2013년 11월 29일 금요일

MovieDuk

What is MovieDuk

Enjoy your Movies, movieduks!

ps. code is really dirty, because this was my first Django project...

Link

Author

Kim Tae Hoon, blog.

Copyright

Screenshot

ps. http://carpedm20.blogspot.kr/2014/03/blog-post.html

[Python] 포탈봇

This is a python code for UNIST portal bot.

Portal bot is a program that uploads the UNIST's portal announcements to facebook automatically.

Facebook : https://www.facebook.com/hexa.portal

github : https://github.com/carpedm20/UNIST-portal-bot

Mailing list : http://portalbot.us.to

2013년 11월 1일 금요일

[Network] 패킷 분석

====================

Wireshark

====================

0. Stream filter

tcp.stream eq 14

1. Protocol filter

snmp || dns || icmp || http

* SNMP(Simple Network Management Protocol) : 네트워크 장비를 관리 감시하기 위한 목적, 네트워크 관리자가 네트워크 성능을 관리하고 네트워크 문제점을 찾아 수정하는데 도움
* DNS(Domain Name System) : 도메인 이름을 호스트의 네트워크 주소로 바꾸거나 그 반대의 변환을 수행할 수 있도록 하기 위해 개발
* icmp(Internet Control Message ProtocolInternet Control Message Protocol) : 네트워크 컴퓨터 위에서 돌아가는 운영체제에서 오류 메시지를 전송받는 데 주로 쓰임

2. IP filter

ip.addr == 10.1.1.1 (Source & Destination)

ip.src != 10.1.2.3 or ip.dst != 10.4.5.6
ip.dst == 10.36.115.40
ip.src != 10.1.2.3 and ip.dst != 10.4.5.6

ip.addr==174.137.42.75 and ip.addr==10.36.115.40 (to look up the conversation)

4. Port filter

tcp.port == 25 (Source & Destination)
tcp.dstport == 25
tcp.srcport == 80
tcp.flags

4. TCP filter

tcp.flags.syn : 세션을 설정하는 데에 사용되며 초기에 시퀀스 번호를 보냄
tcp.flags.ack :

5. Search

http.host contains google

ctrl + f > string search -> packet list, packet details, packet bytes

ctrl + n > next search

ctrl + b > previous search

----------------------------------------

1. File > Export Objects > HTTP

http 소스, 이미지 등의 파일 리소스 추출

2. Content -Encoding: gzip

.gz 으로 저장해서 압축을 풀어 확인

3. File > Export Specified packet > 하단 Packet Range 에서 Displayed 선택 후 저장

필터링 된 패킷을 다시 분석하고 싶을때

====================

Malzilla

====================

- http://itmonster.tistory.com/92

- http://toolbox.krcert.or.kr/MMBF/MMBFBBS_S.aspx?MENU_CODE=29&BOARD_ID=10&BOARD_NUMBER=7

1. Misc Decoders > USC2 To Hex

유니코드를 hex로 변환

2. Hex View -> 악성 javascript 분석

string to find : http

Key : bd (xor)

====================

NetworkMiner

====================

- http://sourceforge.net/projects/networkminer/

호스트 리스트를 한눈에 볼 수 있고, 파일이나 이미지 목록을 바로 받아볼 수 있는 장점

필터를 자유롭게 걸 수 없다는 단점

====================

TCP

====================

1. 방화벽으로 인해서 해당 페이지에 접근은 차단

- 3 Way hand shake -

서비스 port 가 열려 있을 경우 SYN+ACK 패킷 회신 후 ACK 를 전송

서비스 port 가 닫혀 있는 경우 RST+ACK 패킷을 회신

Wireshark에서는 RST ACK 이 빨간색으로 나타남

RST ACK 만 확인하고 싶으면 tcp.flags.reset ==1 로 필터링

[Android] smali 디컴파일

- reference : http://pallergabor.uw.hu/androidblog/dalvik_opcodes.html

.method로 시작하여 .end method

.method private 함수 이름(파라미터 데이터 타입; ; ;) 리턴 값

[ : array[] 의미

[Ljava/lang/String : String[]

