보안쟁이-회사원의 일상

원문 주소 : http://geundi.tistory.com/120

아직 퍼와도 된다는 허락은 못맡았지만.. 댓글을 달아놨습니다..

안된다면.. 내려야죠 (+__)ㅋ

해당 메모리를 계산할 수 있을 거라고 생각을 못했었는데....

물론 오래된 버전 내용이라 지금은 그냥 공부용이지만.. 한번 정도 보시는 것도 좋을 듯 합니다.

시스템 해킹기법으로 널리 알려진 해킹기법중의 하나인 버퍼오버플로우를 이용하는데에 있어 함수의 리턴주소가 저장되어 있는 곳을 정확히 알아야 합니다.

함수의 리턴어드레스가 저장되어 있는 곳을 약간이나마 추측할 수 있는 방법을 써보고자 합니다.

다 들 아시는 부분이겠지만 gcc 2.96이상 버전으로 컴파일을 하게 되면, 버퍼오버플로우를 하는데 ret의 위치까지의 거리를 계산하는데 어려움이 있습니다. 메모리에 버퍼를 위한 공간이 할당되는데 각 버퍼 다음에 그 크기가 일정하지 않는 공간이 잡히기(이하 쓰레기) 때문입니다.

그런데 이 쓰레기의 크기가 정해지는 것에 있어서 다소 규칙성을 발견하 여 작성한 글(글 마지막에 참고문서 링크)이 있어 그 글을 기초로 하여  정리를 해보려 합니다.

1. 버퍼가 하나인 경우 

이러한 소스를 가진 프로그램이 수행되면 스택은 다음과 같을 것입니다.

                 /-------------------------/  메모리의 높은 숫자의 주소
                 |         ret             |      
                 /-----------------/
                 |         sfb            |
                 /-----------------/
                 |                         |
                 |      쓰레기1        |
                 |                         |
                 /-----------------/
                 |                         |
                 |      쓰레기2        |
                 |                         |
                 /-----------------/
                 |                         |
                 |       buffer1        |
                 |                         |
                 /-------------------------/   메모리의  낮은 숫자의 주소

쓰레기1은 buffer1의 크기가 9바이트 이상인 경우에만 8바이트로써 일정하게 생깁니다. 9바이트 미만인 경우에는 생기지 않거나 생기는 그 크기가 뷸규칙 합니다.

쓰레기2은 buffer1의 크기가 9바이트 이상인 경우 "buffer1의 시작주소 와 쓰레기1의 시작 주소간의 거리는 16배수로 단위로 되는 규칙성"이 있습니다.

이러한 나름의 규칙성을 가지고 buffer1이 9바이트 이상의 크기로 선언이 되었다면 다음과 같이 ret까지의 거리를 계산할 수 있습니다.

(buffer1 시작주소와 에서 쓰레기1 시작주소의 거리) + (쓰레기1 8바이트) + (sfb 4바이트)
= buffer1의 시작주소에서 ret시작 주소까지의 거리

따라서 버퍼오버플로우를 할 때 쉘코드주소가 들어가야 할 자리를 정확히 잡아주는데 큰 도움이 될 것입니다.

2. 버퍼가 2개인 경우

버퍼가 2개인 경우에는 버퍼 2개의 크기를 모두 고려해야합니다.

이러한 소스를 가진 프로그램이 수행되면 스택은 다음과 같을 것입니다.

                 /-------------------------/  메모리의 높은 숫자의 주소
                 |         ret             |      
                 /-----------------/
                 |         sfb            |
                 /-----------------/
                 |                         |
                 |      쓰레기1        | 
                 |                         |
                 /-----------------/
                 |                         |
                 |      쓰레기2        |
                 |                         |
                 /-----------------/
                 |                         |
                 |       buffer1        |
                 |                         |
                 /-----------------/
                 |                         |
                 |      쓰레기3        | 
                 |                         |
                 /-----------------/
                 |                         |
                 |       buffer2        |
                 |                         |
                 /-------------------------/   메모리의  낮은 숫자의 주소

우리는 이제 쓰레기3의 크기를 구하여야 하는데,
쓰레기3의 크기를 구하는데 있어서는 buffer2의 시작주소와 buffer1의 시작주소의 거리를 계산하는 방식으로 이루어 집니다.

buffer2와 buffer1의 거리에 대한 규칙성은 다음 그림을 참고하시면 될것 같습니다.
(그 림에서는 제가 여태 설명해오던 buffer1과 buffer2가 바뀌어져 있으니 참고하시기 바랍니다)

그림에 약간의 보충 설명을 덧붙이도록 하겠습니다.

