디렉토리를 용량순으로 표시하는 방법

원래 du 명령을 사용하면 14K > 12M로 표시되는 걸 다음과 같이 표시하는 방법이다.

ex) 현재 디렉토리 내 A, B, C 폴더, a, b, c 파일을 용량순으로 표시(M, K 이런식으로..)

12M A

9M  C

1M  B

14K b

10K a

0     c

du -ks * | sort -nr | cut -f2 | xargs -d '\n' du -sh

이런식으로 하면 됩니다.

-ks (block-size 1K & total size 1 depth)

-nr (numeric-sort & reverse) : r 주면 역순으로 재배치, 숫자에 따라 내림차순 또는 오름차순

xargs -d (delimiter) '\n' du -sh : 이건 du -sh를 엔터를 허용해서 표시

-sh는 사이즈를 인간이 보기편하게 보는 옵션

관련 포스트

http://arisri.tistory.com/entry/%EB%A6%AC%EB%88%85%EC%8A%A4-du-%EB%AA%85%EB%A0%B9%EB%94%94%EB%A0%89%ED%86%A0%EB%A6%AC-%EC%9A%A9%EB%9F%89-%ED%99%95%EC%9D%B8-%EC%9D%91%EC%9A%A9

http://en.wikipedia.org/wiki/Indoor_positioning_system

실내 및 근거리 내 위치를 찾아내는 시스템들....

wifi 수신감도를 3차원으로 해석할 수 있으면 삼각측량법이 아니여도

위치의 정확도를 높일 수 있지 않을까

Set과 Map은 저장된 방식의 차이다. 둘다 순서는 없다.

HashSet : {1, 2, 3, 4, 5}

HashMap : {a->1, b->2, c->2, d, ->1}

HashMap은 중복 데이터 허용, HashSet는 불허용

HashSet은 키가 곧 데이터이고 HashMap은 키값이 지정됨(??). 둘다 인덱싱을 하지 않지만 데이터를 찾아가는 방식이 차이가 있음.

그리고 Set은 그냥 집합임(Set이 한글로 집합)

이번 악성코드를 살펴보니 자식 프로세스에 메모리를 재할당하고 Thread Context 구조체를 활용, OEP를 원하는 지점으로 수정하는 방법을 사용하고 있었다.

찾아보니 이미 HOWTO가 많이 검색되었다.

아래는 320변종이라는 악성코드가 사용하는 코드

악성코드가 Thread Context 구조체를 접근하는 이유는 Eax, Ebx가 각각 특정 포인터 역할을 하기 때문이다.

Context.Eax =>Original Entiry Point(OEP)

Context.Ebx =>Process Environment Block(PEB)

(PEB + 8 offset은 Image Base Address이므로 PEB 주소를 알면 이를 수정할 수 있다.)

Eax를 보면 OEP가 수정되었다는 것을 알 수 있다.

MFC 리버싱하기

http://quequero.org/2008/08/guidelines-to-mfc-reversing/

Guidelines to MFC Reversing

• Debuggers:
  • OllyDbg, free, a fine debugger, for which you can find numerous user-made plugins and scripts to make it all the more useful.
  • WinDbg, free, a quite capable debugger by Microsoft. WinDbg is especially useful for looking at the Windows internals, since it knows more about the data structures than other debuggers.
  • SoftICE, SICE to friends. Commercial and development stopped in 2006. SoftICE is kind of a hardcore tool that runs beneath the operating system (and halts the whole system when invoked). SoftICE is still used by many professionals, although might be hard to obtain and might not work on some hardware (or software - namely, it will not work on Vista or NVIDIA gfx cards).
• Disassemblers:
  • IDA Pro, commercial, top of the line disassembler/debugger. Used by most professionals, like malware analysts etc. Costs quite a few bucks though.
  • W32Dasm, free, a bit dated but gets the job done. I believe W32Dasm is abandonware these days, and there are numerous user-created hacks to add some very useful functionality. You'll have to look around to find the best version.
• Decompilers:
  • Visual Basic: VB Decompiler, commercial, produces somewhat identifiable bytecode.
  • Delphi: DeDe, free, produces good quality source code.
  • C: HexRays, commercial, a plugin for IDA Pro by the same company. Produces great results but costs a big buck, and won't be sold to just anyone (or so I hear).
  • .NET(C#): dotPeek, free, decompiles .NET 1.0-4.5 assemblies to C#. Support for .dll, .exe, .zip, .vsix, .nupkg, and .winmd files.

Some related tools that might come handy in whatever it is you're doing are resource editors such asResourceHacker (free) and a good hex editor such as Hex Workshop (commercial).

