#44u61l5f

CRC 체크를 우회하는 방법에 대해 질문하는 분들이 종종 있더군요.
-_-; 너무 엉터리라서 저에게 핵토파스칼 킥을 날릴분들이 많을지도 모르겠지만,
간단히 한번 말해보도록 하겠습니다.

재가 처음에 CRC 체크를 우회하는 것에 대해서 생각을 해볼 때,
첫번쨰 생각한 것은 Shadow Walker Protect 였습니다.
-_-;; 해당 프로젝트가 무엇인지에 대한 설명은 넘어가도록 하겠습니다.

그러나 Shadow Walker Project는 소요되는 시간과 코드량에 비해
위험성이 다소 있기 때문에 결국 쓰지 않았죠. (절떄 귀찮아서가 아닐껍니다.)

두번째 생각한 것은 CRC체크 루틴을 찾아서 수정한다 였는데,
-_- 음.. 얼마 안되서 인터넷에 나오더군요. (그걸 구현하다니 성실한 녀석들)

그렇다면 CRC 체크 루틴은 어떻게 찾을 수 있는 걸까요?

이 대답은 두가지로 나뉘어 집니다.
왜냐하면 CRC체크 루틴은 해당 프로그램 내에서 이루어질 수도 있고,
외부 프로그램에 의해서 이루어질수도 있기 떄문입니다.

먼저 내부 프로그램에 의한 CRC체크 루틴을 찾는 방법에 대해서 말해보자면,
프로그램 내에서 CRC체크 루틴은 대략 어떤 모습을 가지고 있을까요? -_-?
정말 간단하게 생각해보자면 다음과 같다고 볼 수 있겠죠.

for(int i = EntryPoint; i <= SizeOfImage; i++)
{
      ...
  checksum += memory[i];
....
}

-_-;; 재밌는게 보이죠?
모든 메모리의 변조여부를 체크하기 위해서는 모든 메모리에 접근해서 읽어와야
합니다. 즉 Read가 발생하죠... (여기서 감이 오죠)

우리에겐 INTEL이 주신 축복인.. Hardware BreakPoint라는 친구가 있죠.
이 친구가 도와주면 우리는 특정한 메모리 주소에 Write or Read|Write or Excute가
발생했을때와 그 읽기 또는 읽기쓰기 또는 실행을 시도한 주소가 어딘지 알 수 있죠.
-_-; 읽기또는쓰기를 시도한 메모리 주소가 바로 CRC체크루틴이 있는 곳이겠죠..?
(Haredware BreakPoint에 대해선 다음글에서 말하고 있네요 : 링크)

체크루틴을 찾았으면 다음에 할일은 검사에 걸리지 않도록 하는 일입니다.
이것도 역시 아주 간단한데요.
-_-; 음.. 위에서 간단히 설명을 위해 사용했던 코드는 다음과 같이도 표시됩니다.

for(int i = EntryPoint; i <= SizeOfImage; i++)
{
      ...
  checksum += *(BaseAddress + i);
....
}

결국 memory라는 BaseAddress를 기반으로 i값만큼 떨어진 오프셋에 있는 값을
한개씩 확인하는 거죠. 이걸 기반으로 CRC 체크 루틴을 우회할 수 있는 간단한
아이디어를 생각해 낼 수 있는 겁니다.

CRC체크 루틴이 원하는 Original Memory들을 덤프하여 둔 후,
해당 프로세스 내에 다시 메모리를 할당하여 대상 메모리에 덤프해둔 메모리를 복사하면,
기존의 공간과 똑같은 메모리 구조를 가지고 있게 됩니다.
그 후 찾아낸 CRC체크 루틴에서 사용하는 BaseAddress를 할당한 메모리 주소로
바꿔주게 되면 우리가 본래 내용을 변조하여도 언제나 덤프해둔 메모리의 내용만
검사할 것이기 때문에 감지를 우회할 수 있게 됩니다.
이를 간단하게 그림으로 표시해봤습니다.

위는 기존의 메모리 상태이고, 체크루틴의 BaseAddress를 바꾼 후는 :

정말 쉽죠..? (이런말 하다가 죽은 미술가가 한명 있죠..)


그렇다면 외부 프로그램에 의해 검사되는 방식은 어떨까요? 그것도 정말 쉬운데요.
외부 프로세스에서 타 프로세스의 메모리로 접근하기 위해서는 유저레벨에서는
ReadProcessMemory() 라는 API를 사용합니다.
음.. 아마도 인자값이 ReadProcessMemory(hProcess,BaseAddress,buffer,len,&ret);
식으로 썻었던거 같은데요..
커널단에서 ReadProcessMemory()라는 API는 ZwReadVirtualMemory()라는 함수로
연결이 되고, ZwReadVritualMemory함수를 후킹하는 다음과 같은 형식의 코드를
작성함으로써 앞에서 사용했던 방법과 동일하게 돌파가 가능하겠죠.

if((BaseAddress => CRCStartAddress) && (BaseAddress <= CRCEndAddress))

{

..........

