PESpinv0.7 tlandn_files/
  • Manual Unpack tElock 0.90.htm
  • Manual Unpack tElock 0.90_files/
  • Manual Unpacking & Cracking ActiveMark 5.xx.htm
  • Manual Unpacking & Cracking ActiveMark 5.xx_files/
  • Manual Unpacking ExeCryptor 2.2.50.htm
  • Manual Unpacking ExeCryptor 2.2.50_files/
  • Manual Unpacking MoleBox v2.5.7 and Serial Fishing.htm
  • Manual Unpacking MoleBox v2.5.7 and Serial Fishing_files/
  • Manual Unpacking PEQuake v0.htm
  • Manual Unpacking PEQuake v0_files/
  • Manual Unpacking SVKP 1.32 Tut 1 - ASM Target.htm
  • Manual Unpacking SVKP 1.32 Tut 1 - ASM Target_files/
  • Manual Unpacking Total Uninstall 3.7.htm
  • Manual Unpacking Total Uninstall 3.7_files/
  • Manual Unpacking Zip Repair Tool 3.2.htm
  • Manual Unpacking Zip Repair Tool 3.2_files/
  • Manual Unpacking hmimys-Packer 1.0.htm
  • Manual Unpacking hmimys-Packer 1.0_files/
  • Manual unpack ASProtect 1.23 RC 4_by hacnho.htm
  • Manual unpack ASProtect 1.23 RC 4_by hacnho_files/
  • Manual unpacking EXE Shield v0.5.htm
  • Manual unpacking EXE Shield v0.5_files/
  • Manual unpacking EZIP 1.0.htm
  • Manual unpacking EZIP 1.0_files/
  • Manual unpacking FSG 1.0.htm
  • Manual unpacking FSG 1.0_files/
  • Manual unpacking FSG 2.0 modified.htm
  • Manual unpacking FSG 2.0 modified_files/
  • Manual unpacking FSG v2.0.htm
  • Manual unpacking FSG v2.0_files/
  • Manual unpacking MEW 11 SE v1.1.htm
  • Manual unpacking MEW 11 SE v1.1_files/
  • Manual unpacking Mew 10 exe-coder 1.0.htm
  • Manual unpacking Mew 10 exe-coder 1.0_files/
  • Manual unpacking Morphine 1.4 - 2.7.htm
  • Manual unpacking Morphine 1.4 - 2.7_files/
  • Manual unpacking PE Diminisher v0.1.htm
  • Manual unpacking PE Diminisher v0.1_files/
  • Manual unpacking PE Lock NT 2.04.htm
  • Manual unpacking PE Lock NT 2.04_files/
  • Manual unpacking PE-SHiELD v0.25.htm
  • Manual unpacking PE-SHiELD v0.25_files/
  • Manual unpacking PECompact 1.84.htm
  • Manual unpacking PECompact 1.84_files/
  • Manual unpacking PECompact 2.0 Final.htm
  • Manual unpacking PECompact 2.0 Final_files/
  • Manual unpacking PECompact v2.38.htm
  • Manual unpacking PECompact v2.38_files/
  • Manual unpacking SPLayer 0.08.htm
  • Manual unpacking SPLayer 0.08_files/
  • Manual unpacking UPX Protector 1.0x.htm
  • Manual unpacking UPX Protector 1.0x_files/
  • Manual unpacking Virogen Crypt v0.75.htm
  • Manual unpacking Virogen Crypt v0.75_files/
  • Manual unpacking WWPack32 1.x.htm
  • Manual unpacking WWPack32 1.x_files/
  • Manual unpacking tElock 0.98b1.htm
  • Manual unpacking tElock 0.98b1_files/
  • Manual unpacking y0da's Crypter v1.2.htm
  • Manual unpacking y0da's Crypter v1.2_files/
  • Movie Collector 4.4_CopyMemII+Nanomites.htm
  • Movie Collector 4.4_CopyMemII+Nanomites_files/
  • Mup Unpack Execryptor 2.x tlandn.htm
  • Mup Unpack Execryptor 2.x tlandn_files/
  • My Screen Recorder Pro 2.htm
  • My Screen Recorder Pro 2_files/
  • Obsidium 1.2.5.0 - unpacking.htm
