Windowsカーネルから見るオブジェクトハンドル - ラック・セキュリティごった煮ブログ
デジタルペンテスト部の北原です。 今回は、Windowsでのツール開発者にとっては重要なハンドルの内部について解説します。 Windowsでは、ファイルやプロセスから始まりすべてのリソースはオブジェクトとして扱われ、ファイルの削除やメモリの確保にはハンドルを取得する必要があります。 ツールやアプリケーションの開発者にとっては、日常的にハンドルを操作する機会がありますが、通常の利用者にとってはあまり意識するものではありません。 本記事では、Windows OSでのハンドルの役割と、OS内部でどの様に管理されているのかについて解説します。 記事の構成は以下の通りです。 ハンドルの役割とアクセス権限 ハンドルへの情報の問い合わせと操作 カーネル空間でのハンドル管理 応用例1 - オブジェクトをロックしているプロセスの特定 応用例2 - カーネルモードルートキット 本記事は以下の読者層を想定してい
WindowsのコマンドラインからUSBデバイスについて調べる方法 (1/2)
PowerShellのGet-CimInstanceコマンドを使うと、コマンドラインからUSBデバイスなどを検索で見つけることができる USBデバイスについて調べたくなることがある。簡単な方法としては、コントロールパネルのデバイスマネージャーがあるが、デバイスを探す場合は目視となるため、どうも面倒なことが多い。最近では、ラップトップやタブレットなどの内蔵デバイスもUSB接続になっていることがあり、マウスやキーボードのようにケーブルがつながっているものだけがUSBデバイスとして存在するわけでもない。 USBデバイスをコマンドラインで調べる コマンドラインから簡単にUSBデバイスを調べるには、PowerShellのGet-CimInstanceコマンドが利用できる。このとき、以下の表のようなクラスを指定することで各種のUSB関連情報を得ることが可能だ。 まず、すべてのデバイスは、「Win32_
)
IE が不規則にクラッシュする問題
私はバグのあるソフトウェアの影響を受けなくて済む日が来るのを待ち焦がれてはいますが、自分の身に起こったトラブルシューティングが必要な問題を解決すると、良いこともあります。トラブルシューティングの過程では、私の "技法コレクション" に追加して "Case of the Unexplained..." (原因不明の...の問題) というプレゼンテーションやブログ記事で皆さんにご紹介できる新しい手法が見つかることがよくあります。先日も、非常に興味深い事例を無事に解決することができました。この事例は、私が Web ページを読んでいるときに Internet Explorer (IE) がクラッシュしたことから始まります。次に示すのは、その際に表示されたダイアログ ボックスです。 図 1 私は、システムでもアプリケーションでも、クラッシュが発生したときは必ず調べてみます。保証はできませんが、数分も
Visual Studioを使ったネットワークカーネルデバッグの方法
こんにちは、JS です。 今回は、Visual Studio を使ったネットワーク接続でのカーネルデバッグについて、設定の手順を紹介したいと思います。 最近、シリアルポートがない PC が多いため、手軽に利用できるネットワークケーブルでのカーネルデバッグの接続方法に関するお問い合わせが増えております。WinDbg を使った方法は、すでに K 里さんが「ネットワークケーブルを用いたカーネルデバッグ接続の設定手順」で書かれているので、今回は Visual Studio で接続する方法をご案内したいと思います。MSDN ドキュメントにも、「Setting Up Kernel-Mode Debugging over a Network Cable in Visual Studio」の記事が用意されているので、併せてご確認いただければ幸いです。 主な手順は以下の 3 つになります。 1．環境の用意
「ハッカー文化」と「オタク文化」の違い、または手段の目的化によるイノベーション : けんすう日記
日本が世界で勝つかを考えていたら・・・ 先日、とある雑誌の対談をしたのですが、そこで「アメリカ的な文化というものは、そのまま『グローバル』というものにつながっているけど、そのグローバルな時代に、日本が勝つにはどうしたらいいか？」みたいな話題がありました。 そこで僕は「それぞれの国が持っている文脈（コンテキスト）を活用したものでないと、世界では到底ユニークにはなれない」という風な発言をしてたのですが、「いやいや、そもそも日本が今まで勝ってきたものの共通点は何だっけ？」と思ったのです。 いろいろ考えたのですが、アメリカは「ハッカー文化」であるが、日本は「オタク文化」であり、オタク文化とは「手段を目的化することで、ユニークなものができる」という仮説にたどり着きました。 というわけで、そのことについてブログを書いてみます。 アメリカ文化とはどういうものか では、まず対比として、アメリカ文化について
＠IT：そこはコンピュータ版「精神と時の部屋」 セキュリティ＆プログラミングキャンプ 2010 Linux組レポート（1/3）
全国各地から選ばれた若者が、4泊5日でセキュリティ、あるいはプログラミングの専門知識にどっぷり浸かる「セキュリティ＆プログラミングキャンプ」が今年も開催されました。このうち、Linuxカーネル組がどんな課題に取り組んだのかを紹介します。（編集部） 富士通株式会社 Linux開発統括部 武内 覚 2010/9/14 恒例になりつつある4泊5日の「キャンプ」 コンピュータが好きでたまらない学生たちが集う、毎年恒例の「セキュリティ＆プログラミングキャンプ」が、今年も開催されました。これはお盆の時期にキャンプ地（今年は去年と同じ、千葉の国際能力開発支援センター）に4泊5日でこもりっきりになり、セキュリティ、あるいはプログラミングの高度な専門知識を得るという熱いイベントです。 講師陣も豪華で、各分野について日本を代表する専門家がそろっています。講師リストの中には、誰かしら聞いたことのある名前があるの
Kernel exploitation – r0 to r3 transitions via KeUserModeCallback – j00ru//vx tech blog
Kernel exploitation – r0 to r3 transitions via KeUserModeCallback I have recently came across (well, not entirely by myself… cheers Nahuel!) a fairly (un)common problem related to performing ring0-to-ring3 transitions, after a successful kernel vulnerability exploitation. As I have managed to come up with a bunch of possible solutions, and even write example code for some of these, today I would l
