HOME
SANS GIAC GREM (Reverse Engineering)

「SANS GIAC GREM (Reverse Engineering)」の記事一覧

プロセスのスレッドのコンテキスト（レジスタ状態）を書き換えるAPIはどれか。

このAPIにより、スレッドが再開された際の実行開始地点やレジスタの値を任意に変更できる。

2026年3月21日

「CPUID」のリーフ「0x40000000」を呼び出した際、返される文字列が「VMwareVMware」の場合、何を意味するか。

仮想環境のハイパーバイザーは、この特定の呼び出しに対して独自のシグネチャ文字列を返す。

2026年3月21日

「Bitsadmin」ツールをマルウェアが悪用する主な目的はどれか。

BITSサービスを利用することで、ユーザーに気づかれずに永続的なダウンロードタスクを実行できる。

2026年3月21日

「Process Hollowing」において、ターゲットプロセスの「PEB」を書き換える目的はどれか。

PEB内の情報を書き換えることで、解析ツールに対して正規のプログラムが動いているように見せかける。

2026年3月21日

シェルコード内で「FindResource」や「LoadResource」を使用する目的はどれか。

リソースセクションに隠された本体の暗号化データなどを読み出すために使用される。

2026年3月21日

「Hooking」の一種である「IAT Hooking」の仕組みはどれか。

インポートアドレステーブル内のアドレスを書き換えることで、呼び出しを横取りする。

2026年3月21日

Volatilityで「EPROCESS」構造体の一覧をスキャンして隠蔽されたプロセスを探すプラグインはどれか。

psscanはリストから外されたプロセスをメモリ上のシグネチャスキャンによって発見する。

2026年3月21日

PEファイルの「ImageBase」が「0x400000」に設定されている場合、通常どの種類のファイルか。

0x400000は32ビットWindowsにおける実行ファイル（EXE）の標準的なデフォルトロードアドレスである。

2026年3月21日

x64 Windowsにおいて、システムコール番号が格納されるレジスタはどれか。

SYSCALL命令を実行する前に、RAXレジスタに特定のシステムサービス番号を格納する必要がある。

2026年3月21日

「CMP EAX, EBX / SETL AL」が実行された際、ALが1になる条件はどれか（符号付き）。

SETL（Set if Less）は符号付き比較で第1オペランドが第2オペランドより小さい場合に1をセットする。

2026年3月21日