Skip to content
컴퓨터잡담
2010.01.21 13:14

API Hooking 유저 레벨 루트킷

조회 수 11441 추천 수 0 댓글 1
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄

유저 레벨 루트킷

유 저 레벨 루트킷으로써의 가장 기본임과 동시에 모든 부분이 되기도 하는 기법이 바로 API Hooking이다. Ring3에서는 시스템에 전역적인 영향을 끼치는 커널 구조체를 컨트롤 할 수 없으므로 은닉을 위해서는 기본적으로 후킹 기법을 필수적으로 사용한다.

그리고 타겟이 되는 API는 사용자가 공격자의 코드나 바이너리를 발견하지 못하도록 모듈을 찾는 관련 함수가 직접적인 대상이 된다. 예를 들면 파일을 찾을 때 FindNext File() 이나 프로세스를 찾을 때의 Process32Next() 같은 API가 대표적인 경우이다.

.

.

.

유저 레벨에서 루트킷을 찾는 방법에 대해 알아보자. 물론 유저 레벨에서의 검출 방법은 커널 레벨에 비해 그 활용성이 지극히 제한적이고, 기법도 다양하지 않은 편이다. 그러나 방법이 전혀 쓸모없는 것도 아니다.

또한 이런 방법이 반드시 루트킷을 찾을 때만 사용되는 기술은 아니라는 점에서 다른 여러 시스템 프로그래밍에 활용할 수 있는 부분도 있다. 그렇다면 유저 레벨에서의 검출 방법에는 어떤 것이 있는지 살펴보자.

csrss.exe 의 스레드 리스트 이용 

윈 도우 시스템 프로세스 중 하나인 csrss.exe를 활용하면 유저 레벨에서도 루트킷을 감지할 수 있다. csrss.exe는 Client Server Run-time SubSystem의 약자로 윈도우 시스템을 가동시키는 핵심 프로세스이다. 이 프로세스는 윈도우에서 실행되는 모든 프로세스의 오브젝트를 관장하고 있다. 따라서 csrss.exe의 스레드 리스트를 구하면 루트킷 프로세스까지 검출이 가능하다.

.

.

.

http://kgbvsfbi.blogspot.com/2009_05_01_archive.html




TAG •
로그인 후 댓글쓰기가 가능합니다.

?

List of Articles
번호 분류 제목 날짜 조회 수
63 컴퓨터잡담 [DOS모드] ftp 자동 전송기능, 도스배치명령으로 FTP 사용하기 1 2010.01.24 19544
» 컴퓨터잡담 API Hooking 유저 레벨 루트킷 1 2010.01.21 11441
61 컴퓨터잡담 tasklist /SVC svchost 시스템 서비스 프로세스 보기 2010.01.21 7850
60 컴퓨터잡담 프로세스 숨기고 복구하기 2010.01.21 7011
59 컴퓨터잡담 SendMessage the values are for wparam 1 2009.12.23 8098
58 컴퓨터잡담 postmassge 마우스 & PixelGetColor & 2009.12.22 7838
57 컴퓨터잡담 [Autohotkey] 인터넷 창을 여러개 띄우고 컨트롤 할때 ahk_id 알아내기 1 3 2009.12.19 18578
56 컴퓨터잡담 List of Windows Messages 2 1 2009.12.15 17644
55 컴퓨터잡담 wm_syscommand 등의 값 1 3 2009.12.15 8741
54 컴퓨터잡담 Spy & Capture Spy++과 같은 계열의 프로그램 1 2009.12.10 17197
53 컴퓨터잡담 [팁&테크] 하드디스크 파티션 숨기기 2 2009.12.08 13352
52 컴퓨터잡담 Windows XP에서 Boot.ini 파일을 편집하는 방법 2009.12.08 19374
51 컴퓨터잡담 mysql 날짜타입에 기본값으로 현재시간넣기 1 2009.12.07 38367
50 컴퓨터잡담 아스키 코드 변환(hex) 2009.12.06 19738
49 컴퓨터잡담 이더리얼, 윈캡, 윈덤프 사용방법 및 다운로드 3 3 2009.12.06 16102
48 컴퓨터잡담 mysql 명령어 1 2 2009.12.04 12206
47 컴퓨터잡담 주키(Primary Key, 프라이머리키)와 자동 증가(Auto Increment) 필드 2009.12.04 21352
46 컴퓨터잡담 다른 윈도우 창 프로그램 제어 1 2009.12.03 35772
45 컴퓨터잡담 TIME_WAIT 줄이기(소켓이 부족하여 프로세스 강제중단을 막기위해) 4 2009.11.30 33692
44 컴퓨터잡담 php 에서 mysql 제어하기 2009.11.28 28063
Board Pagination Prev 1 ... 39 40 41 42 43 44 Next
/ 44

http://urin79.com

우린친구블로그

sketchbook5, 스케치북5

sketchbook5, 스케치북5

나눔글꼴 설치 안내


이 PC에는 나눔글꼴이 설치되어 있지 않습니다.

이 사이트를 나눔글꼴로 보기 위해서는
나눔글꼴을 설치해야 합니다.

설치 취소