geunyeong's blog

Table of Contents Abstract FilterGetMessage 비동기 I/O 관련 검색어로 내 블로그에 들어온 기록이 있길래 생각난 김에 정리했다. 본 글에서는 OVERLAPPED를 이용해 FilterGetMessage를 비동기식으로 받는 방법을 알아본다. Port 유저 모드 어플리케이션에서 미니 필터로 포트 연결은 앞선 글과 깃허브 예제를 참고하길 바란다. #3 MiniFilter - Communication Port (user → minifilter) https://geun-yeong.tistory.com/53 #4 MiniFilter - Communication Port (minifilter → user) https://geun-yeong.tistory.com/54 Create an..

Table of Contents Abstract 앞선 글에선 단순히 Volatility3의 플러그인 파일로 인식되게끔만 했다. 이번엔 실행 가능한 Hello World 플러그인을 만들어보자. https://geun-yeong.tistory.com/58 How to make a Volatility Plugin Write a code 앞선 글에서 만든 testplugin.py를 재활용했다. 아래 코드는 플러그인으로써 실행되기 위한 최소한의 코드다. from volatility3.framework import interfaces, renderers class TestPlugin(interfaces.plugins.PluginInterface): """My Test Plugin""" _required_framew..

Table of Contents Abstract 본 글에서는 Volatility3을 사용해 플러그인을 만들기 위한 가장 기본적인 준비 과정을 알아본다. 단순하게 빈 플러그인 파일을 만들어 vol.py가 해당 파일을 플러그인으로 인식하도록 만드는 방법을 알아볼 것이다. 주의할 점은 사용할 수 있는 수준이 아니라 단순히 플러그인 파일이라고 인식만 하게 하는 것이다. 해당 플러그인을 실행하려 하면 에러가 발생한다. 실행 가능한 플러그인을 만드는 튜토리얼은 아래 링크에 있다. https://geun-yeong.tistory.com/59 How to make a Volatility Plugin 본 글은 Volatility 3 Framework 1.0.1을 기준으로 작성됐다. Volatility3 레포지토리를 D:..

Table of Contents Abstract 본 글에서는 앞서 설명한 WFP 어플리케이션을 직접 만들어보겠다. 본 예제 코드에서는 필터의 조건(Condition)을 설정하지 않고 모든 트래픽에 대해서 콜아웃을 호출하도록 했다. WFP 기능을 이용하기 위한 최소한의 코드만을 담고 있으니 본 예제 코드가 정석이라고 생각하진 말자. 전체 코드는 깃허브에 올려놨다. WFP에 대한 개요는 이전 글을 참고하길 바란다. #1 WFP - 개요 https://geun-yeong.tistory.com/55 Create a WDF Device WFP를 사용하기 위해서는 Device Object가 필요하다. MS가 모던한 드라이버 개발을 위해 만든 WDF를 이용해 디바이스 오브젝트를 만들어보자. Create a WDF D..

Table of Contents 시험준비 디포전 2급 17회 시험은 2021년 11월 27일에 진행됐다. (필기는 특별히 남는 기억이 없어서 후기 작성 안했다.) 회사 퇴근하면 아무것도 하기 싫어져서 시험 전날까지 기출 문제도 안보다가 시험장으로 가는 버스 안에서 실기 시험에 나오는 법 관련 부분만 열심히 봤다. 그 전까지 시험 문제가 어떻게 나오는 지도 잘 몰랐다. 시험장에서 문제지 받고서야 '아 이렇게 나오는구나' 했다. 시험장이 대학교 실습실이었는데 컴퓨터 사양이 좋진 않았다. 마우스는 클릭이 자꾸 씹혀서 시험 전에 바꿔달라고 했다. 감독관님이 돌아다니면서 장비에 문제 있으면 말하라길래 바로 요청했다. 대충 5명 넘는 인원이 마우스 교체한 듯. 좋지도 못한 컴퓨터에 뭔가 많이 깔린 탓인지 속도도 느..

