an error 0xBAADC0DE occurred

¶ 잠시 휴식 중입니다.

개인적인 사정으로 인해 현재 포스팅 중단 중입니다. :(
시간되는 대로 다시 시작하도록 하지요.

2011년 3월 23일 수요일 · (No comments)

¶ [Pres] Paradox Conference 2011 : Windows 7 Memory Forensics

오늘 'Paradox Conference 2011'에서 윈도우즈 물리 메모리 포렌식과 관련하여 발표를 하고 왔습니다. 아래는 발표자료 다운로드 링크입니다.

Download

재미있었는지는 모르겠지만, 경청해주신 많은 분들께 감사드립니다.

2011년 1월 29일 토요일 · Memory Forensics, Presentation · 2 comments

¶ Methods for Acquiring Windows Physical Memory

윈도우즈 시스템에서의 물리 메모리는 일반적으로 win32dd 또는 mdd 등의 도구를 이용하여 수집합니다. 이러한 도구들은 여러가지 방법을 이용하여 물리 메모리에 접근하게 되는데, 이번 포스팅은 윈도우즈 시스템에서 물리 메모리에 접근하여 이를 덤프하는 방법에 대한 글입니다.

1. \Device\PhysicalMemory를 이용한 방법

'\Device\PhysicalMemory' 개체는 물리 메모리에 접근하기 위해 사용되는 개체이며, 가장 일반적으로 사용되는 방법입니다. 이 방법을 사용하는 대표적인 도구가 바로 mdd입니다. (win32dd는 이 방법 및 앞으로 설명될 다른 방법들을 옵션으로 제공합니다.)

mdd는 '\Device\PhysicalMemory' 섹션의 핸들을 커널레벨에서 얻어온 뒤, 이를 유저레벨에서 특정 메모리주소에 맵핑 후 접근하는 방식을 취하고 있습니다. win32dd는 커널레벨에서 모든 작업을 한다는 점이 다릅니다.

아래는 mdd의 커널 드라이버 소스 중 일부입니다.

UNICODE_STRING usPhysicalMemory;
OBJECT_ATTRIBUTES oa;
 
RtlInitUnicodeString( &usPhysicalMemory, L"\\Device\\PhysicalMemory"); 

InitializeObjectAttributes( &oa, &usPhysicalMemory,
        OBJ_CASE_INSENSITIVE,
        NULL, NULL );   
status = ZwOpenSection( &hPhysicalMemory, SECTION_MAP_READ, &oa );
if( !NT_SUCCESS(status) )
{
  DbgPrint("Failed to open %wZ! Status %p\n", usPhysicalMemory, status);
  hPhysicalMemory = NULL;
  goto done;
}
DbgPrint("Opened section handle %p in driver\n", hPhysicalMemory);
 
*(HANDLE*)pIrp->AssociatedIrp.SystemBuffer = hPhysicalMemory;
pIrp->IoStatus.Information = 4;
status = 0;

mdd는 위의 코드를 이용하여 물리 메모리의 핸들을 얻어온 뒤, MapViewOfFile() 함수를 이용하여 가상 주소에 맵핑하여 이를 파일에 쓰는 작업을 합니다.

2. MmGetPhysicalMemoryRanges()를 이용한 방법

다음 방법은 undocumented kernel function인 MmGetPhysicalMemoryRanges()를 이용한 방법입니다. 이 함수는 PHYSICAL_MEMORY_RANGE 구조체 배열의 시작 주소를 리턴하는데, 그 원형은 다음과 같습니다.

typedef struct _PHYSICAL_MEMORY_RANGE {
    PHYSICAL_ADDRESS BaseAddress;
    LARGE_INTEGER NumberOfBytes;
} PHYSICAL_MEMORY_RANGE, *PPHYSICAL_MEMORY_RANGE;

NTKERNELAPI
PPHYSICAL_MEMORY_RANGE
MmGetPhysicalMemoryRanges (
    VOID
    );

PHYSICAL_MEMORY_RANGE의 BaseAddress와 NumberOfBytes 필드를 MmMapIoSpace() 함수의 파라메터로 이용하여 가상 주소로 맵핑할 수 있습니다. MmMapIoSpace() 함수의 원형은 다음과 같습니다.