  • Obsidium 1.2.5.0 - unpacking_files/
  • PictureRipper3_Armadillo 4.xx- Import Elimination+Nanomites.htm
  • PictureRipper3_Armadillo 4.xx- Import Elimination+Nanomites_files/
  • ProtectShareware.htm
  • ProtectShareware_files/
  • ProtectionPlus 4.x_takada.htm
  • ProtectionPlus 4.x_takada_files/
  • RLPack 1.19 Research.htm
  • RLPack 1.19 Research_files/
  • Remote System Information 3.2.htm
  • Remote System Information 3.2_files/
  • SWFDecompilerArm 4.xx - Standard Protection.htm
  • SWFDecompilerArm 4.xx - Standard Protection_files/
  • SWFText 1.2 .htm
  • SWFText 1.2 _files/
  • SafeDISC2.x.htm
  • SafeDISC2.x_files/
  • Safedisc-Easy or Hard - Vol 1.htm
  • Safedisc-Easy or Hard - Vol 1_files/
  • Safedisc-Easy or Hard - Vol 2.htm
  • Safedisc-Easy or Hard - Vol 2_files/
  • Safedisc-Easy or Hard - Vol 3.htm
  • Safedisc-Easy or Hard - Vol 3_files/
  • SoftWrap 6.1.1_Loader.htm
  • SoftWrap 6.1.1_Loader_files/
  • Stupid Execryptor-Fixing Dump.htm
  • Stupid Execryptor-Fixing Dump_files/
  • Stupid Execryptor-small trick.htm
  • Stupid Execryptor-small trick_files/
  • Tag&Rename32rc3_Inline Patching ASProtect 2.2 SKE .htm
  • Tag&Rename32rc3_Inline Patching ASProtect 2.2 SKE _files/
  • The Egnima Protector 1.33.htm
  • The Egnima Protector 1.33_files/
  • Themida_Tutorial 6.htm
  • Themida_Tutorial 6_files/
  • Themida_Tutorial1.htm
  • Themida_Tutorial1_files/
  • Themida_Tutorial2.htm
  • Themida_Tutorial2_files/
  • Themida_Tutorial3.htm
  • Themida_Tutorial3_files/
  • Themida_Tutorial4.htm
  • Themida_Tutorial4_files/
  • Themida_Tutorial5.htm
  • Themida_Tutorial5_files/
  • Themida_Tutorial6_exp1.htm
  • Themida_Tutorial6_exp1_files/
  • Themida_Tutorial6_exp2.htm
  • Themida_Tutorial6_exp2_files/
  • TrojanRemover6.4.4_Trojan Remover-DebugBlocker+Nanomites.htm
  • TrojanRemover6.4.4_Trojan Remover-DebugBlocker+Nanomites_files/
  • UNPACKING SLVc0deProtector 1.11 Tut 1_tlandn.htm
  • UNPACKING SLVc0deProtector 1.11 Tut 1_tlandn_files/
  • UNPACKING SLVc0deProtector 1.11 Tut 2_tlandn.htm
  • UNPACKING SLVc0deProtector 1.11 Tut 2_tlandn_files/
  • UnPackMe_Armadillo3.70a.b.htm
  • UnPackMe_Armadillo3.70a.b_files/
  • Unpack PEDiminisher 0.1.htm
  • Unpack PEDiminisher 0.1_files/
  • Unpack ASPack 2.1.htm
  • Unpack ASPack 2.12.htm
  • Unpack ASPack 2.12_files/
  • Unpack ASPack 2.1_files/
  • Unpack ASProtect 1.23 RC4.htm
  • Unpack ASProtect 1.23 RC4_files/
  • Unpack Armadillo - Standard protection only_vietnamese.htm
  • Unpack Armadillo - Standard protection only_vietnamese_files/
  • Unpack Aspack 1.06b_1.061b.htm
  • Unpack Aspack 1.06b_1.061b_files/
  • Unpack Ezip 1.0.htm
  • Unpack Ezip 1.0_files/
  • Unpack Mew 10 exe-coder 1.0.htm
  • Unpack Mew 10 exe-coder 1.0_files/
  • Unpack NeoLite2.htm
  • Unpack NeoLite2_files/
  • Unpack PE Pack v1.0.htm
  • Unpack PE Pack v1.0_files/
  • Unpack PECompact 1.68_1.84.htm
  • Unpack PECompact 1.68_1.84_files/
