umTTumT's Laboratory

윈도우용 안티 루트킷으로 유명한 IceSword.
Process Explorer와, tcpview 를 함께 이용하면 거의 무적이다.

첨부파일은,
IceSword 1.22와 SK Infosec 에서 제작한 한글 메뉴얼.

IceSword 공식 사이트 주소: http://www.antirootkit.com/software/IceSword.htm 

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

실타레 Rachael님이 Windows 7 Beta버전 빌드넘버 7106을 보내주셨다.
게다가 한글판!!
아무데서도 구할 수 없는 한글판 윈도우7
이게 어찌된 영문인지는 모르지만.
먼저 사용했던, 빌드 7000보다 매우 많이 만족하고 있다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

Windows Server를 관리하다보면, 리눅스와 달리 Shell 스크립트 제작에 불편함이 있다.
cmd로 기본적인 기능들의 구현은 가능하지만, 복잡한 작업을 하기에는 무리가 있다.
이를 극복하기 위해 Windows PowerShell이 나왔으며, Windows 2008 Server에서는 기본으로 체택하고 있다.
Windows PowerShell 1.0을 통하여 보다 많은 작업들이 가능해졌으며,
Windows PowerShell 1.0은 WIndows Server 2003 에서도 사용 가능했었으나, 3rd Party의 느낌이었다.
하지만 Windows 2008 Server 에서는 WIndows PowerShell 1.0을 기본으로 체택함과 동시에,
현재는 WIndows PowerShell 2.0이 발표 되었고, 보다 많은 기능들의 개선이 있었다.
Windows Server 2003용 PowerShell 1.0은 이곳 에서 구할 수 있으며, Windows PowerShell 2.0은 이곳에서 구할 수 있다.

그럼, 몇가지 간단한 예제들

PS C:\> Get-Help
항목
    Get-Help

간단한 설명
    PowerShell cmdlet 및 개념에 대한 도움말을 표시합니다.

PS C:\> Get-Help Get-Date

이름
    Get-Date

개요
    현재 날짜 및 시간을 가져옵니다.

기존 cmd의 echo와 같은 Write-Host. cmd의 명령들도 그대로 사용할 수 있다.

PS C:\Users\Administrator> Write-Host "Hello, World!"
Hello, World!
PS C:\Users\Administrator> echo "Hello, World!"
Hello, World!

시간 표시

PS C:\Users\Administrator> Date
2009년 2월 12일 목요일 오전 12:15:37
PS C:\Users\Administrator> Get-Date
2009년 2월 12일 목요일 오전 12:15:41

시간 가지고 놀기

PS C:\Documents and Settings\Administrator> [DateTime]
IsPublic IsSerial Name                                     BaseType
-------- -------- ----                                     --------
True     True     DateTime                                 System.ValueType
PS C:\Documents and Settings\Administrator> [DateTime]::Now
2009년 2월 12일 목요일 오전 12:21:43
PS C:\Documents and Settings\Administrator> [DateTime]::Now.ToString()
2009-02-12 오전 12:23:27
PS C:\Documents and Settings\Administrator> [DateTime]::Now.AddHours(-1)
2009년 2월 11일 수요일 오후 11:23:04
PS C:\Documents and Settings\Administrator> [DateTime]::Now.AddHours(1).ToString()
2009-02-12 오전 1:24:09

변수 및 시간 포맷 바꾸기

PS C:\Documents and Settings\Administrator> $a=1
PS C:\Documents and Settings\Administrator> write-host $a
1
PS C:\Documents and Settings\Administrator> $b=2
PS C:\Documents and Settings\Administrator> write-host $a+$b
1+2
PS C:\Documents and Settings\Administrator> $c=$a+$b
PS C:\Documents and Settings\Administrator> write-host $c
3
PS C:\Documents and Settings\Administrator> $date=[DateTime]::Now.AddHours(-2)
PS C:\Documents and Settings\Administrator> $date=get-date $date -uformat "%y%m%d%H"
PS C:\Documents and Settings\Administrator> write-host $date
09021122