PVOID 
MmMapIoSpace( 
    IN PHYSICAL_ADDRESS PhysicalAddress,
    IN ULONG NumberOfBytes,
    IN MEMORY_CACHING_TYPE CacheType 
    );

유의하실 점은, PHYSICAL_MEMORY_RANGE 구조체의 마지막 노드는 BaseAddress와 NumberOfBytes 필드가 null이라는 것입니다.

3. MmMapMemoryDumpMdl()을 이용한 방법

MmMapMemoryDumpMdl() 함수는 undocumented kernel function이며 크래시 덤프를 위해 사용되는 함수입니다. win32dd가 기본적으로 이 함수를 이용하며, 그 원형은 다음과 같습니다.

typedef struct _MDL {
    struct _MDL *Next;
    CSHORT Size;
    CSHORT MdlFlags;
    struct _EPROCESS *Process;
    PVOID MappedSystemVa;
    PVOID StartVa;
    ULONG ByteCount;
    ULONG ByteOffset;
} MDL, *PMDL;

NTKERNELAPI
VOID
MmMapMemoryDumpMdl (
    __inout PMDL MemoryDumpMdl
    );

MDL 구조체는 특정 물리 메모리 주소를 서술하기 위한 구조체이며, MmMapMemoryDumpMdl()의 입출력 파라메터로 사용됩니다. 가상 주소로의 맵핑을 원하는 Page Frame Number를 MDL 구조체의 뒤의 4바이트에 넣으면, MappedSystemVa 필드에 맵핑된 주소가 리턴되어 출력됩니다. 이를 이용하여 함수를 작성해보면 다음과 같습니다.

typedef struct _MY_MDL {
 MDL Mdl;
 DWORD_PTR PageFrameNumber;
} MY_MDL, *PMY_MDL;

PVOID GetMappedAddr(
        IN ULONG PageFrameNumber
        )
{
 MY_MDL mymdl;
 mymdl.Mdl.Next = NULL;
 mymdl.Mdl.Size = 0x20; // MDL size 0x1C + 4 bytes
 mymdl.Mdl.MappedSystemVa = NULL;
 mymdl.Mdl.StartVa = NULL;
 mymdl.Mdl.ByteCount = SIZE_MEM_PAGE; // 4096 bytes
 mymdl.Mdl.ByteOffset = 0;
 mymdl.PageFrameNumber = PageFrameNumber;

 MmMapMemoryDumpMdl(&mymdl.Mdl);

 return mymdl.Mdl.MappedSystemVa;
}

입력을 위한 물리 페이지 번호의 범위는 ZwQuerySystemInformation 함수를 이용하여 구합니다. 참고로 리턴되는 주소는 항상 0xFFBF0000를 가리키며, 이는 크래시 덤프 드라이버를 위해 예약된 주소와 일치입니다.

유의해야 할 부분은, 위 주소를 ZwWriteFile 함수로 직접 접근해 파일로 출력해서는 안되며, ExAllocatePoolWithTag 등의 함수로 할당 받은 영역으로 memcpy로 복사 후 이용해야 한다는 점입니다. (직접 접근하는 순간 BSOD를...)

맺음말 : 얼마전 제가 공개한 Fastdd는 바로 MmMapMemoryDumpMdl() 함수를 이용하였습니다. 제가 테스트 해본 결과로는 지금까지 공개된 윈도우즈 물리 메모리 덤프도구 중에서는 가장 빠릅니다. 필요하신 분들의 많은 활용이 있었으면 합니다.

2011년 1월 3일 월요일 · Memory Forensics · (No comments)

¶ Fastdd : The fastest Windows physical memory dumper

오늘 새로운 도구를 소개해드립니다.
윈도우즈에서 물리 메모리를 덤프할 수 있는 'Fastdd v1.0'입니다.

win32dd를 역공학 분석하는 도중, 지금까지 외부에 알려지지 않았던 메모리 덤프 방식을 사용하는 것을 발견하여 이를 이용해 간단히 도구를 만들어 보았습니다.

자체 테스트 결과 win32dd보다 빠른 속도로 메모리를 수집할 수 있었습니다. 물리 메모리는 시간의 흐름에 따라 데이터의 변화량이 증가하기 때문에 수집 속도가 빠를 수록 메모리 분석에 유리합니다.