  • Unpack PECompact v1.76.htm
  • Unpack PECompact v1.76_files/
  • Unpack UnpackMe1_by_KLiZMA.htm
  • Unpack UnpackMe1_by_KLiZMA_files/
  • Unpack UpX 0.896_1.02.htm
  • Unpack UpX 0.896_1.02_files/
  • Unpack and Crack Full XP Tools version 4.58.htm
  • Unpack and Crack Full XP Tools version 4.58_files/
  • Unpack manual PECompact version 2.55.htm
  • Unpack manual PECompact version 2.55_files/
  • UnpackMe_CopyMemII_Nanomites.htm
  • UnpackMe_CopyMemII_Nanomites_files/
  • Unpack_Armadillo_01.htm
  • Unpack_Armadillo_01_files/
  • Unpack_Armadillo_02.htm
  • Unpack_Armadillo_02_files/
  • Unpacking & Cracking RAR Repair Tool 3.0.htm
  • Unpacking & Cracking RAR Repair Tool 3.0_files/
  • Unpacking ASProtect 2.3 SKE.htm
  • Unpacking ASProtect 2.3 SKE_files/
  • Unpacking ASProtect 2.XX SKE.htm
  • Unpacking ASProtect 2.XX SKE_files/
  • Unpacking ActiveMark level 2 entry point.htm
  • Unpacking ActiveMark level 2 entry point_files/
  • Unpacking Armadillo 4.xx For Newbie 2.htm
  • Unpacking Armadillo 4.xx For Newbie 2_files/
  • Unpacking EXEcryptor 2.3x.htm
  • Unpacking EXEcryptor 2.3x_files/
  • Unpacking Flash Recovery 2.35.htm
  • Unpacking Flash Recovery 2.35_files/
  • Unpacking SLVc0deProtector 1.1.htm
  • Unpacking SLVc0deProtector 1.1_files/
  • Unpacking Unpackme (ASPack + MSLRH).htm
  • Unpacking Unpackme (ASPack + MSLRH)_files/
  • Unpacking Wrapper used by GameHouse.com_tlandn.htm
  • Unpacking Wrapper used by GameHouse.com_tlandn_files/
  • Unwrapping_Reflexive_Arcade_EvilInvasion.htm
  • Unwrapping_Reflexive_Arcade_EvilInvasion_files/
  • Upack Armadillo 3.70a_VCT5.htm
  • Upack Armadillo 3.70a_VCT5_files/
  • Various Asprotect Loader Tricks.htm
  • Various Asprotect Loader Tricks_files/
  • XTM_Arm 4.xx - Standard Protection+Code Splicing+IAT Elimination.htm
  • XTM_Arm 4.xx - Standard Protection+Code Splicing+IAT Elimination_files/
  • Yoda's protectors v1.02[MUP].htm
  • Yoda's protectors v1.02[MUP]_files/
  • Yoda's protectors v1.03.2 beta3[MUP].htm
  • Yoda's protectors v1.03.2 beta3[MUP]_files/
  • Yoda's protectors v1.03.2[MUP].htm
  • Yoda's protectors v1.03.2[MUP]_files/
  • Yoda's protectors v1.03.3[MUP].htm
  • Yoda's protectors v1.03.3[MUP]_files/
  • [MUP & CRACKING] MoleBox Pro 2.6 Trial -Volume 1.htm
  • [MUP & CRACKING] MoleBox Pro 2.6 Trial -Volume 1_files/
  • armdillo_tuts_6_exp.htm
  • armdillo_tuts_6_exp_files/
  • armdillo_tuts_7.htm
  • armdillo_tuts_7_exp.htm
  • armdillo_tuts_7_exp_files/
  • armdillo_tuts_7_files/
  • armdillo_tuts_8.htm
  • armdillo_tuts_8_files/
  • armdillo_tuts_9.htm
  • armdillo_tuts_9_files/
  • unpack Asprotect 1.2.htm
  • unpack Asprotect 1.2_files/
  • unpack PECompact 1.68 – 1.84.htm
  • unpack PECompact 1.68 – 1.84_files/
  • unpack PECompact 2.x.htm
  • unpack PECompact 2.x_files/
  • unpack UPX Scramble RC 1.x.htm
  • unpack UPX Scramble RC 1.x_files/
  • unpack Yoda Cryptor 1.2.htm
  • unpack Yoda Cryptor 1.2_files/