최근 악성코드가 사용한 캡쳐 코드

{

  i = 0;

  do

  {

    v5 = 1;

    v6 = 0;

    v7 = 0;

    v8 = 0;

    GdiplusStartup(&v4, &v5, &v13);

    v1 = CreateDCA("DISPLAY", 0, 0, 0);

    H_value = GetDeviceCaps(v1, 8);             // H(가로)

    V_value = GetDeviceCaps(v1, 10);            // V(세로)

    v10 = 0;

    v9 = 0;

    Sleep(0xBB8u);

    GetTempPathW(0xC8u, &Buffer);

    wsprintfW(&Buffer, L"%s%d.jpg", &Buffer, i);

    v2 = CREATE_BITMAP(&v9);

    Save_img(v2, &Buffer);

    DeleteDC(v1);

    GdiplusShutdown(v4);

    ++i;

  }

  while ( i < 5 );

  Sleep(0x2710u);

  return sub_10001C90(&unk_10004140);

}

CREATE_BITMAP(&v9){

  v1 = a1;

  if ( IsRectEmpty(a1) )

  {

    result = 0;

  }

  else

  {

    v8 = CreateDCA("DISPLAY", 0, 0, 0);

    hDCA = v8;

    v9 = CreateCompatibleDC(v8);

    v10 = v1->top;

    v5 = v1->right;

    v6 = v9;

    v11 = v1->left;

    v4 = v1->bottom;

    v19 = v11;

    v18 = v10;

    H_value = GetDeviceCaps(hDCA, 8);

    V_value = GetDeviceCaps(hDCA, 10);

    if ( v19 < 0 )

      v19 = 0;

    if ( v18 < 0 )

      v18 = 0;

    if ( v5 > H_value )

      v5 = H_value;

    if ( v4 > V_value )

      v4 = V_value;

    v12 = v4 - v18;

    v13 = v5 - v19;

    v14 = CreateCompatibleBitmap(hDCA, v13, v12);

    v15 = SelectObject(v6, v14);

    BitBlt(v6, 0, 0, v13, v12, hDCA, v19, v18, 0xCC0020u);

    v16 = SelectObject(v6, v15);

    (DeleteDC)(v17, hDCA);

    DeleteDC(v6);

    result = v16;

  }

  return result;

}

Save_img(v2, &Buffer){

  v4 = 0;

  GdipCreateBitmapFromHBITMAP(this, 0, &v4);

  v3 = v4;

  jpeg_encode(&v6);

  v8 = dword_1000317C;

  v9 = dword_10003180;

  v7 = 1;

  v10 = dword_10003184;

  v12 = 1;

  v11 = dword_10003188;

  v14 = &v5;

  v13 = 4;

  v5 = 30;

  GdipSaveImageToFile(v3, a2, &v6, &v7);

  return GdipDisposeImage(v3);

}

http://precisionsec.com/virtualbox-host-only-network-cuckoo-sandbox-0-4-2/

virtualbox 설치 후 (cuckoo)agent.py와 xmlrpc로 연결되려면 host-only interface를 연결해야함

host-only 연결이지만 방화벽 설정 해주면 nat같이 사용가능. 아래 참조.

The purpose of this post is to guide you through setting up host-only networking using VirtualBox for Cuckoo Sandbox. Using this method you can have multiple analysis machines running on the same server concurrently while giving all of them access to the Internet. This method is preferred over bridged networking because you only need one external IP. This post assumes that you have Virtualbox and your guest VMs installed and Cuckoo extracted somewhere.

First create a host-only interface on host:

vboxmanage hostonlyif create
vboxmanage hostonlyif ipconfig vboxnet0 --ip 192.168.56.1

Now you should see vboxnet0 configured with that IP when running ifconfig:

vboxnet0  Link encap:Ethernet  HWaddr 0A:00:27:00:00:00  
          inet addr:192.168.56.1  Bcast:192.168.56.255  Mask:255.255.255.0
          inet6 addr: fe80::800:27ff:fe00:0/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:273 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 b)  TX bytes:31818 (31.0 KiB)

Next you need to set the NIC on the guest Virtual Machine as a host only interface. This can be done with the following commands:

vboxmanage modifyvm CuckooBox --hostonlyadapter1 vboxnet0
vboxmanage modifyvm CuckooBox --nic1 hostonly

Now you will have to set up networking on the guest to use the host as a gateway. I use the following settings:

Static IP - 192.168.56.101
DNS - any DNS server (8.8.8.8)
Default Gateway - 192.168.56.1

In order to have your Virtual Machines be able to access the internet you will have to add the followingiptables rules. This will forward packets through the host and on to the Internet:

iptables -A FORWARD -o eth0 -i vboxnet0 -s 192.168.56.0/24 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A POSTROUTING -t nat -j MASQUERADE

You will also need to enable IP forwarding on the host by issuing the following command (as root):

echo 1 > /proc/sys/net/ipv4/ip_forward

If everything worked properly you should now have Internet connectivity from the guest to the Internet and you should be able to ping back and forth between the guest and the host.

Now you need to install the agent on the guest and edit the conf/virtualbox.conf file with the correct parameters as outlined in the Cuckoo documentation, set up your snapshot and you are in business.

