윈도우 인증 암호 우회 기법 (A Method for Bypassing Window Authentication)

서지정보

· 발행기관 : 한국디지털포렌식학회
· 수록지 정보 : 디지털포렌식연구 / 2권 / 1호 / 93 ~ 103페이지
· 저자명 : 방제완, 이상진

초록

운영체제에 의해서 동작하고 있는 온라인 상태의 라이브 시스템에서는 프로세스 테이블, 메모리 영역 정보 등과 같은 저장매체에서 얻을 수 없는 휘발성 데이터를 획득할 수 있다. 하지만 사용자 인증이 이루어져 있지 않거나 잠긴 상태의 윈도우 시스템의 경우 시스템 접근이 불가능해 전원 차단 후 저장매체 내용을 수집한다. 이 과정에서 증거 가능성이 있는 라이브 데이터를 유실하게 된다. 이에 본 논문은 윈도우 시스템의 사용자 인증에 사용되는 정보를 살펴보고 IEEE-1394[1] Interface를 통한 물리 메모리 직접 접근과 SAM[2]파일로 관리되는 계정 정보를 통해 하드웨어 기반의 윈도우 시스템 인증 우회 도구를 구현하여 인증이 필요한 라이브 상태 시스템의 휘발성 데이터 취득을 가능하게 하였다.

영어초록

In online live system where the operating system is under operation, volatile data that cannot be attained through storage such as process table and memory range information can be achieved. However, contents of the storage are collected when user Authentication is not made or system access is impossible in case of locked Windows system after cutting off the power. Through this process, live data with possibility of Authentication are lost. Therefore, this paper observes information used for user Authentication in Windows system and allows to achieve volatile data in live system needed for Authentication bypassing Window Authentication tool based on IEEE-1394 through account information modified with physical memory direct access and SAM file.

참고자료

· 없음