24Bit BMP 이미지를 이용한 쉘코드 은닉 기법

국문 초록 (Abstract)

1990년도 중반에 처음 개념이 소개된 이래, 현재까지도 가장 빈번하게 사용되고 매우 심각한 피해를 초래하는 공격기법으로 버퍼 오버플로우(buffer overflow) 취약점을 이용한 공격을 들 수 있다. 쉘코드(shellcode)는 이러한 버퍼 오버플로우 공격에 사용되는 기계어 코드(machine code)로서, 공격자는 자신이 의도한 바대로 수행되는 쉘코드를 작성하고 이를 공격 대상 호스트의 메모리에 삽입, EPI를 조작하여 시스템의 제어 흐름을 가로챌 수 있다. 따라서 버퍼오버플로우를 일으키니 후 쉘코드를 적재하려는 것을 탐지하기 위한 많은 연구들이 수행되어 왔으며, 공격자들은 이런 탐지기법들을 우회하는 기법을 끊임없이 개발해 왔다. 본 논문에서는 이러한 쉘코드 공격 기법 및 방어 기법들에 대해서 살펴보고 24Bit BMP이미지에 쉘코드를 은닉시킬 수 있는 새로운 기법을 제안하고자 한다. 이 기법을 통하여 쉘코드를 손쉽게 은닉할 수 있으며, 현재의 다양한 탐지 기법들을 쉽게 우회할 수 있음을 확인할 수 있었다.

다국어 초록 (Multilingual Abstract)

Buffer overflow vulnerability is the most representative one that an attack method and its countermeasure is frequently developed and changed. This vulnerability is still one of the most critical threat since it was firstly introduced in middle of 1990s. Shellcode is a machine code which can be used in buffer overflow attack. Attackers make the shellcode for their won purposes and insert it into target host’s memory space, then manipulate EIP(Extended Instruction Pointer) to intercept control flow of the target host system. Therefore, a lot of research to defend have been studied, and attackers also have done many research to bypass security measures designed for the shellcode defense. In this paper, we investigate shellcode defense and attack techniques briefly and we propose our new methodology which can hide shellcode in the 24bit BMP image. With this proposed technique, we can easily hide any shellcode executable and we can bypass the current detection and prevention technilques.

목차 (Table of Contents)

• 요약
• ABSTRACT
• Ⅰ. 서론
• Ⅱ. 쉘코드 방어기법
• Ⅲ. 쉘코드 난독화 기법
• Ⅳ. 24Bit BMP 이미지 쉘코드 은닉 기법
• Ⅴ. 실험 결과 및 평가
• Ⅵ. 결론
• 참고문헌

참고문헌 (Reference)

1 "http://www.snort.org/snort"

2 "http://www.metasploit.com/about/"

3 T. Wana, "Writing UTF-8 CompatibleShellcodes"

4 Rix, "Writing IA32 Alphanumeric Shellcode"

5 A. N. Sovarel, "Where’s the FEEB? On the Effectivenessof Instruction Set Randomization" 14 (14): 2005

6 "Vulnerability distribution of cve securityvulnerabilities by types"

7 C. Cowan, "Stackguard: AutomaticAdaptive Detection and Prevention ofBuffer-overflow Attacks" 63-78, 1998

8 A. One, "Smashing The Stack For Fun andProfit"

9 T. Detristan, "PolymorphicShellcode Engine Using SpectrumAnalysis"

10 Y. Song, "On theInfeasibility of Modeling PolymorphicShellcode" 541-551, 2007

11 H. Shacham, "On theEffectiveness of Address Space Randomization" 298-307, 2004

12 M. Polychronakis, "Network-levelPolymorphic Shellcode Detection usingEmulation" 4064 : 54-73, 2006

13 B. Gu, "Malicious ShellcodeDetection with Virtual Memory Snapshots" 974-982, 2010

14 J. Lee, "History of Buffer Overflow"

15 J. Ma, "Finding Diversity inRemote Code Injection Exploits" 53-64, 2006

16 J. Mason, "English Shellcode" 524-533, 2009

17 M. Polychronakis, "Emulation-basedDetection of Non-self-contained PolymorphicShellcode" 87-106, 2007

18 Obscou, "Building IA32 Unicode-ProofShellcodes"

19 Q. Zhang, "Analyzing Network Traffic toDetect Self-decrypting Exploit Code" 4-12, 2007

20 S. Macaulay, "ADMMutate: PolymorphicShellcode Engine"

21 B. Martin, "2011 CWE/SANS Top 25 MostDangerous Software Errorsh"