Category Archives: Post

IDA와 보쉬(Bochs)를 이용하여 MBR 실시간 디버깅

  MBR영역을 실시간으로 디버깅하기 위해서는 운영체제 부팅 전단계에서부터 디버거가 디버기를 제어할 수있어야 한다. Windbg는 부팅로더에서 디버거를 연결할 수 있기 때문에 이미 MBR영역에 대한 처리가 완료된 상태로 Windbg를 이용한 커널 디버깅 방법으로는 MBR영역을 분석할 수 없다. 다행히 보쉬라는 가상 머신이 IDA와 함께 이용하면, MBR영역을 분석할 수 있는 기능을 제공한다. MBR영역은 MBR 루트킷 분석작업에 유용하게 사용될수 있고,

Read More

Powershell Hacking Script and Study

There seems to be a lot of attacks using Powershell recently. You can see various attack codes such as various backdoor and Credentials stealing by using Powershell. https://github.com/samratashok/nishang I hope you can study this because you can build defense logic through understanding the ways of using Powershell. Also, there are lots of tricks and useful

Read More

부팅의 시작 – MBR 이해

MBR(Master Boot Record)는 운영체제가 부팅 할 때POST(Power on Self-Test)과정을 마친후 저장매체의 첫 번째 섹터를 호출을 시도하는데, 이 때 MBR이 존재한다면, MBR의 부트 코드가 수행되게 된다.   [그림]MBR이 존재하지 않으면, 부팅 에러가 발생한다   부트 코드의 역할은 파티션 테이블에서 부팅 가능한 파티션을 찾아, 해당 파티션의 부트 섹터를 호출해 주는 역할을 한다. 부팅 가능한 파티션이 없을 경우

Read More

Windows Startup Process 정리

  이표는 시스템이 전원이 들어와 운도우 운영체제로 부팅을 진행하여, 사용자가 로그인 할 수 있는 GINA화면을 표시하기까지의 과정을 순차적으로 표시한 것이다.   no 프로세스 타입 설명 1 MBR 16bit real mode Boot Sector를 로드 2 Boot Sector 16bit real mode root directory를 읽어 ntldr 로드 3 NTLDR 32/64bit protected mode boot.ini 를 읽어 운영체제를 선택할수 있게

Read More

Windows 실시간 커널 디버깅 – Windbg

실시간 커널 디버깅을 위해서는 별도의 머신이 필요하다. 이를 물리적으로 구성하는것도 좋지만, 설정 및 관리가 쉽지 않아, 대체로 요즘 많이 사용되는 가상화 머신을 이용하여 구성 하는 경우가 많다. 그럼 먼저 용어에 대해 알아보자. 실시간 커널 디버깅은 운영체제에 문제가 발생하였을 때 문제가 되는 머신(TARGET)을 디버깅 모드로 설정후 COM포트를 이용하여 HOST와 연결, 분석을 실시간으로 진행하는데, 그 머신에 대한

Read More

Windows 실시간 커널 디버깅 – Windbg

실시간 커널 디버깅을 위해서는 별도의 머신이 필요하다. 이를 물리적으로 구성하는것도 좋지만, 설정 및 관리가 쉽지 않아, 대체로 요즘 많이 사용되는 가상화 머신을 이용하여 구성 하는 경우가 많다. 그럼 먼저 용어에 대해 알아보자. 실시간 커널 디버깅은 운영체제에 문제가 발생하였을 때 문제가 되는 머신(TARGET)을 디버깅 모드로 설정후 COM포트를 이용하여 HOST와 연결, 분석을 실시간으로 진행하는데, 그 머신에 대한

Read More

Windows 유저모드와 커널모드

Windows 유저모드와 커널모드 Windows 아키텍처를 애기하면, 제일 먼저 떠오르는 건 앞에서 말했듯 유저 모드와 커널모드이다. 이를 간단히 구조화 하면 아래그림과 같다. 미리 애기하지만, 이 그림에는 많은 것이 간략화 되어 있어, 모든것이 나타나 있지는 않다. 아래 그림은 TechNet에 공개된 Windows 2000시절의 구조이지만, Windows 2008에서 구조와 크게 다르지 않는다. 최신 Windows Internal 5판의 97페이지를 보면 보다 자세한

Read More

WordPress bypass Google Authenticator plugin

WordPress bypass Google Authenticator plugin We use Google Authenticator often to configure OTP for WordPress security. However, you may not be able to log in with the “Authenticator code is incorrect or has expired” message because you did not have the time or the Google Authenticator code you used for security. I’ll show you how

Read More

Window Eventlog 실시간 메일 전송하기

다음으로 진행할 내용은 계정 로그인에 대한 감시이다. 감시영역에서 기본이면서 제일 중요한 부분이다. 로그인 하지 않은 상태에서도, 시스템 취약점이 있어, 자료가 유출되거나 변조될수 있는데, 시스템에 로그인 하였다면, 서버 전체를 내주는것과 마찬가지라 볼 수 있다. 따라서 계정관리는 그만큼 중요하며, 로그인에 대한 감시는 기본적으로 선행 되어야 한다. 로그인 감시는 여러가지를 이용하여 구현할 수 있는데, 가장 대표적인 방식으로 보안

Read More

Elasticsearch – Index Delete, disk full, can’t gathering data on some node

If you cluster Elasticsearch. When can indexing some node data before disk full, unplaned reboot. However, you must delete last index.   If you have Kibana just use DELETE /logstash-<lastdate> or /<some problem index name>   OR You haven’t any UI, You can use CLI command,   curl -XDELETE ‘localhost:9200/logstash-<lastdate> or /<some problem index name>

Read More