Information Security

디바이스 드라이버 로드 가능한 커널 모드 모듈(sys 확장자)로 I/O 관리자와 관련 하드웨어 사이를 인터페이스로 연결 (IRP, I/O Request Packet) 직접 하드웨어를 조작하지 않고, 하드웨어와 통신하기 위해 HAL 내의 함수를 호출 유저 모드 프로그램과 통신하기 위해서 IRP에 대한 처리가 필요 DriverEntry 함수가 커널로 Load가 됬을 경우 내부의 함수가 실행된다. 로그를 남기면 "I loaded" 메시지를 보여주고 onUnload가 가능할 수 있도록 작성되었다. x86 Checked Build Environment 프로그램을 통해 basic.c 파일 위치에서 build -cegZ 빌드를 했다. build가 성공한 경우 i386 폴더에 파일들이 생성되었다. InstDrv 프로그..

poolmon.exe -iPrpc 입력

윈도우 실행부 객체(Window Executive Object) 윈도우의 각 환경 서브시스템은 상이한 운영체제의 이미지를 자신의 애플리케이션에 투영한다. 환경 서브시스템이 자신만의 객체 버전과 그 밖의 자원을 구축하는 데 사용하는 근본이 되는 것이 바로 익스큐티브 객체와 객체 서비스다. 실행부는 모두 42개의 객체 유형을 구현 실행부가 소유하며 관리

커널 파일 종류 설명 Ntoskrnl.exe 1개의 CPU가 세팅된 경우 Ntkrnlmpe.exe N개의 CPU가 세팅된 경우 Ntkrnlpa.exe 1개의 CPU가 세팅되고, PAE 활성화된 경우 Ntkrpamp.exe N개의 CPU가 세팅되고, PAE 활성화된 경우 !lmi nt 명령어를 통해 커널 파일의 종류를 알 수 있다. N개의 CPU가 세팅되고, PAE 활성화된 경우라는 것을 알 수 있다.

커널 디버깅을 완벽하게 지원 확장 플러그인 등 강력한 기능 내장 명령어를 직접 입력해야 하는 CLI(Command Line Interface) 방식 WinDbg Symbol? 전역 변수의 이름과 주소 각 엔트리 포인트의 함수 이름과 주소 로컬 변수의 이름과 주소 소스 파일의 경로와 줄 번호 변수와 구조 등의 타입 정보 윈도우 xp의 C드라이브 위치에 boot.ini 파일에 아래와 같이 입력해준다. VMware Setting에서 Serial Port(직렬포트)를 추가 후 아래와 같이 입력해준다. docs.microsoft.com/en-us/windows-hardware/drivers/debugger/symbol-path 사이트에서 Symbol Search Path에 dbgcmd를 복사한다. Kernel D..