Reversing

IDAPython은 사용자가 다양한 기능에 접근할 수 있게 해주는 플러그인이다.[11.2] IDAPython 함수 IDAPython은 IDC와 완전 호환된다. 모든 IDC 함수는 IDAPython에서 사용 가능하다.[11.2.1] 유틸리티 함수ScreenEA() : IDA 화면에 있는 커서의 현재 위치 획득GetInputFileMD5() : IDA에 로드된 바이너리의 MD5 해시 값 획득 바이너리 버전 변경이 내용에 영향을 미치는지 확인할 때 유용[11.2.2] 세그먼트※IDA에서 바이너리는 여러 세그먼트(CODE, DATA, BSS, STACK, CONST, XTRN)로 나뉜다.FirstSeg() : 바이너리의 첫 번째 세그먼트 시작 주소 반환NextSeg() : 바이너리의 다음 세그먼트 시작 주소 반..

실행을 하고 아무거나 입력을 하면 Wrong이 뜬다.IDA로 킨 후 살펴보았다. 간단한 구조로 되어있는 것을 볼 수 있다.출력을 한 후, 2개의 함수를 거치고 eax가 1이면 Correct가 출력이 된다.두 함수를 살펴 보았다. 첫번째 함수인데 scanf를 호출한다.byte_804A020에 버퍼가 있다는 것을 확인한 후 다음 함수로 넘어갔다. 다음함수의 일부이다. byte_804A020가 첫번째 글자이므로 두번째 글자는 0x31이고, 첫번째 글자와 34를 xor하고 al을 다시 그 자리에 대입한다.세번째 글자와 32를 xor하고 al을 다시 그 자리에 대입한다.네번째 글자와 0xffffff88를 xor하고 al을 다시 그자리에 대입한다.다섯번째 글자가 0x58인지 확인을 한다.byte_804A025가 0..

실행을 하면 전형적인 랜섬웨어 처럼 key값을 가지고 복호화를 하는 것처럼 생겼다.차이점이라고 하면 원래 랜섬웨어는 모든 디렉토리를 순회하며 암호화를 하지만 이 문제의 경우에는 한개의 file만 암호화가 된 상태이다. file은 암호화가 되어있으며 복호화를 시키면 exe형식이다. 올리디버거로 스트링을 보면 파일을 읽고쓰는 부분을 금방 찾을 수 있다. ECX+5415B8에 파일을 읽어 한바이트씩 저장시킨다. 암호화를 시키는 핵심 부분이다.간단하게 되어있는데,파일에서 한바이트씩 가지고 와서 key값의 순서대로 xor시킨 후 ,그 값을 다시 0xff와 xor연산 후 다시 덮어씌운다.즉 file[i] = file[i] ^ key[i] ^ 0xff 대충 이런식이다. 암호화를 한 후 값을 다시 edx+5415b8(..

게임을 시작하면 총으로 돌아다니면서 이상한 인형을 죽일 수 있다.다 죽여도 아무런 창도 안뜬다.대신 인형이랑 부딪히면 hp가 감소하고 0이 되면 죽는다.일단 인형을 어떻게 잡아서 해결할 수 있는것이 아닌것 같아 올리디버거로 까보았다. 우선 reference string을 보면 게임을 하면서는 보지 못한 game clear!라는 문자열이 박혀있다.이를 추적해보았다. 00EF7028에 있는 TEXT를 메시지박스에 같이 출력을 하는 것을 볼 수있다. 보면 쓰잘데기 없는 글자들로 채워 져있다.문자열의 끝인 00까지는 52개의 글자가 있었다.이 값을 출력을 하는 것을 보고 값의 변화가 있는지 하드웨어 브포를 걸어놓았다. dword만큼 브레이크포인트를 걸었다. 몹을 두세마리 잡으니 브레이크 포인트가 위의 부분에서 ..

키젠 문제로 Serial이 76876-77776일때의 name값을 찾아야한다. 끝 글자는 'p'로 힌트가 주어져있다. serial을 만드는 루틴을 찾아 코드를 다시 짜면 될 거 같은 느낌이 든다. 우선 Correct 부분으로 가면 바로 위에 어떤 함수를 호출하고 리턴값이 1이여야 Correct가 되는 것을 볼 수 있다. 이 함수 안을 살펴보았다. 우선 첫번째 루프가 나타난다. 이 루프에서는 name에 입력한 4글자가 알파벳 소문자인지 확인을 하는 루틴이다. 그리고 다음 루프가 나타난다. 이중 루프로 되어있는 구조이다. 간단히 설명하자면 name의 각각의 글자가 서로 같은글자가 있는지 확인을 하는 루틴이다. 그리고 이후에 본격적으로 name을 이용해 serial을 만드는 루틴이 나온다. ida를 참고하여 ..

