2022-06-23

오늘 수업 목표

1. 프로젝트 진행하기 (서버 및 네트워크 등, 기본 인프라 구축)
- 오전 -
2. 윈도우 PE
- 오후 -
3. GSN3 외부 인터넷 연결
- 오후 -

Inside : DB, Win7, Win10
DMZ : Web, Mail, DNS, NTP

Image_NT_headers32
 - Signature
 - Image_File_headers32
 - Image_Optional_header32
- address of entry point
- Image base

RVA
VA



Section Alignment : 0000 1000
File Alignment : 0000 0200
--> 클러스터와 비슷한 역할을 한다
Section = 메모리
file = 파일

Number Of Rva And Sizes : 0000 0010
-> Image_Data_Directory의 배열 개수
 - 16개 Data Driectrory가 존재한다.

158부터 시작
Data Directory[0] -> Export
 -> 0000 0000 / 0000 0000
Data Directory[1] -> Import
 -> 0000 7604 / 0000 00C8
..
..
..
Data Directory[F] -> 
--- 위에서 구한 주소값은 나중에 INT IAT와 EAT에서 사용할 예정
INT = Import Name Table
IAT = Import Application Table



-----------------------------------------NT 헤더 끝 ----------
각 영역별(text, data, rsrc) 헤더 보기
영역별 헤더의 구조는 전부 동일하다

typedef struct _IMAGE_SECTION_HEADER {
  BYTE  Name[IMAGE_SIZEOF_SHORT_NAME];
  union {
    DWORD PhysicalAddress;
    DWORD VirtualSize;  -> 메모리에서 섹션이 차지하는 크기
  } Misc;
  DWORD VirtualAddress;  -> 메모리에서 섹션이 시작하는 주소(RVA)
  DWORD SizeOfRawData;  -> 파일에서 섹션이 차지하는 크기
  DWORD PointerToRawData; -> 파일에서 섹션이 시작하는 주소
  DWORD PointerToRelocations;
  DWORD PointerToLinenumbers;
  WORD  NumberOfRelocations;
  WORD  NumberOfLinenumbers;
  DWORD Characteristics;  -> 속성
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;

=== text section header ===
VirtualSize : 0000 7748 메모리에서 섹션이 차지하는 크기
VirtualAddress : 0000 1000 메모리에서 섹션이 시작하는 주소
SizeOfRawData : 0000 7800 파일에서 섹션이 차지하는 크기
PointerToRawData : 0000 0400 파일에서 섹션이 시작하는 주소

=== data section header ===
VirtualSize : 0000 1BA8
VirtualAddress : 0000 9000
SizeOfRawData : 0000 0800
PointerToRawData : 0000 7C00

=== rsrc section header ===
VirtualSize : 0000 8304
VirtualAddress : 0000 B000
SizeOfRawData : 0000 8400
PointerToRawData : 0000 8400


----->
RVA(메모리) to RAW(파일에 있을 때)

특정 기능을 하는 메모리 주소가 나왔을 때
이 위치(HxD로 볼 수 있는)를 찾아야 한다!

공식 :
RAW = (내가 찾는)RVA - Virtual Address + Point to Raw Data

RVA : 5000일 때 RAW(offset 주소)는 무엇일까요?
RAW : RVA(5000) - VA(1000) + PRD(400) = 4400


RVA : 13314일 때 RAW(offset 주소)는 무엇일까요?
RAW : RVA(13314) - VA(B000) + PRD(8400) = 10714


RVA : ABA8일 때 RAW(offset 주소)는 무엇일까요?
RAW : RAV(ABA8) - VA(9000) + PRD(7C00) = 97A8




# ip route 0.0.0.0 0.0.0.0 192.168.0.1
# access-list 1 permit 192.168.100.0 0.0.0.255
# ip nat inside source list 1 int fa0/1 over
# int fa0/0
# ip nat inside
# int fa0/1
# ip nat outside
# exit




INT / IAT
(Import 관련 Table)


라이브러리 / DLL파일 SYS파일
애플리케이션이 실행할 때

DOS시절에 
관련 라이브러리도 전부 포함해서 코딩

함수를 불러오는 식으로 라이브러리를 만들자

kernel32.dll 라는 라이브러리 안에
여러개의 함수들

Import Name Table  -> DLL 이름을 찾고
Import Application Table -> 함수를 찾는다


IAT INT




Data Directory[1] -> Import
 -> 0000 7604(RVA) = 위치
     7604(RVA) - 1000(VA) + PDR(400) = 6A04 
 -> 0000 00C8(RVA) = 크기


IMAGE_IMPORT_DESCRIPTOR {
    union {
        DWORD   Characteristics;            
        DWORD   OriginalFirstThunk;       // INT(Import Name Table) address (RVA)
    };
    DWORD   TimeDateStamp;
    DWORD   ForwarderChain;
    DWORD   Name;                         // library name string address (RVA)
    DWORD   FirstThunk;                   // IAT(Import Address Table) address (RVA)
} IMAGE_IMPORT_DESCRIPTOR;



1. NAME의 위치를 따라가서 라이브러리(DLL)의 이름을 파악한다. (O)
2. OriginalFirstThunk(INT)의 주소를 따라가서 함수 시작 주소를 파악한다.
3. FirstThunk(IAT)의 주소를 따라가서 실제 로딩 주소를 파악한다.



