컴퓨터에서 백신은악성 행위 징후가 보이는 파일에 대한 차단을 하는 기능을 한다.크게 3가지 기능으로 역할을 수행한다. 1. 실시간 보호백신은 단순히 '검사' 버튼을 눌렀을 때 작동하는 게 아니다.파일 생성,접근,변경과 같이 I/O와 프로세스 동작을 지속적으로 감시/검사한다. 그럼 파일이 만들어지거나 변경되는 것을 어떻게 알 수 있는가?모든 CreateFile/WriteFile을 후킹해야 하나?2. 파일 시스템 Minifilter백신들은 대부분 파일 시스템 Minifilter 구조를 이용하여 파일 I/O를 관찰한다. Minifilter는 커널 레벨에서 프로세스의 파일 시스템 요청을 모니터링 할 수 있다.이러한 방법을 통해 백신은 파일 시스템 I/O 경로에 개입해서 파일 접근 시점을 알 수 있다. 3. D..

보호되어 있는 글입니다.

기본기가 허술하다는 느낌이 들어서조금 보강하고자 필요한 부분만 둘러봄 운영체제(OS)란= 커널 레벨로 보는 것도 괜찮을 것 같다.사실은 OS ⊃ Kernel 응용 프로그램 → 사용자 모드 API → 시스템 콜 → 커널 → 실제 자원 접근 → 사용자 모드로 복귀커널은 그중에서도 CPU, 메모리, 프로세스, 장치 등의 핵심 자원을 관리하는 핵심 부분응용 프로그램은 ‘컴퓨터 자원’에 접근할 때 운영체제의 도움을 받아 실행을 한다.하지만, 응용 프로그램은 안전한 운영을 위해 자원에 접근할 수 없다.ex) fwrite()도 직접 쓰는 것이 아니라, 그 내부에서 커널이 작동한다. 응용프로그램은 사용자 모드와 커널 모드로 전환하며 자원 접근을 하고자 하는데,이때 사용되는 개념이 이중모드이다. 이중모드는 레지스터 값을..

보호되어 있는 글입니다.

DISK는 데이터를 담아두는 큰 빌딩이라고 생각하면 된다.하지만 이것들을 어떻게 정리할 것인가가 문제다. 이를 해결하기 위해 DISK는 여러 Partition으로 나눈다.ex) OS 데이터는 특정 구간에 / 사용자 데이터는 다른 구간에...이러한 파티션이 알파벳을 따서 C,D,E 드라이브가 된다. 우리가 이번에 배우려고 하는 파티션은 MBR과 GPT이다.이들은 DISK 가장 첫 부분에 위치해있고DISK의 파티션에 대한 청사진(=map for all of the partitions)을 담고있다.= 공격의 대상이 되기 좋다.ex) Bootkits 따라서 MBR과 GPT의 구조와각 구조가 어떤 필드값을 나타내는지 알아두는 것만 해도 성공 MBR과 GPT는 컴퓨터가 부팅되기 위해 가장 핵심적으로 필요한 요소다...

옛날 소켓 프로그래밍 시간을 떠올려 봤을 때,서버/프로그램은 요청이 들어오면 1개의 요청에 대해 1개의 스레드를 생성했다. 하지만 이를 자원 효율의 관점에서 생각해본다면- 요청이 들어오면 Thread가 생긴다. - 처리가 끝나면 Thread는 버려진다. 즉, 이러한 방식은 한 명의 고객이 왔을 때새로운 요리사를 고용하여 고객을 응대하고, 그 고객이 떠나면 그냥 내팽겨치는 꼴이 된다. 이러한 방식에서는 Thread가 무한히 생겨날 수 있으며, 메모리나 여타 자원을 낭비하게 된다. 그렇다면 Thread를 무한정 생성함으로써 생겨나는 문제를 방지하면서서버에서 요청을 처리하기 위해 나온 개념이 Thread Pool이다. 📌Thread Pool: Thread Pool 방식은 아래 사진과 같다. ➡️ 요청을 처..

보호되어 있는 글입니다.

보호되어 있는 글입니다.

보호되어 있는 글입니다.

Volume Shadow Copy Service : 한 파일에 대해, 특정 시점의 복사본을 만들어 사용 VSS는 디지털 포렌식과 랜섬웨어 분석 시에 많이 발견되는 개념이다.특정 악성코드(랜섬웨어)에서는 VSS 삭제 루틴이 포함될 때가 있는데, 그 이유와 개념을 함께 알아보자. 📌사용 배경데이터 백업이 필요하지만 프로세스가 종료되는 시점이 없다. ➡️ 특정 시점의 디스크를 저장해두자. == Snapshot 하지만 디스크 모든 내용을 복사하기에는 너무 부하가 커진다.따라서 대표적인 3가지 종류의 VSS를 알아보자. - 종류 : [ 전체 복사 / Copy on Writing / Redirect on Write ] 주로 전체 복사보다는 Copy on Writing 이나 Redirect on Write를 ..