get-command 명령

PS C:\Documents and Settings\Administrator> get-command wscript
CommandType     Name                                                Definition
-----------     ----                                                ----------
Application     wscript.exe                                         C:\WINDOWS\system32\wscript.exe
PS C:\> Get-Command *.msc
CommandType     Name                                                Definition
-----------     ----                                                ----------
Application     certmgr.msc                                         C:\WINDOWS\system32\certmgr.msc
Application     ciadv.msc                                           C:\WINDOWS\system32\ciadv.msc
Application     compmgmt.msc                                        C:\WINDOWS\system32\compmgmt.msc
Application     devmgmt.msc                                         C:\WINDOWS\system32\devmgmt.msc
Application     dfrg.msc                                            C:\WINDOWS\system32\dfrg.msc
Application     diskmgmt.msc                                        C:\WINDOWS\system32\diskmgmt.msc
Application     eventvwr.msc                                        C:\WINDOWS\system32\eventvwr.msc
Application     fsmgmt.msc                                          C:\WINDOWS\system32\fsmgmt.msc
Application     gpedit.msc                                          C:\WINDOWS\system32\gpedit.msc
Application     lusrmgr.msc                                         C:\WINDOWS\system32\lusrmgr.msc
Application     ntmsmgr.msc                                         C:\WINDOWS\system32\ntmsmgr.msc
Application     ntmsoprq.msc                                        C:\WINDOWS\system32\ntmsoprq.msc
Application     perfmon.msc                                         C:\WINDOWS\system32\perfmon.msc
Application     rsop.msc                                            C:\WINDOWS\system32\rsop.msc
Application     secpol.msc                                          C:\WINDOWS\system32\secpol.msc
Application     services.msc                                        C:\WINDOWS\system32\services.msc
Application     SQLServerManager.msc                                C:\WINDOWS\system32\SQLServerManager.msc
Application     SQLServerManager10.msc                              C:\WINDOWS\system32\SQLServerManager10.msc
Application     wmimgmt.msc                                         C:\WINDOWS\system32\wmimgmt.msc

get-process 명령

PS C:\> get-process

Handles  NPM(K)    PM(K)      WS(K) VM(M)   CPU(s)     Id ProcessName
-------  ------    -----      ----- -----   ------     -- -----------
    105       5     1224       3668    36     0.02   2796 alg
     39       3     1000       3360    31     0.09   2072 conime
    493       7     5344       6636    69    15.44    908 csrss
    150       6     1096       4424    39     0.89   1840 ctfmon
    149       6     4084       9580    45     0.77   1980 daemon
    170       5     3052       6632    57     0.13   1792 dpupdchk

PS C:\> $a = get-process
PS C:\> get-process -inputobject $a | format-table -view priority


   PriorityClass: Normal

ProcessName                  Id   HandleCount   WorkingSet
-----------                  --   -----------   ----------
alg                        2796           105      3756032
conime                     2072            39      3457024
csrss                       908           493      6852608


   PriorityClass: High

ProcessName                  Id   HandleCount   WorkingSet
-----------                  --   -----------   ----------
winlogon                    932           459      4165632


   PriorityClass: Normal

ProcessName                  Id   HandleCount   WorkingSet
-----------                  --   -----------   ----------
wlcomm                     3784           472     27295744

첫 포스팅이니 깊이 파코들지 않도록 하겠다.
위의 예제들 처럼, PowerShell을 통하여 리눅스 처럼 시스템 관리용 스크립트 제작이 용이해졌으며,
기존과 달리 많은 작업들을 단순화 하는것이 보다 쉬워졌다고 할 수 있다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

윈도우 서버의 트래픽을 MRTG를 이용해서 확인할 수 있도록 해달라는 부탁을 받았다.
서버에 직접 ActivePerl과, MRTG를 설치할 수도 있지만,
중요 서버이고. 해당 어플리케이션들을 윈도우에 설치했을경우 안정성도 믿음이 가지 않아서,
외부 MRTG서버에서 snmp만 받아서 MRTG를 작성하도록 했다.
그렇다면 윈도우 서버에서는 snmp만 활성화 해주면 된다.
방법은 아래에.

