티스토리

미친해커

검색하기

블로그 홈

미친해커

blog.crazyhacker.kr/m

미친해커 님의 블로그입니다.

구독자: 6

방명록 방문하기

주요 글 목록

[Reversing] LD_PRELOAD를 이용한 후킹 LD_PRELOADLD_PRELOAD는 Linux 운영체제의 환경 변수이다. LD_PRELOAD에는 Linux 운영체제의 공유 라이브러리(Shared Library) 파일이 설정되고 설정된 공유 라이브러리들을 모든 공유 라이브러리들보다 먼저 프로그램에 로드한다. Linux 운영체제의 응용 프로그램은 라이브러리가 로드된 순서대로 사용하려는 함수가 존재하는지 확인한다. 이때 LD_PRELOAD로 인해 먼저 로드된 라이브러리에 사용하려는 함수가 존재한다면 LD_PRELOAD의 라이브러리의 함수 주소를 가져온다. 이러한 원리를 이용한 방법이 LD_PRELOAD를 이용한 후킹 기법이다,*공유 라이브러리(Shared Libary) : Linux 운영체제의 공유 라이브러리로 확장자는 주로 .so 이며 Windows .. 공감수 0 댓글수 0 2024. 5. 3.
[Reversing] EAT Hooking Step 2 이번 포스팅에서는 EAT에서 함수의 주소를 구하는 원리와 EAT 후킹 방법에 대해 설명하려고 한다. EAT는 IAT와 다르게 오프셋이 저장되기 때문에 x86이라면 모를까 x64 환경에서는 100% 성공한다고 장담할 수는 없다. 하지만 해당 블로그는 따로 명시되어 있지 않다면 Windows x64를 기준으로 작성하기 때문에 x64 환경에서 EAT 후킹 방법에 대해서 설명하려고 한다. How to do EAT hooking ways? EAT에서 사용하는 오프셋은 최대 4바이트로 Windows x64는 8바이트 주소를 사용하기 때문에 해당 DLL의 ImageBase로부터 4바이트 이상의 주소로 이동하도록 후킹할 수는 없다. 위에서 설명했지만 주소가 4바이트를 넘지 않는다면 오프셋만 덮어씌워서 후킹이 가능하다... 공감수 0 댓글수 0 2022. 7. 28.
[Reversing] EAT Hooking Step 1 [Reversing] EAT Hooking Step 0 EAT Hooking EAT(Export Address Table) Hooking 이란 EAT의 API 주소를 조작하여 후킹하는 기법을 말한다. EAT에는 라이브러리가 외부로 Export 하는 함수명 또는 변수명과 주소가 기록되어 있다. 응용 프로그램.. crazyhacker.tistory.com 이전 포스팅에서 EAT 구조에 대해서 간단히 배웠었다. 이번 포스팅에서는 C언어를 활용해 실제 EAT에 등록되어 있는 함수들의 이름과 주소를 불러오는 프로그램을 만들어볼 예정이다. Get Library ImageBase EAT 주소를 구하기 위해서는 IMAGE_DOS_HEADER(Dos Header)를 구해야 한다. Dos Header의 주소는 해당 라이브.. 공감수 0 댓글수 0 2022. 7. 28.
[Reversing] EAT Hooking Step 0 EAT Hooking EAT(Export Address Table) Hooking 이란 EAT의 API 주소를 조작하여 후킹하는 기법을 말한다. EAT에는 라이브러리가 외부로 Export 하는 함수명 또는 변수명과 주소가 기록되어 있다. 응용 프로그램 또는 다른 라이브러리가 GetProcAddress를 사용하여 라이브러리가 Export 하는 함수 또는 변수의 주소를 가져온다. 이때 GetProcAddress API는 이 테이블을 참조하여 주소를 구한다. EAT Hooking은 이 원리를 이용한 후킹 기법이다. EAT Structure EAT 구조는 아래와 같다. typedef struct _IMAGE_EXPORT_DIRECTORY { DWORD Characteristics; DWORD TimeDateSt.. 공감수 0 댓글수 0 2022. 7. 19.
[Reversing] Trampoline(Inline) Hooking x64 Step 2 How to patch the top 12 bytes of the API 이제 후킹하고 싶은 API의 상위 12 바이트를 패치하는 것만 남았다. 기본적으로 DLL의 함수들은 .text 섹션에 존재한다. 해당 섹션의 메모리 보호 옵션은 보통 ER--- 로 쓰기 권한이 빠져있다. 그렇기 때문에 먼저 쓰기 권한을 부여해야만 한다. Windows API 중 특정 영역의 메모리 보호 옵션을 수정하는 함수는 VirtualProtect 함수가 있다. VirtualProtectEx function (memoryapi.h) - Win32 apps Changes the protection on a region of committed pages in the virtual address space of a specified .. 공감수 1 댓글수 0 2022. 5. 3.