         BaseAddress = DumpedMemory;

..........

}
내부에서의 검사루틴 돌파법을 이해했다면 두번쨰 방법의 이해는 누워서 호떡먹기보다
쉬울겁니다. -_-/

Posted by Dual

1. POC (Power Of Community)

주소 : http://www.powerofcommunity.net

소개 : 2006년도 부터 열리기 시작한 국제 컨퍼런스인 POC는 SecurityProof의
         운영자인 Vangelis의 주도하에 다음과 같은 모토를 기반으로 열립니다.

- Hacker Should be free.
- We hack for security.
- We should trust Power of community.

성격 : 이론이나 단순한 프로젝트의 성격에 대한 논의 보다는 실제적인 공격이
         어떻게 이루어지는지의 방법론과 시현을 보다 강조하는 성격을 가지고 있습니다.

열리는 날짜 : 11월 15 ~ 16일

장소 : 양재에 위치한 서울 교육 문화 회관

일정 :
          첫날 - 11월 15일
         

08:00~09:00	Registration - 등록
09:30~10:30	Casper, Forensics and Anti-Forensics - 포렌식과 안티 포렌식
11:00 ~ 12:00	Silverbug, How to Hack Your Cell Phones? - 핸드폰 해킹
12:00 ~ 13:00	Lunch - 점심시간 (따로 제공되지는 않습니다.)
13:00 ~ 14:10	Xpl017Elz,Updating.... (미정)
14:20 ~ 15:30	Daiki Fukumori, Attacking Web 2.0 - Web 2.0 에서의 해킹
15:40 ~ 16:50	Dave Aitel, Writing Exploits Using Immunity Debugger                    - 이뮤니티 디버거를 이용한 익스플로잇 작성
17:00 ~ 18:10	Grugq, Hacking Sucks: Presentation the Hash Hacking Harness

          둘째날 - 11월 16일

09:10 ~ 10:10	AmesianX, How to Implement COM Monitor - 1 - COM 후킹
10:20 ~ 11:10	AmesianX, How to Implement COM Monitor - 2 - ""
11:20 ~ 12:30	Hendrik, Hacking VoIP Routers - VoIP 라우터 해킹
12:30 ~ 13:30	Lunch - 점심시간(따로 제공되지는 않습니다)
14:00 ~ 15:10	@tlas, VulnCatcher: Fun with Vtrace and Programmatic Debugging - Defcon CTF 1위팀인 1st@place팀의 리더에 발표
15:30 ~ 16:40	Linzi, Another Idosyncratic Attack
16:50 ~ 18:00	GilGil, SnoopSpy2(Advanced Network Hacking and Security Tool) Project - POC2006에서 voIP Sniffer를 발표한 GilGil님의 SSL MITM시현예상
18:00 ~ 18:30	Closing Ceremony - 폐회
19:00 ~ 21:00	Dinner Party for Speakers, Guests, Participants, and Staffs - 디너 파티 (* 등록시에 디너파티도 등록을 해야 참가 가능)

지원되는 통역언어 : 한국어, 영어, 중국어, 일본어 (번역기의 체널별 선택)

등록 :

* 조기 등록 : 9월 1 ~ 30일

* 후기 등록 : 10월 1일 ~ 11월 10일

* 현장 등록 : 11월 15 ~ 16

구분	날짜	요금
조기	9월 1 ~ 30일	\150,000 (학생 - \50,000)
후기	10월 1 ~ 11월 10일	\200,000(학생 - \100,000)
현장	11월 15 ~ 16일	\300,000(학생 - \150,000)

----------------------------------------------------------------------------------

2. AVAR (Association of anti-Virus Asia Researchers)

주소 : http://www.aavar.org/avar2007/

소개 : 98년 6월 안철수, 안철수 연구소 이사회 의장과 무라카미 세이지
         JCSR회장이 아시아 지역의 안티바이러스 분야 협력 증진을 위해 창립한 비영리 조직.
         
성격 : 세계 보안 및 바이러스 백신 전문가, 각국 정부 관계자등 주요인사들이 많이 참가하며,
         전문가들의 전문가를 위한 악성코드에 대한 논의, 대책 강구, 중국발 해킹, 실행파일
         압축기반의 바이러스에 대한 대책, 온라인 게임보안등 다양한 주제로 이루어짐.
         * 전문가들의 컨퍼런스이기 떄문에 등록금액이 비쌈.