다운로드는 아래 링크를 참조해주세요.

Download

<사용 방법>

"fastdd [덤프할 파일 이름]"

본 도구는 비영리적 목적에 한해 마음대로 사용하셔도 됩니다. 다만 소스코드는 제공해드리지 않습니다. 사실 별다른 기술이 들어가서 그런게 아니라.. 급하게 대충 만든거라 소스가 지저분해서요..ㅋㅋ

x64 버젼도 개발하고 싶지만, 코드사이닝 문제로 비용이 발생하기 때문에 아마 무료로 푸는건 힘들 것 같고 내부적인 용도로만 사용할 것 같습니다. 사실 x64로 컴파일하는건 일도 아니긴 하죠.

(수정) x64 버젼은 여기를 참조해주세요.

어찌되었든 차후에 시간이 되는대로 메모리 수집 도구들이 사용하는 방법들에 대해서 정리하여 포스팅하도록 하겠습니다. 그럼 이만.. :)

알림) fastdd32, 64의 실행파일 및 드라이버 바이너리의 디지털서명은 Four&Six Tech.의 지원을 받아 수행되었습니다. http://4n6tech.com

2010년 12월 30일 목요일 · Memory Forensics, Tool · 3 comments

¶ Review : A Study on Riskiness and Countermeasures of Personal Identifiable Information in Physical Memory

* 알림 : 본 포스트는 '2010 한국정보보호학회 동계학술대회'에 발표된 논문인 "A Study on Riskiness and Countermeasures of Personal Identifiable Information in Physical Memory"의 리뷰입니다.

물리 메모리에는 우리가 생각치 못한 많은 개인 정보들이 남아있습니다. 주민등록번호, 계좌번호, ID 및 패스워드 등이 그 대상입니다. 따라서 물리 메모리 포렌식의 가장 기본이 되는 분석 방법은 '문자열 검색'입니다. 너무나도 단순한 방법이고 어찌보면 수천만개씩이나 존재할지 모르는 문자열들 중에 중요한 정보를 찾는 것은 비효율적이기 때문에 old-fashioned method라고 치부될지 모르지만, 분명한 것은 어쨌든 중요한 정보가 '존재'한다는 것이고 이를 효율적으로 추출하는 것은 조사관의 몫이라는 것입니다.

이 논문은 물리 메모리 덤프에 존재하는 웹포털 사이트의 ID 및 패스워드를 추출하는 방법에 관한 논문입니다. 그 방법은 상당히 단순합니다. 물리 메모리 내에 존재하는 문자열 중 웹사이트로 전달하기 위한 POST Method와 관련한 문자열을 추출하고 이를 사이트 별 특징에 따라 정규표현식으로 ID와 패스워드를 추출하는 것입니다.

사실 누구나 생각해볼 수 있고 해외에서는 이와 같은 방식으로 웹사이트, 메신저 등의 계정 정보를 추출하는 방법에 대해 셀수 없이 논의되어 왔지만, 국내에서 자주 사용되는 웹사이트를 대상으로 하였을 때는 상당히 치명적이라는 사실이 와닿습니다.

메모리에 남아있는 모 사이트의 ID 및 패스워드

위와 같은 결과는 각 사이트들이 제공하는 보안로그인(일반적으로 1-3단계 제공)을 적용하더라도 똑같은 결과를 얻을 수 있습니다. 즉, 암호화하여 계정 정보를 전송한다고 하더라도 암호화되기 전의 데이터를 초기화 하지 않으면 메모리에 그대로 남아있게 된다는 것입니다.

물론 모든 사이트에 적용 가능한 방법은 아니며, 국내 모 포털사이트의 경우에는 보안로그인 여부와 관계없이 사용된 ID 및 패스워드를 초기화하여 관련 정보가 남지 않습니다. (하지만 불행하게도 90% 이상의 웹사이트는 위험 상태에 노출되어있습니다.)

