목록디바이스 드라이버 (3)

부동산, 채권, 주식, 경제흐름 자료를 모아 보는 블로그입니다.

CALL Gate를 이용한 행위 은폐 - 2

일단 Call Gate의 동작 과정이나 방법을 알기전에 Call Gate를 일단 보고 시작하도록 하겠습니다. 일단 해당 프로그램은 Call Gate를 TEST하기 위한 유저 레벨 프로그램을 올리디버거를 이용하여 디버깅하는 화면이며 위의 화면을 보게되면 CALL FAR FWORD PTR SS: [EBP-8] 코드가 존재함을 확인할 수 있다. EBP-8 내부 DATA는 0070:00000000인데 해당값은 Segment:Offsett이기 때문에 실제 Call 되는 주소가 0x700이다. 해당주소는 당연하게도 유효한 주소가 아니며 해당 함수를 따라 들어갈 경우 BSOD 화면이 뜰 수 있다. ( 단순하게 유저레벨에서 디버깅이 불가 ) BSOD가 일어나는 이유는 아래와 같다. 1. 유저레벨에서 커널 레벨로 접근시..
디바이스 드라이버 2016. 9. 7. 00:10
CALL Gate를 이용한 행위 은폐 - 1

금일 정리할 내용은 CALL GATE를 이용한 행위 은폐에 대해 정리할 예정입니다. 일단 Call Gate를 정리하기 전에 몇가지 정리를 하고 넘어가야할 내용이 있습니다. 유저레벨( 낮은 특권 계층 )에서 프로그램을 실행하는 도중 높은 특권계층으로 권한이 변경되는 대표적인 수단으로 크게 3가지가 존재합니다. 1. 인터럽트2. 예외처리3. 콜게이트 인터럽트인터럽트는 하드웨어 인터럽트 + 소프트웨어 인터럽트를 생각하시면 됩니다. 하드웨어 인터럽트의 경우 특정 디바이스를 연결하거나 특정 하드웨어 이벤트가 발생할 경우 디바이스 드라이버에서 해당 이벤트 처리를 위해 인터럽트를 발생 시키고, 우선순위가 높아지게 됩니다. 소프트웨어 인터럽트의 경우 INT 명령어가 대표적인 소프트웨어 인터럽트입니다. 예외처리예외처리는..
디바이스 드라이버 2016. 9. 6. 23:51
IOCTL_CODE

IOCTL_DISK_GET_DRIVE_GEOMETRY :70000IOCTL_DISK_GET_PARTITION_INFO :74004IOCTL_DISK_SET_PARTITION_INFO :7C008IOCTL_DISK_GET_DRIVE_LAYOUT :7400CIOCTL_DISK_SET_DRIVE_LAYOUT :7C010IOCTL_DISK_VERIFY :70014IOCTL_DISK_FORMAT_TRACKS :7C018IOCTL_DISK_REASSIGN_BLOCKS :7C01CIOCTL_DISK_PERFORMANCE :70020IOCTL_DISK_IS_WRITABLE :70024IOCTL_DISK_LOGGING :70028IOCTL_DISK_FORMAT_TRACKS_EX :7C02CIOCTL_DISK_HISTOG..
디바이스 드라이버 2015. 4. 5. 19:51
Prev 1 Next