  • 출처 - 네이버카페 (cafe.naver.com/unpackme)
  • '공부 > Reversing' 카테고리의 다른 글

    Android-Trojan/FakeInst  (0) 2013.03.08
    Win-Trojan/Scar.109568.U  (0) 2013.03.06
    Win32/Aimbot.worm.15872  (0) 2013.03.06
    MUP 강좌 페이지 링크 모음  (1) 2013.02.08
    Windows Kernel Debugger(VirtualKD)  (1) 2012.08.12
    Posted by extr

    댓글을 달아 주세요

    1. sweetchip 2013.02.17 20:25 신고 Address Modify/Delete Reply

      아니이런 귀한자료를...!!
      감사합니다~

    SMB Protocol

    공부/Network 2013. 2. 7. 20:11 |











    출처 - 아이월드 네트워킹 기술지원팀(coffeenix.net/doc/network/SMB_ICMP_UDP(huichang).pdf)




    '공부 > Network' 카테고리의 다른 글

    SMB Protocol  (0) 2013.02.07
    [Protocol]NBNS  (1) 2013.01.20
    MAC OUI Finder  (0) 2012.08.12
    nc를 이용한 파일 전송  (0) 2012.07.21
    IPSec  (0) 2012.07.19
    DHCP  (1) 2012.07.19
    Posted by extr

    댓글을 달아 주세요

    [Protocol]NBNS

    공부/Network 2013. 1. 20. 03:12 |

    NetBIOS 네임 서버 프로토콜(NBNS 프로토콜)은 NBT(NetBIOS over TCP/IP)계열의 일부로 윈도우 시스템에서는 WINS(Windows Internet Name Service)로 구현되어 있습니다. 설계상으로는 NBNS는 네트워크에 연결된 다른 컴퓨터들 상호간의 이름이 충돌되지 않도록 도와 주는 역할을 하게 됩니다. 


    또한, 이 프로토콜은 네트워크 인증을 받지 않도록 설계되어 있기 때문에 스푸핑(spoofing)에 노출되어 있습니다. 따라서 악의적인 사용자가 이름 충돌(Name Conflict)이나 이름 해제(Name Release) 메커니즘을 엉뚱하게 사용하게 되면 네트워크상에서 존재하는 다른 컴퓨터는 현재 등록된 이름이 다른 컴퓨터와 충돌을 야기하는 것처럼 보이는 결과를 가져올 수 있습니다. 이러한 시나리오에 따라 해당 컴퓨터는 현재 사용하고 있는 이름을 네트워크에 등록하지 못하거나 등록된 이름을 사용하지 못하게 됩니다. 두 가지 경우 모두 같은 해당 컴퓨터가 이름 충돌과 관계된 메시지에 대해서 응답하지 않는 결과를 초래합니다.


    일반적인 보안 기법으로 UDP 137번 포트를 방화벽에서 막아 버리면 외부에서 공격하는 것은 불가능해집니다. 또한 이 문제에 대해 제공되는 패치는 시스템 관리자들이 네트워크 유지에 추가적인 유연성을 확보하는 방향으로 윈도우 시스템의 동작 방법을 변경하였습니다. 


    패치는 관리자들이 컴퓨터의 이름 충돌과 관계된 데이터그램을 오로지 이름 등록을 시도하는 경우에만 받을 수 있도록 설정할 수 있도록 하였으며, 또한 모든 이름 해제 데이터그램을 받지 못하도록 설정할 수 있습니다. 그러나, 이것은 스푸핑을 완전히 제거하는 것은 아니며 단지 가능성을 낮추는 것 뿐입니다. 추가적인 보안 설정을 고려하고 계신 고객들은 137-139번 포트의 모든 세션을 확인하기 위하여 Windows 2000의 IPSec를 사용하는 것을 고려해 보시기 바랍니다

    http://www.microsoft.com/korea/technet/security/bulletin/ms00-047.mspx



    출처 : MS Technet


    아래는 wireshark wiki에서 발췌한 NBNS에 대한 정의.



    This service is often called WINS on Windows systems.


    The NetBIOS Name Service is part of the NetBIOS-over-TCP protocol suite, see the NetBIOS page for further information.


    NBNS serves much the same purpose as DNS does: translate human-readable names to IP addresses (e.g. www.wireshark.org to 65.208.228.223). (As NetBIOS can run on top of several different network protocols (e.g. IP, IPX, ...), other implementations of the NetBIOS services have their own mechanisms for translating NetBIOS names to addresses.) NBNS's services are more limited, in that NetBIOS names exist in a flat name space, rather than DNS's hierarchical one (multiple flat name spaces can exist, by using NetBIOS scopes, but those are rarely used), and NBNS can only supply IPv4 addresses; NBNS doesn't support IPv6.


    With the advent of SMB-over-TCP, it is no longer necessary to have a machine's NetBIOS name in order for that machine to make connections to SMB servers or in order for SMB connections to be made to that machine, and with the advent of "dynamic DNS", a host can register its name and its IP address or addresses with a DNS server when it boots (note that its IP address might not be static - it might be granted by a DHCP server - so you can't necessarily statically register a machine's host name and IP address with a DNS server). 


