목록2022/07/28 (4)

미친해커

[Reversing] EAT Hooking Step 2

이번 포스팅에서는 EAT에서 함수의 주소를 구하는 원리와 EAT 후킹 방법에 대해 설명하려고 한다. EAT는 IAT와 다르게 오프셋이 저장되기 때문에 x86이라면 모를까 x64 환경에서는 100% 성공한다고 장담할 수는 없다. 하지만 해당 블로그는 따로 명시되어 있지 않다면 Windows x64를 기준으로 작성하기 때문에 x64 환경에서 EAT 후킹 방법에 대해서 설명하려고 한다. How to do EAT hooking ways? EAT에서 사용하는 오프셋은 최대 4바이트로 Windows x64는 8바이트 주소를 사용하기 때문에 해당 DLL의 ImageBase로부터 4바이트 이상의 주소로 이동하도록 후킹할 수는 없다. 위에서 설명했지만 주소가 4바이트를 넘지 않는다면 오프셋만 덮어씌워서 후킹이 가능하다...
Reversing/Hooking 2022. 7. 28. 04:10
[Wireshark] Dissector로 프로토콜 만들기

Create a Protocol use Wireshark API 우선 Wireshark(와이어샤크)에서 제공하는 API를 활용해 직접 프로토콜을 정의한다. MyProto = Proto.new("MyProto", "My Custom Protocol") Define Dissector of MyProto 새롭게 생성한 프로토콜의 대한 dissector를 정의해준다. function MyProto.dissector(buf, pinfo, root) pinfo.cols.protocol = "MY_PROTOCOL" root:add(MyProto, "MY PROTOCOL DATA", buf(0)) end dissector 함수의 인자는 총 3개 이며 각각 패킷 데이터, 패킷 정보, 패킷 프레임?이다. Parameter..
Wireshark/Lua Script 2022. 7. 28. 03:51
[Wireshark] Lua Script 개발 환경설정

Install Visual Studio Code Lua Script Extenstion VS Code에서 Lua Script에 대한 확장을 설치해줘야 한다. 환경설정 끝 Lua를 이용해 Wireshark의 스크립트를 추가할 계획이기 때문에 따로 Lua를 설치해줄 필요는 없다. 그리고 사실 VS Code에서 Lua 확장을 설치하던 설치하지 않던 큰 차이는 발생하지 않는다. 어차피 Wireshark의 API 함수들을 VS Code가 자동으로 IntelliSense 해주지 못하기 때문이다.
Wireshark/Lua Script 2022. 7. 28. 03:15
[Reversing] EAT Hooking Step 1

[Reversing] EAT Hooking Step 0 EAT Hooking EAT(Export Address Table) Hooking 이란 EAT의 API 주소를 조작하여 후킹하는 기법을 말한다. EAT에는 라이브러리가 외부로 Export 하는 함수명 또는 변수명과 주소가 기록되어 있다. 응용 프로그램.. crazyhacker.tistory.com 이전 포스팅에서 EAT 구조에 대해서 간단히 배웠었다. 이번 포스팅에서는 C언어를 활용해 실제 EAT에 등록되어 있는 함수들의 이름과 주소를 불러오는 프로그램을 만들어볼 예정이다. Get Library ImageBase EAT 주소를 구하기 위해서는 IMAGE_DOS_HEADER(Dos Header)를 구해야 한다. Dos Header의 주소는 해당 라이브..
Reversing/Hooking 2022. 7. 28. 02:31
Prev 1 Next