logo

English

이곳의 프로그래밍관련 정보와 소스는 마음대로 활용하셔도 좋습니다. 다만 쓰시기 전에 통보 정도는 해주시는 것이 예의 일것 같습니다. 질문이나 오류 수정은 siseong@gmail.com 으로 주세요. 감사합니다.

MS의 Hot Fix API의 유형 연구

by digipine posted Oct 29, 2017
?

Shortcut

PrevPrev Article

NextNext Article

Larger Font Smaller Font Up Down Go comment Print
?

Shortcut

PrevPrev Article

NextNext Article

Larger Font Smaller Font Up Down Go comment Print

최근 MS에서 HOTPatching 한 녀석들의 API를 보면 아래와 같은 모습이다.

5x 90         5x   nop
FnStart:      
8B FF         mov  edi, edi
55            push ebp
8B EC         mov  ebp, esp
56            push esi
57            push edi
8B 35 g_Data  mov  esi, g_Data


함수의 시작 이전에 5개의 NOP이 존재하고 함수의 시작 부분에 의미 없는
mov edi,edi 인스트럭션이 포함되어 있다 MS에서는 API에 이련 뻘짓(?)
해놓았을까버그트럭의 포럼에서 mat님이 퀴즈를 내어서 좀 살펴보게 되었다.

흔히 Detour가 사용하는 Function Hooking 기법을 보면 함수의 Preemble를 덮어

씌운 후에, Detour로 점프를 하고 Trampline에서 원래 API의 바이트를 저장하였다가
실제 후킹구현된 함수에서 온갖 짓거리를 하고 나서 detour에서 오리지날 코드에서
지워진 부분을 다시 복원하여 실행한 뒤원래 API의 다음 인스트럭션으로 복귀한다.

그런데 실제로 확인해 본 결과커널 레벨에 있는 API도 이와 같은 모습을 지녔다.
그래서 커널 레벨에서 inline hooking을 할 경우 MS에서 사용하는 Hot Patching 기법을

그대로 시뮬레이션 할 수 있다.

그럼 MS Patching 기법을 살펴보자위의 원형에서 다음과 같은 변화를 주어 HotPatching
을 한다.


E9 Rel32      jmp  FnContinue        ; 요녀석 먼저 채우고 나서
FnStart:      
EB F9         jmp  $-5                       ; 
그다음 이녀석 채운다.
55            push ebp
8B EC         mov  ebp, esp
56            push esi
57            push edi
8B 35 g_Data  mov  esi, g_Data


 comment와 같이 함수의 앞부분 NOP을 먼저 채우고 나서 그 다음에 함수의 시작
부분을 변경한다왜 그럴까이것은 동기화와 Race Condition문제이다.
만약에 순서를 바꾼다면 어떻게 될까?
Intel x86
은 한번에 4바이트씩 처리한다그러므로 함수의 첫 부분 (2바이트)를 먼저 
변경 한 후함수시작 앞부분에 있는 NOP 5바이트를 덮어 쓴다고 가정한다치자.
5
바이트를 덮어 쓰기 위해서는 2번의 실행사이클을 거쳐 실행해야 한다.
그러므로 하나의 사이클을 돌은 후에 누군가 이 함수를 CALL한다면 나머지 한바이트는

채워지지 못한채로 이상한 주소로 jmp하게 될 것이고 아주 비극적인 결과가 벌어질 수
있다.

RootKit
 BugCheck Single Byte Hook이라는 Article을 통해서 이 HotPatching에 대해

설명하였으며, IDT를 통해서 One Byte (0xcd) 덮어 써서 훅을 구현 할 수도 있다.


8b ff    mov edi, edi         =>           cd ff    int ff

물론 미리 IDT FF를 미리 수정해놓았다는 가정하에서 가능하다.

관련 링크

http://www.openrce.org/articles/full_view/22

 
TAG •

List of Articles
No. Subject Author Date Views
45 Customizing GINA, Part 2 digipine 2017.10.28 96711
44 C# 으로 구현한 화면 캡춰 클래스 1 digipine 2017.11.02 33970
43 [C#] 코드 실행 시간 측정 및 DateTime 스트링으로 변환 포맷 lizard2019 2019.01.23 23017
42 Customizing GINA, Part 1 digipine 2017.10.28 21759
41 VC++ UTF8 변환 관련 매크로 digipine 2017.11.02 8779
40 The .Net Developer's Guide to Directory Services Programming digipine 2017.10.29 7168
39 [C#] 프로그램 종료 방법 lizard2019 2019.01.23 6789
38 [API Hooking] Dll Injection 하는 방법 digipine 2017.10.29 5225
37 [WIN32] Process ID로 HWND 구하기 digipine 2017.10.29 5019
36 [WIN32] 실행 중인 프로세스를 외부에서 강제로 종료, 안전한 TerminateProcess digipine 2017.10.29 3460
35 [Windows] DOS 명령어 실행하고 결과 스트링 가져오는 샘플 코드 digipine 2017.11.02 2689
34 VC++(MFC)에서 MDB 생성 / 압축 / 연동관리자 digipine 2017.10.29 2654
33 [WIN32] API Hook 정리 문서 digipine 2017.10.29 1970
32 [VC++, WInAPI] 폴더를 통채로 지우기, 서브 폴더 포함, DeleteAllFiles digipine 2017.10.29 1763
31 [WIN32, WINCE] 디스크 용량 구하는 방법 API GetDiskFreeSpaceEx digipine 2017.10.29 1569
30 [Win API]프로세스 아이디와 윈도우 핸들을 이용 파일명 구하기 digipine 2017.10.29 1393
29 C# - 한글로된 폰트명 처리 방법 개선 (Font Name Localization) digipine 2017.11.02 1392
28 RPC에 대하여... (1) : RPC 가 사용하는 TCP/IP 포트는 ? digipine 2017.10.29 1295
27 GINA(Graphical Identification aNd Authentication), SAS(Secure Attention Sequence) digipine 2017.10.29 1258
26 RPC에 대하여... (2) : RPC 가 사용하는 포트를 바꿔보자 digipine 2017.10.29 1118
Board Pagination Prev 1 2 3 Next
/ 3