AJLab - Since 2012.1.20

HHOOK WINAPI SetWindowsHookEx( __in int idHook,

__in HOOKPROC lpfn,

__in HINSTANCE hMod,

__in DWORD dwThreadId);

위와 같다.

그럼 스택을 이용해서 성현이가 작성한 코드에서 호출 한 것을 봐보면,

SetWindowsHookEx(3, GetMsgProc의 주소, 1, 0); 와 같은 방법으로 호출 한 것을 알 수 있다.

먼저 첫번째 인자는

즉 메시지 큐로 보내는 메시지 전체를 후커로 보낸다는 의미이고, 뒤에 설명을 보면 GetMsgProc 훅 프로시저에서 사용하는 걸 유추해 볼 수 있다.

그다음 두번째 인자는

후커, 즉 훅 프로시저의 포인터이고, 이건 위에서 얻은 GetProcAddress 함수의 리턴 값을 넣으면 될 것 같다.

세번째는 LoadLibrary 함수를 통해 얻은 "hook.dll" 핸들 값을 넣어주면 되고,

네번째는 후킹할 ThreadId 를 넣어주면 되는데, 특정 ThreadId 를 넣을 시 지역 후킹이 되고, 

0을 넣을 경우 전역 후킹이 되는데, 여기서 성현이는 전역 후킹을 사용했다.

계속해서 코드를 봤더니 역시 분기문을 통해 실패할 경우 메시지창을 띄우고 종료, 아닐 경우 다음으로 계속 진행되는데

여기서는 더이상 쓸모 있는 부분이 아니라 생략한다.

-hook.dll

자 이제 hook.dll 을 분석해보자.

일단 proja.exe 를 분석해서 알아낸 결과 hook.dll 에서 export 하는 함수인 GetMsgProc 함수를 찾아서 접근 해보았다.

GetMsgProc의 분기문 전까지 내용은 아래와 같다.

push    ebp

mov     ebp, esp

sub     esp, 48h

push    ebx

push    esi

push    edi

lea     edi, [ebp+var_48]

mov     ecx, 12h

mov     eax, 0CCCCCCCCh

rep stosd

mov     eax, [ebp+arg_8]

cmp     dword ptr [eax+4], 100h

jnz     short loc_100010AB

마지막에서 두번째 줄인, cmp dword ptr [eax+4], 100h 부분은 후킹한 메시지의 wParam 값을 확인 후 분기하는거 같은데,

일단 키로거이기 때문에 100h은 WM_KEYDOWN 이나 KEY와 관련된 값이란걸 유추 할 수 있다.

확인 하기 위해 msdn 에 검색해보면

#define WM_KEYDOWN                      0x0100

위와 같이 WM_KEYDOWN 이 0x0100 으로 가져온 메시지에서 wParam이 WM_KEYDOWN 메시지인지 확인 한 후 분기하는걸 알 수 있다.

mov     esi, esp

push    0               ; hTemplateFile

push    80h             ; dwFlagsAndAttributes

push    4               ; dwCreationDisposition

push    0               ; lpSecurityAttributes

push    0               ; dwShareMode

push    40000000h       ; dwDesiredAccess

push    offset FileName ; "c:\\test.txt"

call    ds:CreateFileA

WM_KEYDOWN 일 경우엔, 처음에 CreateFile 함수를 통해 c:\test.txt의 파일 포인터를 가져오는 것을 알 수 있다.

이것으로 키값을 proja.exe의 윈도우에 출력이 아니라 해당 파일에 출력하는 것이라 유추 해 볼 수 있다.

다음으로 

push    2               ; dwMoveMethod

push    0               ; lpDistanceToMoveHigh

push    0               ; lDistanceToMove

mov     ecx, [ebp+hObject]

push    ecx             ; hFile

call    ds:SetFilePointer

SetFilePointer 함수를 사용하는데, msdn에 찾아보았다.

DWORD SetFilePointer(   HANDLE hFile,   

                        LONG lDistanceToMove,   

                        PLONG lpDistanceToMoveHigh,   

                        DWORD dwMoveMethod); 

This function moves the file pointer of an open file. A RAPI version of this function exists, called CeSetFilePointer (RAPI).

설명을 읽어보면 파일포인터를 이동하는 함수란걸 알 수 있다.

아마도 이걸 사용한거면 새로 입력 받는 키 값은 파일에서 맨 마지막에 붙이는 것 같은데,, 한번 봐보자,

첫번째 인자값엔 c:\test.txt 파일의 핸들을 넣었고,

두번째 인자값엔 옮길 위치를 넣는데, 0으로 지정한 것으로 보아 뒤에 나오는 네번째 인수에서 결정 할 것 같다.

세번째 인자는 Not supported; must be NULL or point to a value of zero. ,, 파일의 크기가 2기가 이상일 경우 사용하는것인데 여기선 0으로, 즉 사용 안함

네번째 인자는 [in] Starting point for the file pointer move. The following table shows possible values for this parameter.,, 파일 포인트 이동 시작 지점을 정해주는 것이다.

0x0 FILE_BEGIN - Indicates that the starting point is zero or the beginning of the file.

0x1 FILE_CURRENT - Indicates that the starting point is the current value of the file pointer.

0x2 FILE_END - Indicates that the starting point is the current EOF position.

이렇게 세가지가 있으며 0x2로 되어 있으니 파일 포인트 시작지점을 맨마지막으로 설정한다.

push 0 ; lpOverlapped

lea edx, [ebp+NumberOfBytesWritten]

push edx ; lpNumberOfBytesWritten

push 1 ; nNumberOfBytesToWrite

mov eax, [ebp+arg_8]

add eax, 8

push eax ; lpBuffer

mov ecx, [ebp+hObject]

push ecx ; hFile

call ds:WriteFile

그다음 나오는게 위의 WriteFile 함수 호출부분인데, 이건 받은 메시지에서 눌린 키값을 파일에 써주는 부분이다.

mov edx, [ebp+hObject]

push edx ; hObject

call ds:CloseHandle

그다음 나오는게 CloseHandle 호출이며 이 함수는 파일 핸들을 닫아주는 것으로 보인다.

이로써 분석은 끝나고,,

막는 방법은 여러가지를 생각 할 수 있다.

솔직히 쉽게는 해당 프로세스의 패턴을 프로그램에 등록해서 막을 수는 있고 가장 쉬운 방법이지만

프로그램을 재컴파일하여 만약 패턴부분이 바뀐다면 사용 할 수 없는 방법이다. (지속적인 업데이트 필요)

하지만 이번 프로젝트에서는 저런 방식(키로거의 패턴을 뽑아내서 해당 프로그램 차단 방식)을 하려는게 아니니까,,

원래는 현재 작업 중인 프로젝트가 있는데 막바지라 진행 중이던 프로젝트를 끝마치고 방어 프로그램을 제작해서 올리려고 했는데

모처럼 창과방패 프로젝트에서 처음 나온 결과물이니 최대한 빨리 답변 해주고 싶어서 이렇게 일단 보고서라도 만들었다.

현재 진행중인 프로젝트는 1~2틀 내로 끝날 것 같다.

진행중인 프로젝트가 끝나면 성현이의 키로거 전용 탐지기가 아니라, Message 를 이용한 hooking 을 봉쇄하는 프로그램을 만들어서 업로드 하겠다.

-------------------------------------------------------------------------------------



해당 글은 분석 했을 당시 동아리 게시판에 올렸던 글입니다.



저때 진행 중이었던 작업이 d3d hooking 분석 이였고, 지금은 그 작업을 끝내고 방패프로그램을 만드는 중입니다~