windows.h인클루드

사용법
OutputDebugString("졸려");

Dbgview.exe

1.2 조건분기 명령어 요약표 #

1. 아래의 표에서 SF와 OF를 비교하는 조건은 부호를 식별한다는 것으로 생각하시면 됩니다.
   
2. ZF는 상호 뺄셈을 하였을때 0인경우를 1로 봅니다. 즉, 값이 같을때 1이 됩니다.
   
3. OF(Overflow)와 CF(Carry)의 차이를 혼돈하시는 분이 계실거 같은데 CF는 자리빌림을 하는 경우이고 OF는 계산결과가 Sign bit가 반전될때 발생합니다.
   

   명령어	부등호 조건	Flag 조건
   JMP	1(True)
   JA	>	CF=0 & ZF=0
   JNBE	>	CF=0 & ZF=0
   JAE	>=	CF=0 | ZF=1
   JNB	>=	CF=0 | ZF=1
   JB	<	CF=1
   JNAE	<	CF=1
   JBE	<=	CF=1 | ZF=1
   JNA	<=	CF=1 | ZF=1
   JCXZ	CX == 0	.
   JE	==	ZF=1
   JZ	==	ZF=1
   JG	>	ZF=0 & SF == OF
   JNLE	>	ZF=0 & SF == OF
   JGE	>=	SF == OF
   JNL	>=	SF == OF
   JL	<	SF != OF
   JGNE	<	SF != OF
   JLE	<=	ZF == 1 | SF != OF
   JNG	<=	ZF == 1 | SF != OF
   JNE	!=	ZF == 0
   JNZ	!=	ZF == 0
   JNO	No overflow	OF == 0
   JNP	No parity (홀수)	PF == 0
   JPO	No parity (홀수)	PF == 0
   JNS	No sign (양수)	SF == 0
   JO	Overflow	OF == 1
   JP	Parity (작수)	PF == 1
   JS	Sign (음수)	SF == 1

invalid-file

어느 DLL Injector를 보고 동일하게 구현해본 프로그램

OpenProcess>GetModuleHandle>GetProcAddress>VirtualAllocEx>WriteProcessMemory>CreateRemoteThread

실행중인 프로세스ID를 얻는 방법중 Toolhelp32를 이용한 방법과 PSAPI를 이용한 방법이 있다.
표준 API함수인 Toolhelp32를 이용하는 방법에 대하여 알아보기로 한다.
사용되는 함수는 다음과 같다.
CreateToolhelp32Snapshot(), Process32First(), Process32Next()


예제소스
#include <tlhelp32.h>

HANDLE hProcessSnap;
PROCESSENTRY32 pe32; //프로세스정보를 저장할 구조체
hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);
Process32First( hProcessSnap, &pe32 );
    printf( "\n  Process ID        = 0x%08X", pe32.th32ProcessID );
    printf( "\n  Thread count      = %d",   pe32.cntThreads );
    printf( "\n  Parent process ID = 0x%08X", pe32.th32ParentProcessID );
    printf( "\n  Priority base     = %d", pe32.pcPriClassBase );
while(Process32Next( hProcessSnap, &pe32 ))
{
    printf( "\n  Process ID        = 0x%08X", pe32.th32ProcessID );
    printf( "\n  Thread count      = %d",   pe32.cntThreads );
    printf( "\n  Parent process ID = 0x%08X", pe32.th32ParentProcessID );
    printf( "\n  Priority base     = %d", pe32.pcPriClassBase );
}



PROCESSENTRY32 구조 (tlhelp32.h)
 typedef struct tagPROCESSENTRY32
{
    DWORD   dwSize;
    DWORD   cntUsage;
    DWORD   th32ProcessID;          // this process
    DWORD   th32DefaultHeapID;
    DWORD   th32ModuleID;           // associated exe
    DWORD   cntThreads;
    DWORD   th32ParentProcessID;    // this process's parent process
    LONG    pcPriClassBase;         // Base priority of process's threads
    DWORD   dwFlags;
    CHAR    szExeFile[MAX_PATH];    // Path
} PROCESSENTRY32;