[Reversing] Trampoline(Inline) Hooking x64 Step 1 [Reversing] Trampoline(Inline) Hooking x86 Step 1 [Reversing] Trampoline(Inline) Hooking x86 Step 0 Trampoline Hooking Trampoline Hooking 이란 타겟 API의 상위 n바이트를 jmp 어셈블리로 패치하여 후킹하는 기법을 말한다. Trampoline Hooking은 x86과 x64.. crazyhacker.tistory.com 사실 Trampoline Hooking x64 Step 1은 존재하지 않는다. 기존의 Trampoline Hooking x86 Step 1의 내용과 같기 때문에 위 포스팅을 보고 진행하되 64비트 컴파일러를 사용하길 바란다. 그럼 Trampoline Hooking x64 Step.. 공감수 1 댓글수 0 2022. 5. 3.
[Reversing] Trampoline(Inline) Hooking x64 Step 0 해당 글을 읽기 전에 리버싱 또는 후킹에 대한 기본적이 지식이 없으신 분들이라면 아래 글을 모두 숙지 후에 와주세요. [Reversing] Trampoline(Inline) Hooking x86 Step 0 Trampoline Hooking Trampoline Hooking 이란 타겟 API의 상위 n바이트를 jmp 어셈블리로 패치하여 후킹하는 기법을 말한다. Trampoline Hooking은 x86과 x64에서의 기술 구현 방법이 미세하게 다르다. 그렇기 때.. crazyhacker.tistory.com Trampoline Hooking Trampoline Hooking 이란 타겟 API의 상위 n바이트를 jmp 어셈블리로 패치하여 후킹하는 기법을 말한다. Trampoline Hooking은 x86과.. 공감수 0 댓글수 0 2022. 5. 3.
[Reversing] Trampoline(Inline) Hooking x86 Step 2 How to patch the top 5 bytes of the API 이제 후킹하고 싶은 API의 상위 5 바이트를 패치하는 것만 남았다. 기본적으로 DLL의 함수들은 .text 섹션에 존재한다. 해당 섹션의 메모리 보호 옵션은 보통 ER--- 로 쓰기 권한이 빠져있다. 그렇기 때문에 먼저 쓰기 권한을 부여해야만 한다. Windows API 중 특정 영역의 메모리 보호 옵션을 수정하는 함수는 VirtualProtect 함수가 있다. VirtualProtectEx function (memoryapi.h) - Win32 apps Changes the protection on a region of committed pages in the virtual address space of a specified pr.. 공감수 0 댓글수 0 2022. 4. 29.
[Reversing] Trampoline(Inline) Hooking x86 Step 1 [Reversing] Trampoline(Inline) Hooking x86 Step 0 Trampoline Hooking Trampoline Hooking 이란 타겟 API의 상위 n바이트를 jmp 어셈블리로 패치하여 후킹하는 기법을 말한다. Trampoline Hooking은 x86과 x64에서의 기술 구현 방법이 미세하게 다르다. 그렇기 때.. crazyhacker.tistory.com 저번 포스팅에서 간단히 Trampoline Hooking의 원리에 대해 공부했다. 이번 포스팅부터는 본격적으로 후킹을 하기 위해 사용할 함수들을 알아볼 생각이다. How to get MessageBoxA address #include #include int main(int argc, char *argv[]) { PV.. 공감수 0 댓글수 0 2022. 4. 27.
