티스토리

땅콩킹땅콩🥜

검색하기

블로그 홈

땅콩킹땅콩🥜

blog.peanutz.site/m

보안, 개발, 이것저것 열심히 하려는 블로그

구독자: 28

방명록 방문하기

주요 글 목록

[AFL++] Install AFL Qemu(Ubuntu 20.04) 들어가며 AFL Qemu를 Ubuntu 20.04 환경에 설치한다. AFL만 설치하면 구동되는 것이 아닌, 별도 작업이 필요하기 때문에 정리한다. 아무것도 설치되지 않은 Ubuntu 20.04 VM 이미지에 설치를 진행한다. [환경(VM)] Ubuntu 20.04 LTS 순서 1. pip 설치 2. 의존성 패키지 설치 3. AFL++ 설치 4. AFL-Qemu 설치 1. pip 설치 sudo apt install python3-pip 2. 의존성 패키지 설치 sudo apt-get update sudo apt-get install -y build-essential python3-dev automake git flex bison libglib2.0-dev libpixman-1-dev python3-setu.. 공감수 1 댓글수 0 2022. 8. 24.
[WinAFL] 퍼징으로 1-day 취약점 분석하기(7zip) 들어가며 7-zip를 퍼징한다. 7-zip에서 발생하는 CVE-2016-2334을 분석한다. 그리고 발견한 크래시에서 코드 커버리지를 분석한다. CVE-2016-2334은 heap-based buffer overflow 취약점이다. 범위 밖의 데이터를 읽을 수 있다. 7-zip에서는 조작된 HFS+ 이미지 파일에서 발생한다. 준비 1-day 실습이므로 취약점이 발생했던 같은 환경을 준비한다. 또는 다음의 내용을 학습할 수 있다. Windows x64 1809 WinAFL(Fuzzer) Download and Build Windows 환경에서 AFL 퍼저의 실행은 WinAFL을 사용한다. 사전 설치 1. Visual Studio compiler 가 필요로하며 2019 버전의 설치를 권장한다. “Deskto.. 공감수 0 댓글수 0 2022. 8. 17.
[Fuzzing 101] 퍼징으로 1-day 취약점 분석하기(GIMP) 들어가며 GIMP라는 이미지에디터를 퍼징한다. GIMP 2.8.16에서 발생하는 CVE-2016-4994을 분석한다. 그리고 발견한 크래시에서 코드 커버리지를 분석한다. CVE-2017-9048은 Use-After-Free 취약점이다. 동적할당된 heap을 free하고 다시 재사용할 때 취약점이 발생한다. GIMP에서는 조작된 XCF 파일에서 발생한다. 공격자는 유효한 데이터의 손상에서 임의 코드 실행까지 다양한 악의적인 행위를 할 수 있다. 준비 1-day 실습이므로 취약점이 발생했던 같은 환경을 준비한다. 또는 다음의 내용을 학습할 수 있다. Ubuntu 20.04(https://releases.ubuntu.com/20.04/) afl-fuzz(Fuzzer) GDB(크래시 분석 디버깅 도구) 다음의 .. 공감수 0 댓글수 0 2022. 8. 9.
[Fuzzing 101] 퍼징으로 1-day 취약점 분석하기(LibXML) 들어가며 LibXML2라는 XML파싱 라이브러리를 퍼징한다. LibXML2 2.9.4에서 발생하는 CVE-2017-9048을 분석한다. 그리고 발견한 크래시에서 코드 커버리지를 분석한다. CVE-2017-9048은 스택버퍼오버플로우 취약점이다. 실행중인 스택영역의 값을 덮어씌울 수 있으며, DTD 유효성 검사 함수에서 발생한다. 공격자는 바이너리의 컨텍스트 내에서 임의 코드를 실행할 수 있다. 준비 1-day 실습이므로 취약점이 발생했던 같은 환경을 준비한다. 또는 다음의 내용을 학습할 수 있다. Ubuntu 20.04(https://releases.ubuntu.com/20.04/) afl-fuzz(Fuzzer) GDB(크래시 분석 디버깅 도구) 다음의 내용을 학습한다. 새로운 실행 경로 탐색을 위한 커.. 공감수 0 댓글수 0 2022. 8. 5.
