Reversing

------------------------------------------------------------------------------------------------------------- 실행을 시키면 이런 창이뜨고 대략 10초 정도 지나면 창이 종료됩니다. 우선 OllyDump로 섹션을 보니 UPX로 패킹이 되어있습니다.언패킹을 한 후 진행하였습니다. 저는 쓰레드를 이용하여 Sleep한 후 프로그램이 종료 된다고 생각해서내부 함수 목록에서 Sleep부분을 모두 브레이크 포인트를 걸었습니다.그리고 실행을 하였습니다. 프로그램을 진행하다 보면 이 부분에 안티디버깅이 되어있습니다.간단하게 플러그인을 이용해서 우회를 하였습니다.(IsDebugPresent, OllyAdvanced 등) 근데 이렇게 안..

------------------------------------------------------------------------------------------------------------------ 우선 바로 스트링을 확인한 후 적당한 위치로 넘어갑니다. 스트링 바로 위의 분기문에 브레이크포인트를 잡고 위의 그림과 같이 입력하였습니다.strcmp함수에 들어가는 두개의 스트링이 있고 입력한 aaaaaaaaaa말고 다른 문자열이 Serial임을 알 수 있습니다.

----------------------------------------------------------------------------------------------------------------------- a를 넣고 Check it을 누르면 글자를 더 입력하라고 나온다.답이 한자리라는데 무슨 경운가 해서 일단 적당한 브레이크포인트를 잡기위해 문자열을 확인했다. 문자열로 간뒤 위로 올라가다보면 분기문이 여러개있는데 EAX와 3을 비교하는 부분이 있다.여기서 EAX가 작게 되면 글자를 더 입력하라고 나온다.따라서 이부분은 1로 패치하고 다시 실행했다 위 화면에서 EIP부분이 이름을 암호화해서 KEY를 만드는 함수이다.근데 답이 한글자라고 문제에 명시해줬기때문에 그냥 한개씩 입력해서 풀었다.다음에 복..

------------------------------------------------------------------------------------------------------------------------ 바로 문자열을 검색해보고 적당한 문자열로 이동을 했다. 이동을 한 뒤 위에있는 분기문에 브레이크문을 걸고 실행을 시켰다. 이렇게 입력을 하고 실행을 시켜 보았다. 보면 EAX에는 내가 입력한 값의 16진수가 나와있고 이 값과 EBP-0x3C에 박혀있는 값을 비교한다. 이 값을 10진수로 바꾸면 위와 같다. 입력하면 정답.

------------------------------------------------------------------------------------------------------------------------ 바로 스트링먼저 확인했다.그럴듯한 스트링으로 바로 가보았다. 바로 직전의 분기문에 브레이크를 잡아놓고 실행시켜 보았다. 위와 같이 입력을 하고 실행했다. EAX에 내가 입력한 11111의 16진수가 박혀있고 EAX와 0x45B844에 있는 값과 DWORD만큼 비교하길래 찾아가봤다. 저기 주소에 0x00006160이 박혀있다. 이를 10진수로 바꿔서 다시 실행시켜보았다. 성공

------------------------------------------------------------------------------------------------------------------------------- 우선 PUSHAD로 시작하기에 OllyDump로 섹션을 확인해보니 UPX로 패킹이 되있는 것을 확인햇다.바로 패치 하고 시작했다. 우선 문자열 부터 확인했다.적당한 문자열로 이동했다. GoodJob'이 뜨는 MessageBox함수를 기점으로 위에 있는 분기문과 CMP전의 함수에 브레이크를 걸었다. 그리고 위와 같이 입력값을 넣고 실행을 시켜 보았다. 바로위의 함수를 실행시키면 EAX에는 내가 입력한 11111의 16진수 값이 저장이 되는걸 볼 수 있다. 그리고 스택에서 값을 po..

-------------------------------------------------------------------------------------------------------------------------- 프로그램을 실행시키면 password를 입력하라는 창이 뜬다. 올리디버거로 안켜지길래 PEID로 보니 C#으로 작성된 프로그램이였다.따라서 Reflector를 이용해서 분석을 해보았다. Reflector를 이용해서 main부분을 보면 무슨 코드가있다.사실 C#을 몰라서 어떻게 풀지 난감했다. 일단 리플렉터에서 프로젝트파일로 추출을해서 비쥬얼스튜디오로 실행시켰다. C#문법은 전혀 모르기 때문에 출력문을 구글에 검색했다.그리고 if분기문 전의 출력함수를 수정해서 plainText만 출력되게 ..

----------------------------------------------------------------------------------------------------------------------- 우선 올리디버거로 프로그램을 까서 바로 스트링 목록을 보았다.Congratulation 어쩌고하는 문자열이 있다. 문자열이 있는 주소로 넘어와서 앞쪽에 있는 분기문에 브레이크를 걸어 뒀다.그앞에 EAX와 0x7A2896BF를 비교하는 부분이 있다. EAX의 값을 10진수로 바꿔보면 내가 입력한 123456789가 있다. 그리고 0x7A2896BF를 10진수로 바꿔보면 2049480383이라는 수가 나온다.따라서 이 값을 입력을 하는것이 일단 Congratulation문자열이 나오게 된다. 일단..

------------------------------------------------------------------------------------------------------------------------------- 9번에서 했던 문제와 같은 문제인거 같았다.간단하다.UPX로 똑같이 패킹되어있고 가장 밑에 점프하는 주소가 OEP가 된다. 여기서 OEP를 바로 알아낼 수 있었다.

----------------------------------------------------------------------------------------------------------------------------시작 부분이 PUSHAD이다.레지스터의 모든 값을 스택에 넣고 시작하는걸 보니 패킹이 되어있는거 같다. ASPack로 패킹이 되어있는걸 확인 할 수 있었다. 따라서 첫 그림에서 PUSHAD를 하고 esp의 값에 하드웨어브레이크를 잡았다.그리고 실행 시켜보면다시 POPAD로 레지스터를 원래대로 돌리는 부분으로 온다.여기서 445834를 스택에 넣고 그 주소로 리턴한다.따라서 이 부분이 OEP가 된다. 가보면 제대로 명령어가 안뜬다.OllyDump로 OEP를 수정한 후 exe파일을 만들어준..

------------------------------------------------------------------------------------------------------------------------------- StolenByte는 간단히 얘기해서 패킹을 할때 숨겨논 바이트라고 생각하면 될 것 같다.즉 언패킹을 하게 되면 숨겨논 바이트는 제대로 복구가 안되기 때문에 이상하게 프로그램이 실행 될 수 있다. 이 문제도 UPX로 패킹이 되어있다.가장 아래 분기문으로 가보면 주소가 있다.OEP를 패치를 한 후 실행을 시켜보면 아래와 같은 에러가 뜬다. 뭔가 프로그램에 들어갈 인수가 제대로 들어가지 않은것 같다. 패치를 한 후 OEP를 보면 메시지 박스를 만드는데 필요한 함수의 인자가 부족하다...

------------------------------------------------------------------------------------------------------------------------ UPX로 패킹이 되어있다.UPX패킹은 가장 아래에 압출을 푼 뒤 분기하는 주소가 있는데 그 주소가 OEP이다. 제일 밑에가면 그냥 있다.