[기타] 백신탐지 우회 가능한 패킹(packing)기법

 패킹(packing)이란?

         

            일단 패킹이란, 배포를 하기 위해 파일의 크기를 줄이거나 보안성을 높이기 위해 실행파일을 압축하는 기술이라고 할 수 있다. 

            따라서, 정상적으로 파일 실행이 가능하며 대부분의 툴이 언패킹을 지원한다.

            얼핏 듣기로는 악성코드가 들어있거나 그런 파일이 아니기 때문에 백신에서 막을 수가 없는 구조라고 하는 것 같다 (제대로 이해하려면 PE구조를 이해하고 EXE 파일을 리버싱해야함...)

            그래서 실제로 얼마나 쓰이는 방법인지는 잘 모르겠지만..  

            패킹을 하면, 파일 업로드 시 백신우회 기법으로 사용이 가능하다!

            주의할 점은 원래 제작목적이 절대 백신 우회 프로그램이 아니라는 것이다...

공격 시나리오

공격 대상 서버(192.168.32.144:8090)에 웹쉘 업로드에 성공했다.

이제 NC를 이용하여 리버스 커넥션을 시도하려하는데 아무리 업로드를 해도 제대로 실행이 되지 않는다..

분명히 정상적으로 업로드가 되었는데 실행이 안되는 이유는 무엇일까???

1) 일반 nc.exe를 업로드한다.

2) nc가 정상적으로 실행되는지 확인하기 위해 다음 명령어를 실행하여 포트 오픈을 시도한다.

        ▶ nc.exe -lvp 4444

하지만 실패 ㅠㅠ 

왜...? 

알아보니 서버에 설치된 백신이 nc 실행을 막고 있었다...

이럴때 사용할 수 있는 방법이 패킹된 nc실행파일 올리기!!

이제 패킹하는 방법을 알아보자.

패킹 방법

패킹을 지원하는 툴은 여러가지가 있지만 나는 더미다 패킹(Themida)툴 사용법을 설명한다.

구글링을 통해 다운받을 수 있는 방법이 여러가지가 있지만 crack이나 정품인증이 되지 않은경우, 패킹된 실행파일 실행시 다음 화면이 뜬다..

실행되는 곳에서 화면을 한번 클릭해 주지 않으면 실행이 되지 않으므로 해킹시에는 사용이 불가능하다...

         그럼 이제 크랙되거나 정품인증을 한 더미다를 사용해서 패킹한 뒤, 서버에서 실행까지 해보자!

          1) 다운받은 더미다(Themida).exe를 실행시킨다 

                ** 주의할점은 nc의 비트수와 더미다의 비트수를 맞춰야지 않그럼 패킹이되지 않는다.

            

           2) Input Filename 부분에 패킹을 원하는 파일을 넣고 Output Filename을 선택하기 위해 [Same as Input]을 체크해제하고 경로및 파일명을 지정한다.

                ** Same as Input을 체크 해제하지 않는 경우, 원본 파일을 덮어쓰기 한다.

            

                

3) [Protection Options] - [Anti-Debugger Detection : Ultra] - [Anti-Patching: File Patch(sign Supported)] 

4) 다시 [Application Information]으로 돌아와 내용을 확인한 후, 상단의 [Protect] 클릭

5) 새로운 화면의 [Protect] 클릭

6) File Successfult protected 메시지 확인 후 [close] 클릭

7) 패킹한 NC를 업로드

8) 호스트PC (공격자PC)에서 4444로 리스닝 포트 오픈

9) 웹쉘을 이용해 리버스 커넥션 시도

10) 리버스 커넥션 성공 확인

** 더 이상 파일 공유하지 않습니다.