Skip to content
컴퓨터잡담
2010.02.20 10:53

무서운 후킹프로세스들~ 방어방법

조회 수 12700 추천 수 0 댓글 1
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄

무서운 후킹프로세스들~방어방법


http://www.livecall.co.kr/security/security02.html?uid=98




Ring3에서 보여줄 수 있는 은닉의 예술 - 유저레벨 루트킷

유저 레벨에서 루트킷 검출 방법

그렇다면 이번엔 유저 레벨에서 루트킷을 찾는 방법에 대해 알아보자. 물론 유저 레벨에서의 검출 방법은 커널 레벨에 비해 그 활용성이 지극히 제한적이고, 기법도 다양하지 않은 편이다. 그러나 방법이 전혀 쓸모없는 것도 아니다. 또한 이런 방법이 반드시 루트킷을 찾을 때만 사용되는 기술은 아니라는 점에서 다른 여러 시스템 프로그래밍에 활용할 수 있는 부분도 있다. 그렇다면 유저 레벨에서의 검출 방법에는 어떤 것이 있는지 살펴보자.

csrss.exe 의 스레드 리스트 이용

윈도우 시스템 프로세스 중 하나인 csrss.exe를 활용하면 유저 레벨에서도 루트킷을 감지할 수 있다. csrss.exe는 Client Server Run-time SubSystem의 약자로 윈도우 시스템을 가동시키는 핵심 프로세스이다. 이 프로세스는 윈도우에서 실행되는 모든 프로세스의 오브젝트를 관장하고 있다. 따라서 csrss.exe의 스레드 리스트를 구하면 루트킷 프로세스까지 검출이 가능하다.


http://kgbvsfbi.blogspot.com/2009/01/rootkit-2.html












로그인 후 댓글쓰기가 가능합니다.

?

List of Articles
번호 분류 제목 날짜 조회 수
80 컴퓨터잡담 PHP 변수를 자바로 전송후 HTML로 뿌려주기 2010.03.18 23303
79 컴퓨터잡담 한글 HEX 코드표 1 5 2010.03.17 28153
78 컴퓨터잡담 TCPDUMP 사용방법 / TCP 자세히 보기 1 4 2010.03.17 17994
77 컴퓨터잡담 rss리더기 2010.03.12 9252
76 컴퓨터잡담 rss리더기 2010.03.12 23192
75 컴퓨터잡담 rss리더기 2010.03.12 9293
74 컴퓨터잡담 rss리더기 2010.03.12 9389
73 컴퓨터잡담 rss리더기 2010.03.12 9407
72 컴퓨터잡담 rss리더기 2010.03.12 9645
» 컴퓨터잡담 무서운 후킹프로세스들~ 방어방법 1 2 2010.02.20 12700
70 컴퓨터잡담 excel 2007에서 공동 작업하기 2010.02.12 24111
69 컴퓨터잡담 JavaScript XML 활용 2010.02.10 9565
68 컴퓨터잡담 HTML 엔티티(Entities) 2010.02.05 11140
67 컴퓨터잡담 HTML 엔티티(Entities) 2010.02.05 10807
66 컴퓨터잡담 자바스크립트 변수를 php로 옮기기 2010.02.03 24848
65 컴퓨터잡담 구글의 Ajax 다국어 번역 API 2010.02.01 15540
64 컴퓨터잡담 html_entity_decode [HTML엔티티를 => 특수문자로 변환 2 2010.01.30 16356
63 컴퓨터잡담 [DOS모드] ftp 자동 전송기능, 도스배치명령으로 FTP 사용하기 1 2010.01.24 20271
62 컴퓨터잡담 API Hooking 유저 레벨 루트킷 1 2010.01.21 11605
61 컴퓨터잡담 tasklist /SVC svchost 시스템 서비스 프로세스 보기 2010.01.21 8015
Board Pagination Prev 1 ... 39 40 41 42 43 44 Next
/ 44

http://urin79.com

우린친구블로그

sketchbook5, 스케치북5

sketchbook5, 스케치북5

나눔글꼴 설치 안내


이 PC에는 나눔글꼴이 설치되어 있지 않습니다.

이 사이트를 나눔글꼴로 보기 위해서는
나눔글꼴을 설치해야 합니다.

설치 취소