2022-06-22

오늘 수업 목표

1. 프로젝트 진행하기 (서버 및 네트워크 등, 기본 인프라 구축)
- 오전 -
2. 윈도우 PE
- 오후 -
3. GSN3 외부 인터넷 연결
- 오후 -

Inside : DB, Win7, Win10
DMZ : Web, Mail, DNS, NTP

Image_NT_headers32
 - Signature
 - Image_File_headers32
 - Image_Optional_header32
- address of entry point
- Image base

RVA
VA



Section Alignment : 0000 1000
File Alignment : 0000 0200
--> 클러스터와 비슷한 역할을 한다
Section = 메모리
file = 파일

Number Of Rva And Sizes : 0000 0010
-> Image_Data_Directory의 배열 개수
 - 16개 Data Driectrory가 존재한다.

158부터 시작
Data Directory[0] -> Export
 -> 0000 0000 / 0000 0000
Data Directory[1] -> Import
 -> 0000 7604 / 0000 00C8
..
..
..
Data Directory[F] -> 
--- 위에서 구한 주소값은 나중에 INT IAT와 EAT에서 사용할 예정
INT = Import Name Table
IAT = Import Application Table



-----------------------------------------NT 헤더 끝 ----------
각 영역별(text, data, rsrc) 헤더 보기
영역별 헤더의 구조는 전부 동일하다

typedef struct _IMAGE_SECTION_HEADER {
  BYTE  Name[IMAGE_SIZEOF_SHORT_NAME];
  union {
    DWORD PhysicalAddress;
    DWORD VirtualSize;  -> 메모리에서 섹션이 차지하는 크기
  } Misc;
  DWORD VirtualAddress;  -> 메모리에서 섹션이 시작하는 주소(RVA)
  DWORD SizeOfRawData;  -> 파일에서 섹션이 차지하는 크기
  DWORD PointerToRawData; -> 파일에서 섹션이 시작하는 주소
  DWORD PointerToRelocations;
  DWORD PointerToLinenumbers;
  WORD  NumberOfRelocations;
  WORD  NumberOfLinenumbers;
  DWORD Characteristics;  -> 속성
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

=== text section header ===
VirtualSize : 0000 7748 메모리에서 섹션이 차지하는 크기
VirtualAddress : 0000 1000 메모리에서 섹션이 시작하는 주소
SizeOfRawData : 0000 7800 파일에서 섹션이 차지하는 크기
PointerToRawData : 0000 0400 파일에서 섹션이 시작하는 주소

=== data section header ===
VirtualSize : 0000 1BA8
VirtualAddress : 0000 9000
SizeOfRawData : 0000 0800
PointerToRawData : 0000 7C00

=== rsrc section header ===
VirtualSize : 0000 8304
VirtualAddress : 0000 B000
SizeOfRawData : 0000 8400
PointerToRawData : 0000 8400


----->
RVA(메모리) to RAW(파일에 있을 때)

특정 기능을 하는 메모리 주소가 나왔을 때
이 위치(HxD로 볼 수 있는)를 찾아야 한다!

공식 :
RAW = (내가 찾는)RVA - Virtual Address + Point to Raw Data

RVA : 5000일 때 RAW(offset 주소)는 무엇일까요?
RAW : RVA(5000) - VA(1000) + PRD(400) = 4400


RVA : 13314일 때 RAW(offset 주소)는 무엇일까요?
RAW : RVA(13314) - VA(B000) + PRD(8400) = 10714


RVA : ABA8일 때 RAW(offset 주소)는 무엇일까요?
RAW : RAV(ABA8) - VA(9000) + PRD(7C00) = 97A8