본문 바로가기

전체 보기

 (103)
ActiveX 디버깅(ollydbg) Ollydbg을 통해 ActiveX파일을 디버깅하는 내용에 대해 포스팅하려 한다. 현업에서 취약점 분석업무를 수행하다 보면 새로운 프레임워크나 혹은 서드파티솔루션에 대해서 분석을 하게될 경우가 종종 발생한다. 예를 들면 파일 위변조를 통해 암호화 로직, 키 값(ActiveX 내)을 획득하여 복호화 전송하거나 키보드 보안 프로그램 우회를 통해 평문 비밀번호 노출 등 다양하게 활용할 수 있다.이번 설명은 attach 기능을 통한 디버깅 방법이며, 아규먼트를 통한 방법, dll이 로드될때마다 디버깅하는 방법 등 다양한 방법이 존재한다. 1. Activex 레지스트리 등록 2. 등록된 Activex를 레지스트리에서 찾아 웹상에서 실행할 수 있도록 html 작성 3. 작성된 html을 실행 4. Ollydbg -..
XSS(크로스 사이트 스크립팅)은 왜 인터넷 익스플로러에서 필터될까요? 취약점 진단이나 모의해킹을 해 본 친구들이라면 혹은 공부해본 친구들이라면 한번쯤 생각해 봤을 법한 질문이다. 하지만 알고보면 너무나도 간단한 사실인데 행하지 않는다. 그냥 궁금해하고 왜 그러지 질문만 할 뿐. 보안 1기부터 현재까지 스터디을 함께한 친구 중 한명이 궁금해서 찾기 시작했고 찾아서 원인을 알고 나에게 기뻐서 새벽에 카톡한 문자가 아직 생생하다. ㅎㅎ 그 어디서도 찾아보기 드믄 귀한 열정과 관심이다. 그런 친구들을 만나 같이 스터디함을 너무 감사하게 생각한다. 그 친구도 나와 비슷한 시기에 블로그를 생성해서 아직 글은 적지만 향후 1년 뒤 2년 뒤 엄청난 컨텐츠와 습득한 기반지식을 토대로 발전하는 모습을 기대해본다. 출처 : http://blog.naver.com/hjw_웹 취약점 진단을 공부..
자신만의 좋은 분석 도구를 선택하는 기준 오랬만에 스터디하는 친구들을 가르켜 주기 위해 책을 흟다가 여러번 반복해봤던 책 임에도 불구하고 또 한번 경악을 금치 못해 블로그에 글을 쓰게 되었다. 리버싱 입문 툴 설명하는 페이지(http://winner75.tistory.com/6)에서 이야기한 적이 있듯이분석가들은 자신만의 툴이 만들어져 있다. 출처(리버싱 핵심 원리 : 악성 코드 분석가의 리버싱 이야기)아래 내용은 리버싱 핵심 원리에 나오는 내용이다. 다시 봐도 명언이고 나에게 맞춰 자체 커스텀을 하였다. 1) 좋은 분석 도구를 선택하는 기준 기술자(엔지니어)들은 자신만의 작업환경과 손에 익은 도구(장비)가 있습니다. 기술자란 특정 업무를 위해서 필요한 도구를 아주 능숙하게 다룰 줄 아는 사람들입니다. 같은 도구를 사용하더라도 기술자의 능력에 ..
교육방식 및 마음가짐 공부하는 방식에도 성향이 맞지 않을 수 있습니다.교육을 듣고자 하는 학생 및 일반인들께서는 이 부분을 꼭 숙지하신 후 저에게 개인 연락주시길 당부드립니다. [교육 방식] : 자유로운 분위기, 질문 / 답 형식 1) 주 1회 3시간 교육 진행. 2) 전원 1:1 개인 학습 방식. 3) 교육 기간이 길게 편성되어 있지만 개인 노력과 능력에 따라 모든 과정을 1달 내 마무리 지을 수도 있음. 4) 학원 기관과 달리 실질적 체득 교육 방식으로 진행. ※ 수업 진도나가듯이 이해가 되지 않은 상태로 마무리 짓지 않고 왜 그런지 이해하지 못하면 그 다음으로 넘어갈 수 없음. 5) 수업 시간에 배우는 것 보다 이후 스스로 공부하고 노력하여 단톡방, 전화, 갠톡 활용해서 주기적으로 괴롭힐 것. 6) 수업 종료 후 자기 ..