[Reversing] Trampoline(Inline) Hooking x86 Step 0 Trampoline Hooking Trampoline Hooking 이란 타겟 API의 상위 n바이트를 jmp 어셈블리로 패치하여 후킹하는 기법을 말한다. Trampoline Hooking은 x86과 x64에서의 기술 구현 방법이 미세하게 다르다. 그렇기 때문에 위 설명에서 n바이트라고 하였다. How to Trampoline Hooking from x86 system x86 시스템에서의 후킹 방법은 다음과 같다. 타겟 API의 상위 5바이트를 jmp 어셈블리로 패치하여 후킹한다. 여기서 5바이트인 이유는 x86 시스템은 주소체계가 4바이트이기 때문에 1바이트는 opcode 나머지 4바이트는 점프할 주소이다. (4바이트 jmp 어셈블리의 opcode는 0xE9 이다) 그렇다면 만약 우리가 점프하고 싶은 .. 공감수 2 댓글수 0 2022. 4. 27.
[Reversing] Code Injection + Trampoline(Inline) Hooking x86 트램펄린(인라인) 후킹이란? 트램펄린 후킹이란 이름처럼 점프(뛴다)라는 이름에 걸맞은 후킹 방법이다. 후킹 할 API 함수의 상위 5 Byte를 jmp 0x00000000 형태로 패치하여 해당 함수가 호출되었을 때 EIP(PC) 레지스터가 다른 함수의 주소로 변경되어 해당 함수로 점프하여 제어권을 가로채는 기술이다. 필자가 트램펄린 후킹을 공부했을 때(2019년도)에는 트램펄린 후킹 기술에 대해 검색을 하여도 x86 기반의 설명밖에 찾지 못하였다. 또 x86과 x64 간의 트램폴린 후킹 기술의 구현 방법이 미세하게 다르다. 하지만 x64 시스템에서의 트램펄린 후킹 기술은 많이 알려지지 않은 것으로 보이며 찾을 수도 없었다. 그렇기에 필자는 독자적으로 방법을 구현하여(아닐 수도 있다) 사용하고 있었다. 그.. 공감수 0 댓글수 0 2022. 4. 25.
[Reversing] Code Injection + IAT Hooking 코드 인젝션과 IAT 후킹의 조합 코드 인젝션은 Fileless 형식의 임의의 코드 주입 공격이다. 그리고 IAT 후킹은 프로세스의 Import Address Table을 조작하여 특정 API의 제어권을 가로채는 기법이다. 이 두개의 기법을 적절히 활용하면 Fileless 형식의 IAT 후킹을 할수 있다. 예제 코드 GitHub - jungjin0003/Code-Injection: Code Injection + Hooking sample Code Injection + Hooking sample. Contribute to jungjin0003/Code-Injection development by creating an account on GitHub. github.com Code Injector 소스코드는 .. 공감수 1 댓글수 0 2022. 4. 22.
[Reversing] Code Injection Step 2 해당 포스팅은 이전 포스팅에서 이어집니다. [Reversing] Code Injection Step 1 Code Injection 기법은 사실상 ShellCode Injection 이라고 불러도 될 만큼 동작 방식이 매우 비슷하다. 하지만 우리는 주입할 코드를 ShellCode가 아닌 C언어 함수로 작성해 주입할 것이다. 1. 주입할 함수 작 crazyhacker.tistory.com Why did the error occur? 에러가 발생되는 원인은 다음과 같다. 주입된 어셈블리(코드)를 확인해보면 0x1E54A422AB0를 첫번째 인자로 넘기고 0x1E54A426D8C에서 WinExec의 주소를 rax로 가져와 call 하게 된다. 하지만 해당 2개의 주소는 존재하지(사용되지) 않는 것을 확인할 수 .. 공감수 0 댓글수 0 2022. 4. 7.
[Reversing] Code Injection Step 1 Code Injection 기법은 사실상 ShellCode Injection 이라고 불러도 될 만큼 동작 방식이 매우 비슷하다. 하지만 우리는 주입할 코드를 ShellCode가 아닌 C언어 함수로 작성해 주입할 것이다. 1. 주입할 함수 작성 /* 주입되는 코드는 CreateRemoteThread API를 통해 실행되기 때문에 아래와 같은 형식을 반드시 지켜줘야 한다. (함수명은 관계 없음) */ DWORD WINAPI ThreadProc(LPVOID lpParameter) { // 계산기를 실행 WinExec("calc.exe", SW_SHOW); } 2. 코드 인젝션 함수 작성 BOOL CodeInjection(DWORD PID) { // 타겟 프로세스의 핸들 획득 HANDLE hProcess = O.. 공감수 0 댓글수 0 2022. 4. 5.
