Skip to content
컴퓨터잡담
2010.01.21 13:14

API Hooking 유저 레벨 루트킷

조회 수 11496 추천 수 0 댓글 1
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄

유저 레벨 루트킷

유 저 레벨 루트킷으로써의 가장 기본임과 동시에 모든 부분이 되기도 하는 기법이 바로 API Hooking이다. Ring3에서는 시스템에 전역적인 영향을 끼치는 커널 구조체를 컨트롤 할 수 없으므로 은닉을 위해서는 기본적으로 후킹 기법을 필수적으로 사용한다.

그리고 타겟이 되는 API는 사용자가 공격자의 코드나 바이너리를 발견하지 못하도록 모듈을 찾는 관련 함수가 직접적인 대상이 된다. 예를 들면 파일을 찾을 때 FindNext File() 이나 프로세스를 찾을 때의 Process32Next() 같은 API가 대표적인 경우이다.

.

.

.

유저 레벨에서 루트킷을 찾는 방법에 대해 알아보자. 물론 유저 레벨에서의 검출 방법은 커널 레벨에 비해 그 활용성이 지극히 제한적이고, 기법도 다양하지 않은 편이다. 그러나 방법이 전혀 쓸모없는 것도 아니다.

또한 이런 방법이 반드시 루트킷을 찾을 때만 사용되는 기술은 아니라는 점에서 다른 여러 시스템 프로그래밍에 활용할 수 있는 부분도 있다. 그렇다면 유저 레벨에서의 검출 방법에는 어떤 것이 있는지 살펴보자.

csrss.exe 의 스레드 리스트 이용 

윈 도우 시스템 프로세스 중 하나인 csrss.exe를 활용하면 유저 레벨에서도 루트킷을 감지할 수 있다. csrss.exe는 Client Server Run-time SubSystem의 약자로 윈도우 시스템을 가동시키는 핵심 프로세스이다. 이 프로세스는 윈도우에서 실행되는 모든 프로세스의 오브젝트를 관장하고 있다. 따라서 csrss.exe의 스레드 리스트를 구하면 루트킷 프로세스까지 검출이 가능하다.

.

.

.

http://kgbvsfbi.blogspot.com/2009_05_01_archive.html




TAG •
로그인 후 댓글쓰기가 가능합니다.

?

List of Articles
번호 분류 제목 날짜 조회 수
73 컴퓨터잡담 rss리더기 2010.03.12 9380
72 컴퓨터잡담 rss리더기 2010.03.12 9614
71 컴퓨터잡담 무서운 후킹프로세스들~ 방어방법 1 2 2010.02.20 12673
70 컴퓨터잡담 excel 2007에서 공동 작업하기 2010.02.12 23793
69 컴퓨터잡담 JavaScript XML 활용 2010.02.10 9530
68 컴퓨터잡담 HTML 엔티티(Entities) 2010.02.05 11024
67 컴퓨터잡담 HTML 엔티티(Entities) 2010.02.05 10776
66 컴퓨터잡담 자바스크립트 변수를 php로 옮기기 2010.02.03 24693
65 컴퓨터잡담 구글의 Ajax 다국어 번역 API 2010.02.01 15482
64 컴퓨터잡담 html_entity_decode [HTML엔티티를 => 특수문자로 변환 2 2010.01.30 16299
63 컴퓨터잡담 [DOS모드] ftp 자동 전송기능, 도스배치명령으로 FTP 사용하기 1 2010.01.24 19640
» 컴퓨터잡담 API Hooking 유저 레벨 루트킷 1 2010.01.21 11496
61 컴퓨터잡담 tasklist /SVC svchost 시스템 서비스 프로세스 보기 2010.01.21 7877
60 컴퓨터잡담 프로세스 숨기고 복구하기 2010.01.21 7117
59 컴퓨터잡담 SendMessage the values are for wparam 1 2009.12.23 8130
58 컴퓨터잡담 postmassge 마우스 & PixelGetColor & 2009.12.22 7865
57 컴퓨터잡담 [Autohotkey] 인터넷 창을 여러개 띄우고 컨트롤 할때 ahk_id 알아내기 1 3 2009.12.19 18987
56 컴퓨터잡담 List of Windows Messages 2 1 2009.12.15 17729
55 컴퓨터잡담 wm_syscommand 등의 값 1 3 2009.12.15 8799
54 컴퓨터잡담 Spy & Capture Spy++과 같은 계열의 프로그램 1 2009.12.10 17259
Board Pagination Prev 1 ... 39 40 41 42 43 44 Next
/ 44

http://urin79.com

우린친구블로그

sketchbook5, 스케치북5

sketchbook5, 스케치북5

나눔글꼴 설치 안내


이 PC에는 나눔글꼴이 설치되어 있지 않습니다.

이 사이트를 나눔글꼴로 보기 위해서는
나눔글꼴을 설치해야 합니다.

설치 취소