[정보보안교육] 웹 해킹 기초(취약점 분석(동적/소스)) 과정(17.02.02 ~ 17.03.31) [교육 대상] - 비 전공자, 컴공이나 보안에 관심은 있으나 접할 용기가 없으신 분 - 정보보안전문가에 관심은 있으나 기회가 되지 않아 공부해보지 못한 분 - 정보보안쪽으로 취업을 희망하나 “과연할 수 있을까” 생각이 드는 분 - 졸업 이후 정보보호학원(kitri, 아이티뱅크, kisec 등)을 다녀 취업을 희망하시는 분 - 기업의 실무 보안이 어떤 일을 하는 지 궁금하신 분 - 보안업체 인턴으로 취업을 해도 『동적, 정적 취약점 진단(AND, iOS, WEB), 모의해킹, 악성코드 분석, 리버스엔지니어링』 등 심화된 분야를 경험해 보고 싶었으나 생각했던 부분과 많이 달라 진로를 고민하고 계신 분 - 위 내용들과 같이 다양한 분야를 두루 알고 싶은데 접할 기회가 없는 분 ​[강사 소개] - 총 실무경력 ..
[WEB][관제][펌]SQL Injection 로그분석 사례1 나와같이 같은 길을 동행하고있는 웹의 달인 네오이즘(n3015m)의 블로그에서 아는 형이기에 스샷을 통해 불펌을 감행했다. ※ 개인적인 생각으로 랭킹 따지고 하는 건 웃기고 조금 푼수 같지만 ㅎㅎ 웹 모의해킹, 취약점 진단분야에 있어서는 국내 TOP 5 안에 들 수 있다고 감히 말씀드릴 수 있다. 09년에 작성된 글임에도 불구하고 현업에서 관제업무를 수행하고 계시는 분들께서는 보시게 되면 많은 도움을 얻을 수 있을 것 같아 올리게 되었다. 로그에서 획득 가능한 정보 1. SQL Query는 유효한 공격 구문인가? 2. 무효한 공격인가? 3. 타겟 DB는 무엇인가? 4. 공격자는 왜 동일 패턴의 코드를 반복하였는가? 5. 추가로 발견된 공격 구문 "1년된 사람임에도 불구하고 10년차처럼 일하는 사람이 있는..
프롤로그 안녕하세요 보안을 정말 좋아하고 사랑하는 Winner입니다. 보안을 시작한지.. 벌써 11년이 되었네요.. 돌이켜보면 일하면서 속상한 일도 많고 짜증날 때도 있고 스트레스가 이만저만이 아니었다고 생각됩니다. 그래도 이겨내고 버틸 수 있었던 건 제가 사랑하는 저의 가족과 또 단순하게 보안이 재미있고 좋은 저의 믿음이 있었기에 지금 이자리에서 글을 쓸 수 있게 된 게 아닌가 싶습니다. 누군가를 위한 블로그가 될 수도 있고 저를 위한 블로그가 될 수도 있겠는데요.. 블로그를 하기까지 많은 고민을 했습니다.. 과연 내가 글을 쓰고 누군가에게 길잡이를 해줄 수 있는 입장이 될 수 있을까? 일도 바쁘고 같이 스터디하는 친구들과 우리 가족과 함께하는 시간도 바쁜데 과연 글은 재대로 올릴 수 있을까? 다양한 생각과 고..
[정보보안교육] 안드로이드 APP 취약점 분석 과정(16.12.4 ~ 16.12.31) [교육 대상] - 비 전공자, 컴공이나 보안에 관심은 있으나 접할 용기가 없으신 분 - 정보보안전문가에 관심은 있으나 기회가 되지 않아 공부해보지 못한 분 - 정보보안쪽으로 취업을 희망하나 “과연할 수 있을까” 생각이 드는 분 - 졸업 이후 정보보호학원(kitri, 아이티뱅크, kisec 등)을 다녀 취업을 희망하시는 분 - 기업의 실무 보안이 어떤 일을 하는 지 궁금하신 분 - 보안업체 인턴으로 취업을 해도 『동적, 정적 취약점 진단(AND, iOS, WEB), 모의해킹, 악성코드 분석, 리버스엔지니어링』 등 심화된 분야를 경험해 보고 싶었으나 생각했던 부분과 많이 달라 진로를 고민하고 계신 분 - 위 내용들과 같이 다양한 분야를 두루 알고 싶은데 접할 기회가 없는 분 [강사 소개] - 총 실무경력 :..

티스토리툴바