버퍼가 2개인 경우에는 각각의 버퍼의 크기가 9이상이면 buffer2에서 buffer1까지의 거리에 일정한 규칙성을 가지게 됩니다.(그림을 보시면 아시겠지만 반드시 2개의 버퍼 각각의 크기가 모두 9이상이어야 합니다, 둘중에 하나라도 9바이트 미만이면 규칙성은 없습니다.)

이제 우리는 buffer2에서 buffer1까지의 거리를 알 수 있습니다. 그리고 buffer1 에서 ret까지의 거리는 앞서서 설명했던 버퍼가 하나인 경우와 같으므로, buffer2에서 ret까지의 거리를 구할 수 있게 되었습니다.

따라서 buffer2에서 ret까지의 거리는 다음과 같을 것입니다.

(buffer2에서 buffer1까지의 거리) + (buffer1에서 쓰레기1까지의 거리) + (쓰레기1 8바이트) + (sfb 4바이트)

3. 변수에 메모리를 할당하는 단위가 바뀐 것인가?

저는 여태 리눅스는 변수에 메모리를 할당할 때에 1워드 즉, 4바이트를 단위로 한다고 알고 있었습니다.

그런데 어떤 글을 보니 이러한 해석이 있더군요.

 gcc 2.96이상 버전에서는 8바이트 이하의 변수에는 1워드 단위로 할당을 하지만, 8바 이트를 초과하는 즉, 9바이트 이상의 변수에는 4워드(16바이트)단위로 할당을 한다는 것입니다.

만약 이러한 해석에 기초를 둔다면 각 버퍼가 9바이트 이상인 경우에 발견되었던 16바이트 단위의 그 규칙성에 대한 설명이 가능해집니다. 그런데 앞에서 제가 쓰레기라고 우겼던 것들은 쓰레기가 아닌게 되겠습니다. 당연히 변수에 할당된 메모리의 공간이라고 생각되기 때문입니다.

그러나 버퍼의 크기가 8바이트 이하인 경우에는 이 해석이 맞지 않는것 같습니다. 위의 그림에서 8바이트 이하인 경우에 두 버퍼간의 거리를 보시면 알 수 있는 부분입니다.

이러한 규칙성을 어떻게 받아들여야할지는 좀더 공부를 해보거나 자기가 편한대로 해야겠습니다.

또한 이러한 규칙성은 gcc버전에 따라 다를수도 있으니 이점 염두해주시기 바랍니다.

수고하셨습니다.

Google Inc.'s search sites in China abruptly stopped working Tuesday, but the explanation for the outage shifted as the day wore on. The Internet giant first blamed itself, citing a technical change, but later reversed course and pointed to the heavy hand of China's "Great Firewall"—even as service appeared to be back to normal.

The evolving explanation whipsawed Google watchers and showed how fraught with confusion the relationship between China and Google remains. The episode risks escalating their battle a week after Google stopped censoring its search engine in China.

Google struggled to discern the cause of the massive disruption, in which users in China received error messages for Google searches on the company's Hong Kong-based search site, Google.com.hk, and—at least for many users—on Google.com. Google began routing Chinese Internet users to its Hong Kong site last week as it said it would no longer comply with China's censoring policies and wouldn't run a censored Chinese search engine.

Later in the day, Google reversed itself, saying it had made those changes a week earlier. "So whatever happened [Tuesday] to block Google.com.hk must have been as a result of a change in the Great Firewall," the company said.

Separately, the Foreign Correspondents Club of China said Wednesday that it had confirmed eight cases in which journalists based in China and Taiwan had their email accounts hacked in recent weeks. Several of the accounts, on Yahoo Inc., were disabled March 25 as a result of the attacks. In one case, the club said, a Beijing-based journalist's account had been modified to forward all of the journalist's emails to an unknown recipient.

Google said late Tuesday afternoon that its search traffic in China had returned to normal. "For the time being this issue seems to be resolved," it said.

The incident added to the sense of confusion over Google's relations with China. Google said Monday that its mobile services in China were being partially blocked, but it wasn't clear how extensive that blockage was, nor that the Chinese government was definitely behind it.

The disruption Tuesday was broader, if not entirely complete. Users of the Hong Kong site in at least a half-dozen Chinese cities said they could reach the search page, but that any term entered in the search window yielded a browser error message, often causing their access to Google to be severed temporarily. Users in some cities also said they couldn't access Google.cn, which since last week has automatically sent users to the Hong Kong site.

Many Chinese users reported that even searches of innocuous terms like "happy" or "tree"—on Google's Hong Kong site produced an error message saying the page couldn't be opened.

The disruption was similar to how analysts expected a crackdown by China's Internet censors would look. It also shed light on the role of the censorship regime in filtering results for China-based Web users. The system is opaque and unpredictable.

