ICMP Backdoor 逆向分析

之前有討論過關於後門(Backdoor)/木馬(Trojan)的分析，也說明它有兩種運行的方式，大多數惡意程式會使用Reverse Backdoor來建立未授權的遠端連線到駭客的中繼站，那麼它並不會馬上建立Reverse Backdoor的連線，所以需要使用HTTP(80)或SSL(443)來當作媒介，只要駭客傳遞給惡意程式指令，就能建立Reverse Sell(未授權的遠端連線)，這樣就很難發現當前系統有被執行Reverse Sell，那麼最常當作媒介不外乎就是HTTP和SSL，這兩種網路協定，因此這篇就討論另一個有趣的協定ICMP，透過它來當作傳遞執行Reverse Sell的指令。

Linux - Rootkit

現今越來越多惡意程式在肆虐系統，不過大多數的惡意程式，防毒軟體都可以識別，像是後門/木馬、檔案加密、鍵盤側錄等等都可以輕易阻擋，然而也有進階的惡意程式非常難抵抗，像是Rootkit，那麼什麼是Rootkit，顧名思義就是能提升到root權限的程式，不過它有二種形式的運行方式，第一種是在應用層(ring3)幫助駭客提升權限，這種就很好解決它，另一種是存在於核心層(ring0)，這種就比較頭痛，因為它能攔截(Hook)系統呼叫(system call)，所以能輕易的隱藏檔案、防止檔案被刪除，甚至無法將它移除(需要找到它的實際檔案在哪裡，不然無法根除)，因此防毒軟體才會難以阻擋這種高強度的惡意程式，那我們就來瞭解要如何利用Rootkit來提升權限。

106年金盾決賽試題 - Heap overflow

在整理檔案時，發現封存在D槽已久的檔案，這個檔案就是當時負責的計劃”金盾決賽題目”，我被分配到的題目難度是困難的等級，因此就有一些大膽的想法。就在不久之前，有同事約我打Defcon的競賽，那次也是第一次參與這個競賽，只解出幾題，同時也發現竟然這些題目都是跟Linux漏洞相關的題目，像是stack、heap、format string等等的弱點分析，當下覺得蠻驚訝的，因為這些都是以前在大學研究過的弱點，很少競賽會將題目出的如此實戰，所以藉由這次比賽經驗，能讓我將題目設計的更加實戰。