'Series' 카테고리의 글 목록 — 나의 이야기

Series

👉🏻 03. 안드로이드 취약점 분석 - 디컴파일

디컴파일 하드코드란 프로그램 소스 코드 내에 데이터를 직접 입력해서 저장한 경우를 뜻한다. 개발 편의를 위해 중요한 정보(관리자 계정, 암호화 키 등)가 소스 코드 내 주석 등으로 노출할 경우 안드로이드 앱은 디컴파일이 가능하여 쉽게 확인할 수 있다. 안드로이드 APK 파일 디컴파일 과정은 아래와 같다. APK 파일 -> DEX+리소스파일+권한 -> SMALI -> CLASS -> JAVA 파일 APK 파일 APK 파일은 안드로이드 앱을 설치하는 데 사용되는 파일이다. ZIP 파일 형식으로 압축되어 있으며, 압축을 해제하면 다음과 같은 파일들을 확인할 수 있다. AndroidManifest.xml: 앱의 기본 정보, 권한, 리소스, 구성 요소 등을 정의하는 파일 리소스 파일: 앱의 UI, 레이아웃, 이미..

Series/Mobile Hacking

👉🏻 02. 안드로이드 앱 진단 환경 구축

Android Studio 안드로이드 앱 개발을 위한 공식 통합 개발 환경(IDE)이다. IntelliJ IDEA를 기반으로 하며, 모든 유형의 안드로이드 디바이스에서 앱을 빌드할 수 있는 가장 빠른 도구를 제공한다. Download Android Studio & App Tools - Android Developers Android Studio provides app builders with an integrated development environment (IDE) optimized for Android apps. Download Android Studio today. developer.android.com Nox Player 안드로이드 취약점 분석을 하기 위해서는 취약한 앱 환경을 구축해야 한다. ..

Series/Mobile Hacking

👉🏻 01. 안드로이드 이해

안드로이드 운영체제 구조 안드로이드 운영체제는 구글에서 개발한 리눅스 기반의 오픈소스 플랫폼이다. 리눅스 기반이라고 해서 우리가 PC에서 사용하는 리눅스 기반은 아니라 리눅스 커널을 기반으로 만들어진 오픈소스 플랫폼이다. 그래서 명령어나 파일 구조가 리눅스와 많이 유사하다. 구글 플레이 스토어 및 마켓 플레이스를 통해 타사 앱 설치를 지원하며, 오늘날 휴대전화, 태블릿, 웨어러블 기술, TV 및 스마트 디바이스와 같은 다양한 최신 기술의 토대이다. 아래 사진은 안드로이드 운영체제의 구조 아키텍쳐이다. 제일 하단을 보면 리눅스 커널과 HAL로 이루어져 있다. 이 부분은 커널 취약점 또는 하드웨어적인 부분을 분석하는 것이 아니라면 크게 신경쓰지 않아도 된다. 그 위쪽 부분이 안드로이드 개발을 하거나 분석을 ..

Series/Mobile Hacking

👉🏻 06. 정보확인

Autopsy 정보 확인 방법 Hash값 확인 증거 USB의 Hash값 구하기 FTK Imager를 이용하여 이미지를 생성하면 자동으로 로그파일이 생성되면 로그파일에서 Hash값을 확인할 수 있다. 하지만 로그파일과는 별개로 Autopsy에서도 확인할 수 있다. Autopsy에서 확인시, Tree Viewer의 ‘Data Sources’ 항목 Host 클릭 후, Result Viewer의 이미지 파일을 클릭하고 Content Viewer의 File Metadata에서 확인할 수 있다. 특정 파일의 Hash값 구하기 특정 파일의 Hash값을 구하려면 파일을 클릭 후, Content Viewer의 File Metadata에서 확인할 수 있다. 증거물 매체의 정보 확인 매체관련 정보 FTK Imager를 사용..

Series/Digital Forensic

👉🏻 05. 파일시스템 복구

파일 시스템 복구 훼손된 파티션 확인 FTK Imager로 증거매체를 불러와서 확인하면 파티션 옆에 Unrecognized File System, Recovered 또는 Deleted로 나오는 경우가 있다. 이런 경우는 파일 시스템이 훼손된 경우이다. Unrecognized File System으로 나오는 경우 파티션 복구가 필요하다. 하지만 Recovered 또는 Deleted는 Autopsy에서 열 경우 복구하지 않아도 안에 내용을 확인할 수 있어 복구할 필요가 없다. FAT 파일 시스템 복구 생성한 이미지를 확인한 결과 FAT32 파티션에 문제가 있다면, RAW(DD) 파일로 이미지를 다시 생성하고 HxD에서 복구해주어야 한다. ‘도구 -> 디스크 이미지 열기’에서 이미지 파일을 불러오면 된다. 기..

