IT창고

애드센스는 구글에서 운영하는 광고 프로그램으로 제가 처음 블로그를 하면서 두달에 한번은 꼭 치킨먹고 싶다는 마음으로 도전했었습니다. 사실 애드센스 후기같은 글도 쓸까말까 고민했었는데 1년전 때 간절했던 마음이 생각나는데 그때 제가 후기글들 많이 보고 다녔던 기억이 있어서 글을 쓰게 됩니다. Tip이 과연 있을까 생각해봤는데 그냥 제가 경험한걸 쓰는게 좋을거같아서 순서대로 경험담을 쓰려합니다. 2017.07 대학교에서 공부하며 자료는 모아놨지만 글을 정리해둘 곳으로 네이버 블로그를 사용했었습니다. 네이버 블로그에 정리는 하는데 깔끔한 느낌이 안들고 앞으로 공부한 내용을 처음부터 정리하고 싶었습니다. 생각만하고 있다가 애드센스에 관한 정보를 듣고 처음으로 티스토리에 대해 알게 되면서 초대장을 받으려하는데 정..

윈도우 서버 2008 R2 OS를 설치해보도록 하겠습니다.설치할 환경은 Vmware 가상환경입니다. 새로운 가상머신을 만들때 시스템은 마이크로소프트의 윈도우이며 버전은 설치를 진행할 Server 2008 R2 64bit 입니다. ISO imager를 넣어주고 설치를 시작합니다. 설치할 메인화면이 보입니다. 윈도우 2008 R2 OS는 윈도우7과 같은 커널을 사용합니다. 그렇기에 원도우7을 설치할 때와 사실 별차이가 없습니다. 윈도우7에서 기능 몇가지를 제한하고 기능 조금만 더 붙이면 윈도우 2008 R2라고 할수있습니다.윈도우 2012는 윈도우Vista와 같은 커널을 사용합니다. 제가 가지고 있는 ISO파일은 Edition버전으로 저는 Enterprise전체설치로 진행하겠습니다. 동의하고 다음으로 넘어갑..

보호되어 있는 글입니다.

보호되어 있는 글입니다.

보호되어 있는 글입니다.

보호되어 있는 글입니다.

2013년 3월 20일에 한국의 주요 언론 및 기업의 전상망이 마비되고 대다수의 컴퓨터들이 감염되었던 사건이 있었습니다.해당 악성코드는 MBR, VBR영역을 모두 특정 문자열로 변경시켜 부팅이 되지 못하게 합니다. 망가진 하드디스크를 복구해보도록 하겠습니다. 실습해볼 환경은 가상머신입니다. 확인해보면 MBR영역이 특정 문자열로 변경되어있는걸 확인해볼수있습니다. HxD에디터로 먼저 MBR 및 VBR위치를 확인해보도록 하겠습니다. 3C80 -> 15488번 섹터가 MBR위치에 해당됩니다. 이 위치로 가보면 MBR이 특정문자열로 바꿔있는데 VBR도 특정문자열로 변형되었으며 VBR위치는 위의 문자열 [ 48 41 53 54 41 54 49 2E ]로 찾아보겠습니다. 2곳에서 문자열로 변형된 섹터를 찾았습니다.파..

2017년도에 한국의 은행중 하나인 우리은행의 보안로그 수집기 프로그램으로 위장한 악성코드가 유포되었습니다.http://www.boannews.com/media/view.asp?idx=53314&kind=1&search=title&find=%BF%EC%B8%AE%C0%BA%C7%E0+%BA%B8%BE%C8%B7%CE%B1%D7 자세한 내용은 위의 기사를 참고합니다. 이 악성코드를 물리PC에서 작동하면 MAC, IP주소를 수집하며 가상머신에서 작동할 경우 가상디스크의 MBR영역을 모두0으로 변경시킵니다. 악성코드로 감염된 가상머신PC 디스크파일을 ftk imager로 확인해보았는데 MBR영역이 아예 00값으로 지워져있습니다. ftk tool에서는 얻을 정보가 없을거같습니다. 40~47오프셋의 정보로 MBR..

Golden_Eye 랜섬웨어가 걸린 디스크를 복구하겠습니다.Golden_Eye는 PETYA의 변종 랜섬웨어로 MBR를 감염시키고 구조는 PETYA와 비슷하며 PETYA가 7202Byte를 변경시킨다면 Golden_Eye는 4602Byte만 변형시킵니다. Golden_Eye 랜섬웨어가 걸린 가상머신입니다. 색깔만 노란색으로 바뀌고 PETYA와 다른점이 거의 없습니다. ftk imager로 0x07연산원본이 있는곳으로 가보았습니다. PETYA와는 다르게 0x37이 아닌 0x07인 점이 다릅니다. 15488번 섹터 + 34번 섹터로 ftk에서 보았던 연산원본이 있는 섹터로 이동했습니다. 이제 이 원본을 XOR연산을 해서 복호화를 해줍니다. 복호화를 하고 복호화된 내용을 MBR섹터에 넣어주고 악성데이터가 있는 ..

PETYA 랜섬웨어가 걸린 디스크를 복구하도록 하겠습니다.랜섬웨어 PETYA 악성코드는 2016년 04월에 처음 발견되었으며 우리나라에서도 감염된적이 있고 MBR영역을 감염시킵니다. PETYA에 걸린 가상머신입니다. 랜섬웨어가 걸리고 파일들의 암호화가 걸리며 재부팅을 하면 나타나게 되는 화면입니다. 아무키나 입력하면 금전을 요구하는 문구들이 있으며 key값을 입력해야하는 복호화가 되는 방식입니다. PETYA에 감염되면 총 0x7202 오프셋까지 감염이 됩니다. 복구하는 방법은 암호화된 MBR을 XOR연산을 통해 복호화를 하고 악성 데이터가 덮어 쓰인 영역을 모두 0으로 채워주면 됩니다. 즉 MBR~VBR사이를 0으로 채우면 됩니다. ftk imager로 랜섬웨어가 걸린 디스크파일을 열어보고 0x37연산원..