[06] pspcid&csrss 우회하기(PROCESS) :: Anti Memory Forensics/Volatility

OBJECT_HEADER 구조체의 TypeIndex를 변조하면 pspcid와 csrss 두 필드 모두 우회할 수 있다.

 

TypeIndex를 확인하기 위해 dt로 OBJECT_HEADER를 확인해주었다.

 

TypeIndex는 0x18에 위치해있다.

 

HxD로 MalwareProcess의 물리주소로 이동해주었다.

 

EPROCESS의 시그니처를 확인하고, 이로부터 0x18만큼 위로 이동했다.

OBJECTHEADER는 EPROCESS 위에 있기 때문이다.

 

07로 되어있는 TypeIndex 값을 00으로 변조해주었다.

그리고 psxview로 우회가 되었나 확인해주었다.

 

 

pspcid와 csrss가 은닉되었음을 확인할 수 있다.