우연찮게 찾게된 Key Log List 차후에 테스트할 때 사용하면 좋을 예제 파일들^^

[출처 : http://sorcerybox.wordpress.com/2011/06/19/keylogger-hacking-software/]

Do you know what is keylogger? If you don’t know I will explain the features of this amazing software.

• Keylogger is a device or program that captures activities from an input device. Malicious people can make use of keyloggers to capture personal information being input into a computer system.

Didn’t understand? OK give me a break.
Suppose you are jealous of your friend because he has lot of friends in Facebook, yahoo or etc  and you have decided to hack his password so what you gonna do? Very simple install this keylogger and go through his accounts.

How does the keylogger works?
Keylogger is a  software that runs inconspicuously in the background, automatically recording every user keystroke, including special and function keys. It records the name and duration of every website visited, the exact keystrokes made, encrypts and enters the information in a log file, which cannot be seen by anyone except the installer of this program.
So it mean it saves all the stroked or pressed keys like typing username and password, chatting with friends, visiting sites, surfing internet etc.

Usage of the keylogger:

Systems and business administrators who are biting their nails, worried about leakage of vital confidential information by an employee, parents who are anxious about their children’s safety on the internet, and internet café owners, who are responsible for regulating ‘clean’ browsing by their customers – all these people need an instrument to know for certain, the web browsing activities of their employee, child, or customer respectively. Only then they would be in a position to take suitable legal, disciplinary or remedial action. This is where  Keylogger comes in.

If you want to download this software click here: Keylogger

Dont worry click on the below link its safe.

Top Free Keyloggers:

Actual Keylogger (Actual Spy):

Desktop Shark Keylogger:

Quick Keylogger:

Elite  Keylogger 4:

Family Keylogger:

KidLogger PRO v.5.6.4:

Home Keylogger Free Edition:

Was that useful?

Please leave a comment.

요즘 들어, 제 PC에서 자꾸 Load ollydbg/immunity debug를 이용해서 분석하는데,

Single Step Excetpion으로 분석을 못하는 상황이 발생하더군요.

그래서 확인 해보니, Single Step Exception 의 경우 자체적으로 excetpion handle을 생성하여

처리할 경우 발생하는 exception 인데....debugger 측에서 처리하는데 다소 문제(?)가 발생 한 것 같습니다.

(혹시, 자세한 내용을 아신다면 댓글로...^^)

그래서 임시 방편으로 분석하는 방법을 적어 봅니다.

먼저, Load 하였는데 아래와 같이 ntdll.ZwRaiseException 에서 멈춘다.

그럼 자체적인 Exception Handle이 있다고 생각하시면 좋을 듯 싶습니다.

그럼 어떻게 처리하느냐....

Option -> Events -> Break on new module (DLL) 을 체크 하시면 EP 지점에서 분석을 시작 할 수 있습니다.

그럼 이만....

☞ PE 분석

0x01. PE View

0x02. PE Explorer

☞ Hex Differ

0x01. HxD

0x02. 010 Editor

0x00. 서론

타사의 Code Sign 된 인증서를 적용하는데 있어서, 문제가 될 수 있다는 이슈가 발생되어 해당 이슈를 분석한 내용을 정리하였다.

0x01. 본론

0x01-1. Code Sign 이란?

Code Sign은 실행파일의 신뢰성을 보증하기 위하여, 인증기관에서 인증한 인증서를 기반으로 파일의 무결성을 유지하는 하나의 보증 기능이다. 이 인증서는 공인인증서와 같은 구조로 되어 있어 서명된 파일에 대한 정보를 CA 기관에 요청하여 안전한 업체인지를 판단 하는 기준이 된다.

0x01-2. Code Sign 은 어디에?

Code Sign은 PE 구조체의 IMAGE_NT_HEADERS -> IMAGE_OPTIONAL_HEADER의 내용을 참조한다.

Code Sign에 사용되는 변수 및 구조체는 아래와 같다.

   - CheckSum

   - CERTIFICATE Table

0x01-3. 타사의 제품 악용하기

서명되지 않은 상태의 프로그램에 타사의 인증서를 적용하는 방법은 Hex Editor를 이용하여, 해당 구조체 내역에 주소와 사이즈를 강제로 넣으면 된다.

이와 같이 HexEditor로 만 수정해서 적용이 가능하다.

