Skip to content
컴퓨터잡담
2010.01.21 13:14

API Hooking 유저 레벨 루트킷

조회 수 11623 추천 수 0 댓글 1
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄

유저 레벨 루트킷

유 저 레벨 루트킷으로써의 가장 기본임과 동시에 모든 부분이 되기도 하는 기법이 바로 API Hooking이다. Ring3에서는 시스템에 전역적인 영향을 끼치는 커널 구조체를 컨트롤 할 수 없으므로 은닉을 위해서는 기본적으로 후킹 기법을 필수적으로 사용한다.

그리고 타겟이 되는 API는 사용자가 공격자의 코드나 바이너리를 발견하지 못하도록 모듈을 찾는 관련 함수가 직접적인 대상이 된다. 예를 들면 파일을 찾을 때 FindNext File() 이나 프로세스를 찾을 때의 Process32Next() 같은 API가 대표적인 경우이다.

.

.

.

유저 레벨에서 루트킷을 찾는 방법에 대해 알아보자. 물론 유저 레벨에서의 검출 방법은 커널 레벨에 비해 그 활용성이 지극히 제한적이고, 기법도 다양하지 않은 편이다. 그러나 방법이 전혀 쓸모없는 것도 아니다.

또한 이런 방법이 반드시 루트킷을 찾을 때만 사용되는 기술은 아니라는 점에서 다른 여러 시스템 프로그래밍에 활용할 수 있는 부분도 있다. 그렇다면 유저 레벨에서의 검출 방법에는 어떤 것이 있는지 살펴보자.

csrss.exe 의 스레드 리스트 이용 

윈 도우 시스템 프로세스 중 하나인 csrss.exe를 활용하면 유저 레벨에서도 루트킷을 감지할 수 있다. csrss.exe는 Client Server Run-time SubSystem의 약자로 윈도우 시스템을 가동시키는 핵심 프로세스이다. 이 프로세스는 윈도우에서 실행되는 모든 프로세스의 오브젝트를 관장하고 있다. 따라서 csrss.exe의 스레드 리스트를 구하면 루트킷 프로세스까지 검출이 가능하다.

.

.

.

http://kgbvsfbi.blogspot.com/2009_05_01_archive.html




TAG •
로그인 후 댓글쓰기가 가능합니다.

?

List of Articles
번호 분류 제목 날짜 조회 수
217 AutoHotKey UrlDownloadToVar() 1 2011.02.09 15464
216 AutoHotKey 부팅 완료 체크 2011.02.09 17864
215 AutoHotKey [autohotkey] 레지스트리 재부팅이 필요한 항목 수정후 재부팅 없이 바로 적용시킬수있는 방법 1 2011.02.07 16093
214 컴퓨터잡담 IE 추가기능관리 3 2011.02.07 15474
213 프로세스 프로세스 2 3 2011.02.07 312173
212 프로세스 CKAgent.exe npkcmsvc.exe nvsvc32.exe 1 2011.02.07 13217
211 프로세스 smas.exe 프로세스 내용 및 삭제 1 2011.02.06 13301
210 프로세스 RTHDCPL.EXE / Alcmtr.EXE / SKYTEL.EXE 3 2011.02.06 13658
209 프로세스 rundll32.exe와 svchost.exe 6 2011.02.06 13970
208 프로세스 npkcmsvc.exe 서비스 끄기 (엔프로텍트 nProtect) 1 3 2011.02.06 13294
207 프로세스 JQS.EXE jusched.exe (JavaQuickStarterService) 부팅시 자동실행 중지시키기 4 2011.02.06 14734
206 프로세스 dgdersvc.exe 서비스 중지 및 사용안함, 삭제 설정 1 4 2011.02.06 23937
205 AutoHotKey Mysqld 프로세서 실시간 감시 2011.02.06 7611
204 AutoHotKey OnMessage() 3 2011.02.05 20438
203 AutoHotKey [autohotkey] TCP/IP 메시지 전달방법 2011.02.05 13979
202 컴퓨터잡담 언인스톨 사용하기 1 2011.02.05 3668
201 AutoHotKey [autohotkey] FTP-업로드 예제분석 2 file 2011.02.05 18619
200 AutoHotKey [AUTOHOTKEY] FTP 제어 file 2011.02.04 25246
199 Visual C++ IOStream 함수 13 2011.01.29 20025
198 Visual C++ 객체지향 2 2011.01.29 23843
Board Pagination Prev 1 ... 34 35 36 37 38 ... 46 Next
/ 46

http://urin79.com

우린친구블로그

sketchbook5, 스케치북5

sketchbook5, 스케치북5

나눔글꼴 설치 안내


이 PC에는 나눔글꼴이 설치되어 있지 않습니다.

이 사이트를 나눔글꼴로 보기 위해서는
나눔글꼴을 설치해야 합니다.

설치 취소