[WinAFL] 퍼징으로 1-day 취약점 분석하기(7zip)

들어가며 7-zip를 퍼징한다. 7-zip에서 발생하는 CVE-2016-2334을 분석한다. 그리고 발견한 크래시에서 코드 커버리지를 분석한다. CVE-2016-2334은 heap-based buffer overflow 취약점이다. 범위 밖의 데이터를 읽을 수 있다. 7-zip에서는 조작된 HFS+ 이미지 파일에서 발생한다. 준비 1-day 실습이므로 취약점이 발생했던 같은 환경을 준비한다. 또는 다음의 내용을 학습할 수 있다. Windows x64 1809 WinAFL(Fuzzer) Download and Build Windows 환경에서 AFL 퍼저의 실행은 WinAFL을 사용한다. 사전 설치 1. Visual Studio compiler 가 필요로하며 2019 버전의 설치를 권장한다. “Deskto..

• format_list_bulleted Reversing
• · 2022. 8. 17.
• textsms

[Cheat Engine] 상용프로그램 후킹하기1

들어가며 앞서 직접 윈도우 소켓 프로그램을 제작하고 후킹해 보았다. 상용 프로그램 또한 복잡도만 높아졌을 뿐 동일한 원리로 동작하기 때문에 분석 및 후킹이 가능하다. 그 과정을 아래와 같이 설명한다. 생각하기 채팅 프로그램을 제작할 때 생각해야 할 것들이 많다. 단순히 데이터를 주고 받는 것에서 끝나는 것이 아니다. 안전한 데이터 전송을 구현하려면 어떻게 해야 할까? 데이터가 전송 중에 변조되지 않았음을 검증하려면 어떻게 해야할까? 송신 측에서 수신 측이 데이터를 제대로 수신했는지 확인하려면 어떻게 해야 할까? 개발자들이 생각해서 구현해놓은 프로그램을 분석하기 위해서는 반대로 접근할 필요가 있다. 간단하게 생각했을 때 프로그램의 로직은 이럴 것이다라고 생각해볼 수 있다. (송신측) 사용자가 채팅 입력 >..

• format_list_bulleted Reversing
• · 2022. 5. 31.
• textsms

[Frida] Windows Socket Program hooking

[분석환경] Windows 10 x64 실습 바이너리 : x86 [분석도구] Frida 15.1 Frida-Trace 어떤 API 호출을 하는지 확실하게 보고 싶을 때 Frida-Trace의 도움을 받을 수 있다. frida-trace -i “*send” [실행경로] 프로그램이 동작하면서 일치하는 이름의 함수가 호출될 때 로그로 남겨주고 일치하는 함수가 존재하여 후킹되었을 경우 frida를 실행한 경로 내에 handler 폴더 내에 후킹을 위한 스크립트를 자동으로 생성해준다. Hooking Frida로 함수의 인수 값을 출력하려면 frida Interceptor API를 사용한다. Interceptor는 onEnter와 onLeave로 정의한다. onEnter는 후킹 대상이 되는 함수의 실행 직전에 실행..

• format_list_bulleted Reversing
• · 2022. 5. 26.
• textsms