가장 먼저, 서버의 기능 추가를 위하여, 시작 -> 서버관리자를 실행하고 기능 메뉴를 확장한다.
현재 서버가 수행 가능한 기능들이 나타다고, 이제 snmp를 사용하기 위해 기능 추가를 클릭한다.SNMP서비스의 SNMP서비스를 체크한다. SNMP WMI공급자는 사용하지 않으므로 설치 하지 않는다.
다음을 클릭하면, 해당 서비스가 설치된다.
SNMP 서비스가 설치 완료되었다.
서버관리자의 기능 메뉴에서, SNMP가 설치된것을 확인한다.
실제 SNMP 서비스 설정을 위하여 시작 -> 실행 -> services.msc 를 입력 후 확인 하여 서비스관리를 실행한다.
SNMP 서비스를 찾아, 마우스 오른쪽 버튼 클릭 후 속성으로 들어간다.
에이전트 탭에서, MRTG결과 화면에 보여줄 연락처와 위치 정보를 입력한다.
가장 중요한 부분이다.
받아들인 커뮤니티 이름에 커뮤니트를 추가한다.
일반적으로 공개되어있다는 의미의 public을 사용하며, 크게 의미를 두지 않아도 된다.
추후 MRTG로 snmp데이터를 가져올때 해당 커뮤니티 네임이 필요하다.
또한, RO와 RW가 있는데, RO는 ReadOnly(읽기전용) RW는 ReadWrite(읽기/쓰기)가 된다.
RW로 설정할 경우, SNMP Trap을 이용하여 서버의 설정사항들을 변경할 수 있게되나
보안상 매우 취약할 수 있기 때문에 RO로 설정한다.
또한, 보안상 지정된 호스트에서만 SNMP 패킷을 받아들이도록 설정한다.
이제 마지막으로, 방화벽 설정을 체크하여 외부에서 SNMP(UDP 161)포트로 접근할 수 있도록
예외처리를 설정하도록 하자.바탕화면의 네트워크에서 마우스 오른쪽 버튼 클릭 후, 속성으로 이동 참조의 Windows 방화벽 메뉴를 클릭한다.

Windows 방화벽을 사용하고 있습니다 오른쪽의 설정변경 버튼을 클릭한다.
방화벽 설정의 예외 탭에서, SNMP Service 가 체크되어 있는지 확인한다.
만약 설정되어 있지 않다면 UDP 161 포트를 허용하여 줄 수 있도록 포트를 추가하여 주고 확인 후 종료 하면 완료된다.
이제 MRTG 서버에서 snmp를 수집하기 위하여 cfgmaker를 작동시켜보자.

/usr/local/mrtg-2/bin/cfgmaker --snmp-options=:::::2 --global 'WorkDir: /home/httpd/html/winsrv' --global 'Language: korean' --global 'Options[_]: bits,growright' --global 'Refresh: 300' --global 'WriteExpires: Yes' --output /usr/local/mrtg-2/conf/winsrv.cfg public@123.123.123.122

cfgmaker가 다소 복잡해 보이지만 별로 중요한것은 없다.
가장 중요한 부분은 마지막 public@123.123.123.122 인데, public은 위에서 설정한 커뮤니티 이름이고,
뒤는 서버의 해당 윈도우 서버의 IP주소이다.

마지막으로, 해당 MRTG서버의 IP주소가 123.123.123.123 임을 숙지하자.
위에서 SNMP 패킷을 받아들일 호스트를 123.123.123.123으로 지정하였기 때문에,
해당 IP주소에서만 SNMP 패킷을 얻어갈 수있다.
이걸로 윈도우 서버의 snmp를 이용한 MRTG 확인이 가능해졌다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.