Reversing

------------------------------------------------------------------------------------------------------------------------------ GetVolumeInformation에서 볼륨정보를 얻어온다. 그리고 그 값들을 앞에서부터 4글자를 +1씩 두번 한다.즉 abcd -> bcde -> cdef이런식으로 된다.그리고 그 뒤에 문자열을 붙이면서 시리얼키를 만들게된다. 문제에서 제시한 값은 CodeEngn의 앞의 4글자만 +2씩 한 문자열이된다.

------------------------------------------------------------------------------------------------------------------------------- UPX로 패킹되어있기 때문에 JMP뛰는 곳으로 OEP로 패치를 한 후 진행했다. 분기문 앞의 함수에 인자로 들어가는 두 값을 보면 내가 입력한 aaa와 특정 문자열이 비교되어 EAX값에 따라 분기된다.

------------------------------------------------------------------------------------------------------------------------------- 등록키를 찾는 문제이다. UPX로 패킹이 되어있기 때문에 언패킹을 한 후에 진행을 해야한다. UPX는 압축을 푼 후 가장아래에서 OEP로 점프를 하기 때문에OEP를 00441270으로 패치 한 후 분석했다. 분기 문이 있고 바로 키값이 옆에 나왔다.

------------------------------------------------------------------------------------------------------------------------------- 1초마다 디버거 프로그램을 탐지하며 정상인지 아닌지 문구를 출력해주는 프로그램이다. 올리디버거로 뜯어보면 위와 같은 루틴을 계속해서 하는데,IsDebuggerPresent라는 함수에 따라 분기를 하는곳이 달라진다.

-------------------------------------------------------------------------------------------------------------------------------구글에서 찾으면 바로 나온다.vbastrcmp

-------------------------------------------------------------------------------------------------------------------------------우선 실행파일을 실행 시키면 아래 창과 같이 실행을 시킬 수 가 없다. 따라서 HxD로 열어보면 아래와 같이 뭔가 flag같은 느낌의 문자가 박혀있는걸 볼 수 있다.

------------------------------------------------------------------------------------------------------------------------------- 간단한 문제이다. GetDriveType함수의 리턴 값을 찾는 문제이다.msdn에 친절하게 나와있다.

소프트 브레이크포인트 소프트 브레이크포인트(Soft Breakpoint)는 명령을 실행하는 CPU를 일시 중지시키는데 사용되며 애플리케이션을 디버깅할 때 가장 흔하게 사용되는 형태의 브레이크포인트다. 소프트 브레이크포인트는 한 바이트 명령을 사용해 디버깅 대상 프로세스의 실행을 중지시킨다. 프로세스의 실행이 중지되면 디버거의 브레이크포인트 예외 핸들러가 제어권을 전달받는다. 이 작업이 어떻게 수행되는지 이해하려면 x86 어셈블리 언어에서의 명령과 opcode의 차이점을 이해하고 있어야 한다. 어셈블리 명령은 CPU를 실행시키기 위한 명령을 하이레벨 수준으로 표현한 것이다. 예를 들면 다음과 같다. MOV EAX, EBX 이 명령은 CPU가 EBX 레지스터에 있는 값을 EAX 레지스터에 저장하라는 의미로,..

스택프레임EBP(베이스 포인터)레지스터를 사용하여 스택 내의 로컬 변수, 파라미터 ,복귀 주소에 접근하는 기법 ESP레지스터의 값은 프로그램 안에서 수시로 변경되기 때문에 스택에 저장된 변수, 파라미터에 접근하고자 할 때ESP 값을 기준으로 하면 프로그램을 만들기 힘들고, CPU가 정확한 위치를 참고할 때 어려움이 있다. 따라서 어떤 기준 시점(함수시작)의 ESP 값을 EBP 에 저장하고 이를 함수 내에서 유지해주면, ESP 값이 아무리 변하더라도 EBP를 기준으로 안전하게 해당 함수의 변수, 파라미터, 복귀 주소에 접근할 수 있다. 이것이 바로 EBP 레지스터의 베이스 포인터 역할이다. 스택프레임의 구조PUSH EBP ;함수시작(현재 EBP를 스택에 저장)MOV EBP, ESP ;현재의 ESP(스택포인..

1. PE 구조 개요Microsoft의 운영 체제 Windows 3.1부터 지원되는 실행파일의 구조를 말한다. 다양한 운영 체제에서의 이식성을 보여준다는 뜻에서 이식이 가능한 실행 형식(Portable Executable)이라는 이름을 붙였다. PE 파일의 종류는 다음과 같다.•실행 파일 계열 : EXE, SCR(Screen Saver)•라이브러리 계열 : DLL, OCX(Active X)•드라이브 계열 : SYS•오브젝트 파일 계열 : OBJ 사용할 툴 : HxD분석대상 : Notepad.exe 전체적인 PE 파일의 구조는 다음과 같다. 2. DOS_Header (PE Header > DOS_Header) "4D 5A"로 시작하는 부분부터 64Byte까지가 Image_Dos_Header 부분이다. 이 ..

1. 함수 호출 규약 개요함수 호출 규약(Calling Convention)이란, 함수를 호출하는 방식에 대한 약속이다. 함수 호출 규약은 인자 전달 방법, 인자 전달 순서, Stack Frame을 정리하는 방법에 따라 그 종류를 구분한다. 예시 코드를 분석해 각 호출 규약의 특징과 진행 과정을 알아본다. ▶Stack Frame함수를 호출 할 때 상위에서 진행하던 함수의 정보를 저장하고 인자를 전달하기 위해 Stack Frame이라는 구조를 사용한다. Stack Frame은 함수의 호출 과정에서 호출되는 함수가 사용하기 위해 할당되는 Stack의 공간을 의미한다.프로그램이 실행되면 가장 먼저 Main 함수의 Stack Frame을 할당한다. Main함수가 A 함수를 호출하면서 A의 Stack Frame을..

Luuzun IT Security | luuzun http://luuzun.blog.me/50189443217 1. 2진수, 8진수, 10진수, 16진수2진수는 0,1 이라는 두 개의 기호로 데이터를 표현한다.8진수는 0~7 까지의 8개의 기호를 이용해 데이터를 표현하고,10진수는 0~9 까지 10개의 기호를 이용해 데이터를 표현하며,16진수는 0~10, A, B, C, D, E 총 16개의 기호로 데이터를 표현한다. 10진수2진수8진수16진수11112102231133410044510155611066711177810001089100111910101012A11101113B12110014C13110115D14111016E15111117F1610000201017100012111 ▲ [표 2-1 : 자릿수가 증..