[Fuzzing 101] 퍼징으로 1-day 취약점 분석하기(LibTIFF) 들어가며 LibTIFF라는 이미지 라이브러리를 퍼징한다. LiBTIFF 4.0.4에서 발생하는 CVE-2016-9297을 분석한다. 그리고 발견한 크래시에서 코드 커버리지를 분석한다. CVE-2016-9297는 OOB(Out-of-bounds) 취약점이다. 버퍼 범위 바깥의 인덱스에 접근할 때 발생하며, 조작된 TIFF_SETGET_C16ASCII 와 TIFF_SETGET_C32_ASCII 태그 값에서 발생한다. 공격자는 서비스 거부를 발생시키거나 프로세스 메모리에서 의도하지 않은 중요 정보를 탈취할 수 있다. 준비 1-day 실습이므로 취약점이 발생했던 같은 환경을 준비한다. 또는 다음의 내용을 학습할 수 있다. Ubuntu 20.04(https://releases.ubuntu.com/20.04/) a.. 공감수 0 댓글수 0 2022. 8. 1.
[Fuzzing 101] 퍼징으로 1-day 취약점 분석하기(tcpdump) 들어가며 TCPdump는 패킷 분석 도구이다. TCPdump 4.9.2에서 발생하는 CVE-2017-13028을 분석한다. CVE-2017-13028는 OOB(Out-of-bounds) 취약점이다. 버퍼 범위 바깥의 인덱스에 접근할 때 발생하며, BOOTP 패킷(Bootstrap Protocol)에서 발생한다. 공격자는 서비스 거부를 발생시키거나 프로세스 메모리에서 의도하지 않은 중요 정보를 탈취할 수 있다. 준비 1-day 실습이므로 취약점이 발생했던 같은 환경을 준비한다. 또는 다음의 내용을 학습할 수 있다. Ubuntu 20.04(https://releases.ubuntu.com/20.04/) afl-fuzz(Fuzzer) GDB(크래시 분석 디버깅 도구) 다음의 내용을 학습한다. ASAN(Addr.. 공감수 1 댓글수 0 2022. 7. 28.
[Fuzzing 101] 퍼징으로 1-day 취약점 분석하기(libexif) 들어가며 libexif는 exif을 파싱하는 라이브러리이다. libexif 0.6.14 에서 발생하는 CVE-2009-3895, CVE-2012-2836을 분석한다. CVE-2009-3895는 올바르지 않은 EXIF 이미지에서 발생하는 힙 버퍼 오버플로우 취약점이다. 힙 데이터 영역에서 발생하는 버퍼 오버플로우의 한 종류이며, 동적 메모리 할당(alloc)과 해제(free)와 관련있다. 공격자는 공격 포인트를 이용하여 응용프로그램이 실행될 때 임의 코드를 삽입하여 실행시킬 수 있다. CVE-2012-2836는 조작된 EXIF 태그가 있는 이미지를 통해 발생할 수 있는 OOB(Out of Bounds Read) 취약점이다. OOB는 프로그램이 의도한 버퍼의 끝을 지나거나 시작 전의 데이터를 읽을 때 발생하.. 공감수 0 댓글수 0 2022. 7. 24.
[리버싱] DynamoRIO, Lighthouse로 코드커버리지 분석하기 코드 커버리지(code coverage) 코드 커버리지는 개발 단계에서 테스트 코드나 도구를 이용해서 실행 가능한 모든 코드를 테스트하는 지표 중 하나이다. ‘코드가 얼마나 실행되었는지’ 살펴볼 수 있고 수치를 통해서 확인할 수 있다. 개발 환경에서는 코드를 볼 수 있기 때문에 ‘화이트 박스 테스트’가 가능하지만, 이미 컴파일된 바이너리를 분석할 때는 코드를 직접 살펴보는 것이 아니기 때문에 ‘블랙박스 테스트’로 진행해야 한다. 코드의 구조는 구문(Statement), 조건(Condition), 결정(Decision)의 구조로 되어 있다. 코드 커버리지는 이 요소들을 얼마나 넓게 커버하고 있느냐에 따라 측정한다. 구문(Statement) : 모든 라인이 한 번 이상 실행 조건(Condition) : 조건.. 공감수 0 댓글수 0 2022. 7. 19.