    Therefore, newer Windows systems, starting with Windows 2000, can use DNS for all the purposes for which NBNS was used. NBNS is still widely used especially on Windows networks, as there might still be older versions of Windows on those networks, or it might not yet have been converted to use only DNS.

    WINS (Windows Internet Name Service) uses the same protocol, but unicast messages to a WINS-Server, multiple WINS servers can replicate the content with the WINS-Replication protocol.



    아래는 유효한 NBNS 필터

    '공부 > Network' 카테고리의 다른 글

    SMB Protocol  (0) 2013.02.07
    [Protocol]NBNS  (1) 2013.01.20
    MAC OUI Finder  (0) 2012.08.12
    nc를 이용한 파일 전송  (0) 2012.07.21
    IPSec  (0) 2012.07.19
    DHCP  (1) 2012.07.19
    Posted by extr
    TAG nbns

    댓글을 달아 주세요

    1. nhl jerseys 2013.07.14 01:20 Address Modify/Delete Reply

      당신 매력있어, 자기가 얼마나 매력있는지 모르는게 당신매력이야

    윈도우 메모리



    파일로서의 메모리


    파일로서의 메모리는 동적으로 존재하는 메모리와는 달리, 그 내용이 변하지 않으며 메모리 관련 API가 아닌 파일 시스템 API를 통해 접근을 할 수 있다.




    시스템 메모리


    시스템 메모리는 보통 물리적 메모리를 의미한다. 1차 저장장치인 RAM과 여기에 추가적으로 하드 드라이브가 보조 장치로써 2차 저장장치가 될 수 있다.



    그런데 이러한 물리 메모리가 아닌 가상 메모리라는 것도 존재다. 가상 메모리란 멀티태스킹 능력을 확장시키기 위해 페이징 기법을 사용하는 기술로써, 루트 폴더의 PageFile.sys 파일에 기록한다.






    또한 여기서 간단히 짚고 넘어가야 할 문제가 있다. 물리적 메모리의 정의가 철저해져야 할 필요가 있다는 것이다.



    물리 메모리(시스템 메모리)는 RAM만을 뜻하는 것이 아닌 RAM과 Page File 두 가지를 의미하는 것이다. 


    하지만, 그렇다고 해서 메모리 덤프 시에 RAM과 Page File 두 가지가 모두 덤핑이 되는 것은 아니다. 이 경우, RAM만이 덤프가 된다.



    또한, 프로세스 덤프를 하게 되면 가상 메모리에 대한 덤프가 되기 때문에 RAM과 Page File 모두 사용하는 가상 메모리로썬 모두 덤프할 수 밖에 없다.





    가상 메모리


    일반적인 물리 형태의 메모리가 아닌 논리 형태의 메모리이다.



    가상 메모리의 데이터 저장 형태는 RAM이나 Page File 같은 물리적 메모리 또는 하드 드라이브에 저장되며, 할당되는 주소도 물리 메모리와는 달리 VAS(Virtual Adress Space)라는 주소 공간을 따로 할당 받게 된다.



    또한 32비트 기준으로, 윈도우의 모든 프로세스는 개별적으로 4GB의 가상 메모리를 할당받는다. 


    어디까지나 ‘가상’ 메모리라서 가능한 점이다. 또한, 가상 메모리는 물리 메모리 뿐만 아니라 하드 드라이브(Page File)도 주소 공간으로 사용한다.





    가상 메모리의 특징을 몇 가지 간추려 보자면 다음 표와 같다.








    가상 메모리의 구조





    32비트 기준으로 가상 메모리의 구조는 위의 그림과 같다. 



    실제 하나의 사용자 프로세스가 사용할 수 있는 영역은 사용자 영역 2GB로 제한되어 있으며, 이는 사용자 모드로 동작하기 때문에 커널 영역에 진입할 수 없다. 


    커널 영역은 오직 커널 모드로 동작하는 프로세스만 진입 가능하다.



    또한 사용자 영역은 boot.ini에서 ‘/3GB’ 옵션을 붙여 재부팅하게 되면 사용자 영역을 3GB로 증설하고, 커널 영역을 1GB로 축소 시킬 수 있는데, 이러한 경우 한 번에 실행할 수 있는 프로세스의 개수가 줄어들게 된다.



    그리고 커널 영역은 모든 프로세스에게 공통적인 영역이라서 다른 프로세스의 다른 커널영역이라도 두 커널 내의 오브젝트가 가지고 있는 Virtual Address는 동일하다.





    커널 영역은 시스템 운영에 사용되기 때문에 Page File보다는 RAM에 저장되며, 가상 주소에 매핑된다.