Physical Memory Dump Explorer에 추가된 웹 패스워드 추출 기능

위 그림은 제가 만든 분석 도구인 Physical Memory Dump Explorer(a.k.a MEMA)에 새롭게 추가된 기능입니다. 실제 기능을 위한 모듈은 논문의 저자로부터 받아서 해결하였습니다. 결과를 통해 알 수 있듯이 상당히 많은 웹사이트들이 그 대상이 됨을 알 수 있습니다.

간단히 논문 및 결과를 살펴보았습니다만, 모두가 메모리에 중요 정보가 남는다는 사실을 알면서도 "설마 누군가 들여다보겠어?"라는 생각으로 공용PC에서의 사용을 쉽게 생각하고 있는 것 같습니다. 참고로 실제 공용PC에서 메모리 덤프를 하여 프로그램을 돌려본 결과..... 역시 공용PC의 사용은 조심하시는게 좋겠습니다.

2010년 12월 21일 화요일 · Memory Forensics, Review · (No comments)

¶ Virtual to Physical Memory Address Translation

물리 메모리 분석을 위해서는 가상 주소를 물리 주소로의 변환이 필수적입니다. 당연하게도, 커널 혹은 유저 레벨에서의 모든 주소 표현은 가상 주소로 이루어집니다. 즉, 표현된 모든 주소를 물리 주소로 변환해야 물리 메모리 덤프에서의 오프셋을 구할 수 있습니다.

Non-PAE 환경에서의 가상-물리 주소 변환 과정

위의 그림은 Non-PAE(Physical Address Extension:물리주소확장)환경에서의 물리 주소 변환 과정을 나타냅니다. 그림을 통해 보면 생각보다 상당히 간단합니다. PAE는 XP 이상의 운영체제에서 일반적인 경우에 활성화 되므로 앞으로의 설명은 PAE 환경을 기준으로 하겠습니다.

PAE 환경에서의 가상-물리 주소 변환 과정

현재 사용되는 대부분의 운영체제는 메모리 사용의 효율성을 위해 페이징Paging 기법을 사용하며, 관리의 최소 단위로 페이지Page를 사용합니다. 일반적으로 페이지는 4096 바이트의 크기를 가지며, 일부의 경우 큰 페이지Large Page, 즉 2-4MB 이상의 크기를 가질 수 있습니다.

위의 그림을 참조해보면 가상 주소는 비트 단위로 2-4개로 나뉘어지며, 각 단위는 페이지 디렉토리Page Directory, 페이지 테이블Page Table, 혹은 실제 요구된 바이트 주소를 나타내면서 여러 단계를 거치게 됩니다. (PAE 환경의 경우 페이지 디렉토리 포인터 테이블Page-Directory-Pointer-Table을 추가로 거치게됩니다.)

우선 페이지 디렉토리(이하 PD) 혹은 페이지 디렉토리 포인터 테이블(이하 PDPT)을 가리키기 위해 CR3 레지스터가 사용됩니다. 이 값을 Directory Table Base라 부르는데, DTB는 _EPROCESS.Pcr.DirectoryTableBase 필드에도 존재합니다. (이와 관련한 내용은 다음에 정리해 포스팅합니다.)

CR3 레지스터의 DTB로 PDPT 또는 PD의 물리 주소를 가리키는데, PDPT, PD 혹은 PT는 8 바이트 단위의 엔트리Entry의 집합으로 표현됩니다. 이 엔트리의 구조는 아래 그림과 같습니다.

Page Directory Entry, Page Table Entry의 구조

각 엔트리의 최하위비트는 다음 단계의 페이지가 메모리에 존재하는지를 나타내며, 1인 경우에만 물리 메모리 내의 주소로 변환할 수 있습니다. 또한 앞서 설명한 것과 같이, 페이지는 큰 페이지 크기를 가지는 경우가 존재하며, 이는 PDE의 7번째 비트(0부터 시작하는 인덱스)인 PS 플래그에 따라 구분됩니다. 31:12비트는 다음 단계의 페이지 프레임 넘버Page Frame Number를 표현합니다.

설명이 길어지면서 조금 난해하게 되었는데요, 실제로 가상 주소를 물리 주소로 변환하는 과정을 WinDbg를 통해 보여드리겠습니다. 변환할 주소는 커널 베이스 주소인 0x804d9000입니다.

