저장매체 복제 아예 비트스트림을 똑같이 복제해서 똑같은 내용의 하드를 하나 더 만드는 것. 비할당 영역이나 슬랙도 모두 복제되지만, 그냥 같은 내용의 하드가 하나 더 생기는거라 분석하려면 어차피 이미징해야 편하다. 저장매체 이미징 모든 물리적인 섹터를 파일 형태로 만들어 저장하는 것. 비할당 영역이나 슬랙 공간도 모두 저장되기 때문에 이를 사용해야 ...

Sector 디스크는 IO 명령을 받으면, 1 sector 단위로 IO하게 된다. 즉, 물리적으로 디스크가 IO하는 단위이며 따라서 실제로 디스크에 IO하게 되는 최소 크기는 1 sector다. 보통 1 Sector = 512 bytes. Cluster OS에서 디스크에 접근하기 위해 사용하는 파일시스템에서 IO하는 단위. 파일시스템에서는 IO횟수를...

파일 카빙 ( File Carving ) metadata 보다는 파일 자체의 바이너리 데이터(content, signature, header, …)를 이용해 디스크의 비할당 영역에서 파일을 복구하는 기법. * 파일이 디스크에 분할되어 저장되어 있는 경우, 비연속적 카빙을 사용해야 한다. http://forensic.korea.ac.kr/DFWIKI/...

install standalone 보다는 Source code로 직접 받아야 profile을 추가할 수 있다. Source code 압축 해제하면 setup.py가 있는데 import volatility할거 아니면 안하는게 좋다. 그냥 디렉토리 적당한 곳으로 옮기고, vol.py에 symlink 걸어서 사용하면 끝이다. profile 추가 Windo...

SQL Escape method mysqli::real_escape_string 이스케이프 문자 목록 ' " \ \x00(NUL) \x1a(EOF) \n \r 아래는 모두 동일한 함수. string mysqli::escape\_string ( string $escapestr ) // alias string mysqli::...

struct task_struct current /v4.13.8/source/include/linux/sched.h#L519 struct task\_struct { #ifdef CONFIG\_THREAD\_INFO\_IN\_TASK /\* \* For reasons of header soup (see current\_thread\_info...

hook sys_call_table #include <linux/module.h> // included for all kernel modules #include <linux/kernel.h> // included for KERN\_INFO #include <linux/init.h> // includ...

아키텍쳐마다, OS마다 동작이 다르기 때문에 상황에 맞게 생각해야 한다. 다음 환경에서 테스트 root@kali32:~/add\_syscall# uname -a Linux kali32 4.13.0-kali1-686-pae #1 SMP Debian 4.13.4-1kali1 (2017-10-03) i686 GNU/Linux get sys_call_t...

Page Protection x86 #1 set_pages_rw , change_page_attr source/arch/x86/mm/pageattr.c int set\_pages\_rw(struct page \*page, int numpages) // use virt\_to\_page() { unsigned long addr = (unsig...

addr_limit system call은 원래 user mode에서 호출하도록 되어 있기 때문에, system call의 인자로 넘어오는 데이터는 user space의 데이터여야 한다. 인자로 kernel space의 데이터가 넘어오면 제대로 동작하지 않는다. kernel은 addr_limit를 기준으로 인자로 넘어온 데이터가 user space d...