Wang Lijian, spokesman for the Ministry of Industry and Information Technology, one of China's main Internet regulators, said he was unaware of any Google disruption.

Any permanent blockage of Google's searches by China would deal a blow to Google's hopes of continuing to run part of its business there after dismantling its censored Chinese site. Google said last week it hoped to keep its music-search and map services in China, along with sales and research-and-development operations.

Beijing has expressed anger at Google for publicly flouting its censorship regime, and a decision to block access to Google entirely has always been considered possible. Many analysts have believed Beijing would stop short of that for fear of infuriating Google's tens of millions of regular Chinese users and foreign businesses that require access to information.

Because Google censored its old Chinese site, Google.cn, in accordance with government rules, that site wasn't filtered by the government's firewall. Its international sites, such as the Hong Kong one, have always been subjected to filtering, meaning that Chinese users' searches of some sensitive terms—like those related to the 1989 crackdown on pro-democracy protests, the initials RFA, for Radio Free Asia, or even the names of top leaders—might trigger an error message from the browser instead of a results page.

http://online.wsj.com/article/SB10001424052702304739104575153360362231700.html?mod=WSJ_Tech_LEADTop

안녕하세요.
오늘은 제 후배들을 위해 글을 하나 써볼까 합니다.
아는 후배들 많냐고요??
아뇨;; 전 주로 형들과 같이 다녀서 후배들은 5명정도??? 알고 있는거 같네요
물론 이놈들이 연락도 안합니다만...

아.. 제 소개를 안했네요..
전 백석대학교 정보통신학부 정보보호학과 03학번이며
2009년 2월에 졸업을 했습니다.. 학교에선 거의 혼자놀기의 진수를 펼치며 다녔죠;;
현재는 나우콤이라는 회사에서 CERT라는 팀에서 일을 하고 있는 중입니다.
(2014년 추가.  현재 현대 계열 회사에 재직 중. 간혹 지방대 졸업 후 취업 고민하는 분들이 많아서 한줄 추가해 봅니다)

여튼.. 제가 학교를 다니며.. 경험했던 내용을 후배들에게 전달하여... 후배들이 앞으로 나아가는데 도움이 되었으면 좋겠네요.
졸업한지 얼마 되지도 않았는데(1년 2개월) 이런글을 쓰고 있군요 -_-ㅋ
(무슨 생각인거냐;; 넌.. ㅠㅠ)

대학교 입학해서 1학년.. 주위에 많은 유혹들이 있습니다..
술.. 여자.. 그리고 도서관 만화책.. -_-ㅋ
공부 따윈 하기도 싫죠.. 하!지!만!
창업동아리는 꼭 들어가시기 바랍니다. 제가 1학년때 잠시 몸을 담았던..
CNI - http://cni01.com/main.html
여기.. 좋습니다.. 제가 1학년때 너무 공부를 멀리해서.. 적응을 못하고 나왔지만..
다시 대학 시절로 돌아간다면 다시 한번 들어가게된다면.. 다시 한번 꼭 들어가고 싶은 동아리 입니다.. 사람들도 좋고..
아.. 그 좋은 곳에서 왜 나왔냐고요..?;
그 당시.. 1학년인데.. 공부를 늦게까지 시켜주시더라고요..
지금 생각하면 선배들이 시간을 투자해서 그만큼 저에게 해주었던 것들인데..
여자와 술.. 뭐 노는게 좋아서 그랬죠..
제가 전역하고 나서.. 지나가는 말로 다시 들어오라고 하는 말을 들었을 땐.. 정말 고마웠는데 말이죠.. 아.. 그때도 왜 안들어갔냐고요?? 그때도 정신 못차렸었답니다 ^^;;

이렇게 저처럼 놀기만하는건.. 좋지 않습니다.. 놀더라도.. 누군가에게 배울 수 있는 환경을 만들어놓는게 좋죠.. 즉.. 동아리는 무조건 들어가라.. 이 말입니다.. 랩실에 들어가는 것도 좋지만.. 랩실은 어찌보면 동아리보다도 더 제약적이라고 할까요??

그렇게 군대 다녀와서 2학년.. 펑펑 놀았죠.. 또 술과 여자.. 군대 다녀와서 학고를 맞을 뻔 했습니다.......
동아리에 다시 들어갔거나.. 동아리에 남아있다면 이때부터 정말 열씸히 공부했을텐데..
참 아쉽죠.. 근데 그 시절엔 그게 아까운 것인지도 모르고 놀기에 바빴을 뿐이죠..
2학년때는 군대도 다녀왔다면.. 동아리..와 랩실.. 동시에 노리는 것도 좋습니다..
물론 그만큼 힘들지만.. 불가능한 부분은 아니죠 ^^;;

그렇게 3학년.. 이제 마음에 불안감이 들고.. 4학년.. 급박하죠..

