sh711 님의 블로그

윈도우 부팅 과정 드라이버 로드 과정 확인을 위해 nt!IopInitializeBootDrivers 함수에 bp를 설정했다 이어서, nt!IopLoadDriver 함수에 브레이크 설정 후 Go 하면 브레이크가 잡힌다 IopLoadDriver 함수는 로드할 드라이버의 경로, 각 드라이버에 존재하는 DRIVER_OBJECT를 인자로 받는다// IopLoadDriver 함수 원형NTSTATUS IopLoadDriver( IN PUNICODE_STRING DriverName, IN PDRIVER_OBJECT *DriverObject); 인자인 rcx, rdx 의 값 확인 시 현재 확인이 불가하다 이어서, nt!MmLoadSystemImageEx 함수에 브레이크를 걸고 진행시킨다 이제 드라이버 내 Dr..

1. 개념windows API 프로그래밍은 윈도우 환경에서 작동되는 프로그래밍 개발 방식으로 윈도우의 자체적인 API를 사용하는 프로그래밍이다 2. 실습간단한 창을 띄우는 프로그램을 만들어보겠다.프로그램에 사용될 Window API 함수들에 대해 살펴보자 2-2. CreateWindowExA해당 함수는 창을 만들어주는 함수로 크기, 스타일 등을 매개변수로 받아 호출된다.// 함수 원형HWND CreateWindowExA( [in] DWORD dwExStyle, // 만들 창의 확장 창 스타일 [in, optional] LPCSTR lpClassName, // 창 클래스 이름 [in, optional] LPCSTR lpWindowName, // 창 이름 [in]..

Windbg를 통해 프로그램 분석을 해보았다.이번엔 Windbg로 윈도우 커널 분석을 해보겠다 1. 환경 구성Windows 10 1809 English 64-bit [17763.107] 버전을 가상화하였다.OS : Windows 10 1809 버전Kernel : 10.0.17763.107 버전 2. KDNET을 통한 자동 디버깅 설정VM setting에서 Briged 모드로 변환해준다.이어서 로컬과 Guest 모두 네트워크 방화벽 끄기 https://developer.microsoft.com/ko-kr/windows/downloads/windows-sdk/ Windows SDK - Windows 앱 개발Windows 11용 Windows SDK에는 Windows에서 실행되는 앱을 만들 때 사용할 수 있는..

코드는 다음과 같다// gcc -g -o test test.c => symbolic debug를 위해 symbolic 정보 포함하여 빌드#include int main() { printf("Hello Windbg!!"); return 0;} printf 가 언제 호출되는지 찾아보았다 test 프로그램의 main 함수 확인  실행 후 해당 함수에서 printf 호출이 되어서 브레이크를 잡고 실행시켰다 syscall 수행을 확인하였고 rax 값은 0x43이었다 https://j00ru.vexillium.org/syscalls/nt/64/해당 링크에서 윈도우 syscall table을 확인할 수 있다 Windows X86-64 System Call Table (XP/2003/Vista/7/8/10/..