[GDB] 사용법 GDB? gdb는 디버깅과 프로그램 실행을 위한 유틸리티 왜 printf()가 아닌 gdb를 사용해서 디버깅하나요? printf 디버깅은 프로그램의 실행 흐름을 살피고 따라가는 데 많은 도움을 준다. Debug() 함수를 사용해서 코딩하는 것보다 많이 사용되기도 한다. 하지만, 좀더 세밀한 프로그램 분석과 변수 변화를 보는 데에는 적합하지 않다. 전문적인 개발자들은 디버거를 이용한다. 흐름을 추적하고, 변수를 검사하고, 실행시점의 실패 지점을 정확하게 분석할 수 있기 때문이다. 시나리오 Segmentation Fault 가장 많이 발생하는 오류이다. 이 오류는 프로그램을 종료시킨다. 할당된 주소 공간 외부의 주소에 액세스할 때 발생한다. 그러나 실질적으로 말하면, 널포인터가 있는 메모리 참조에 의해 발생.. 공감수 0 댓글수 0 2022. 7. 15.
[Fuzzing 101] 퍼징으로 1-day 취약점 분석하기 들어가며 1-day 익스플로잇 실습을 진행한다. CVE-2019-13288 취약점이며 Xpdf라는 pdf 뷰어에서 발생한 Dos 취약점이다. 자세한 취약점 정보는 https://www.cvedetails.com/cve/CVE-2019-13288/에서 볼 수 있으며, 관련된 취약점 설명은 https://cwe.mitre.org/data/definitions/674.html 에서 확인할 수 있다. 정리하면, 프로그램에서 호출된 각 함수가 스택에 스택 프레임을 할당하기 때문에, 함수를 너무 많이 재귀적으로 호출하면 스택 메모리 부족과 충돌로 이어질 수 있는 취약점이다. 준비 1-day 실습이므로 취약점이 발생했던 같은 환경을 준비한다. 또는 다음의 내용을 학습할 수 있다. Ubuntu 20.04(https:/.. 공감수 0 댓글수 0 2022. 7. 12.
[Cheat Engine] 상용프로그램 후킹하기1 들어가며 앞서 직접 윈도우 소켓 프로그램을 제작하고 후킹해 보았다. 상용 프로그램 또한 복잡도만 높아졌을 뿐 동일한 원리로 동작하기 때문에 분석 및 후킹이 가능하다. 그 과정을 아래와 같이 설명한다. 생각하기 채팅 프로그램을 제작할 때 생각해야 할 것들이 많다. 단순히 데이터를 주고 받는 것에서 끝나는 것이 아니다. 안전한 데이터 전송을 구현하려면 어떻게 해야 할까? 데이터가 전송 중에 변조되지 않았음을 검증하려면 어떻게 해야할까? 송신 측에서 수신 측이 데이터를 제대로 수신했는지 확인하려면 어떻게 해야 할까? 개발자들이 생각해서 구현해놓은 프로그램을 분석하기 위해서는 반대로 접근할 필요가 있다. 간단하게 생각했을 때 프로그램의 로직은 이럴 것이다라고 생각해볼 수 있다. (송신측) 사용자가 채팅 입력 >.. 공감수 4 댓글수 0 2022. 5. 31.
