2014 CodeEngn Conference 11 웹브라우저 구조에 따른 자바스크립트 난독화 알아보기 이제는 인터넷 없이 생활조차 하기 힘든 세상으로 킬러 어플리케이션로 자리잡았다. 이러한 인터넷 환경에서 웹 사이트 방문만으로 악성코드에 감염 될 수 있다. 이 공격을 드라이브-바이 다운로드 (Drive-By Download)로 불리며, 웹 해킹, 소프트웨어 취약점, 악성코드를 같이 사용하는 공격 기술이다. 그리고 공격에 사용되는 별개의 기술들을 하나로 묶어 주는 것이 자바스크립트로 탐지와 분석을 어렵게 하기위해 난독화를 사용한다. 그러면, 왜 자바스크립트 난독화가 생길 수 있는지 브라우저 컴포넌트 구조를 통해 알아보고, 종류에 대해 알아본다. 그리고 자바스크립트 난독화를 해제하기 위한 방법론에 대해서도 알아본다. http://codeengn.com/conference/11 http://codeengn.com/conference/archive

1. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
What the f**k
JS Obfuscation
Choi
Woo-Seok
www.CodeEngn.com
2014 CodeEngn Conference 11

2. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
Intro
• 이름

3. : 최우석
• 소속

4. : ㈜

5. 한국정보보호교육센터
F-NGS 부설연구소

6. 선임연구원
• 취미

7. : 문화생활
• 특기

8. : 편법, 우회
• 연구활동

9. : DBD, OpenSource
• Blog : www.hakawati.co.kr
• Facebook : FB/hakawati2
• Email : hakawati@naver.com
• Community : 보안프로젝트

10. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소

11. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소

12. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
95, Opera 1.0
94, NETSCAPE 0.x
09, IE 8 CSS2.1
07, Netscape 종료
04, Firefox 1.0
01, IE 6 Vulnerability Patches
98, IE 5 Ruby, XML/XSL
97, IE 4, HTML, CSS
1990 2012
High
Low
96, IE 3, VBScript, JavaScript, CSS, Java
11, IE 9, CSS3, HTML5
95, IE 1, MS 인수, IE 2
02, Firebird 0.1
03, Safari 1
08, Chrome 0.2
92, Mosaic
06, IE 7 PNG, Phishing filter
96, IE 3, VBScript, JavaScript, CSS,
Java

13. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
All code in the word
Breaking the Code

17. Color, Font, Bold, Position
Code Engn
The engine = Your brain

21. =

22. Your

23. brain
…
Document
Text, Image…
HTML
CSS

24. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
Javascript

25. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
User Interface
Layout
Engine
Browser Engine Data Persistence
HTML Parser
CSS Parser
Image
XML Parser
JavaScript Engine
Java Applet
Networking
Display(UI) Backend
Rendering
Engine
ActiveX Control

26. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
User Interface
Layout
Engine
Browser Engine Data Persistence
HTML Parser eval, unescape, …
CSS Parser
Image
XML Parser
JavaScript Engine
Java Applet
Networking
Display(UI) Backend
Rendering
Engine
ActiveX Control
document.write,
document.writeln
….

27. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소

28. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
난독화가

29. 뭐냐?

30. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소

31. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소

32. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소

33. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
왜

34. 사용하나?

35. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
소스코드 보호 보안 장비 우회

36. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
단순

37. 웹

38. 사이트

39. 방문만으로

40. 악성코드에

41. 노출

42.
드라이브-바이

43. 다운로드

44. 공격
일반적으로

45. 웹

46. 페이지에서

47. 악의적인

48. 목적에

49. 의해

50. 사용자에게

51. 메시지를

52. 표시하지

53. 않고

54. 스크립
트(Script)

55. 등의

56. 계기로

57. 악의적인

58. 소프트웨어(Malware)를

59. 다운로드하고

60. 실행하는

61. 것

62. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
뉴스
파일공
유
블로그 검색
경유지(Landing Pages)
…
Hopping Pages
…
중계지(Hopping Pages)
Exploit Pages
Malware Repository
유포지(Distribution Pages)
난독화 대상 영역

63. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
… Landing Pages
Hopping Pages
Exploit Pages
Malware Repository
뉴스
파일공
유
블로그 검색
경유지(Landing Pages)

64. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소

65. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
사이트

66. 관리자인

67. 박보안

68. 양은

69. KISA로부터

70. 웹사이트에서

71. 악성코드가

72. 배포되고

73. 있다는

74. 연
락을

75. 받았습니다.

76. 사이트에

77. 접속한

78. 결과,

79. 이상

80. 징후가

81. 발견되어

82. 급하게

83. 패킷을

84. 캡쳐하였습
니다.

85. 박보안

86. 양이

87. 수집한

88. 패킷을

89. 분석하여

90. 악성코드의

91. 감염

92. 과정을

93. 파악해보세요.

94.
사실 이분이 ‘박보
안 양’
productsearch.php

95. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
난독화

96. 종류

97. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
뉴스
파일공
유
블로그 검색
경유지(Landing Pages)
…
Hopping Pages
…
중계지(Hopping Pages)
Exploit Pages
Malware Repository
유포지(Distribution Pages)

98. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
16진수

99. 난독화

100. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
Dean

101. Edward’s

102. /Packer/

103. Algorithm

104. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
Yosuke

105. HASEGAWA’s

106. jjencode

107. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
Dehydrating

108. a

109. string

110. Technique

111. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
뉴스
파일공
유
블로그 검색
경유지(Landing Pages)
…
Hopping Pages
…
중계지(Hopping Pages)
Exploit Pages
Malware Repository
유포지(Distribution Pages)

112. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
Gondad

113. EK

114. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
CK

115. VIP

117. JS

118. NB

119. VIP

121. Caihong

122. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
Sweet

123. Orange

124. EK

125. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
RIG

126. EK

127. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
난독화

128. 해제

129. 방법

130. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
eval();
unescape();
result
document.write();
document.writeln();
alert();
소스코드

131. 수정

132. -1
Execute
document.write();
+

133. xmp
Replace Insert
Webkit

134. in

135. Browsers

136. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
소스코드

137. 수정

138. -2

139. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
도구를

140. 이용한

141. 난독화

142. 해제

143. -1
Parser
Replace
Execute
Deobfusc
ation
JavaScript Engine

144. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
도구를

145. 이용한

146. 난독화

147. 해제

148. -2
Malzilla Jsunpack-n JSDetox
Deobfuscator SpiderMonkey revelo

149. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
도구를

150. 이용한

151. 난독화

152. 해제

153. -3

154. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
프로그래밍

155. -1

156. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
프로그래밍

157. -2

158. CodeEngn Conference 2014
File Edit View History Bookmark Window Help
http://www.hakawati.co.kr/
Search
㈜ 한국정보보호교육센터 FNGS 부설연구소
www.CodeEngn.com
2014 CodeEngn Conference 11