문답 — 학습 범위와 다음 단계¶
원강좌의 내용을 모두 다뤘나요?¶
아직이며 남은 주제가 있습니다. 원강좌와 지금까지의 수업을 대조했고, 이 점검은 16강과 추가 질문의 상세 해설까지 반영합니다.
강의 번호는 이해하기 쉽게 나눈 학습 단위입니다. 원강좌의 구간과 일대일로 대응하거나 완료 비율을 뜻하지 않습니다. 아래 17~25강은 앞으로의 계획이며 이미 게시된 강의가 아닙니다.
현재 다룬 범위¶
| 원강좌의 주제 | 현재 수업 상태 |
|---|---|
| C2 구성, Listener, Implant 생성·전달 | 명령과 증거의 차이를 포함해 설명 |
| Session·Beacon, 체크인과 작업 시간 | 대상 선택·대화형 Session 예시와 함께 설명 |
| Payload·Stager·Loader | 개념 설명; 강좌 전용 Loader 구현은 재현하지 않음 |
| 백신 탐지와 실행 파일 분석 | 탐지·조치·결과 설명; PE-bear·DefenderCheck 직접 분석은 남음 |
| 계정과 권한 | 8·15강에서 토큰·Deny only·특권 상태·무결성 수준 설명; 도메인·공유 조사는 남음 |
| Armory와 BOF | 13강과 BOF·COFF·OBJ 문답에서 패키지 준비·코드 구조 설명 |
| 프로그램·.NET Assembly·BOF 실행 | 14강에서 방식과 명령 형태 설명; 설명용 Assembly를 직접 빌드·실행한 실습은 아님 |
| 프로세스·네트워크·환경 파악 도구 | 기본 인터페이스·연결 설명; 추가 진단 도구 실습은 남음 |
| Windows 서비스 설정 오류와 권한 상승 | 16강에서 실행 계정·관리/파일 권한·진단 경고·증거를 소개; 구체적인 설정 사례 분석은 남음 |
| 다른 신원을 이용한 실행과 횡적 이동 | 추가 설명이 남음 |
| 포트포워딩·SOCKS5 | 명령 예시와 SSH 가상환경으로 설명 |
| ProxyChains·NetExec을 통한 내부 SMB 접근 | 추가 설명이 남음 |
| 원강좌의 인증 공격 예시 | 아직 자세히 가르치지 않음 |
| SMB 공유 권한과 범위를 정한 파일 수집 | 추가 설명이 남음 |
‘설명’은 게시한 수업의 상태입니다. 모든 예시를 학습자의 VM에서 실행하고 성공 결과까지 확인했다는 뜻은 아닙니다. 명령 예시, 실제 실행, 성공 증거는 별개입니다.
지금까지 배운 강의 점검¶
| 강의 | 배운 내용 | 앞으로 연습할 부분 |
|---|---|---|
| 1~3강 | C2 구성, Listener·Implant, Session·Beacon, 체크인 | 작업 전달과 결과 수신의 시간 차이를 관찰에 연결 |
| 4~7강 | Payload·Stager·Loader, 생성·전달, 백신·EDR | 범위를 정한 실행 파일 분석 실습 |
| 8·15강 | 계정·토큰, Deny only, 특권, 무결성 수준 | 실제 권한 항목을 현재 토큰과 함께 읽기 |
| 9~12강 | 포트포워딩·SOCKS, 내부 SSH, 연결 기록, 소켓 | 학습자 VM에서 예시를 적용하고 증거 연결 |
| 13~14강 | Armory, BOF·COFF·OBJ, EXE·.NET 실행 | 간단한 정상 예제 빌드와 실행 결과 비교 |
| 16강 | Windows 서비스, 실행 계정, 관리·파일 권한 | 구체적인 서비스 설정의 발견 사항 분석 |
이전 답변에서 학습자는 다음을 올바르게 구분했습니다.
- HTTP 200과 완전한 파일 저장·임플란트 실행의 증거.
- 탐지 이벤트와 대응 조치의 성공 증거.
- 관리자 그룹 소속과 현재 프로세스의 승격.
- 늦거나 없는 결과와 확인된 작업 실패.
증거가 입증하는 범위를 판단한 답변입니다. 실제 실습 결과를 관찰한 것으로 대신 계산하지는 않습니다.