[Frida] Windows Socket Program hooking [분석환경] Windows 10 x64 실습 바이너리 : x86 [분석도구] Frida 15.1 Frida-Trace 어떤 API 호출을 하는지 확실하게 보고 싶을 때 Frida-Trace의 도움을 받을 수 있다. frida-trace -i “*send” [실행경로] 프로그램이 동작하면서 일치하는 이름의 함수가 호출될 때 로그로 남겨주고 일치하는 함수가 존재하여 후킹되었을 경우 frida를 실행한 경로 내에 handler 폴더 내에 후킹을 위한 스크립트를 자동으로 생성해준다. Hooking Frida로 함수의 인수 값을 출력하려면 frida Interceptor API를 사용한다. Interceptor는 onEnter와 onLeave로 정의한다. onEnter는 후킹 대상이 되는 함수의 실행 직전에 실행.. 공감수 0 댓글수 0 2022. 5. 26.
[Cheat Engine] Socket Program 분석 참고 https://gomguk.tistory.com/105 앞선 게시글에서 작성한 프로그램을 이용하여 분석을 진행한다. 분석하는 과정에서 함수를 찾는 과정이 일부 생략되어 있으니 개발을 하고 이 게시글을 읽으면 좋다. [분석환경] Windows 10 64bit 프로그램 : x86 [분석도구] Cheat Engine 7.2 Windows Socket Programming 1~2에서 작성한 프로그램에 대한 분석을 진행한다. 1. Cheat Engine 7.2 실행 및 프로세스 Attach Visual Studio에서 Release 모드로 빌드 한 경우 경로 C:\\솔루션 경로\\Release 2. [Memory View] - [View] - [Enumerate DLL’s all Symbols] 3. 찾기[.. 공감수 1 댓글수 0 2022. 5. 21.
[C++] Windows Socket Programming 예제 2 [개발환경] Windows 10 64bit [개발도구] MS Visual Studio 2022(v143, SDK 10.0) Release x86 Bind Socket bind() 함수는 소켓을 특정 주소 및 포트에 바인딩하는데 사용할 수 있다. connect()함수와 유사하게 sockaddr_in 구조체가 필요하다. int __cdecl main(int argc, char** argv) { WSADATA wsa; SOCKET s; struct sockaddr_in server; const char* message; char server_reply[5000]; int recv_size; //Intialising Winsock wprintf(L"\\nInitialising Winsock...\\n"); if.. 공감수 0 댓글수 0 2022. 5. 18.
[C++] Windows Socket Programming 예제 [개발환경] Windows 10 64bit [개발도구] MS Visual Studio 2022(v143, SDK 10.0) Release x86 Initialising Winsock // #define WIN32_LEAN_AND_MEAN #include #include #include #include #include // Need to link with Ws2_32.lib, Mswsock.lib, and Advapi32.lib #pragma comment (lib, "Ws2_32.lib") #pragma comment (lib, "Mswsock.lib") #pragma comment (lib, "AdvApi32.lib") #define DEFAULT_BUFLEN 512 #define DEFAULT_POR.. 공감수 0 댓글수 0 2022. 5. 13.
[Frida] Hooking send(), recv() [분석환경] Ubuntu 18.04 LTS [분석도구] FRIDA 15 Frida는 바이너리 내 어떤 함수가 호출되는지 보여주고, 조작이 가능하도록 한다. 동적 바이너리 조사(DBI, Dynamic Binary Instrumentation)를 가능하게 해주는 프레임워크이다. 다양한 운영체제를 지원하고 있으며 파이썬 기반의 프레임워크로 다양한 API를 지원한다. Frida Tutorial Frida를 사용하여 호출된 함수를 검사하고, 인수를 수정하고, 대상 프로세스 내의 함수에 대한 사용자 지정 호출을 수행하는 방법을 보여준다 https://frida.re/docs/quickstart/ Quick-start guide Inject JavaScript to explore native apps on Windo.. 공감수 0 댓글수 0 2022. 5. 10.
[Frida] Binary Hooking 2 [분석환경] Ubuntu 18.04 [분석도구] Frida Frida는 바이너리 내 어떤 함수가 호출되는지 보여주고, 조작이 가능하도록 한다. 동적 바이너리 조사(DBI, Dynamic Binary Instrumentation)를 가능하게 해주는 프레임워크이다. 다양한 운영체제를 지원하고 있으며 파이썬 기반의 프레임워크로 다양한 API를 지원한다. Frida Tutorial Frida를 사용하여 호출된 함수를 검사하고, 인수를 수정하고, 대상 프로세스 내의 함수에 대한 사용자 지정 호출을 수행하는 방법을 보여준다 https://frida.re/docs/quickstart/ Quick-start guide Inject JavaScript to explore native apps on Windows, mac.. 공감수 0 댓글수 0 2022. 5. 3.