0x01-4. 검사 방법은?

  1. 위에서 보는 것과 같이 자세히 버튼을 통하여 보게 되면 해당 인증서로 정상적으로 인증한 파일인지가 확인이 가능하다.

  2. 다음 함수를 통하여, 확인이 가능하다.

     - WinVerifyTrust(HWND hWnd, GUID *pgActionID, LPVOID pWVTData)

     http://msdn.microsoft.com/en-us/library/windows/desktop/aa388208(v=vs.85).aspx

     단, 해당 함수는 인터넷이 연결된 상태에서 사용해야지 검증이 가능하며 검증 과정은 1분 정도 소요 된다.

0x02. 결론

  파일에 대한 인증서를 추출하는건 어렵지 않다. 하지만 해당 파일에 추출된 인증서를 사용하는데 있어서는 제약이 있으므로 어느 정도(?) 안전하다고 볼 수 있다.

  그러나, 인증서가 추출이 가능하다는 것은 공격할 수 있는 포인트가 생성되는 것이므로 해당 이슈에 대한 지속적인 방어적 내용 및 대응책을 모색해 볼 필요가 있다.

※ 참고 사이트

WinVerifyTrust function

http://msdn.microsoft.com/en-us/library/windows/desktop/aa388208(v=vs.85).aspx

CertFindCTLINStore function

http://msdn.microsoft.com/en-us/library/windows/desktop/aa376067(v=vs.85).aspx

Example C Program: Verifying the Signature of a PE File

http://msdn.microsoft.com/en-us/library/windows/desktop/aa382384(v=vs.85).aspx

Verifying a CTL

http://msdn.microsoft.com/en-us/library/windows/desktop/aa388188(v=vs.85).aspx

SigCheck v.1.71

http://technet.microsoft.com/en-us/sysinternals/bb897441

오랜만에 글을 쓰네요.

이번에 경험한 부분에 대하여 관련 내용을 공유하려고 합니다.

발생한 상황 .

 - Dump 파일이 생성되지 않는 프로그램

[Windbg 따라하기 - 0x003 crash dump file] 생성하기 에서 보셨던 상황과는 다소 차이가 있습니다.

process list에서 볼 수 있는 환경에서는 0x003번과 같이 적용하시면 원하시는 파일을 dump 할 수 있지만

실행 하자마자 죽어버리는 상황이라면 좀 틀려 집니다.

필요한 준비물

  - adplus, windbg

  (※ 해당 파일은 VisualStdio를 설치 하시면 설치 됩니다. 만약 설치 안되었다면 [여기] 에서 다운 받으시기 바랍니다.)

그럼 준비되었으니 본격적으로 사용하도록 하겠습니다.

먼저, adplus의 역할이 무엇인지 알아야겠죠? 상세 설명은 [이곳]으로 가시기 바랍니다.

간단하게 설명하면 debugging 을 통하여 해당 프로그램에 접근 및 dump 파일을 생성할 수 있게 도와주는 프로그램 입니다.

따라서, 해당 프로그램의 attach 및 debugging 모드를 막아놓았다면 adplus를 사용할 수 없게 됩니다. 이점 유의 하시길 바랍니다. (만약 사용하고 싶다면 anti-debug 쪽을 제거 하신 후에 사용하시면 될 것으로 생각되네요..ㅎㅎ)

그럼 adplus의 옵션 중 모니터링을 하고 있다가 crash가 발생하면 debugger를 띄어주는 옵션을 인자로 넣어주고

프로그램을 실행 한다. 해당 명령어는 아래와 같다.

   - crash : crash 발생하면 attach 하는 옵션 (hang 옵션도 존재)

   - pmn : 프로세스가 생성될 때 까지 대기 상태로 있다가 생성되면 attach 한다.

   - dbg : debugger 종류 선택

이렇게 실행 하게 되면 크래쉬가 발생할 경우 windbg가 생성되게 된다.

test.exe 프로그램을 실행 시킬 경우 windbg가 실행 되게 된다. 그 이후 dump 명령어를 통하여 dump 생성을 한다.

파일 생성 이후 windbg로 crash 파일을 열어서 확인 하면 해당 내용에 대한 call stack 을 확인 하여 문제를 확인 할 수 있다.

그럼 다음엔 더 좋은 내용으로 찾아 뵙도록 하겠슴~다람쥐~~