[Reversing] Code Injection Step 0 코드 인젝션 (Code Injection) 정의 Code Injection이란 실행 가능한 코드를 대상 메모리 영역으로 삽입하여 실행하는 것을 말한다. 코드 인젝션 활용 영역 프로그램의 기능 개선 및 버그 패치 API 후킹 일반 응용 프로그램에 특별한 목적의 코드를 추가 악성코드에서의 활용 코드 인젝션 주요 동작 흐름 Windows API / Kernel Function 프로세스 권한 획득 : OpenProcess() / NtOpenProcess() 메모리 공간 할당 : VirtualAllocEx() / NtAllocateVirtualMemory() 코드 삽입 : WriteProcessMemory() / NtWriteVirtualMemory() 코드 실행 : CreateRemoteThread() / Nt.. 공감수 0 댓글수 0 2022. 4. 4.
[Reversing] DLL Injection + IAT Hooking IAT Hooking 응용 UserMode에서의 Hooking은 여러 다른 기술들과 함께 응용하여 사용할 수 있다. DLL Injection + IAT Hooking 조합으로 실제 프로그램을 대상으로 Hooking을 진행해 보자 필요한 바이너리 1. DLL Injector // File : Injector.c #include #include #define DesiredAccess (PROCESS_VM_OPERATION | PROCESS_VM_READ | PROCESS_VM_WRITE | PROCESS_QUERY_INFORMATION | PROCESS_CREATE_THREAD) LPCSTR GetBaseName(LPCSTR path) { ssize_t length = strlen(path); for (; .. 공감수 0 댓글수 0 2022. 2. 14.
[Reversing] IAT Hooking Step 2 이번에는 본격적으로 IAT 후킹을 시도할 생각이다. 우리가 저번 포스팅에서 해당 함수의 IAT 주소를 구하는 부분까지 프로그래밍을 했었다. 그렇다면 이제 남은 단계는 딱 한가지이다. 해당 주소에 있는 주소 값을 후킹 함수의 주소로 바꾸면 후킹이 완료된다. 후킹을 하기 전에 후킹(제어권을 가로챌) 함수를 먼저 만들어야한다. 포스팅에서는 MessageBoxA 라는 함수를 대상으로 후킹을 할 것이다. 함수를 정했다면 그 함수의 호출 인자에 대한 구조를 알고 있어야 한다. (반드시 알아야 할 필요는 없다) MessageBoxA의 대한 정보는 MSDN에서 찾을 수 있다. MessageBoxA function (winuser.h) - Win32 apps Displays a modal dialog box that c.. 공감수 0 댓글수 0 2022. 2. 3.
[Reversing] IAT Hooking Step 1 이번 포스팅부터 본격적으로 IAT Hooking에 대해서 알아보도록 하자 [Reversing] IAT Hooking Step 0 IAT(Import Address Table) Hooking 이란 IAT에 적혀있는 API의 주소를 조작하여 후킹하는 기법을 말한다. IAT에는 응용 프로그램이 호출하는 API의 함수명, 함수 주소 등이 기록되어 있다. 해당 응용 프로그 crazyhacker.tistory.com 저번 포스팅에서 간단히 PE 구조와 IAT의 구조에 대해서 배웠었다. 이번엔 IAT에서 등록되어 있는 함수들의 이름과 주소를 불러오는 프로그램을 만들어보도록 한다. Source Code #include #include int main(int argc, char *argv[]) { // 현재 프로그램의 .. 공감수 1 댓글수 0 2022. 1. 22.
[Reversing] IAT Hooking Step 0 IAT HookingIAT(Import Address Table) Hooking 이란 IAT에 적혀있는 API의 주소를 조작하여 후킹하는 기법을 말한다. IAT에는 응용 프로그램이 호출하는 API의 함수명, 함수 주소 등이 기록되어 있다. 해당 응용 프로그램은 이 테이블을 참조하여 함수를 호출한다. IAT Hooking은 이 원리를 이용한 후킹 기법이다.IAT StructureIMAGE_IMPORT_DESCRIPTOR의 OriginalFirstThunk, Name, FirstThunk에는 직접적인 주소가 아니라 RVA가 들어가 있다.이 외에 IMAGE_THUNK_DATA의 AddressOfData도 RVA이다. RVA란 Relative Virtual Address의 약자이다. RVA를 VA(Virtual.. 공감수 0 댓글수 0 2022. 1. 19.