그림을 대충 그리고 실행을 하면 위와 같이 틀렸다고 나온다. Wrong이 출력되는 부분으로 이동해서 위의 분기문을 보니 특정 loop를 돌면서 0x15f90번 비교를 하는 것을 볼 수 있다. 예상을 해보자면 특정한 그림데이터가 파일안에 들어 있고, 내가 그린 그림 데이터와 비교를 한다고 짐작할 수 있다. 위 내용은 파일안에 어떤 그림데이터 같은게 있으면Manifest에 등록이 된다 이런뜻인거 같다. 확실히 모르지만 검새해보니 이런 그림이 나와서 힌트가 됬다. PE view를 통해보면 rsrc섹션에 MANIFEST가 있다. 크기도 딱 15F90 이다. 이 파일 데이터를 보면 유추할 수 있는게 그림파일의 형식이다.BMP는 256색을 표현할수 있어 FF이하로 표현하고, 비트맵방식을 사용한다. 나머지 그림파일들..

실행을 시키고 입력을 하면 이렇게 문제가 발생해서 종료된다. 올리디버거로 실행시켜보니 40466F에서 접근할 수 없는 메모리에 90이라는 데이터를 써서 예외가 발생하는 것을 알 수 있다.따라서 이 부분을 해결해야 한다고 생각하고 이제 입력하는 숫자를 기준으로 어떻게 프로그램이 진행 되는지 알아 보았다. 위 함수는 입력한 숫자를 받는 함수이다. 이 함수에 브레이크를 걸었다. 브레이크를 걸고 진행을 하면 위 그림과 같이 40105A에서 멈춘다. 위 과정을 간략히 설명하자면 아래와 같다. 1. [4084D0]에 EAX저장 (입력한 값) 2. 40466F 함수 호출 40466F 함수안에서는 [4084D0] 1증가 -> [4084D0] 1증가 -> [4084D0] 601605C7증가 -> [4084D0] 1증가 ..

1분 미리듣기만 되는 뮤직 플레이어이다.1분마다 체크를 하는 루틴이 존재하고 1분이상 들을수 있게하면 flag가 뜬다고 되있다. 1분을 다들으면 이런 메시지 창이뜬다. 우선 함수호출중에 메시지창을 띄우는 함수 모두 브레이크를 걸었다.그리고 실행을 시킨뒤 1분뒤로 스크롤바를 드래그 해서 메시지 창이 뜰때의 브레이크잡히는 곳을 분석햇다. 메시지박스를 띄우는 부분 메시지 띄우는 곳으로 분기하는 부분 더 위쪽을 보니 함수처럼 특정 부분에서 분기하여 실행되는 것을 알게됬다. 거슬러 올라가니 이렇게 다양한 경우가 있음을 알 수 있었다. 저기 있는 JMP문을 다 브레이크 걸고 어떤 경우에어디로 가는지 알아보았다.실행을 시키는 순간부터 계속 004023C5와 00403370에 번갈아가면서 브레이크가 걸렸다.4023C5..

이것이 문제언패킹이 되어있고 OEP를 찾는 것이 문제이다. 실행을 시키고 패킹을 여러번 루프를 돌며 풀다보면 아래 그림 처럼 OEP가 나온다.

문제는 시리얼 넘버가 5B134977135E7D13일때 네임을 구하는 것이다. 이게 핵심부분인데,입력한 이름을 기준으로 0x10, 0x20, 0x30순서대로 순환하며 xor시켜 값을 저장시키고 그 값이 시리얼 넘버가된다.따라서 위의 시리얼 넘버를 다시 xor하면 name이 무엇인지 나온다. 복호화 코드

reversing.kr 은 간단하게만 풀이를 적을 예정 어셈으로 보면 2번째 글자가 'a'인지 확인을 하고 그다음으로 3,4번째 글자가 "5y"인지 확인을 하고 그 다음으로 5번째 글자부터 2글자씩 "R3versing"인지 확인을 한다. 그리고 마지막으로 첫번재 글자가 E이면 Success구문이 뜬다. 이건 헥스레이 결과

32비트 cpu일떄는 함수 호출규약이 여러개 있었지만 64비트로올라오면서 한개로 통합이 되었다 기존 fastcall(함수의 인자가 레지스터로 전달되는방식)호출규약을 이용한다. 64비트 레지스터로는 기존의 레지스터에서 확장된 레지스터를 사용하고(rax, rbx ,rsp등등..)8개의 레지스터가 추가되었다 (r8~r15) 스택프레임다음과 같은 C코드를 짠다고 했을 떄 123456789long myfunc(long a, long b, long c, long d, long e, long f, long g, long h){ long xx = a * b * c * d * e * f * g * h; long yy = a * b * c * d * e * f * g * h; long zz = utilfunc(xx, yy..