    사용자 영역은 당장 필요 없다고 판단되는 데이터는 Page File로 이동 시키고, 프로세스가 요청할 경우 RAM으로 올린다.


    그렇기 때문에 온전한 사용자 데이터를 얻기 위해서는 RAM+Page File을 추출해야만 얻을 수 있다.




    가상 메모리 주소와 물리 메모리 주소 간의 주소 변환



    모든 프로세스의 가상 메모리는 가상 주소와 실제 주소가 다르기 때문에 매핑을 시켜주어야 한다. 이는 MMU(Memory Management Unit)에 의해 이루어지며, 반드시 필요한 작업이다.





    가령 위와 같이 서로 다른 프로세스가 같은 가상 주소에 다른 데이터를 저장하였더라도, 매핑되어있는 물리 주소가 다르기 때문에 실제론 다른 공간에 저장된다.



    그렇다면 어떻게 매핑 정보를 알 수 있는 것일까?



    가상 메모리의 주소는 32비트 시스템에서는 32비트의 길이를 갖는다.



    이 가상 메모리의 주소가 물리 메모리의 주소로 변환될 땐 Page Directory라는 테이블과 Page Table이라는 테이블, 그리고 하나의





    가상 주소를 이용한 물리 주소 찾기


    - 메모리는 페이지(Page)라는 단위로 불리는 일정 크기의 물리적 단위를 사용하여 물리 메모리를 관리하는데 가상 주소와 물리 주소의 매핑 또한 이 페이지를 기준으로 이루어진다.



    각각의 페이지는 첫 번째 페이지부터 0번 순서가 매겨지며, 이 번호를 페이지 프레임 넘버(Page Frame Number)라고 한다. 가상 주소의 구조는 다음과 같다.

     


    위와 같은 정보를 이용하여 가상 주소를 토대로 물리 주소를 찾을 수 있다.





    방법은 다음과 같다.



     위의 순서를 그림대로 표현하자면 다음과 같다.







    '공부 > Forensics' 카테고리의 다른 글

    PE Structure  (0) 2013.04.24
    [InForensics] 메모리 분석 - 4  (0) 2012.08.22
    [InForensics] 메모리 분석 - 3  (1) 2012.08.22
    [InForensics] 메모리 분석 - 2  (2) 2012.08.12
    [InForensics] 메모리 분석 - 1  (0) 2012.08.09
    [Metasploit]Meterpreter API Cheat Sheet  (0) 2012.07.26
    Posted by extr

    댓글을 달아 주세요

    크래시 덤프


    시스템을 유지에 치명적인 영향을 주는 문제가 발생하였을 때 문제의 원인을 찾기 위해서 윈도우 스스로가 만드는 메모리 덤프를 말한다.




    흔하게는 일명 BSoD(Blue Screen of Death)가 발생하였을 때 생성되는 크래시 덤프가 있다. BSoD가 발생하였을 때 생성되는 크래시 덤프는 시스템과 RAM의 내용이 정지된 상태로 쓰여 지기 때문에 순수하고 정확한 메모리 덤프라고 할 수 있다.




    이러한 메모리 덤프 방법은 매우 유용할 수도 있다. 하지만, 몇 가지의 걸림돌이 존재한다.




    우선, 기본적으로 사용자가 임의로 크래시 덤프를 생성할 수 없게 설정되어 있기 때문에 기본적인 환경으론 상당히 까다롭다


    (어디까지나 Default 이므로 설정을 변경하면 되지만, 변경하면 재부팅을 해야 적용이 되기 때문에 결국 메모리 덤프로써의 의미가 없다).




    두 번째로,  조사 대상의 시스템에 대한 영향을 최소화 하지 않기 때문에 크래시 덤프 파일을 저장함으로써, 대상 하드 드라이브의 잠재된 증거들을 덮어 써 버릴 가능성이 크다. 






    크래시 덤프의 종류





    크래시 덤프 환경 설정은 시스템>고급>시작 및 복구>설정 탭을 통해 접근할 수 있으며, 


    환경 설정을 통해 어떤 덤프를 쓸 것인지, 또 어떤 경로에 저장할 것인지 등의 설정을 할 수 있다.




    Small Memory Dump


    시스템 크래시가 발생한 원인을 밝히기 위한 최소한의 메모리 정보만을 기록한다.



    Kernel Memory Dump


    비 할당 영역(Unallocated Memory Space)과 유저 모드로 동작중인 프로그램 메모리 영역을 제외한 커널 모드와 HAL 메모리 영역만을 덤프한다. 


    메모리 포렌식 영역에 있어선 그다지 도움이 되지 않는다.



