annyoung

안드로이드 디컴파일을 할때 사용하는 툴입니다.# dex2jar.bat *.dex

ex) 127.0.0.1/md5.php?str=abc

분석 결과 CK VIP Exploit 난독화 해제 및 바이너리를 분석하여 정리한 pdf입니다.분석에 사용된 Exploit 파일들은 http://nopsled.tistory.com/30에서 다운로드가 가능합니다. 악성코드 치료 해당 악성코드는 rootkit이라 icesword.exe를 이용하여 치료하여야 합니다.

Colored By Color Scripter™1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515253545556575859606162636465666768697071import httplib, datetime, sys def checkVuln(target, port): try: conn = httplib.HTTPConnection(target, port) # Checking Microsfot IIS/6.0 Dav vulnerability conn.request('OPTIONS', '/') response = conn.getresponse() data = response.getheader..

※ 샘플 비밀번호는 덧글로 사용목적이 무엇인지 써주세요. exploit.txt : cb152ad8bc179af096f7e51553e81674 shifu.html : 4b347f49d58b830b9f7b5fa6d206e7d6swfobject.js : 4b8ba1c4f37a53b873d048fe226cc7f6top.js : 97c9b5b98c75bc4d20ccd6f8e28b0a7bxx.html : 4f586a4df0679c4dc8fee81121a3b299yy.html : e4db8566110f811dcd80893f1de1f6b1zz.html : e9b297cbfae735032f7dd52ab6d3e94clogo.swf : 17903f24125742fe31c289a93ccd1643one.avi : 8199ae1..

디씨인사이드(dcinside)에서 악성코드가 처음으로 배포 되었고, 현재까지도 악성코드가 유포되고 있습니다. (관련 기사 : http://dailysecu.com/news_view.php?article_id=6536)현재, Google malware database에도 등록되지 않아서 Malware에 대한 경고 또한 주지 않아 문제점이 있습니다. 디씨인사이드 접속시 referer를 체크하여 특정 조건에 부합하면 랜덤하게 302(Redirection)을 합니다. shiftu.html(4b347f49d58b830b9f7b5fa6d206e7d6)CK VIP Exploit이라고 알 수 있는 방법은 스크립트에 js nb vip와 ck라는 단어가 들어간다는 점입니다.난독화를 풀기 위해서는 위 사진처럼 xmP76x부..

Colored By Color Scripter™1234567891011121314F1::SetBatchLines, -1Loop { PixelSearch, vx, vy,x,y,width,height,0xFDFDFE if errorlevel=0 click, %vx%, %vy% if errorlevel=1 Break}MsgBox,64,, Done!,0.5Exitappreturn F2::Exitapp AutoHotKey를 이용하여 프로그래밍 하였습니다.픽셀서치하여 RGB가 0xFDFDFE인 값만 검정색으로 칠합니다.

HEQ : Donggun installed malicious android application. when Information is stoled? 정보가 빠져나갔다는 소리에 method가 POST라고 생각하고 필터링 걸었습니다.http.request.method eq POST로 필터링걸고 시작하겠습니다. Destination IP가 117.53.114.12인게 꽤 많아서 찾아보니까 mail3.nate.com이더군요..mail3.nate.com까지 필터링 하고 싶으시다면 http.request.method eq POST and http.host ne mail3.nate.com이라고 필터링 걸어주시면 됩니다. Destination IP가 1.234.38.88인게 하나 있는데(패킷 인덱스 33176) POS..

Hint : nateon, * Key format is the animal name of related food. If you find a fried chicken, the answer should be chicken. 힌트에서 네이트온이라고 해서 필터링을 이렇게 걸었습니다.http.request.full_uri contains nateon 다행히 하나만 나오네요. Follow TCP Stream해서 보아야겠네요. filename은 working.jpg이긴한데 파일 포맷이 PNG로 시작하네요.Save As를하여 파일을 덤프 떠줍니다. HxD로 열어서 00000221까지 삭제해서 올바른 PNG포맷으로 만들어줍니다. 너구리 라면이네요.너구리 = raccoon (네이버에서는 racoon이라고 나와서 계속 인증..

Hint : hexdecode %% steganograpy File -> Export Objects -> HTTP 둘러보다가 패킷인덱스가 669부분에 Content Type이 application/zip이 보입니다. 수상하길래 669패킷으로 가서 Follow TCP Stream해줍니다. 파일포맷이 PK이므로 zip인걸 확인했으니 다시 Export Objects로 가서 *.zip을 저장합니다. 비밀번호가 걸려있는데 생각해보니 힌트에 hex를 decode하라고 합니다.Save As한 파일의 이름은 아닐테고.. 다시 Follow TCP Stream으로 가서 확인합니다. filename이 있는데 python으로 hex를 decode해봅니다. Colored By Color Scripter™12prob = "686..