열리는 날짜 : 11월 28-30일

장소 : 서울 프라자 호텔

일정 :

첫날 -  11월 28일

시간	세션
16:00 ~ 19:00	등록
19:00 ~ 21:00	Cocktail Reception - ?!

둘째날 - 11월 29일

시간	세션
08:30 ~ 09:00	등록
09:00 ~ 09:20	환영겢회사 Seiji Murakami, Chairman of AVAR/ Charles Ahn. The host of AVAR 2007/ Byung-Jo Suh, Director General of MIC
09:20 ~ 10:00	Keynote Speech; Security-From Ocean’s Eleven to Seven-Eleven Vincent Weafer - Symantec Corp.
10:00 ~ 10:20	Coffee Break
10:20 ~ 11:00	The Name of The Game Igor Muttik - McAfee
11:00 ~ 11:40	Hackers are storming:New Attack in Online Game Security Area DeokYoung Jung, Howoong Lee - AhnLab
11:40 ~ 12:20	Predicting Hurricanes: Contributing Factors in rise of “False Positives" Mario Vuksan - Bit9, Inc.
12:20 ~ 13:40	Lunch(Luncheon Speech) CDNetworks
13:30 ~ 14:10	Conventional and Advanced Generic Detections Itshak(Tsahi) Carmona - CA, Inc.
14:10 ~ 14:50	The Cybercrime: Fact, reasons, trends Eugene Kaspersky - Kaspersky Lab
14:50 ~ 15:30	Life after Signatures - Pattern analysis application for detecting server-side polymorphic malware before system penetration Amir Lev - Commtouch
15:30 ~ 15:45	Coffee Break
15:45 ~ 16:25	Testing, Testing: Anti-Malware Evaluation for the Enterprise David Harley & Andrew Lee - ESET LLC
16:25 ~ 17:05	Nature of Anti-Malware Testing and Certification Programs Life and times of testing Anti-virus Products Andrew Hayter - ICSA Labs
17:05 ~ 17:45	Testing of "Dynamic Detection" Maik Morgenstern & Andreas Marx - AV-Test. org.
19:00 ~ 22:00	Banquet

셋째날 - 11월 30일

시간	세션
08:30 ~ 08:50	등록
08:50 ~ 09:30	Design of X86 Emulator for Generic Unpacking Chandra Prakash - Sunbelt Software
09:30 ~ 10:10	Anti-unpacker Tricks in Malicious Code Tan, Xiaodong - Websense Inc.
10:10 ~ 10:50	Zero-Hour-Analysis System Shigeru Ishii - IPA, Japan
10:50 ~ 11:10	Coffee Break
11:10 ~ 11:50	Myth and Truth about Windows Vista Security Hongseok Kim - Microsoft
11:50 ~ 12:30	Understanding and Teaching Heuristics Randy Abrams - ESET LLC
12:30 ~ 13:40	Lunch(Luncheon Speech) New Technology Wave Inc.
13:40 ~ 14:20	Is Hong Kong's new Anti-Spam Law Effective? Allan Dyer - Yui Kee Computing Ltd.
14:20 ~ 15:00	Research & Defense on Password-stealing Trojans in China Ritchie Chen - Kingsoft
15:00 ~ 15:40	KrCERT Botnet Mitigation Dong-Ryun Lee - KISA, Korea
15:40 ~ 15:55	Coffee Break
15:55 ~ 16:35	Find out the “Bad guys” on the Symbian Jie Zhang - Fortinet, Inc.
16:35 ~ 17:35	Panel Discussion
17:35 ~ 17:50	Closing Ceremony
17:50 ~ 18:20	AVAR Members meeting

등록 :

조기 등록 총 요금 AVAR 회원 KRW 540,000 KRW 585,000 비회원 KRW 600,000 KRW 650,000

* 조기등록 기간 : 10월 31일 2007년

등록 요금이 포함하는 것?
- 28일의 칵테일 접대
- 컨퍼런스 세션 참가
- 컨퍼런스 내용에 대한 하드커피본과 CD-ROM 포맷.
- 목요일, 11월 29일 그리고 금요일, 11월 30일에 제공되는 점심 그리고  중간 회복(?).
- 목요일 11월 29일에 제공되는 연회
- 양말과 티셔치 그리고 기타.

* KRW가 Korea Won이라면 일반인은 65만원이네요.
-.- 확실한건 일찍일어나는 새가 되지 못하면 두개다 아주 비싸죠~

* 주의할 점이랄까요..
메인 스폰서로서 ncsc(국가사이버안전센터)가 있습니다,
많이들 아시다시피 ncsc는 nis(국가정보원)의 소속기관이죠.
나쁜 짓 많이 해서 캥기는거 있는 분들은 -,.-;;

Posted by Dual