Series/Digital Forensic

👉🏻 04. Autopsy

Autopsy 설정 Case 생성하기 Autopsy를 실행하고 New Case를 클릭한다. Case Name과 Case파일이 저장될 경로를 설정해 준다. Case Number와 분석관 정보를 입력하면 된다. 선택사항으로 그냥 넘어가도 된다. 다음 역시 그냥 넘어가면 된다. 분석하려는 Data(연결된 기기 또는 이미지 파일)의 유형을 선택하면 된다. 분석하려는 이미지 파일과 시간대, 섹터 사이즈를 선택한다. 분석 옵션 설정 분석 모듈을 선택해야 한다. 상황마다 다르지만 보통은 저렇게 체크해 주면 된다. 각 항목의 의미는 다음과 같다. Recent Activity: 운영체제, 설치된 프로그램, 웹브라우저 등의 사용자 행위 분석 Hash Lookup: 해시값 산출 File Type Identification:..

Series/Digital Forensic

👉🏻 03. FTK Imager 사용법

FTK Imager 사용법 증거매체 불러오기 FTK Imager를 실행 후 좌측 상단의 ‘Add Evidence Item’을 클릭하면 대상이 되는 매체 또는 파일을 불러올 수 있다. 불러올 대상을 선택할 수 있는데 각 항목의 의미는 다음과 같다. Physical Drive: 물리적인 드라이브 전체를 불러옴 Logical Drive: 특정 파티션만을 불러옴 Image File: 이미 생성되어 있는 이미지를 불러옴 Contents of a Foloer: 특정 폴더와 그 하부 파일들을 불러옴 USB의 이미지를 생성하기 위해선 Physical Drive를 선책해야 한다. 불러올 매체를 선택할 수 있다. 용량을 보고 USB를 찾아 선택하면 된다. 불러오기를 완료하면 위와 같은 화면이 나오며, USB의 정보, 폴더..

Series/Digital Forensic

👉🏻 02. 쓰기 방지

레지스트리 수정을 통한 쓰기 방지 디지털 포렌식에서 이미지 생성 전 필수적인 단계이다. 만약 쓰기 방지가 되어 있지 않다면 증거 자료의 무결성이 깨질 수 있다. 레지스트리 수정은 윈도우 시스템에서 가장 기초적인 방법으로, Encase 등의 소프트웨어를 이용한 방법을 사용할 수 없을 때를 대비하여 알고 있어야 하는 기본이다. ‘윈도우키+R’ 후 regedit를 입력하여 레지스트리 편집기를 실행시켜 준다. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies 해당 경로에 Key(폴더)가 있는지 확인한다. 없을 경우 마우스 우클릭 후 ‘새로 만들기’ -> ‘키(K)’ 클릭하고 이름을 StorageDevicePolicies라고 입력하..

Series/Digital Forensic

👉🏻 01. 포렌식 도구

포렌식 도구의 종류(이미지 생성 및 분석) 포렌식 도구는 다양하게 있지만 위의 세 개의 도구가 주로 사용된다. FTK Imager FTK Imager는 사본 이미지 생성 전용 프로그램으로 증거매체를 연결하여 사본 이미지를 생성하는 데 사용된다. 증거 매체 및 사본 이미지를 간략하게 확인할 수 있지만 시그니처, 삭제된 파일의 복구 등 전문 분석은 한계가 있어서 따로 분석 전용 프로그램을 사용해야 한다. 또한 Encase와는 다르게 쓰기방지 프로그램을 제공하지 않기 때문에 이미지 생성 전 Encase, FastBloc SE, 레지스트리 수정 등을 통해서 별도의 쓰기 방지를 실시해야 한다. Encase 전 세계적으로 가장 많이 사용되는 신뢰도 높은 디지털 포렌식 프로그램이다. FTK Imager와는 다르게 이..

Series/Digital Forensic

👉🏻 06. 도커파일

Dockerfile 이해 및 빌드 도커파일은 도커 이미지를 생성하기 위한 설정 파일이다. 도커파일을 사용하면 이미지에 포함할 파일, 환경 변수, 실행할 명령 등을 지정할 수 있어 이미지를 보다 효율적으로 생성하고 관리할 수 있다. 도커파일은 다음과 같은 구조를 갖는다. 옵션 설명 FROM 이미지를 생성하는 데 사용할 기본 이미지를 지정 LABEL(선택) 이미지에 메타데이터(버전, 제작자, 라이선스 등)를 추가 RUN 이미지에 설치하거나 실행할 명령을 지정 EXPOSE 컨테이너가 외부에 노출할 포트를 지정. 도커 실행 시 -p 옵션으로 호스트와 연결할 포트를 지정할 수 있음 ENV 환경 변수를 지정 ADD 로컬 파일이나 디렉터리를 도커 이미지에 추가. 자동으로 압축 파일을 해제하고 URL로부터 파일을 다운..

티스토리툴바