Secure-Ark

세상에는 진짜 개같이 잘만든 오픈소스들이 많다. 구경하면 좋은 게 많은데, 시간 날 때마다 분석하고 논다. 그 중에서 정말 정말 개같이 잘만든 오픈소스들을 소개해본다.

ETW를 사용해서 합리적으로 파일/프로세스/레지스트리/네트워크를 추적하는 방법 중에는, 네트워크는 TCPIP/UDP를 이용할 수 있을 것으로 보인다. [TCP/IP에 대한 MOF 클래스를 알아보자] https://docs.microsoft.com/en-us/windows/win32/etw/tcpip TcpIp class - Win32 apps TcpIp class - This class is the parent class for TCP/IP events. The following syntax is simplified from MOF code. docs.microsoft.com To enable TCP/IP events in an NT Kernel logging session, specify the EVE..

뭐 이런 패킷 감시가 있긴한데, 이건 내가 원하는게 아니고 네트워크을 알아보고 싶은 거라 ip가 바뀐다던가, dns가 바뀐다던가 하는 https://code-examples.net/ko/q/2249e4 python - 파일 - 파이썬 네트워크 모니터링 code-examples.net 1) 로우소켓을 구현하거나 2) 드라이버로 가로채거나 -> 귀찮다 3) 주기적으로 변경 내역을 캐싱하거나 -> 정확하지 않다(시점이) 결과적으로 winapi 중에 network notify에 대한 것을 찾아야 하는데 https://docs.microsoft.com/en-us/windows/win32/iphlp/receiving-notification-of-network-events Receiving Notification o..

파이썬으로 레지스트리 감시 기능을 알고 싶어서 찾던 중에 이런 블로그 내용이 보였다. https://greenfishblog.tistory.com/226 Registry 변경 감시를 위한 간단 코드 공유 레지스트리값이 변경되었는지를 감시하는 코드를 공유합니다. 보통 RegNotifyChangeKeyValue(...)가 사용되는데, Thread 사용 없이, IOCP와 thread pool등을 이용하여 간단히 구현한 코드로 구성되었습니다. Re greenfishblog.tistory.com 음,, 결과적으로 스택 오버플로우에 찾다보니 파이썬으로 레지스트리 감시하는 건 적당한 건 없고, 위 아래 내용을 합쳐 정리해보니, win32api를 랩핑해서 ctypes나 파이썬 라이브러리 혹은 pyd를 만들어야 할 것으..

왜 ETW를 여러 곳에서 많이 쓰지는 않는지 보니까 파일이나 프로세스, 스레드 이런 건 괜찮은데 네트워크, 레지스트리 등이 너무 난해하군, INTERNALS랑 내부 구조까지 다 알아야 찾겠군 https://docs.microsoft.com/en-us/previous-versions//cc750583(v=technet.10)?redirectedfrom=MSDN Inside the Registry Table of contents Inside the Registry Article 02/20/2014 23 minutes to read In this article --> Archived content. No warranty is made as to technical accuracy. Content may cont..