[Frida] Binary Hooking 1 [실습환경] Ubuntu 18.04 LTS [도구] Frida Frida는 바이너리 내 어떤 함수가 호출되는지 보여주고, 조작이 가능하도록 한다. 동적 바이너리 조사(DBI, Dynamic Binary Instrumentation)를 가능하게 해주는 프레임워크이다. 다양한 운영체제를 지원하고 있으며 파이썬 기반의 프레임워크로 다양한 API를 지원한다. Frida Tutorial Frida를 사용하여 호출된 함수를 검사하고, 인수를 수정하고, 대상 프로세스 내의 함수에 대한 사용자 지정 호출을 수행하는 방법을 보여준다 https://frida.re/docs/quickstart/ Quick-start guide Inject JavaScript to explore native apps on Windows, m.. 공감수 0 댓글수 1 2022. 4. 28.
[Cheat Engine] Step8. Multiple Pointers 들어가며 Cheat Engine을 이용한 Code Injection 실습을 진행한다. 실습 환경 [분석환경] Windows 10 Pro [분석도구] Cheat Engine 7.3 Multiple Pointers Step 6. 와 유사한 동작을 하지만 단일 포인터가 아닌 여러번 참조하는 Pointer를 다룬다. 그림처럼 Player를 참조하기 위해서 게임 객체 -> Map -> Player 순서로 참조하여 값을 가져올 수 있다. 각 객체별로 가지고 있는 속성 값이 다르며, 다른 주소를 참조할 경우 해당하는 멤버는 다음 객체의 포인터 주소를 가지고 있다. 따라서 그림의 예시에서 Player Stat을 참조하기 위한 주소는 [[[Game.exe+202c]+8]+10]이 된다. 실습 실습은 Cheat Engin.. 공감수 1 댓글수 0 2021. 11. 29.
[Cheat Engine] Step7. Code Injection 들어가며 Cheat Engine을 이용한 Code Injection 실습을 진행한다. 실습 환경 [분석환경] Windows 10 Pro [분석도구] Cheat Engine 7.3 Code Injection 코드 인젝션은 단독 실행 중인 프로세스에 코드(dll, 쉘코드) 등을 삽입하여 정상 프로세스의 컨텍스트 안에서 코드를 실행하는 기법이다. 주로 악성코드를 삽입하여 악성행위를 하도록 하는 목적으로 사용되기도 한다. 실습 실습은 Cheat Engine 내 튜토리얼로 진행한다. 간단하며, 따라하기 쉬운 예제이다. 이 단계에서는 'Hit me' 버튼을 눌렀을 때 1씩 감소하는 값을 가지고 있다. Code Injection을 통해서 버튼을 눌렀을 때 2씩 증가하도록 하면 된다. 1. Scan 값을 참조하는 부분.. 공감수 1 댓글수 0 2021. 11. 21.
DLL Injection 실습 [분석환경] Windows 10 Pro 64bit [분석도구] PEiD, Stud_PE, BinText, PEView, OllyDbg 1. DLL(Dynamic Load Library)? 동적 연결 라이브러리의 약자이다. 한번 로딩된 DLL의 코드, 리소스는 Memory Mapping 기술로 여러 Process에서 공유, 업데이트 시 DLL 파일만 교체 실행 환경의 dll버전차이, 호출 함수의 위치(주소) 불확실 등의 이유로 사용한다. 컴파일러 – 함수의 실제 주소가 저장될 위치만 준비 후 CALL PE 로더 – 준비한 위치에 실제 함수의 주소를 입력 코딩할 때 실제 주소를 하드코딩하지 않음 DLL 사용 시 응용프로그램의 모듈화 - 쉬운 기능 업데이트, 재사용의 장점 중복코드 사용의 감소로 적은 리소스 .. 공감수 0 댓글수 0 2020. 12. 14.