# du 2013-07-1* -h --max-depth=0 | sort -r -k 2

1.6G    2013-07-16

1.1G    2013-07-15

1.2G    2013-07-14

1.5G    2013-07-13

1.1G    2013-07-12

1.2G    2013-07-11

1.8G    2013-07-10

용량 순이 아닌 2번째 컬럼 순으로 정렬.

생각해둬야 할게 du 명령은 일단 실행된 뒤에 sort가 되므로 du 명령시 2013-07-1*과 같이 제한을 잘 걸어줘야 용량이 큰 디렉토리 결과를 잘 볼 수 있음. 그게 아니면 메모리상에 다 처리되고 sort가 되므로 상당한 시간이 흐른뒤에 결과를 볼 수 있음. sort 명령을 안하면 그나마 순차적으로 출력결과를 볼 수는 있음.

점점 이분 블로그도 많이 보이네요..포렌직 좀 공부해야는데 ㅎ

http://forensic-proof.com/slides

FUNDAMENTALS
 [FP] 디지털 포렌식 개요 (Introduction to dForensics).pdf (Last updated: 2013-05-15)
 [FP] 컴퓨터 구성 요소와 인터페이스 (Computer Components and Interfaces) (Last updated: 2011-10-12)
 [FP] 저장매체 (Storage) (Last updated: 2011-10-12)
 [FP] 부팅과 데이터 저장,전송 (Booting and Data Recording,Transmission) (Last updated: 2013-02-18)
 [FP] 디지털 데이터 표현 (Digital Data Representation) (Last updated: 2011-10-12)
 [FP] 하드디스크 구조 (HDD Components) (Last updated: 2011-10-12)
 [FP] 부팅 절차 (Boot Process) (Last updated: 2011-10-12)
 [FP] 메모리 포렌식 (Memory Forensics) (Last updated: 2011-10-12)
 [FP] 증거 획득 (Evidence Acquisition) (Last updated: 2011-09-01)
 [FP] Small Computer System Interface (ATA vs. SCSI) (Last updated: 2010-05-31)

FILESYSTEM
 [FP] File System, MBR, GPT (Last updated: 2011-10-12)
 [FP] FAT(12,16,32) File System (Last updated: 2011-10-12)
 [FP] exFAT File System (Last updated: 2011-10-12)
 [FP] NTFS (Last updated: 2011-10-12)
 [FP] File System Forensics (Last updated: 2011-10-12)

WINDOWS
 [FP] 사고(실시간) 대응 (Live Response) (Last updated: 2011-10-12)
 [FP] 레지스트리 포렌식과 보안 (Registry Forensics & Security) (Last updated: 2011-04-17)
 [FP] 프리(슈퍼) 패치 포렌식 (Pre & Superfetch Forensics) (Last updated: 2011-10-12)
 [FP] 바로가기(링크파일) 포렌식 (LNK File Forensics) (Last updated: 2011-10-12)
 [FP] 휴지통 포렌식 (Recycle Bin Forensics) (Last updated: 2011-10-12)
 [FP] 썸네일 포렌식 (Thumbnail Forensics) (Last updated: 2011-10-12)
 [FP] 윈도우7 – 파일시스템 (Windows7 – File System) (Last updated: 2011-10-12)
 [FP] 윈도우7 – 폴더 구조 (Windows7 – Folder Structure) (Last updated: 2011-10-12)
 [FP] 윈도우 7 – 점프 목록 (Windows7 – Jump List) (Last updated: 2011-10-12)

*NIX
 [FP] LVM(Logical Volume Manager) (Last updated: 2010-03-30)

ADVANCED
 [FP] 데이터 복구의 거의 모든 것 (Almost Everything for Data Recovery) (Last updated: 2013-05-30)
 [FP] 윈도우8은 포렌식도 다르다 (What’s changed in Windows8) (Last updated: 2012-09-20)
 [FP] 악성코드 포렌식 (Malware Forensics) (Last updated: 2012-07-31)
 [FP] 디지털포렌식 현황과 전망 (The Status and Prospects for dForensics in Korea) (Last updated: 2013-05-06)

ENCASE
 [FP] EnCase Fundamental (Last updated: 2011-03-01)
 [FP] A brief Introduction to EnScript (Last updated: 2010-08-10)
 [FP] EnCase Windows Operating System Artifacts (Last updated: 2010-05-31)
 [FP] EnCase #1 (Hardware & File_System) (Last updated: 2009-03-01)
 [FP] EnCase #2 (Acquiring Digital Evidence) (Last updated: 2009-03-01)
 [FP] EnCase #3 (EnCase Concepts & Environment) (Last updated: 2009-03-01)
 [FP] EnCase #6 Windows Operating System Artifacts – Part I (Last updated: 2009-03-01)
 [FP] EnCase #7 Windows Operating System Artifacts – Part II (Last updated: 2009-03-01)