이번 시간에는 작지만 강력한 DLL(Dynamic-link library) Proxy기법에 대해서 알아보겠습니다. Proxy DLL 기법은 DLL Replace로도 알려져 있습니다. 간단하게 얘기해서 DLL을 바꾼다는 말입니다. 이 기법은 구현이 쉬워서 악성코드를 만들 때 사용하기도 합니다. 먼저 간단하게 실행파일(.exe)과 DLL 파일에 대한 간단한 내용을 말씀 드리겠습니다.
함수를 사용할 때 그 함수 정의가 어딘가에 프로그래밍이 되어 있어야 합니다. 윈도우프로그래밍을 할 때 사용하는 MessageBox(), LoadLibrary() 등 함수는 분명 어딘가에 코딩이 되어 있습니다. 그래야 기능을 수행하기 때문이죠. 그 곳이 바로 DLL 입니다. 정적 라이브러리로 코딩을 하였을 경우에는 얘기가 달라지지만 라이브러리에 대한 이야기를 계속하면 강좌가 길어지니 동적 라이브러리만 가지고 설명을 하도록 하겠습니다. 여기에서 라이브러리라 하면 동적 라이브러리로 칭하기로 하겠습니다. MessageBox() 함수가 호출되는 흐름을 보겠습니다.
그림1. MessageBox() 함수 호출 흐름
MessageBox() 함수를 호출하면 dll 파일로 흐름이 옮겨지고, 관련 기능 수행한 뒤에 다시 실행 파일로 돌아와서 다음 명령을 처리합니다.
그럼 Proxy DLL는 어떤 것일까요? 간단하게 Proxy에 대해서 알아보겠습니다. 초고속 인터넷이 대중화가 되기 전에는 모뎀을 사용하였습니다. 예전에 집에서 33.6k 모뎀을 이용해서 pc 통신도 하고 인터넷도 했던 기억이 새록새록 합니다. 새롬 데이터맨 프로를 사용해서 atdt 01410, 01411, 01420로 모뎀을 이용해 통신을 연결하면 모뎀에서 이상한 굉음과 함께 인터넷이나 pc 통신에 접속 되었습니다. 전화선으로 통신하는 것이라 모뎀으로 통신을 할 때는 집에 전화가 되지 않았습니다. 그리고 모뎀 전화비 때문에 부모님께 혼이 났었던 아픈 기억이 떠오릅니다.
그림2. Proxy Server
우리가 네이버에 접속하면 네이버 웹 페이지를 네이버 서버에서 받아옵니다. 예전에는 그 받아오는 속도가 매우 느렸기 때문에 직접적으로 서버에 접근하지 않고 받아오는 정보를 속도가 빠른 대리 서버에 저장해 두고, 그 서버를 통해서 필요한 정보를 받아오는 방법을 사용했습니다. 그리고 네이버 서버에 있는 정보가 업데이트 될 때마다 대리 서버에 있는 데이터도 업데이트를 하였습니다. 여기서 임시 서버가 바로 Proxy Server 입니다. 눈치가 빠르신 분들은 벌써 Proxy DLL가 어떤 것인지 벌써 감이 오셨을 겁니다.
그림3. Proxy DLL Overview
Proxy DLL기법은 실행 파일이 원본 DLL이 아닌 Proxy DLL을 로딩하게 만드는 것입니다. 실행파일은 원본 DLL인지 검사를 하지 않는다면 Proxy DLL을 사용할 것입니다. Proxy DLL 기법에 핵심적인 원리는 바로 DLL을 검사하지 않는다는 것과 DLL 로딩 경로 순서입니다. 사용하고자 하는 DLL이 이름이 같다면 그것을 사용합니다. 두 번째로“DLL 로딩 경로 순서”는 다음과 같습니다.
l DLL 로딩 경로 순서
1. DLL을 호출한 exe 파일이 있는 폴더
2. 프로세스의 현재 폴더
3. 윈도우 시스템 폴더
4. 윈도우 폴더
5. PATH 환경 변수에 저장된 폴더
구현 방법은 DLL 로딩 경로 첫 번째에 맞추는 것입니다. 바로 실행 파일과 같은 폴더에 Proxy DLL을 두는 것이죠. 원본 DLL이 실행 파일과 같은 폴더에 있는 경우 원본 DLL 파일은 다른 이름으로 바꾸고 필요한 경우 Proxy DLL에서 불러다가 사용합니다. Proxy DLL 기법은 구현하기가 간단하면서 굉장히 강력한 후킹 기법입니다. 구현 방법에 대해서 예제를 보며 설명하도록 하겠습니다.
먼저 실행 파일을 만들어 보도록 하겠습니다.
main.exe 입니다.
그림4. main 함수
원본 DLL 소스 (OriginalDLL.dll)
그림5. OriginalDLL.dll
Proxy DLL 소스 (ProxyDLL.dll)
그림6. ProxyDLL.dll
먼저 잘 동작하는지 OriginalDLL.dll 파일에 있는 출력을 하도록 하겠습니다.
그림7. OriginalDLL을 이용한 실행 결과
그럼 이제 OriginalDLL.dll 파일을 OriginalDLL2.dll 로 바꾸고, ProxyDLL.dll 파일을 OriginalDLL.dll로 바꾸어서 실행해 보도록 하겠습니다.
그림8. ProxyDLL.dll을 이용한 실행 결과
이런 방법을 이용하면 기존 Windows API에 다른 기능을 넣을 수 있고, 다른 명령을 수행하게 할 수도 있습니다. 예를 들면 일반적으로 많이 사용하는 User32.dll 파일을 다른 파일로 바꾸어서 사용할 수 있습니다. 그리고 남이 만들어 놓은 DLL도 본인의 입맛에 맞도록 꾸밀 수 있을 것입니다.
@ 참고자료
l Dll Injection Tutorial
취재 : 박래신 기자(plsgg@hotmail.com)
편집 : 컴타임즈 편집국(nugurang79@gmail.com)
http://www.comtimes.kr/news/318
Powered by Newsbuilder
