Information Security

FindUSB문제에서 사용했던 파일 중에서 Registry Explorer로 NTUSER 하이브 파일을 열어준다. SOFTWARE\Microsoft\Windows\CurrentVersion\Run 레지스트리에서 자동으로 시작하는 프로그램들을 확인할 수 있다. 자동으로 실행되고 있는 파일들을 확인할 수 있다. 해당 경로에 malware.exe 파일을 확인 malware.exe 파일을 MD5 해시값으로 계산

주어진 이미지 파일(DiskImage.E01)에서 아래 경로의 레이지스트리 파일들을 수집한다. [root]\Windows\Users\victim\NTUSER.DAT [root]\Windows\System32\config\DEFAULT[root]\Windows\System32\config\SAM[root]\Windows\System32\config\SECURITY[root]\Windows\System32\config\SOFTWARE[root]\Windows\System32\config\SYSTEMRLA 도구를 이용해 레지스트들을 dirty 상태에서 clean 상태로 만든다. FTK Imager를 이용하여 DiskImage 이미지 파일에서 Users\victim\NTUSER.DAT 파일을 추출한다. Di..

참고 해당 소스코드를 아래와 같이 컴파일한다. shell_basic 실행 후 AAAAA 문자열 입력했는데 Segmentation Fault를 보여주면서 메모리 접근 오류가 발생하였다. Flag는 /home/shell_basic/flag_name_is_loooooong 경로에 있는 것을 알 수 있다. 위에 코드 설명0x3016진수 30 = 48(10진수)보통 flag 길이 이하read(fd, buf, 0x30)fd에서 최대 48바이트 읽기읽은 크기 반환write(1, buf, 0x30)stdout에 48바이트 출력실제 읽은 크기만큼 써야 안전 write(1, buf, 0x30) 설명0STDIN_FILENO표준 입력키보드1STDOUT_FILENO표준 출력화면(콘솔)2STDERR_FILENO표준 에러화면(..

요약"GUI에서 인증되지 않은 SQL 주입 - FortiWeb의 SQL 명령('SQL 주입') 취약점[CWE-89]에 사용된 특수 요소의 부적절한 무력화로 인해 인증되지 않은 공격자가 조작된 HTTP 또는 HTTPs 요청을 통해 인증되지 않은 SQL 코드나 명령을 실행할 수 있습니다. 버전버전영향받는 버전해결FortiWeb 7.6FortiWeb 7.6.0 ~ 7.6.3Upgrade to 7.6.4FortiWeb 7.4FortiWeb 7.4.0 ~ 7.4.7Upgrade to 7.4.8FortiWeb 7.2FortiWeb 7.2.0 ~ 7.2.10Upgrade to 7.2.11FortiWeb 7.0FortiWeb 7.0.0 ~ 7.0.10Upgrade to 7.0.11 실습config system inte..

Apache Struts2는 Java EE1 웹 애플리케이션 개발을 위한 오픈소스 프레임워크다. Java EE 웹 애플리케이션 분야에서 수많은 활용 사례가 존재한다. Apache Struts2 파일 업로드 우회를 통한 원격 코드 실행 취약점이다. 마찬가지로 파일 업로드 로직 결함으로 인해 발생하며 공격자는 OGNL 표현식2을 이용해 임의의 경로에 웹쉘(Web Shell)과 같은 악성파일을 업로드할 수 있다. S/W 구분취약점 버전Apache Struts2Struts 2.0.0 – Struts 2.3.37Struts 2.5.0 – Struts 2.5.33Struts 6.0.0. – Struts 6.3.0.2  이름정보피해자Struts 6.3.0.2(192.168.238.134)공격자Kali Linux(19..

루팅 패치 프로그램을 통해 디바이스 루팅을 진행할 때 해당 프로그램은 디바이스의 boot 이미지의 특정 설정 값을 수정하게 된다. 그리고 이러한 설정들은 시스템 속성 파일인 build.prop 파일에 반영되어 디바이스 부팅 시 참조하게 된다. Bypass Build-Tags 항목은 안드로이드 시스템 파일인 build.prop 파일의 속성 값을 검사하여 비정상 값이 존재할 경우 루팅 디바이스로 판단해 탐지하게 된다. 아래와 같은 내용을 확인 /system 디렉터리 위치에서 build.prop 파일 확인 build.prop 시스템의 속성 값을 확인 getprop 명령어로 속성 값 확인 isCheckRootingKeys() 함수는 Bypass Module 탐지 결과를 반환해 주는 역할을 한다. 시스템 속성 값..

모든 OS에는 운영체제가 어떤 프로세스를 실행시킬 때 경로를 참조할 수 있도록 PATH 환경 변수가 제공된다. 이는 리눅스 커널 기반인 안드로이드 OS도 동일하다. 셸에서 명령어 사용 시 시스템 환경 변수에 등록된 PATH를 참조해 명령어를 찾고 실행시킨다. Bypass Command Execution 항목은 이러한 특징을 이용하여 which 명령어를 사용해 PATH 변수에 등록된 디렉터리 경로에 "su" 바이너리 파일이 위치하는지 검사하고 파일 존재 시 루팅 디바이스로 판단하여 탐지하게 된다. 아래와 같이 내용 확인 PATH 환경변수에 등록된 내용 확인 Runtime.exec()는 Windows, Linux, Unix 등의 시스템 명령어를 Java를 통해 실행한 후 그 결과를 받아오는 기능을 가지고 있..

디바이스 루팅 시 사용된 응용프로그램 종류에 따라 특정 바이너리 파일들이 설치되거나, 공격자들의 악의적인 행위 및 시스템 설정 변경을 위하여 특정 명령어 파일들을 설치한다. 대표적인 명령어 파일에는 su, busybox, magisk 등이 있다. Bypass Binaries 항목은 디바이스 내의 바이너리 파일들을 검사하여 루팅 시 사용되는 명령어 파일들이 존재할 경우 루팅 디바이스로 판단하여 탐지한다. 아래와 같은 내용을 확인할 수 있다. busybox 명령어를 입력하면 아래와 같이 명령어를 확인할 수 있다. isCheckRootingBinary() 함수는 Bypass Binaries 탐지 결과를 반환해 주는 역할을 한다. 코드를 보면 rootingPath에서 시스템 디렉터리 목록을 가져오고 있으며 ro..