Reversing/리버싱 문제풀이

------------------------------------------------------------------------------------------------------------------------------- 9번에서 했던 문제와 같은 문제인거 같았다.간단하다.UPX로 똑같이 패킹되어있고 가장 밑에 점프하는 주소가 OEP가 된다. 여기서 OEP를 바로 알아낼 수 있었다.

----------------------------------------------------------------------------------------------------------------------------시작 부분이 PUSHAD이다.레지스터의 모든 값을 스택에 넣고 시작하는걸 보니 패킹이 되어있는거 같다. ASPack로 패킹이 되어있는걸 확인 할 수 있었다. 따라서 첫 그림에서 PUSHAD를 하고 esp의 값에 하드웨어브레이크를 잡았다.그리고 실행 시켜보면다시 POPAD로 레지스터를 원래대로 돌리는 부분으로 온다.여기서 445834를 스택에 넣고 그 주소로 리턴한다.따라서 이 부분이 OEP가 된다. 가보면 제대로 명령어가 안뜬다.OllyDump로 OEP를 수정한 후 exe파일을 만들어준..

------------------------------------------------------------------------------------------------------------------------------- StolenByte는 간단히 얘기해서 패킹을 할때 숨겨논 바이트라고 생각하면 될 것 같다.즉 언패킹을 하게 되면 숨겨논 바이트는 제대로 복구가 안되기 때문에 이상하게 프로그램이 실행 될 수 있다. 이 문제도 UPX로 패킹이 되어있다.가장 아래 분기문으로 가보면 주소가 있다.OEP를 패치를 한 후 실행을 시켜보면 아래와 같은 에러가 뜬다. 뭔가 프로그램에 들어갈 인수가 제대로 들어가지 않은것 같다. 패치를 한 후 OEP를 보면 메시지 박스를 만드는데 필요한 함수의 인자가 부족하다...

------------------------------------------------------------------------------------------------------------------------ UPX로 패킹이 되어있다.UPX패킹은 가장 아래에 압출을 푼 뒤 분기하는 주소가 있는데 그 주소가 OEP이다. 제일 밑에가면 그냥 있다.

------------------------------------------------------------------------------------------------------------------------------ GetVolumeInformation에서 볼륨정보를 얻어온다. 그리고 그 값들을 앞에서부터 4글자를 +1씩 두번 한다.즉 abcd -> bcde -> cdef이런식으로 된다.그리고 그 뒤에 문자열을 붙이면서 시리얼키를 만들게된다. 문제에서 제시한 값은 CodeEngn의 앞의 4글자만 +2씩 한 문자열이된다.

------------------------------------------------------------------------------------------------------------------------------- UPX로 패킹되어있기 때문에 JMP뛰는 곳으로 OEP로 패치를 한 후 진행했다. 분기문 앞의 함수에 인자로 들어가는 두 값을 보면 내가 입력한 aaa와 특정 문자열이 비교되어 EAX값에 따라 분기된다.

------------------------------------------------------------------------------------------------------------------------------- 등록키를 찾는 문제이다. UPX로 패킹이 되어있기 때문에 언패킹을 한 후에 진행을 해야한다. UPX는 압축을 푼 후 가장아래에서 OEP로 점프를 하기 때문에OEP를 00441270으로 패치 한 후 분석했다. 분기 문이 있고 바로 키값이 옆에 나왔다.

------------------------------------------------------------------------------------------------------------------------------- 1초마다 디버거 프로그램을 탐지하며 정상인지 아닌지 문구를 출력해주는 프로그램이다. 올리디버거로 뜯어보면 위와 같은 루틴을 계속해서 하는데,IsDebuggerPresent라는 함수에 따라 분기를 하는곳이 달라진다.

-------------------------------------------------------------------------------------------------------------------------------구글에서 찾으면 바로 나온다.vbastrcmp

-------------------------------------------------------------------------------------------------------------------------------우선 실행파일을 실행 시키면 아래 창과 같이 실행을 시킬 수 가 없다. 따라서 HxD로 열어보면 아래와 같이 뭔가 flag같은 느낌의 문자가 박혀있는걸 볼 수 있다.

------------------------------------------------------------------------------------------------------------------------------- 간단한 문제이다. GetDriveType함수의 리턴 값을 찾는 문제이다.msdn에 친절하게 나와있다.