    Full Memory Dump


    RAM 전체를 그대로 덤프한다. 메모리 포렌식에 있어서 유용하다.



    Menually Crash Dump


    키보드를 이용한 메모리 덤프가 가능하다.


    PS/2의 경우HKLM\System\\CurrentControlSet\Services\i8042prt\Parameters

    USB의 경우 HKLM\System\\CurrentControlSet\Services\kbdhid\Parameters


    위 경로에 아래와 같이 값을 설정하면 된다.



    메뉴얼 덤프는 레지스트리를 등록 후, 재부팅하고 난 이후로 Ctrl키를 꾹 누르고 ScrollLock 키를 두 번 누르면 크래시 덤프를 만들 수 있다.




    하이버네이션 파일


    Hibernation 기능이란, 전력 관리를 보다 효율적으로 하기 위해 절전 상태에 돌입하게 되면, 하드 드라이브에 메모리 데이터를 기록한 다음 전력을 차단해버는 기능을 말한다.



    하지만 이는, 기존 전력 관리 방식(RAM에 대한 지속적인 전력 공급)에 비해 Wakeup 시 복구 시간이 비교적 오래 걸린다. 


    하지만, 전력 공급 면에선 괜찮은 기능이니 랩탑에겐 필수적인 기능이라 생각한다.



    Windows 7의 경우 커맨드 프롬프트를 통해 Hibernation 설정을 할 수 있다.


    powercfg -hibernate on/off 또는 powercfg -h on/off 명령으로 Hibernation 기능을 켜고, 끌 수 있다.



    하이버네이션으로 인한 메모리 덤프 파일은 Full Mem Dmp가 아니며, 절전된 즉시 만들어 지기 때문에 복구가 되고 나면 그 상황 당시의 메모리 덤프가 아닌 이전의 메모리 덤프 파일이기 때문에 상황에 따라 쓸모가 없어질 수가 있다. 또한, 메인보드의 칩셋과 OS에 따라 지원 여부가 달라진다.





    프로세스와 커널 오브젝트


    커널 오브젝트는 메모리 분석의 핵심이다. 이는 간단히 말해, 윈도우가 사용 가능한 모든 리소스를 종류 별로 나눠서, 그 구조를 일반화 시킨 것이 커널 오브젝트라고 한다.


    커널 오브젝트는 히든 프로세스나 네트워크 세션로 예를 들 수 있으며, 버전 마다 동일한 구조 규칙을 띄고 있어서 숨겨진 오브젝트 또한 찾아내기 쉽다.






    프로그램, 프로세스, 스레드





    프로그램은 파일들로 이루어진 수동적인 존재지만, 메모리에 올라가는 프로세스는 능동적인 존재이다. 


    또한, 프로그램을 이루는 파일들은 이름, 경로, MAC Timestamp, MFT Entry 등의 파일 메타 데이터를 지니고 있고, 프로세스들은 PID, Handles, Access Token 등과 같은 프로세스 메타 데이터를 지니고 있는 특징이 있다.


    스레드는 프로세스에 속해있는 또 다른 커널 오브젝트이다. 모든 프로세스는 최소 한 개 이상의 스레드로 구성이 되어 있으며, 윈도우가 CPU에 일을 할당시킬 때 기준으로 삼는 최소 처리 단위이다. 이 최소 처리 단위와 연관이 있는 것이 바로 CPU Scheduling이다. 이에 대해선 검색을 해보길 바란다.




    커널 오브젝트

    윈도우 커널이 사용, 관리하는 자원들 중에서 명령 또는 함수로 조작이 가능하고, 일정한 구조를 띄고 있으며, 타입으로 분류가 가능한 것들을 뜻한다.




    윈도우는 위 그림과 같이 많은 오브젝트들을 관리하기 위해 Object Manager를 사용하는데, 이의 역할을 세 가지 정도 들어보자면 다음과 같다.


    1. 시스템 자원 사용에 대한 일관되고, 공통적인 수단을 제공한다.

    2. 프로세스가 사용하는 오브젝트를 측정하여, 시스템 자원 사용에 제약을 둔다.

    3. 오브젝트들을 쉽게 관리, 사용하기 위해서 오브젝트 명명 규칙을 확립시킨다.


    모든 오브젝트는 타입 오브젝트라는 어떤 특정 오브젝트에 대한 포인터 값을 가지고 있으며 이에 따라 오브젝트의 타입이 결정된다.


