보안

솔라리스 메모리 덤프 생성 & 분석

로
솔라리스에서는 메모리 덤프를 위해 dumpadm, savecore 와 같은 명령을 제공하고 있으며 코어 덤프 형태로 덤프 이미지를 생성합니다.1. 덤프 설정메모리 덤프를하기에 앞서 dumpadm 명령을 통해 현재 덤프와 관련된 설정 확인 및 수정이 가능합니다.-주요 옵션 옵션 설명 -c contents 덤프할 내용을 설정한다. -kernel : 커널 페이지 -curproc : 커널 페이지 + 최근 실행된 프로세스 페이지 -all : 모든 페이지 … Read more

Volatility Linux Profile 생성

로
volatility-2.2-rc2(modify).tar.gz 다운로드 Volatility 2.2 버전에는 Linux 메모리 분석을 위한 기능이 새롭게 추가되었습니다. (링크) 프로세스,네트워크 정보를 포함하여 정보를 추출하기 위한 기능이 존재하고 있고 RC1 버전 기준으로 기본적으로 제공되는 Linux Profile은 없습니다. Volatility Wiki에서 프로파일 생성법을 제공하고 있으나 사용되는 Tool은 RC1 버전에는 포함되어 있지 않아 Source 탭에서 해당 소스를 별도로 다운받아 사용해야합니다.  2012년 9월 18일자로 업데이트된 RC2버전에서 … Read more

CyCommMech 분석

로
※ 명령 형식이나 사용법 등이 cyc.help 파일에 자세히 정의되어 있어 특이한 사항만 작성해 보았습니다.CyCommMech는 오픈소스 IRCBot인 EnergyMech을 변형하여 제작된 것으로 추측되며 UDP Flooding 툴인 Stealth와 함께 배포되었습니다.기본적인 실행 옵션은 아래와 같습니다. 옵션 설명   -f   read configuration from  -c   make core file instead of coredebug/reset  -r   run only for seconds  -d   start mech … Read more

Windows 메모리 덤프 생성 및 분석

로
1. 메모리 Dump 수집-FTK Imager FTK imager는 디스크, 메모리, 레지스트리 Hive 파일 Dump를 지원하는 무료 도구입니다.GUI 환경이라 손쉽게 사용가능하고 안정적인 Dump가 가능한 것이 특징입니다.-Win32/64dd Win32/64dd는 Moonsols Windows Memory Toolkit 중 일부로써, 윈도우 Crash Dump 형식을 지원하고 네크워크를 통해 Dump 파일을 저장 가능한 것이 특징입니다.2. 메모리 분석 툴-Redline Mandiant에서 제공하는 GUI환경의 무료 메모리 분석 도구입니다.Raw Dump 파일 및 Redline의 … Read more

Windows 레지스트리 분석

로
레지스트리는 윈도우의 주요 설정값을 보유하고 있는 데이터베이스 파일이며 시스템에 하이브 파일로 저장되어 있습니다. -하이브 파일 위치  레지스트리  하이브  HKLM\BCD00000000  {Boot Partition}\Boot\BCD  HKLM\COMPONENTS  %SystemRoot%\System32\Config\COMPONENTS  HKLM\SYSTEM  %SystemRoot%\System32\Config\SYSTEM  HKLM\SAM  SystemRoot%\System32\Config\SAM  HKLM\SECURITY  %SystemRoot%\System32\Config\SECURITY  HKLM\SOFTWARE  %SystemRoot%\System32\Config\SOFTWARE  HKU\  %SystemRoot%\ServiceProfiles\LocalService\NTUSER.DAT  HKU\  %SystemRoot%\ServiceProfiles\NetworkService\NTUSER.DAT  HKU\  %UserProfile%\NTUSER.DAT  HKU\_Classes  %UserProfile%\AppData\Local\Microsoft\Windows\Usrclass.dat  HKU\.DEFAULT  SystemRoot%\System32\Config\DEFAULT  HKLM\HARDWARE  휘발성 1. 수집 및 분석 준비 하이브 파일은 대부분 시스템에의해 열려있어 일반적인 방법으로는 복사가 … Read more

패턴 검색 및 출력 변환 awk

로
패턴 검색 및 출력 내용 변환에 사용되는 도구이다. ex) awk -F: ‘BEGIN{print “start AWK”} /root/{if($3 == 0){print $7}} END{print “end AWK\n”}’ /etc/passwd ※ /etc/passwd를 ‘:’로 문자열을 쪼개고 “start AWK”라는 문자열을 출력한 뒤 root라는 문자열을 포함하고 있는 행에서 3번째 필드가 0이라면 7번째 필드 값을 출력하고 출력이 끝나면 마지막으로 “end AWK”를 출력하고 종료한다. –주요 옵션 옵션 설명 … Read more

시스템 분석 및 스냅샷 생성 System Explorer

로
현재 시스템 정보 및 스냅샷 기능을 제공해주는 도구이다. –주요 기능 기능 설명 프로세스 실행중인 프로세스 정보를 출력하고 프로세스 정상 유무를 검사한다. 연결 프로세스가 생성한 네트워크 연결 정보를 출력한다. 자동 실행 자동 실행과 관련된 레지스트리 목록을 출력한다. 스냅샷 파일 & 레지스트리 정보를 스냅샷으로 생성하고 2개의 스냅샷을 비교하여 변화여부를 확인한다.

로그 변환 LogParser

로
여러 종류의 로그파일을 원하는 형태로 파싱해주는 도구이다. ex) LogParser -i:IISW3C -o:CSV “select date, time, c-ip, s-ip, s-port, cs-method, cs-uri-stem, cs-uri-query, sc-status into d:\result.csv from d:\ex120705.log” –주요 옵션 옵션 설명 -i: input 입력파일의 형식을 지정한다. IISW3C, NCSA, IIS, IISODBC, BIN, IISMSID, HTTPERR, URLSCAN, CSV, TSV, W3C, XML, EVT, ETW, NETMON, REG, ADS, TEXTLINE, TEXTWORD, FS, COM … Read more

시스템 정보 출력 psinfo

로
현재 시스템의 정보를 출력해주는 도구이다. ex) psinfo –h –s -d –주요 옵션 옵션 설명 -h hotfix 설치된 핫픽스 정보를 출력한다. -s software 설치된 소프트웨어 정보를 출력한다. -d disk 디스크의 볼륨 정보를 출력한다. -c csv CSV 포맷 형태로 출력한다.

프로세스 행동 분석 Process Moniter

로
프로세스들의 행동을 분석해주는 도구이다. –주요 필터 필터 설명 PID 프로세스 아이디로 필터링한다. Parent PID 해당 프로세스 아이디를 가진 프로세스에 의해 생성된 프로세스로 필터링한다. Process Name 프로세스 명으로 필터링한다. Operation 프로세스 동작으로 필터링한다. 동작 설명 Process Create 새로운 프로세스 생성 WriteFile 파일 쓰기 (CreateFile은 파일을 여는 동작에도 발생하기 때문에 새롭게 생성한 파일만 구분하기 힘들다. 따라서 파일 … Read more
바로가기