계속 연결해서 연습할 개념¶
| 반복할 개념 | 다음에 연결할 사례 |
|---|---|
| 현재 토큰과 자원 권한 | 이 컨텍스트로 특정 서비스·파일 작업을 할 수 있는가? |
| 연결 가능성·인증·인가 | 서버에 연결하고 로그인한 뒤 특정 공유까지 접근할 수 있는가? |
| 진단 결과와 실행 증거 | 경고가 입증하는 사실과 추가 확인이 필요한 부분은 무엇인가? |
강의에서 함께 발전시킨 설명¶
개념을 예제와 학습자의 추가 질문에 연결했습니다.
- 웹 서버를 경유해 내부 SSH VM에 연결하는 고정 포워딩·SOCKS5 구성.
- SSH 인증 기록, 출발지 해석, 임시 포트, TCP와 인증의 구분.
- LISTEN·ESTABLISHED의 한계, 라우팅·방화벽·가상 네트워크·컨테이너 포트 매핑.
- BOF·COFF의 보고서·DOCX 비유, 목적 파일의 컴파일·링크, 호환되는 로더 준비.
- 메모리 실행과 프로세스 위치의 차이.
- 권한 카드, Deny only, 특권 상태, 두 파일의 접근 예시.
- 서비스 진단 결과를 설명하는 관리자·작업 지시서 비유와 디스크 파일·실행 중 프로세스의 구분.
이해를 돕는 설명이며 원강좌의 모든 주제가 끝났다는 뜻은 아닙니다.
15강과 16강의 더 쉬운 진단 경고 설명에서 복습할 수 있습니다.
이어갈 학습 순서¶
서비스 권한에서 설정 분석·진단 도구·신원·SMB 인가·종합 실습으로 이어갑니다. 한 강의에 새로운 개념을 적게 넣고 짧은 출력을 읽으며 확인 문제와 해설을 함께 제공합니다.
17~25강 예정 계획¶
| 예정 강의 | 주제 | 배우게 될 내용과 방식 |
|---|---|---|
| 17강 | 서비스 관리 권한 읽기 | 조회·설정 변경·시작·중지 권한 구분, 서비스 객체와 실행 파일 권한 비교 |
| 18강 | 따옴표가 없는 서비스 실행 경로 | 공백과 경로 해석을 그림으로 설명, 경고가 실제 위험으로 이어지는 조건 확인 |
| 19강 | 진단 도구 결과 해석 | Seatbelt·SharpUp 등의 역할 비교, 발견 사항을 실제 설정·권한과 대조 |
| 20강 | 다른 계정으로 실행한다는 의미 | 로컬·도메인 계정, 현재·원격 컴퓨터, 다른 사용자·관리자 실행 구분 |
| 21강 | SMB와 공유 폴더 권한 | SMB, 공유 권한, NTFS 권한, 인증 성공 후에도 제한되는 파일 접근 |
| 22강 | 피벗을 통한 내부 SMB 접근 | 웹 경유 실습에 Windows 파일 서버 VM 추가, SOCKS·ProxyChains·NetExec 역할 구분, 준비된 테스트 계정으로 한 실습 서버 접근 |
| 23강 | 인증 시도와 인증 기록 | 암호 추측·패스워드 스프레이 비교, 실패·계정 잠금·성공 기록 해석 |
| 24강 | 실행 파일 분석과 탐지 결과 | PE 구조·문자열·해시를 작은 예제에 연결, 단서와 입증된 탐지 원인 구분 |
| 25강 | 종합 실습과 증거 점검 | C2·현재 신원·내부 서비스 접근·로그를 연결, 결과 기록과 실습 변경 사항 정리 |
추가 질문이 생기면 더 작은 강의로 나누면서 번호가 바뀔 수 있습니다. 위 표는 앞으로 가르칠 계획이며 완료된 실습 목록이 아닙니다.
BOF·.NET 설명을 관찰 가능한 결과와 연결하도록, 간단한 정상 계정 정보 출력 프로그램을 적절한 실행 방식으로 비교하는 짧은 실습도 넣겠습니다.
다음 17강은 어떻게 시작하나요?¶
가상의 서비스 하나를 놓고 다음 네 질문에 차례대로 답합니다.
- 서비스는 누구의 계정으로 실행되도록 설정되어 있는가?
- 현재 컨텍스트로 서비스 설정을 조회하거나 변경할 수 있는가?
- 현재 컨텍스트로 실행 파일이나 관련 폴더를 수정할 수 있는가?
- 현재 컨텍스트로 서비스를 시작하거나 중지할 수 있는가?
짧은 출력을 하나씩 읽은 뒤 서로 다른 권한을 가진 두 사용자를 비교합니다. 16강의 세 가지 권한을 실제로 구분하는 연습입니다.