    '공부 > Forensics' 카테고리의 다른 글

    PE Structure  (0) 2013.04.24
    [InForensics] 메모리 분석 - 4  (0) 2012.08.22
    [InForensics] 메모리 분석 - 3  (1) 2012.08.22
    [InForensics] 메모리 분석 - 2  (2) 2012.08.12
    [InForensics] 메모리 분석 - 1  (0) 2012.08.09
    [Metasploit]Meterpreter API Cheat Sheet  (0) 2012.07.26
    Posted by extr

    댓글을 달아 주세요

    1. Chicago Blackhawks Jersey 2013.07.14 13:19 Address Modify/Delete Reply

      좋으면 좋고 싫으면 싫은 거지, 뭐가 이렇게 어렵고 복잡하냐구

    메모리 덤프 만들기


    소프트웨어적인 메모리 덤프 방법과, 하드웨어적인 메모리 덤프 방법을 알아보도록 하자.

    각자의 방법 또한 장단점이 존재하며, 소프트웨어 메모리 덤프 방법은 도구에 따라서 또 장단점이 나뉘게 되니 메모리 덤프 방법 및 도구 선택은 매우 신중해져야한다.




    하드웨어를 이용한 메모리 덤프



    하드웨어를 이용한 메모리 덤프는 다음과 같은 특징을 지니고 있다.



    1. 메모리 덤프의 완전성이 높음

    2. OS의 특성에 구애받지 않음

    3. 루트킷의 영향을 받을 가능성이 낮음

    4. DMA를 이용하여 물리 메모리에 빠르게 접근 가능



    메모리 덤프 하드웨어 장치는 다음과 같이 나뉜다.



    1. PCI 장치


    PCI 확장 슬롯에 꼽아 사용할 수 있다. 대표적인 장치로는 ‘Tribble’이 있으며, 실제 구매해 사용하는 용도가 아닌 실험적 용도로 사용된다. ‘Tribble’ 외의 PCI 기반 장치 역시 구매가 가능한 제품이 별로 없다.


    2. FireWire 장치


    IEEE1394 인터페이스를 이용한 장치이다. 리눅스, 윈도우에서 사용 가능한 특징이 있다. 하지만, FireWire는 소프트웨어 메모리 덤프와 비교해보았을 때 오프셋에 차이가 발생하는 문제점과, UMA 문제로 인해 시스템 크래시 및 메모리 소실이 발생할 수 있는 문제점이 있다.




    하드웨어를 메모리 덤프에 대한 장 단점은 아래의 표를 확인하고, 소프트웨어 메모리 덤프로 넘어가 보겠다.







    소프트웨어를 이용한 메모리 덤프


    이번에는 먼저 소프트웨어를 이용한 경우 어떤 장점지 있고, 어떤 단점이 있는지 살펴보자.






    WinDD


    메모리 덤프를 위해 세상에 나온 프로그램은 매우 다양하다. 하지만, 모두 일일이 설명하진 않을 것이고 그 중에서 WinDD라는 프로그램을 소개할까 한다.


    DD는 원래 GNU 라이센스로 배포되는 유명한 유닉스 프로그램 중 하나인데 간단한 사용 방법 때문인지 인기가 매우 좋은 프로그램으로 널리 알려져있다. 


    WinDD는 이러한 DD를 메모리 덤프 전용(물론 WinDD는 프로그램 이름과 같이 윈도우 용으로 만들어졌다)으로 개량한 프로그램이며, Windows XP 이후 버전만을 지원하고 있고 32/64비트 환경을 지원한다.




    [Figure 1 - WinDD Memory Dumping]


    WinDD에 대해 더 상세히 알고싶다면, 여기를 누르면 된다.


    메모리 덤프 프로그램은 이 외에도 Fastdump, ProDiscover가 있다. 각각 CLI, GUI 환경에서 동작하며 자세한 사용 방법은 본인들이 각자 터득해보길 바란다.


    '공부 > Forensics' 카테고리의 다른 글

    [InForensics] 메모리 분석 - 4  (0) 2012.08.22
    [InForensics] 메모리 분석 - 3  (1) 2012.08.22
    [InForensics] 메모리 분석 - 2  (2) 2012.08.12
    [InForensics] 메모리 분석 - 1  (0) 2012.08.09
    [Metasploit]Meterpreter API Cheat Sheet  (0) 2012.07.26
    [Forensics]Live Response  (1) 2012.07.25
    Posted by extr

    댓글을 달아 주세요

    1. 풍만 2012.08.17 01:58 Address Modify/Delete Reply

      언덕풍만~ㅋ

    2. 포만 2012.08.17 19:45 Address Modify/Delete Reply

      ㄴ 언덕포만ㅋ