2. OriginalFirstThunk 0000 7990
-> 7990 -> 6D90
--> 7A7A -> 6E7A : PageSetupDlgW

1. Name 0000 7AAC
-> 7AAC --> 6EAC : comdlg32.dll

3. FirstThunk 0000 12C4
-> 12C4 --> 6C4 : 76324906

010012C4

comdlg32.dll 라이브러리 안에 PageSetupdlgW 함수를 호출




EAT
Export Application Table

EAT 시작 주소 : 0000262C
-> 262C -> 1A2C
EAT 사이즈 : 00006CFD


EAT IAT의 차이점
IAT는 Import때문에 여러개의 라이브러리를 가져옴
EAT는 보내는 역할만 하기때문에 단 한개만 존재
이 라이브러리 안에 다수의 함수
그래서 그 함수별로 배열(Oridnal, 서수)이 존재

typedef struct _IMAGE_EXPORT_DIRECTORY {
DWORD Characteristics
DWORD TimeDateStamp
WORD MajorVersion
WORD MinorVersion
DWORD Name -> kernel32.dll
DWORD Base
DWORD NumberOfFunctions -> kernel32.dll의 함수 개수
DWORD NumberOfNames -> kernel32.dll의 이름을 가진 함수 개수
DWORD AddressOfFunctions -> // 함수 주소 배열(EAT)
DWORD AddressOfNames -> //함수명 배열
DWORD AddressOfNameOrdinals -> // 함수 서수 배열
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY


AddressOfFunctions 는 실제 함수 시작 주소까지의 offset 배열을 가리킴
AddressOfNames 는 함수 이름의 배열을 가리킴
AddressOfNameOrdinals 는 함수의 Ordinal 배열을 가리킴


DWORD NumberOfFunctions -> 03B9
DWORD NumberOfNames -> 03B9

DWORD AddressOfFunctions -> RVA 2654 -> RAW 1A54
DWORD AddressOfNames -> RVA 3538 -> 2938
DWORD AddressOfNameOrdinals -> RVA 441C -> 381C


1. AddressOfNames으로 kernel32.dll파일의 함수 배열로 이동
-> 3번째 배열인 index[2] 4BB3(3FB3)로 이동
-> 3FB3로 이동하면 AddAtomW라는 함수가 나온다
  -> orinal 2번인 함수

2. AddressOfNameOrdinals 으로 orianl을 확인한다


3. AddressOfFunctions으로 실제 메모리에서 로딩되는 값을 구한다.
0003 26D9
7C80 0000

7C83 26D9



과제
Helloworld.exe 파일의 WindowsPE분석을 실시하시오
1. Section의 개수를 나타내는 위치와 값을 찾으시오.
위치 : 000000EE 개수 : 4개
2. Optional Header의 크기를 나타내는 위치와 값을 찾으시오.
위치 : 000000FC  값 : E0
3. Address of EntryPiont의 역할 및 위치와 값을 찾으시오.
역할 : 메모리에 올라갈 때 시작점 값 : 11A0
4. Image Base 역할 및 위치와 값을 찾으시오.
역할 : 간접주소방식에서 기준점 값 00400000
5. Section Alignment와 File Alignment의 위치와 값을 찾으시오
Section : 1000 , File : 200
6. 각 섹션의 offset 및 address 시작 위치와 크기를 찾으시오.
--text Section
시작위치 : 1000 시작위치 : 400
총 크기 : 60A4 총 크기 : 6200

--rdata Section
시작위치 : 8000 시작위치 : 6600
총 크기 : 1BB0 총 크기 : 1C00

--data Section
시작위치 : A000 시작위치 : 8200
총 크기 : 18DC 총 크기 : E00

7. user32.dll의 INT와 IAT의 위치를 찾으시오
Import의 시작 위치(RVA) : 965C[7C5C]
Import의 총 크기 : 3C

INT : 977C[7D7C] -> 0000 9784 -> 00409784
NAME : 9792[7D92] -> USER32.DLL
IAT : 80E4 -> 004080E4 MessageBoxW



11B0