브라우저가 RWX 실행을 조용히 차단하는 방법
2025-01-08
보안 연구원이 인기 있는 브라우저에서 RWX 셸코드 실행을 차단하는 EDR과 유사한 메커니즘을 발견했습니다. BaseThreadInitThunk() API를 후킹하여 브라우저는 스레드 생성을 가로채고 셸코드의 메모리 속성이 PAGE_EXECUTE_READ인지 확인합니다. 그렇지 않으면 스레드 실행을 '싱크홀'로 리다이렉트하여 악의적인 코드 실행을 방지합니다. 간단하지만 이 예상치 못한 기능은 브라우저의 적극적인 보안 조치를 보여주며 RWX 메모리 영역의 악용을 크게 어렵게 만듭니다.