셸코드

3. 셸코드 실행 전략

취약점 공격은 일반적으로 프로그램 카운터를 조작하기 전이나 동시에 대상 프로세스에 셸코드를 주입한다. 프로그램 카운터는 셸코드를 가리키도록 조정된 후 실행되어 작업을 수행한다. 셸코드 주입은 취약한 프로세스에 네트워크를 통해 전송된 데이터에 셸코드를 저장하거나, 취약한 프로세스에서 읽는 파일에 셸코드를 제공하거나, 로컬 익스플로잇의 경우 명령줄 또는 환경 변수를 통해 수행된다.^[1]

4. 셸코드 인코딩

셸코드는 침입 탐지 시스템의 탐지를 피하고 대상 시스템의 제약 조건을 우회하기 위해 다양한 방식으로 인코딩된다. 대부분의 프로세스는 주입될 수 있는 데이터를 필터링하거나 제한하므로, 셸코드는 이러한 제약을 고려하여 작성해야 한다. 예를 들어 코드를 작게 만들거나, 널(null) 바이트가 없도록 하거나, 영숫자를 사용해야 할 수 있다.

이러한 제약을 우회하기 위한 일반적인 방법은 다음과 같다.

• 셸코드 크기를 줄이기 위한 설계 및 구현 최적화.
• 셸코드에서 사용되는 바이트 범위의 제한을 우회하기 위한 구현 수정.
• 자기 수정 코드를 사용하여 실행 전에 자체 코드의 여러 바이트를 수정, 일반적으로 프로세스에 주입할 수 없는 바이트를 다시 생성.

4. 1. 퍼센트 인코딩

4. 2. 널 프리 셸코드 (Null-free Shellcode)

5. 플랫폼 종속성

셸코드는 기계어로 작성되기 때문에 CPU, 운영 체제 및 서비스 팩의 특정 조합, 즉 플랫폼을 대상으로 만들어진다.^[15][16][17] 하지만 하나의 셸코드가 여러 플랫폼에서 작동하는 경우도 있다.

이는 다양한 플랫폼을 대상으로 하는 여러 버전의 셸코드를 생성하고, 코드가 실행되는 플랫폼에 맞는 올바른 버전으로 분기되는 헤더를 생성하여 달성된다. 코드가 실행되면, 다른 플랫폼에 따라 다르게 동작하며, 실행 중인 플랫폼에 맞는 셸코드 부분을 실행한다.

6. 셸코드 분석

셸코드는 직접 실행될 수 없다. 셸코드가 수행하려는 작업을 분석하려면 다른 프로세스에 로드해야 한다. 일반적인 분석 기법 중 하나는 셸코드를 바이트 버퍼로 포함하는 작은 C 프로그램을 작성한 다음 함수 포인터 또는 인라인 어셈블러를 사용하여 실행을 셸코드로 전송하는 것이다. 또 다른 기술은 shellcode_2_exe와 같은 온라인 도구를 사용하여 셸코드를 미리 만들어진 실행 파일 껍데기에 포함시킨 다음 표준 디버거에서 분석하는 것이다. iDefense sclog 프로젝트와 같이 특화된 셸코드 분석 도구도 존재하며, 이 도구는 2005년에 Malcode Analyst Pack의 일부로 처음 출시되었다.^[1] Sclog는 외부 셸코드 파일을 로드하고 API 로깅 프레임워크 내에서 실행하도록 설계되었다.^[1] 에뮬레이션 기반 셸코드 분석 도구도 존재하는데, 예를 들어 크로스 플랫폼 libemu 패키지의 일부인 sctest|sctest^영어 응용 프로그램이 있다.^[1] libemu 라이브러리를 기반으로 구축된 또 다른 에뮬레이션 기반 셸코드 분석 도구인 scdbg|scdbg^영어는 기본적인 디버그 셸과 통합 보고 기능을 포함한다.^[1]

참조

_[1] 서적 Sockets, Shellcode, Porting, & Coding: Reverse Engineering Exploits and Tool Coding for Security Professionals https://books.google[...] Elsevier Science & Technology Books 2005-04-12
_[2] 서적 The shellcoder's handbook: discovering and exploiting security holes Wiley 2007
_[3] 서적 Buffer overflow attacks: detect, exploit, prevent Syngress 2005
_[4] 웹사이트 Tiny Execve sh - Assembly Language - Linux/x86 https://github.com/g[...] 2021-02-01
_[5] 웹사이트 Shellcode/Socket-reuse http://www.blackhatl[...] 2013-06-06
_[6] 웹사이트 Download and LoadLibrary shellcode released http://skypher.com/i[...] 2010-01-11
_[7] 웹사이트 Download and LoadLibrary shellcode for x86 Windows http://code.google.c[...] 2010-01-11
_[8] 웹사이트 Safely Searching Process Virtual Address Space http://www.hick.org/[...] nologin 2004-03-09
_[9] 웹사이트 w32 SEH omelet shellcode http://skypher.com/w[...] Skypher.com 2009-03-16
_[10] 웹사이트 JavaScript large number of unescape patterns detected http://www.iss.net/s[...]
_[11] 간행물 Writing ia32 alphanumeric shellcodes http://www.phrack.or[...] Phrack Inc. 2001-08-11
_[12] 간행물 Building IA32 'Unicode-Proof' Shellcodes http://www.phrack.or[...] Phrack Inc. 2003-08-13
_[13] conference English Shellcode http://www.cs.jhu.ed[...] 2009-11
_[14] 웹사이트 Multi-architecture (x86) and 64-bit alphanumeric shellcode explained http://www.blackhatl[...] Blackhat Academy
_[15] 웹사이트 Architecture Spanning Shellcode http://www.phrack.or[...] Phrack Inc. 2001-08-11
_[16] 웹사이트 OSX - Multi arch shellcode. https://seclists.org[...] 2005-11-13
_[17] conference Platform-Independent Programs https://softsec.kais[...] Carnegie Mellon University 2010-10-08
_[18] 문서 Sockets, Shellcode, Porting, & Coding: Reverse Engineering Exploits and Tool Coding for Security Professionals.
_[19] 웹사이트 Writing ia32 alphanumeric shellcodes http://www.phrack.or[...] Phrack 2001-11-08
_[20] 웹사이트 Building IA32 'Unicode-Proof' Shellcodes http://www.phrack.or[...] Phrack 2003-08-13
_[21] 웹사이트 Architecture Spanning Shellcode http://www.phrack.or[...] Phrack 2001-08-11