그림 1. MessageBox() 함수 호출 흐름
MessageBox() 함수처럼 실제 코드가 실행파일에 없는 함수를 호출할 때, 실행파일은 저 함수가 어디에 있는 지 어떻게 알 수 있을까요? 어떻게 그 함수를 참조할까요? 그리고 프로그램이 MessageBox() 함수를 수행할 때 다른 함수가 수행하도록 바꿀 수 있을까요? 이번 시간에 공부할 IAT 후킹에 대해서 공부를 한다면 위와 관련된 답변을 할 수 있겠습니다.
IAT는 Import Address Table에 약자입니다. IAT 후킹은 바로 이 부분을 공략하는 기법을 말합니다. IAT 후킹은 지금까지 봐왔던 서브클래싱(SubClassing)이라든가, 훅 프로시저(Hook Proceduer), DLL Proxy를 이용한 후킹보다는 난이도가 높습니다. IAT 후킹을 하기 위해서 알아야 할 배경지식이 몇 가지가 있기 때문이죠. 그와 관련된 내용은 아래와 같습니다.
- 동적 그리고 정적 라이브러리
- PE 구조
- 컴파일을 수행할 때 함수 호출 부분을 처리 방법
- 실행할 때 PE Loader가 하는 일
- 가상 메모리
- DLL Injection
- 기타 등등
IAT후킹을 설명하기 위해서 저 위에 내용들을 다 설명해야 하는데, 그러면 강좌가 길어지고 지루해질 것은 “IU가 귀엽냐”고 물어보는 것과 같습니다. 그래서 이번 강좌에서는 IAT 후킹에 대한 기본적인 개념을 알아보고 위 배경 지식에 대해서는 이번 후킹 강좌가 끝나고 기회가 된다면 연재하도록 하겠습니다.
IAT 후킹의 개념은 아래 그림과 같습니다.
그림 2. IAT 후킹 시 실행순서
- 실행순서는 이렇게 되는 거죠.
① DoStudy() 함수를 호출하면 DoPlay() 함수가 호출되어 원하는 일을 수행한 후
② DoPlay() 함수 마지막 부분에서 실제 DoStudy() 함수를 호출합니다.
③ 그리고 나서 원래 의도대로 DoStudy() 함수를 수행하죠.
그럼 어떻게 DoStudy() 함수가 호출되었을 때 DoPlay() 함수를 호출하도록 만들 수 있을까요? 이와 관련된 아이디어를 얻기 위해서 IAT가 무엇을 하는 용도로 쓰이는지 알아야 합니다. 실행 파일을 실행할 때 실행에 필요한 정적 라이브러리를 함께 로드합니다. 그리고 라이브러리에서 사용할 함수에 대한 정보를 IAT에 넣어두는 것이죠. 이렇게 IAT는 호출할 함수의 주소를 담고 있습니다. 그 함수는 실제로 라이브러리 안에 있고요. 이런 식으로 실행 파일은 실행 파일에 안에 있지 않는 함수를 호출 할 때 IAT를 참조해서 호출을 합니다. 아래 그림처럼 말이죠.
그림 3. IAT 개념
① DoStudy() 함수를 호출하면
② IAT에서 DoStudy() 함수의 주소를 가지고 옵니다.
③ 그리고 그 주소를 가지고 DLL에서 DoStudy() 함수를 찾아 수행을 합니다.
이제 감이 조금 오시나요? 함수를 호출할 때마다 IAT를 참조하기 때문에 IAT에 있는 값을 변경하면 우리가 원하는 후킹함수를 실행하도록 할 수 있습니다. 그럼 실행 파일에 있는 IAT는 어떻게 찾을 수 있을까요? 바이러스가 실행 파일들의 IAT를 찾아서 바꿀 수 있다는 것은 IAT를 찾는데 일정한 패턴이 있다고 생각을 할 수 있습니다. 어떤 실행 파일이든 그 구조가 정형화 되어 있어 바이러스가 IAT를 변경할 수 있는 거죠. 실제로 윈도우 운영체제의 실행 파일은 PE(Portable Excutable) 라는 구조를 사용하고 있습니다. 그래서 PE 구조와 로더(loader)가 어떻게 실행 파일에서 실행에 필요한 정보를 얻는지를 알 수 있다면 IAT가 어디에 있고, 어떻게 참조하는지도 알 수 있겠죠~. PE 구조는 아래와 같습니다.
그림 4. PE 구조
조금 복잡하죠^^. PE에 대해 자세히 다룬다면 책 한 권 분량이 될 수 있습니다. 실제로 시중에 PE만 설명되어 있는 책이 출판되어 있습니다. PE에 대한 강좌도 다음에 기회가 된다면 핵심적인 내용만 뽑아서 다음에 연재하기로 하고요. IAT 후킹이 이루어지는 순서를 살펴보고 마무리 짓도록 하겠습니다.
그림 5. IAT 후킹 과정
① 메모리 공간에 우리가 수행하고자 하는 DoPlay() 함수가 들어있는 DLL 파일을 삽입합니다.
② 프로그램의 IAT를 수정합니다.
③ 프로그램이 DoStudy() 함수를 수행하면 DoPlay() 함수가 수행하게 됩니다.
기사 : 박래신 기자(plsgg@hotmail.com)
편집 : 컴타임즈 편집국(kcsjhz@gmail.com)
http://www.comtimes.kr/news/346
Powered by Newsbuilder