Windows CSRSS Write Up: Inter-process Communication (part 2/3) – j00ru//vx tech blog
Windows CSRSS Write Up: Inter-process Communication (part 2/3) A quick beginning note: My friend d0c_s4vage has created a technical blog and posted his first text just a few days ago. The post entry covers a recent, critical libpng vulnerability discovered by this guy; the interesting thing is that, among others, the latest Firefox and Chrome versions were vulnerable. Feel free to take a minute an
Windows CSRSS Write Up: Inter-process Communication (part 1/3) – j00ru//vx tech blog
Windows CSRSS Write Up: Inter-process Communication (part 1/3) In the second post of the Windows CSRSS Write Up series, I would like to explain how the practical communication between the Windows Subsystem and user’s process takes place under the hood. Due to the fact that some major improvements have been introduced in Windows Vista and later, the entire article is split into two parts – the firs
Windows CSRSS write up: the basics – j00ru//vx tech blog
The following post entry opens a series of CSRSS-oriented articles, aiming at describing the uncovered CSRSS mechanism internals, present in the Windows OS for more than fifteen years now. Although some great research has already been carried out by a few curious guys (check out the references), no thorough case study is available until now. In this series, I am going to cover both the very basic
Microsoft Azure: クラウド コンピューティング サービス
ツールを活用して面倒な作業をこなし、Azure を使う開発者のイノベーションを効率化しましょう。プリペイドで始めることも、最大 30 日間無料で Azure を試すこともできます。開始の際に使用期間の確約はなく、いつでもキャンセルできます。
Twitter用APIを悪用したJavaScriptの多重難読化
現在のIT部門にとって最大の脅威は、マルウエアに感染したWebページではないだろうか。マルウエアに感染したHTML文書は大抵の場合、活動内容を隠しておくために、JavaScriptで攻撃用コンテンツを動的に生成するようになっている。セキュリティ検査で発見されないようにするため、こうした攻撃の手口はどんどん複雑化している。今回分析するのは、自動解読エンジンをごまかす細工と5段階の難読化が施されたサンプルだ。 分析対象はWebページに感染した6Kバイトの難読化JavaScriptであり、解読していくと最後に攻撃用サイトを指す一つのiframeタグが現れる。攻撃者は暗号表やXOR演算、代入暗号に加え、古典的な文字入れ替えといった手法を組み合わせることで、最終的なコンテンツを隠そうとしている。当ブログでも以前こうした難読化手法をいくつか紹介した。 解読するには、ペイロードとなっているこのJavaS
Spy: A Windows CE API Interceptor
Spy: A Windows CE API Interceptor By Dmitri Leman, October 01, 2003 Spy, Dmitri's Windows CE API spy, is a valuable tool for exploring, troubleshooting, and debugging Windows CE-based applications. Solving application and driver debugging problems Dmitri is a consultant in the Silicon Valley specializing in embedded-system integration and driver/application development. He can be reached at [email
Mark's Blog
Mark Russinovich's technical blog covering topics such as Windows troubleshooting, technologies and security. Hunting Down and Killing Ransomware Scareware, a type of malware that mimics antimalware software, has been around for a decade and... Author: Mark Russinovich Date: 01/02/2013 Windows Azure Host Updates: Why, When, and How Windows Azure’s compute platform, which includes Web Roles, Worker
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
プログラムを動かしてるプログラムって何なの？ : VIPPERな俺
Excel 方眼紙撲滅委員会 活動報告 2012.11 #odstudy
Loading...
Mysteries of Windows Memory Management Revealed, Part 2 of 2 - PDC10
http://player.microsoftpdc.com/Session/1689962d-dea2-48bd-80d8-96e954fa5329
Mark's Blog