참조: http://support.microsoft.com/kb/175030/ko

Windows는 유저모드(User Mode)와 커널모드(Kernel Mode)로 구분되어 프로세스가 실행된다. 커널 모드에서 동작하는 프로세스만이 컴퓨터에 장착된 모든 메모리와 하드웨어에 대한 직접적인 접근이 가능하며 디바이스 드라이버가 가장 대표적인 예라고 할 수 있다. 일반적인 윈도우 프로그램의 경우 유저모드 프로세스가 작동하는 것이므로 직접 하드웨어 장치나 메모리에 접근할 수는 없다. 하드웨어 장치나 메모리에 접근하기 위해서는 유저모드 프로그램은 시스템 서비스(API라고 이해바람)를 호출하게 되고 운영체제는 TRAP을 발생시켜 커널 모드로의 스위칭을 위한 스레드를 호출 하게 됨. 이 후 이 스레드에서 하드웨어 장치 또는 메모리에 접근하게 된다. 이를 context switch라고 함.

과거 8086시대의 16bit시스템에서는 1MB의 물리메모리에 접근하기 위하여 세그먼트레지스터를 사용하였다. 16bit로 이루어진 세그먼트레지스터(CS,SS,DS,ES...)는 16bit의 범용레지스터와 함께 사용되어 원하는 메모리범위에 접근할 수 있었다.

80386시대(32bit)에 오면서 범용레지스터는 더이상 용량의 한계로 세그먼트레지스터의 도움을 받을 필요가 없었으나 여전히 세그먼트레지스터는 범용레지스터와 함께 주소표시방법에 사용된다. 다만 권한, 영역제한, 메모리보호등의 목적으로 사용될 뿐이다.

세그먼테이션
세그먼트레지스터와 사용자가 지정한 메모리를 조합하는 과정을 세그먼테이션이라고 한다.

CPU는 부트과정 초기에 메모리에 GDT(Global Discriptor Table)와 LDT(Local Discriptor Table)를 생성후 CPU의 GDTR(Global Discriptor Table Register)과 LDTR(Local Discriptor Table Register)에 해당 테이블의 주소를 저장한다.
디스크립터 테이블은 세그먼트 디스크립터의 목록이라고 볼 수 있으며,
세그먼트 디스크립터는 메모리에 대한 속성 권한 영역등의 정보를 가지고 있다.
세그먼트레지스터는 세그먼트디스크립터의 위치에 대한 정보를 가지고 있고
세그먼트레지스터와 메모리오프셋의 조합(세그먼테이션)과정으로 해당 메모리에 대한 보호가 이루어지게 된다.

세그먼트디스크립터

8byte의 세그먼트디스크립터는 여러가지 보호정보를 가지고 있으며
세그먼트레지스터는 세그먼트 디스크립터의 인덱스정보만을 저장하고 있을 뿐이다.


디스크립터 테이블
디스크립터 테이블은 세그먼트디스크립터의 목록이며 GDT와 LDT가 있다.
GDT란 모든프로그램이 참조할 수 있는 세그먼트 디스크립터의 모임이며 운영체제 제작시 반드시 만들어 주어야 하는 디스크립터 테이블이다.
LDT란 테스크 단위로 정의할 수 있는 테이블이며 윈도우NT의 일반적인 경우 이 LDT를 정의하지 않는다. 이 둘은 각각 CPU의 GDTR과 LDTR에 의해 지시된다.


세그먼트 셀렉터
보호모드에서의 세그먼트레지스터는 과거의 메모리확장 용도가 아닌 세그먼트디스크립터를 지시하는 용도로 사용되기 때문에 이를 세그먼트 셀렉터라 부르기도 한다.

웹 방화벽장비에 남은 로그.

XSS공격명으로 기록이 되어있다.

GET /XXX.html?xxx=1&xxx=110&xxx=1602&xxx=25&xxx=301&xxx=xxx&xxx=13%22%3E%3Cscript%3Eself.location=String.fromCharCode(104,116,116,112,58,47,47,103,111,111,103,108,101,46,99,111,109);%3C/script%3E HTTP/1.1
Host: www.xxx.xx.xx
Connection: Keep-alive
Accept: */*
User-Agent: Mediapartners-Google
Accept-Encoding: gzip,deflate

변환

"><script>self.location=String.fromCharCode(104,116,116,112,58,47,47,103,111,111,103,108,101,46,99,111,109);</script>

Mediapartners-Google에 대한 정보는

http://www.internetofficer.com/web-robot/adsense/

에서 찾을 수 있다.