----------------------------------------------------------------------------

0: kd> db 804d9000

804d9000 4d 5a 90 00 03 00 00 00-04 00 00 00 ff ff 00 00 MZ..............

804d9010 b8 00 00 00 00 00 00 00-40 00 00 00 00 00 00 00 ........@.......

804d9020 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................

804d9030 00 00 00 00 00 00 00 00-00 00 00 00 e0 00 00 00 ................

804d9040 0e 1f ba 0e 00 b4 09 cd-21 b8 01 4c cd 21 54 68 ........!..L.!Th

804d9050 69 73 20 70 72 6f 67 72-61 6d 20 63 61 6e 6e 6f is program canno

804d9060 74 20 62 65 20 72 75 6e-20 69 6e 20 44 4f 53 20 t be run in DOS

804d9070 6d 6f 64 65 2e 0d 0d 0a-24 00 00 00 00 00 00 00 mode....$.......

// 가상 주소 804d9000는 커널 베이스임을 나타내고 있습니다. DOS 헤더가 보이시죠?

0: kd> .formats 804d9000

Evaluate expression:

Hex: 804d9000

Decimal: -2142400512

Octal: 20023310000

Binary: 10000000 01001101 10010000 00000000

Chars: .M..

Time: ***** Invalid

Float: low -7.12299e-039 high -1.#QNAN

Double: -1.#QNAN

// 가상 주소를 이진수로 변환하였습니다.

// 이를 주소 변환에 쉽게 이용할 수 있도록 다시 나누어보았습니다.

// 10 000000010 011011001 000000000000

// 2 2 D9 0

// PDPTE PDE PTE Byte Offset

0: kd> r cr3

cr3=00b37000

0: kd> dd /p 00b37000 L8

00b37000 00b38001 00000000 00b39001 00000000

00b37010 00b3a001 00000000 00b3b001 00000000

// 앞서 구한 PDPTE Number가 2이기 때문에 00b3a001를 이용합니다.

// 31:12 비트가 PD의 주소를 나타내기 때문에 00b3a000가 PD의 주소가 됩니다.

0: kd> dd /p 00b3a000+8*2 L2

00b3a010 004009e3 00000000

0: kd> .formats 004009e3

Evaluate expression:

Hex: 004009e3

Decimal: 4196835

Octal: 00020004743

Binary: 00000000 01000000 00001001 11100011

Chars: .@..

Time: Wed Feb 18 22:47:15 1970

Float: low 5.88102e-039 high 0

Double: 2.07351e-317

// 00b3a000에 엔트리 크기인 8과 PDE Number인 2을 곱한 값을 더하여 PDE를 구합니다.

// PDE를 보기 쉽게 나누면 다음과 같습니다.

// 00000000010000000000 100111100011

// 400

// Address of PT Flags

// 최하위 비트가 1이기 때문에 Valid하며, PS 플래그가 1이기 때문에 큰 페이지입니다.

// 실제 페이지의 주소는 0x400에 페이지 기본 크기인 0x1000을 곱하여 구합니다.

// 아참, 큰 페이지이니 실제 요구된 바이트 주소를 다시 계산해야겠네요.

// 10 000000010 011011001000000000000

// 2 2 D9000

// PDPTE PDE Byte Offset

// 이제 요구된 페이지의 주소인 0x400000에 0xD9000을 더하면 우리가 원하는 물리 주소가 됩니다.

0: kd> db /p 4d9000

004d9000 4d 5a 90 00 03 00 00 00-04 00 00 00 ff ff 00 00 MZ..............

004d9010 b8 00 00 00 00 00 00 00-40 00 00 00 00 00 00 00 ........@.......

004d9020 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................

004d9030 00 00 00 00 00 00 00 00-00 00 00 00 e0 00 00 00 ................

004d9040 0e 1f ba 0e 00 b4 09 cd-21 b8 01 4c cd 21 54 68 ........!..L.!Th

004d9050 69 73 20 70 72 6f 67 72-61 6d 20 63 61 6e 6e 6f is program canno

004d9060 74 20 62 65 20 72 75 6e-20 69 6e 20 44 4f 53 20 t be run in DOS

004d9070 6d 6f 64 65 2e 0d 0d 0a-24 00 00 00 00 00 00 00 mode....$.......