Ljava/math/BigInteger : BigInteger

==== Example 1 ====
.method private isValid([Ljava/lang/String;[Ljava/lang/String;Ljava/math/BigInteger;)Ljava/lang/Boolean;
.locals 7 // 메소드 내부에서 사용하는 레지스터 수 ex. v1~v7
.parameter "issuerDN" // 파라미터 이름, 뒤에서부터, p3
.parameter "subjectDN" // p2
.parameter "serial" // p1
.prologue
const/4 v6, 0x4 // v6 = 0x4
const/4 v5, 0x3 // v5 = 0x3
const/4 v4, 0x2 // v4 = 0x2
const/4 v3, 0x1 // v3 = 0x1
const/4 v2, 0x0 // v2 = 0x0
.line 103
aget-object v0, p1, v2 // v0 = p1[v2], v0 = serial[v2], array[] (p1)의 특정 index(v2) 의 값을 v0에 저장
// p0 는 this 인듯...
iget-object v1, p0, Lops/black/herpderper/TrustModifier$AlwaysTrustManager;->CN1:Ljava/lang/String; // v1 = this.AlwaysTrustManager->C1
invoke-virtual {v0, v1}, Ljava/lang/String;->equals(Ljava/lang/Object;)Z // v0 = String->equals(v0, v1);
move-result v0
if-eqz v0, :cond_0 // v0가 0 이면 cond_0 로 점프
aget-object v0, p1, v3
iget-object v1, p0, Lops/black/herpderper/TrustModifier$AlwaysTrustManager;->OU:Ljava/lang/String; // AlwaysTrustManager->OU
invoke-virtual {v0, v1}, Ljava/lang/String;->equals(Ljava/lang/Object;)Z
move-result v0
if-eqz v0, :cond_0 // if(v0 == 0) goto cond_0;
...
.line 119
invoke-static {v3}, Ljava/lang/Boolean;->valueOf(Z)Ljava/lang/Boolean; // v0 = Boolean->valueOf(v3);
move-result-object v0
.line 121
:goto_0
return-object v0 // return v0;
:cond_0
invoke-static {v2}, Ljava/lang/Boolean;->valueOf(Z)Ljava/lang/Boolean; // v0 = Boolean->valueOf(v2); // v2=0=false
move-result-object v0
goto :goto_0
==== Result 1 ====
private Boolean isValid(String[] serial, String[] subjectDN, BigInteger issuerDN) {
v6=4;
v5=3;
v4=2;
v3=1;
v2=0;
v0 = serial[v2];
v1 = AlwaysTrustManager->C1;
v0 = String->equals(v0, v1);
if(v0 == 0)
goto cond_0;
v0 = serial[v3];
v1 = AlwaysTrustManager->OU;
v0 = String->equals(v0, v1);
if(v0 == 0)
goto cond_0;
...
v0 = Boolean->valueOf(v3); // v3=1=true
:goto_0
return v0;
:cond_0
v0 = Boolean->valueOf(v2); // v2=0=false
goto: goto_0;
==== Example 2 ====
# virtual methods
.method protected varargs doInBackground([Ljava/lang/String;)Ljava/lang/String;
.locals 17
.parameter "uri"
.prologue
.line 28
invoke-static {}, Landroid/os/Debug;->isDebuggerConnected()Z
move-result v14
if-eqz v14, :cond_0
.line 29
const/16 v14, 0x539
div-int/lit8 v14, v14, 0x0
.line 31
:cond_0
const/4 v11, 0x0
.line 34
.local v11, url:Ljava/net/URL;
:try_start_0
new-instance v12, Ljava/net/URL;
const/4 v14, 0x0
aget-object v14, p1, v14
invoke-direct {v12, v14}, Ljava/net/URL;-><init>(Ljava/lang/String;)V // <init>() 괄호 안에 변수 갯수 = 파라미터 갯수, 즉 v14만 파라미터 v12 는 리턴값 저장
:try_end_0
.catch Ljava/net/MalformedURLException; {:try_start_0 .. :try_end_0} :catch_1
.end local v11 #url:Ljava/net/URL; // 이런건 다 코멘트
.local v12, url:Ljava/net/URL;
move-object v11, v12
.line 41
.end local v12 #url:Ljava/net/URL;
.restart local v11 #url:Ljava/net/URL;
:goto_0
const/4 v13, 0x0
.line 44
.local v13, urlConnection:Ljava/net/HttpURLConnection;
:try_start_1
invoke-virtual {v11}, Ljava/net/URL;->openConnection()Ljava/net/URLConnection;
move-result-object v14
move-object v0, v14
check-cast v0, Ljava/net/HttpURLConnection;
move-object v13, v0
.line 47
const/4 v14, 0x1
invoke-virtual {v13, v14}, Ljava/net/HttpURLConnection;->setDoOutput(Z)V // Z -> 하나의 파라미터 나타냄, v13.HttpURLConnection->setDoOutput(v14);
.line 48
const-string v14, "POST"
invoke-virtual {v13, v14}, Ljava/net/HttpURLConnection;->setRequestMethod(Ljava/lang/String;)V
.line 51
invoke-static {v13}, Lops/black/herpderper/TrustModifier;->relaxHostChecking(Ljava/net/HttpURLConnection;)V
.line 52
invoke-virtual {v13}, Ljava/net/HttpURLConnection;->getOutputStream()Ljava/io/OutputStream;
move-result-object v5
.line 55
.local v5, out:Ljava/io/OutputStream; // v5 = get_OutputStream();
const/4 v14, 0x1
aget-object v14, p1, v14
const-string v15, "UTF-8"
...
:catch_1
move-exception v1
.line 38
.local v1, e1:Ljava/net/MalformedURLException;
invoke-virtual {v1}, Ljava/net/MalformedURLException;->printStackTrace()V
goto/16 :goto_0
==== Result 2 ====
protected String doInBackground(String[] uri) {
v14 = android.os.Debug.isDebuggerConnected();
if(v14==0)
goto cond_0;
v14 = 0x539;
v14 = v14 / 0;
:cond_0
v11 = 0;
v11 = url:Ljava/net/URL;
:try_start_0
v12 = java/net/URL;
v14 = 0;
v14 = uri[v14]; // v14 = uri[0];
v12 = URL->init(v14);
:try_end_0
.catch MalformedURLException :catch_1
v11 = (java/net/URL) v12;
:goto_0
v13 = 0;
v13 = (HttpURLConnection) v13;
:try_start_1
v14 = URL->openConnection(v11);
v0 = v14;
v0 = (HttpURLConnection) v0;
v13 = v0;
v14 = 1;
v13.setDoOutput(v14);
v14 = "POST";
v13.setRequestMethod(v14);
ops.black.herpderper.TrustModifier.relaxHostChecking(v13);
v5 = getOutputStream(v13);
v14 = 1;
v14 = uri[v14];

2013년 11월 29일 금요일

무비덕 (MovieDuk)

MovieDuk

What is MovieDuk

Link

Author

Copyright

Screenshot

[Python] 포탈봇

2013년 11월 1일 금요일

[Network] 패킷 분석

[Android] smali 디컴파일