[Reversing] Windows 10 Anti-Reversing 기법 2 Preview Windows 환경 리버싱 공부 중 안티 리버싱 기법들이 오래된 OS 버전을 기준으로 하고 있어서 Windows 10 x64에도 가능한 기법을 새로 조사, 실습하여 정리한다. 이 포스트는 이전 포스트에서 이어지는 글이다. https://gomguk.tistory.com/45 [분석환경] Windows 10 x64 1903 [개발 & 분석도구] Visual Studio 2012(v110), OllyDbg, IDA Pro CheckRemoteDebuggerPresent() Windows XP 이상부터 꾸준히 사용되는 기법. ZwQueryInformation()을 사용하여 Debug Port 정보를 얻는다. MSDN에서 제공하는 정보는 다음과 같다. 프로세스 핸들과 디버그된 상태를 알려줄 변수 .. 공감수 0 댓글수 0 2020. 12. 10.
[Reversing] Windows 10 Anti-Reversing 기법 1 Preview Windows 환경 리버싱 공부 중 안티 리버싱 기법들이 오래된 OS 버전을 기준으로 하고 있어서 Windows 10 x64에도 가능한 기법을 새로 조사, 실습하여 정리한다. [분석환경] Windows 10 x64 1903 [개발 & 분석도구] Visual Studio 2012(v110), OllyDbg, IDA Pro Anti Reversing - 디버깅을 방지하고 분석하지 못하도록 막는기술 - 디버깅 발생 시 프로그램 종료 및 에러를 발생시켜 분석을 방해 - 안티 디버깅 기술의 발전 및 이를 우회하는 기술 또한 함께 발전 안티 디버깅 종류 Static Dynamic 디버깅 시작 시 동작 디버깅하면서 안티디버깅 기법을 만날때마다 해결 디버거 탐지하여 정상적인 실행 불가 디버깅 도중 수시로.. 공감수 0 댓글수 0 2020. 12. 9.
[Binary] PETya 랜섬웨어 분석 [분석환경] Windows 7 Ultimate 64bit [분석도구] PEiD, Stud_PE, BinText, PEView, OllyDbg, IDA Pro 리버싱 실력 향상을 위해 악성코드 분석을 하던 중 랜섬웨어를 분석하게 되어 정리로 남겨둔다. 자동화된 도구의 사용을 최대한 배제하였다.(IDA Hex-Ray 등). 분석에 사용한 바이너리는 교내 사이버보안 연구센터에서 제공받았으며 블로그를 통해 공유하지 않는다. 랜섬웨어(Ransomware) 랜섬웨어는 컴퓨터 시스템을 감염시켜 접근을 제한하고 일종의 몸값을 요구하는 악성 소프트웨어의 한 종류이다. 컴퓨터로의 접근이 제한되기 때문에 제한을 없애려면 해당 악성 프로그램을 개발한 자에게 지불을 강요받게 된다. 위키백과 Petya MBR Locker 랜섬웨.. 공감수 1 댓글수 0 2020. 11. 27.
[CTF] CSAW Reversing 2013 2 200 CTF 문제 중 2013 CSAW Reversing 2 200point 문제를 풀어봤습니다. 문제 출제 설명에 We got a little lazy so we just tweaked an old one a bit 라고 13년도나 14년도나 문제는 많이 다르지 않은 것 같습니다. 오랜만에 한 리버싱이라 느낌을 찾는다는 생각으로 해보았습니다. 문제파일인 csaw2013reversing2.exe 을 직접 실행시키면 에러가 발생하거나 아무것도 출력되지 않고 창이 종료됩니다. ollydbg Searchfor - All referenced text Strings를 보면 Flag 관련 문자열이 보입니다. 해당주소로 따라갑니다. 바로 메인함수가 나오고 BP(F2)를 걸어준 후 실행(F9)해봅니다. 알 수 없는 문자들의.. 공감수 0 댓글수 0 2019. 6. 24.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.