HOME
SANS GIAC GREM (Reverse Engineering)

「SANS GIAC GREM (Reverse Engineering)」の記事一覧

「Control Flow Flattening」を解除する解析手法（デ・フラットニング）で主に利用されるのはどれか。

Intel PINやFridaなどのDBIツールを用いて、実行時の制御フローを追跡・記録し、元の構造を推測する。

2026年3月21日

プロセスをデバッグ対象としてアタッチするために使用されるAPIはどれか。

DebugActiveProcessを使用すると、実行中のプロセスに対してデバッガとして接続できる。

2026年3月21日

「NtGlobalFlag」フィールドが格納されている構造体はどれか。

PEB内のNtGlobalFlagは、デバッグ時に特定のフラグ（0x70など）がセットされるため検知に利用される。

2026年3月21日

.NETアプリケーションの解析において、MSIL（Microsoft Intermediate Language）を閲覧するために使用されるツールはどれか。

dnSpyは.NETバイナリのデコンパイル、編集、デバッグを可能にする強力なツールである。

2026年3月21日

仮想環境でのみ特定のハードウェアID「VEN_15AD&DEV_0405」が検出されるが、これはどのベンダーのものか。

これはVMwareの仮想ビデオアダプタに関連するPCIデバイスIDである。

2026年3月21日

マルウェアが「TLS SNI (Server Name Indication)」を偽装する目的はどれか。

実際の接続先とは異なるドメイン名をSNIフィールドに入れ、検知を逃れる。

2026年3月21日

「SETZ AL」命令の効果はどれか。

条件付きセット命令であり、特定のフラグ状態に基づいてレジスタに0か1を書き込む。

2026年3月21日

「Instruction Substitution」の例として適切なものはどれか。

同じ結果をもたらす別の命令に置き換えることで、シグネチャ検知を回避する。

2026年3月21日

Volatilityでコマンドライン引数を抽出するプラグインはどれか。

実行時に渡された引数（C2のアドレスや鍵など）を確認するために使用する。

2026年3月21日

IDA Proの「F5」キーで使用できる、アセンブリをC言語風に変換する機能はどれか。

Hex-Rays Decompilerにより、バイナリを読みやすい高水準言語の形式で表示できる。

2026年3月21日