[Reversing] DLL Injection Step 3 DLL Injection에 관한 글을 쓰면서 만든 코드와 실행파일은 아래 github에 src 폴더에 모두 넣어두었다. GitHub - jungjin0003/DLL-Injection: DLL Injection DLL Injection. Contribute to jungjin0003/DLL-Injection development by creating an account on GitHub. github.com DLL Injection은 DLL Injector와 DLL만 존재하면 되기 때문에 벌써 마지막 Step이다. 이제 완성된 DLL Injector와 DLL을 사용해 notepad에 DLL Injection을 시도하고 메시지 박스가 정상적으로 띄워지는 것을 확인하면 DLL Injection 성공이다. PS.. 공감수 0 댓글수 0 2022. 1. 18.
[Reversing] DLL Injection Step 2 이번엔 DLL Injection에 사용할 DLL을 제작해볼거다. 이 카테고리는 DLL Injection에 대해서만 서술할 것이기 때문에 이번에 제작할 DLL은 간단하게 DLL Injection에 성공시 메시지 박스를 띄워주는 DLL을 만들어볼 것이다. 사용할 API 함수는 다음과 같다. MessageBoxA function (winuser.h) - Win32 apps Displays a modal dialog box that contains a system icon, a set of buttons, and a brief application-specific message, such as status or error information. The message box returns an integer va.. 공감수 0 댓글수 0 2022. 1. 18.
[Reversing] DLL Injection Step 1 DLL Injection을 하기 위해서 DLL Injector가 필요하다. DLL Injector란 다른 프로세스에 DLL Injection을 하게해주는 프로그램이다. DLL Injection을 하기위해 DLL Injector는 다음과 같은 함수들을 사용한다. OpenProcess function (processthreadsapi.h) - Win32 apps Opens an existing local process object. docs.microsoft.com VirtualAllocEx function (memoryapi.h) - Win32 apps Reserves, commits, or changes the state of a region of memory within the virtual addre.. 공감수 0 댓글수 0 2022. 1. 18.
[Reversing] DLL Injection Step 0 DLL Injection 이란 다른 프로세스에 DLL을 강제로 로드시키는 기술을 말한다. CreateRemoteThread function (processthreadsapi.h) - Win32 apps Creates a thread that runs in the virtual address space of another process. docs.microsoft.com LoadLibraryA function (libloaderapi.h) - Win32 apps Loads the specified module into the address space of the calling process. docs.microsoft.com LoadLibraryW function (libloaderapi.h) - Win3.. 공감수 1 댓글수 0 2022. 1. 18.
[Reversing] 리버싱의 꽃 후킹이란? 이제부터 본격적으로 프로그래밍뿐만 아니라 해킹과 관련된 글도 포스팅하려고 한다. 모든 내용은 필자가 공부한 내용을 바탕으로 서술되며 내가 해킹을 배우고 싶어하는 친구들에게 가장 알려주고 싶은 기술을 API Hooking이다. 나는 후킹을 책으로 배우지 않고 실제 실습 또는 해외 포럼과 악성코드 분석 등을 통해 배웠기 때문에 정통 후킹 방식과는 차이가 있을 수 있음을 미리 알린다. What is the hooking? 특정 함수가 호출되었을 때 함수의 제어권을 가로채는 행위를 뜻한다. 즉 특정 함수가 호출되었을 때 함수 호출, 메시지, 이벤트 또는 반환 값, 인자 등을 조작할 수 있다. 그리고 이를 가능캐 해주는 기술이 후킹이다. 우리는 이것을 API Hooking 이라고 부른다. Types of hook.. 공감수 1 댓글수 0 2022. 1. 18.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.