Test

#About

본 WER을 통하여 본 PC에서 에러를 일으키는 바이너리가, 위치한 경로는 어떻게 되는지 기입하시오.

(단, 띄어쓰기는 제외하고 입력할 것.)

#Solution

[그림 1] - 문제 파일 확인

이전 문제와 같이 AppCrashView를 이용하여 아래와 같이 바이너리가 위치한 경로를 확인할 수 있었다

[그림 2] - 바이너리 위치 경로 확인

Answer = C:\Windows\System32\rundll32.exe

#About

본 WER이 발생한 시간은 언제인가?

(초단위까지 기입, UTC+0 기준, 정수만 기입하고 소숫점은 무시 "YYYY-MM-dd_hh:mm:ss")

(컨버터에 따라 변환 시간에 약간의 오차가 존재할 수 있으며, 해당 이슈의 경우 다른 컨버터를 이용하면 정상적으로 치환이 됩니다.)

#Solution

[그림 1] - 문제 파일 확인

WER는 Windows Error Reporting을 의미하며 운영체제에 하드웨어나 소프트웨어 오류가 발생하면 관련 디버깅 정보를 수집하여 보고하는 기능이다

또한 WER은 포렌식에 있어 악성코드 탐지에도 사용할 수 있다. 악성코드는 제작될 때 운영체제의 종류와 비트수 또는 응용프로그램의 호환성과 같은

모든 환경을 고려하지 못해 시스템 관련 오류를 발생시킬 수 있으며 이 때 발생 시 생성된 WER 파일의 로그를 통해 악성코드 여부를 판단할 수 있다.

WER 파일이 위치하는 경로는 아래의 두개이며 각각의 폴더에는 Report.wer 파일이 존재한다

[그림 2] - WER 파일이 위치하는 경로 1

[그림 3] - WER 파일이 위치하는 경로 2

[그림 2] - WER 파일 내용

Notepad로 문제에서 주어진 Report.wer 파일을 열었을 때 위와 같은 내용을 확인할 수 있으며, 

위 파일을 해당 파일의 분석을 위해 AppCrashView를 이용하였고 해당 도구의 출처는 아래의 링크를 참조하길 바란다

http://www.nirsoft.net/utils/app_crash_view.html

[그림 3] - 이벤트 시간 확인

문제에서 제공받은 Report.wer 파일을 Report.wer 파일이 존재하는 경로에 넣어준 뒤 문제에서 요구하는 WER 발생 시간을 확인할 수 있었다

Answer = 2015-12-11_11:26:24

#About

#Solution

Windows 10 환경 구축 후 풀 예정