WireShark의 유용한 프로그램들

tshark - Dump and analyze network traffic
tshark.exe -i <인터페이스번호> -w 파일명

mergecap - 둘 이상의 cap파일을 합친다.
mergecap.exe -w 3.cap 1.cap 2.cap

capinfos - cap파일의 정보를 출력

capinfos.exe 1.cap

dumpcap - Dump network traffic

dumpcap.exe -i <인터페이스번호> -w 파일명

editcap - Edit and/or translate the format of capture files
==============================================================================================

To shrink the capture file by truncating the packets at 64 bytes and writing it as Sun snoop file use:

    editcap -s 64 -F snoop capture.pcap shortcapture.snoopTo delete packet 1000 from the capture file use:

    editcap capture.pcap sans1000.pcap 1000To limit a capture file to packets from number 200 to 750 (inclusive) use:

    editcap -r capture.pcap small.pcap 200-750To get all packets from number 1-500 (inclusive) use:

    editcap -r capture.pcap first500.pcap 1-500or

    editcap capture.pcap first500.pcap 501-9999999To exclude packets 1, 5, 10 to 20 and 30 to 40 from the new file use:

    editcap capture.pcap exclude.pcap 1 5 10-20 30-40To select just packets 1, 5, 10 to 20 and 30 to 40 for the new file use:

    editcap -r capture.pcap select.pcap 1 5 10-20 30-40To remove duplicate packets seen within the prior four frames use:

    editcap -d capture.pcap dedup.pcapTo remove duplicate packets seen within the prior 100 frames use:

    editcap -D 101 capture.pcap dedup.pcapTo remove duplicate packets seen equal to or less than 1/10th of a second:

    editcap -w 0.1 capture.pcap dedup.pcapTo display the MD5 hash for all of the packets (and NOT generate any real output file):

    editcap -v -D 0 capture.pcap /dev/nullor on Windows systems

    editcap -v -D 0 capture.pcap NULTo introduce 5% random errors in a capture file use:

  editcap -E 0.05 capture.pcap capture_error.pcap

================================================================================================

이어서...

현재 실행 중인 기능함수와 그 기능함수를 호출한 기능함수에 대한 인수를 나타내는 개체이다

함수가 호출되면 그 함수에 대한 Arguments 객체가 생성된다. Arguments 객체는 원칙적으로 배열이 아니지만 번호 붙은 속성들이 있어서 이들이 배열 원소처럼 작동하며, 이러한 배열 원소의 수를 나타내는 length 속성도 있다.

functionObj.length는 기능함수에서 정의된 인수의 갯수이고
functionObj.arguments.length는 기능함수가 호출될 때 전달받은 인수의 갯수이다.

MS09-045에서 Arguments라는 이름을 함수로써 사용하는 경우 메모리충돌이 발생하는 취약점이 발견되었다.

출처: koxo

wireshark export packet details-All expanded 에 대한 파싱스크립트

* HTTP GET *

==========================================================================================

if( $#ARGV < 0 )
  { die "Supply a file name, please.\n"; }
if( $#ARGV > 0 )
  { die "Too many parameter.\n"; }

$fileName = shift( @ARGV );

if( -d $fileName )
  { die "$fileName is a directory.\n"; }

-e $fileName || die "$fileName is not exist.\n";

-T $fileName || die "$fileName is not a text file.\n";

open( fileHandle, $fileName ) || die "Cannot open $fileName.\n";
$matching = 0;
$i=1;
while($aLine =<fileHandle>)
{
  if($aLine =~/^\s*?GET \//)
  {
    print $i.'.'.$aLine;
    $i = $i+1;
  }
}
close(fileHandle);
==========================================================================================

* HTTP Header *

==========================================================================================

if( $#ARGV < 0 )
  { die "Supply a file name, please.\n"; }
if( $#ARGV > 0 )
  { die "Too many parameter.\n"; }

$fileName = shift( @ARGV );

if( -d $fileName )
  { die "$fileName is a directory.\n"; }

-e $fileName || die "$fileName is not exist.\n";

-T $fileName || die "$fileName is not a text file.\n";

open( fileHandle, $fileName ) || die "Cannot open $fileName.\n";
$matching = 0;
$i=0;
while($aLine =<fileHandle>)
{
  if($aLine =~/^\s{4}\\r\\n/)
  {

    $matching = 0;
  }
  if($matching == 1)
  {
    print $i.'.'.$aLine;

   }
  if($aLine =~/Request Version: HTTP\/1\./)
  {
    $matching = 1;
    $i = $i+1;
  }

}
close(fileHandle);

==========================================================================================