Table of Contents Abstract WFP는 Windows Filtering Platform이란 뜻이다. Windows 시스템에서 네트워크 필터링 프로그램을 만들기 위한 인터페이스와 API를 제공한다. WFP를 통해 트래픽을 허용, 차단할 수 있고, 패킷 데이터를 볼 수도 있으며, 변조도 가능하다. WFP는 기존의 네트워크 필터링 기술인 TDI/NDIS 필터를 개선하고 대체하기 위해 만들어졌다. Windows Vista, 서버 제품군의 경우 2008부터 WFP가 지원됐는데, 10년이 넘었음에도 생각보다 자료가 많지 않아 본 글을 작성하게 됐다. WFP는 Windows 시스템에서 방화벽 어플리케이션을 만드는데 사용된다. Vista 이상부터는 Windows의 기본 방화벽 프로그램도 WFP로 만들..

Table of Contents Abstract 앞선 글에서는 유저 모드 어플리케이션에서 미니 필터로 데이터를 전달하는 방법을 알아봤다. 본 글에서는 반대로 미니 필터에서 유저 모드 어플리케이션으로 데이터를 전달하는 방법을 알아본다. 예제 코드는 깃헙에 있다. Port Communicate Server Port in MiniFilter Create the Server Port 앞선 글을 참고하자. #3 MiniFilter - Communication Port (user → minifilter) https://geun-yeong.tistory.com/53 Common Structures 유저 모드 어플리케이션에서 커널로 데이터를 보낼 때 처럼 둘 사이의 데이터를 주고 받을 포맷을 먼저 구상해야 한다. 본 ..

Table of Contents Abstract Communication Port는 미니 필터와 유저 모드 어플리케이션 간에 데이터를 주고 받기 위해 만들어진 기능이자 인터페이스다. 필터 관리자에 의해 제공되는 기능이다. 동기식, 비동기식 송수신도 가능하고 미니 필터에서 유저 모드로, 유저 모드에서 미니 필터로 데이터를 전송하고 이에 대해 응답을 받을 수 있는 양방향 통신 시스템이다. 드라이버와 유저 모드 어플리케이션 간의 데이터 송수신이 제법 까다로운 걸 생각하면 포트는 혁명과도 같다. 본 글에서는 유저 모드 어플리케이션에서 미니 필터로 데이터를 보내고 이에 대한 응답을 동기식으로 받는 방법을 서술했다. 예제 코드를 담은 깃허브 주소를 본문 최하단에 적어놨으니 당장 예제 코드가 필요하다면 참고하길 바란..

Table of Contents Abstract 앞서 미니 필터에 대해서 간략하게 알아봤다. 이번 글에서는 미니 필터를 작성하기 위한 최소한의 인사이트를 정리해보고자 한다. 본 글은 Visual Studio 2019를 사용해 프로젝트를 생성하는 것부터, 드라이버를 빌드하고 가상머신에서 테스트하는 과정을 담고 있다. 깃헙에 올린 미니 필터 예제를 보며 읽으면 큰 도움이 될 것이다. Develop the MiniFilter 개발 환경은 Windows 11 Pro 21H2 64bit, IDE는 Visual Studio 2019, WDK(Windows Driver Kit)는 10.0.22000.1을 사용했다. 개발한 드라이버를 테스트한 가상 머신은 Windows 10 Pro 21H2 64bit다. Create ..

Table of Contents Abstract MiniFilter는 Filter Manger에 의해 관리되며, 쉽게 개발할 수 있고 언로드가 가능한 파일 시스템 필터 드라이버다. 미니 필터 드라이버가 필터 관리자에게 어떤 요청(생성, 읽기, 쓰기)에 대해 작업할 것인지를 알려주면 필터 관리자는 해당 요청이 들어왔을 때 이에 대한 데이터를 미니 필터에게 전달하고 그 결과를 받아 I/O 관리자에게 넘겨준다. 즉 I/O 관리자와 직접 통신하던 기존 방식이 아닌 중간에 필터 관리자를 두고 작업을 함으로써 언로드도 가능하고, 개발도 한결 편해진다는 장점을 가질 수 있다. 본 글에서는 Windows의 파일 시스템 필터 드라이버 기능인 미니 필터에 대해 간단하게 정리했다. MiniFilter 많은 보안 프로그램들이..