솔직히 학교에서 배우는 교육의 질은 높지 않습니다.
아니.. 오히려 낮다고 생각합니다.
하지만 그건 거의 모든 대학교가 마찬가지니까 별로 신경쓰지 않아도 됩니다.
제가 말하고 싶은건.. 수업의 질이 높지 않기 때문에 따로 물어볼 수 있는 인맥이 필요하다는 것이죠.. 특히 보안쪽은 인맥이 진짜 중요합니다.

학교 네임벨류?? 없습니다. 그냥 지방 4년제인거죠
그렇다고 개개인의 능력?? 우리학교에서 동아리와 랩실을 거치지 않은 사람 중에서 능력자가 몇이나 있을까요??

그러다 보니 인맥이 더 중요합니다..

학교를 다니면서.. 인맥..동아리..랩실.. 이런 조직에 속해서 꾸준히 자기 자신의 레벨을 높이는 것이 중요합니다.. 지금은 수업 컨텐츠의 질이 얼마만큼 향상이 되었는지는 모르겠으나..
학교 수업만으로 회사에 취직하겠다는 생각은 어불성설입니다.

사실.. 저는 4학년때. .나름 실력에 자신이 있었습니다.
물론.. 영어나 기타 스펙은 빼고요.. 전 영어에 영자도 모르거든요..
프로그래밍 실력도 괜찮다고 생각하는 편이였고.. 여러모로 남들에 비교해서 평균이상이면 평균이상이지 못한다는 생각은 해본적이 없습니다.. 하지만 졸업이 가까워지면서.. 제 자신이 얼마나 오만방자했던지를 깨닫게 되었습니다..
혹시나 대학내에서 남들보다 잘한다고 자만하시면 안됩니다...
세상은 넓고.. 백석대는 좁습니다..

음... 도움이 되고자 쓰는데 별로 그런 내용은 없네요..

보안업체에.. 실력만으로 들어가려면.. 어느정도를 알아야되는지.. 간략하게 써볼께요..
후배분들 참고하셔서.. 노력하시기 바랍니다..
참고로 제 개인적인.. 주관적인 생각이니 이점 양해해주세요 ^^;

1학년 : 놀아도 좋다. 하지만 공부를 할 수 있는 동아리 & 랩실에 소속이 되어라.
2학년 : 1학년때처럼 놀면 안된다. 적절히 놀면서 공부해라.
3학년 : 늦어도 지금부터는 열씸히 공부해야될 시기이다. 네트워크 프로토콜에 대한 분석과
          C언어, API, script언어 등등을 몸에 베일때까지 익히고 또 익혀라. 그리고 익힌 프로그
          래밍 언어들을 이용하여 네트워크 프로로그래밍에 적용하여 보아라.
4학년 : 이젠 끝자락이다. 하루 1시간이 아깝다. 3학년때 익힌 베이스로 더 위쪽을 바라보아라.

다시 말씀드리지만.. 제가 언급한 내용을 이어가려면.. 인맥이 필요합니다.. 혼자서는 하는데 너무 더디기도 하고 벽이 있죠.. 그래서 누군가가 이끌어줄 수 있는 사람이 필요하게 되는 것입니다..

현재 정보보안 업계에 우리 학교 출신들이 조금씩 들어가있습니다.. 물론 그 수가 아직은 너무 적지만요.. 하지만.. 분명히 유명 보안업체들에 들어가있는게 사실입니다. 그분들에게 도움을 구하게된다면.. 분명 많은 도움을 받으실 수 있을 것입니다.. 저도 나중에 취직할때쯤에야 알게되서.. 땅을 치고 후회를 했죠..
물론.. 저도 보안업체에 다니고있습니다.. (+__)ㅋ
후배분들에게 도움이 될만한 글을 쓰고자 했는데 그렇지 못한거 같아서 조금은 미안한 감정이 듭니다.

보안쪽으로 가실 후배분들..
취직을 위해서는  어떤 스킬이 필요하냐.. 어느정도의 스펙이 필요하냐..
뭐 이런 정도의 질문에는 답을 드릴 수 있을 듯 합니다..
제가 가지고 있는 스킬들에 대해서도 간단하게 알려드릴 생각도 있습니다.
(리버스엔지니어링, 바이러스 분석)
다가가기 어렵다고 주저하지마세요.
주저하는 순간.. 이미 늦습니다. 당당하게 글 남기시고
그 용기에 응하는 답변을 받아서 취직하는데.. 공부하는데 가이드라인이 되었으면 좋겠습니다.

학교 출신분들을 보안업계에서 많이 뵈었으면 좋겠습니다. ^^