Reversing 문제 풀이/CodeEngn.com_Basic (Clear) 검색 결과
20 개의 검색 결과가 있습니다.
Reversing 문제 풀이/CodeEngn.com_Basic (Clear)

codeengn-basic-L08 풀이

문제는 OEP를 원하고 있다. OEP는 codeengn-basic-L06 문제를 풀 때 다뤘었다. 아래를 참고하기 바란다. 2022.03.13 - [리버스 엔지니어링] - codeengn-basic-L06 풀이 codeengn-basic-L06 풀이 문제는 OEP를 원하고 있다. 여기서 OEP란 패킹된 파일들은 EP가 이상하게 되어버리는데 프로그램을 실행하다 보면, Unpacking되는 순간이 있다. 이때부터 이 파일은 패킹 전 파일이고 이 파일의 시작 wonlf.tistory.com 먼저 Die를 통해 프로그램의 정보를 얻어보았다. UPX로 패킹이 되어 있다. 6번 문제를 풀 때처럼 OEP를 찾아보겠다. pushad 구문을 실행하고 스택에 하드웨어 브레이크 포인트를 걸어준다. 그리고 F9로 여러번 전체..

2022. 3. 21. 23:35
Reversing 문제 풀이/CodeEngn.com_Basic (Clear)

codeengn-basic-L07 풀이

C드라이브의 이름이 CodeEngn일 때, CodeEngn문자열이 무엇으로 변하는지 알아내야한다. Die로 열어보니 딱히 패킹이 되어있지는 않은듯 하다. 바로 디버깅을 해본다. 문제에서는 C드라이브의 이름이 CodeEngn일때를 가정하고 있으니 변경해준다. 변경하고 디버거로 열어서 key를 입력하고 이 문자열이 변경되는 구문을 찾아본다. 이쪽 부분인것 같다. 육안상으로 특정 메모리 주소에 key로 추정되는 문자열이 보인다. 이것들이 어떻게 쓰이는지 F8로 하나씩 실행시켜 보았다. GetVolumeInformationA 함수를 실행시키니, 40225C 주소에 C드라이브의 이름인 "CodeEngn"이 저장되었다. 더 내려가본다. IstrcatA 함수까지 실행시키니 C드라이브의 이름이 들어있던 주소에 C드라이..

2022. 3. 20. 17:23
Reversing 문제 풀이/CodeEngn.com_Basic (Clear)

codeengn-basic-L06 풀이 OEP알아내기

문제는 OEP를 원하고 있다. 여기서 OEP란 패킹된 파일들은 EP가 이상하게 되어버리는데 프로그램을 실행하다 보면, Unpacking되는 순간이 있다. 이때부터 이 파일은 패킹 전 파일이고 이 파일의 시작 주소가 OEP가 된다. 그래서 OEP를 알면 패킹된 파일이라도 분석할 수 있다. 그래서 파일을 열어보면 처음부터 pushad라는 구문을 실행하려고 한다. 보통 Packer의 특징은 특정 위치의 레지스터들을 백업해놓기 위해 처음에 pushad 명령어를 수행한다. 그리고 Unpack로직이 끝나면 백업해놓은 레지스터를 다시 복구시켜놓고 원본 파일의 실행을 시작하는 것이다. 그래서 다시 복구 시키는 구문 즉, popad 구문을 찾으면 OEP를 찾을 수 있다. popad 구문을 쉽게 찾는 방법은 pushad ..

2022. 3. 13. 20:19
Reversing 문제 풀이/CodeEngn.com_Basic (Clear)

codeengn-basic-L05 풀이 UPX패킹 풀기

한참을 삽질하다가 풀이를 보고 패킹이 되어 있다는 사실을 알았다. 이제부터 DIE로 정적분석을 먼저 해보고 동적분석을 진행 해야겠다. UPX로 패킹이 되어 있습니다. 언패킹을 해보겠습니다. 권한 오류로 언패킹이 되지 않아 찾아보니 파일이 디버거로 열려있으면 안된다고 합니다. 꺼주고 언패킹 하니 성공 이제 파일을 뜯어보겠습니다. 딱 보니 저 두개가 ID와 PW같네요 입력하니 성공입니다. 막상 까보니 쉽네요 이 번문제는 UPX패킹과 문제 풀기 전에 정적분석을 먼저 해야겠다는 가르침을 얻었습니다

2022. 3. 11. 12:15
Reversing 문제 풀이/CodeEngn.com_Basic (Clear)

codeengn-basic-L04 풀이

그냥 실행 시켰을 때는 정상이라고 뜨지만 디버거로 열었을 때는 저를 굉장히 싫어하네요. F8로 실행시켜보면서 확인하던 도중, sub_40100F 함수가 호출되니 디버깅 당함이라고 뜨기 시작했습니다. 이 함수를 따라 들어가봅시다. 여기에 해당하는 메시지를 띄우는 구문이 있습니다. IsDebuggerPresent 함수가 궁금하네요 검색해봅시다. 리턴값 value가 디버깅 당하면 0이 아니고, 디버깅 당하지 않으면 0이라고 합니다. eax를 0으로 바꿔주면 될 거 같아요. 함수 바로 다음 구문에 브레이크 포인트를 걸고, eax레지스터의 값이 1로 되어 있는데 0으로 바꿔주면 정상을 출력하는 구문으로 점프를 뛰며 정상으로 출력 됩니다. 문제는 함수의 이름을 원했으니 "IsDebuggerPresent"

2022. 3. 11. 10:35
Reversing 문제 풀이/CodeEngn.com_Basic (Clear)

codeengn-basic-L03 풀이

시작하기에 앞서 실행 했을 때 만약 "MSVBVM50.DLL"관련 오류가 뜬다면 단순히 DLL이 없어서 그러니 아래 링크에서 다운로드 받아서 32비트 64비트 맞는 경로에 넣어주시면 됩니다. https://ko.dll-files.com/msvbvm50.dll.html MSVBVM50.DLL은 Visual Basic 5.0으로 만든 응용 프로그램을 실행 하는데 필요한 파일이라고 하네요 실행시켜보면, 간단한 키젠 문제입니다. 까보면, Error메시지가 뜨는 곳으로 이동해보겠습니다. CTRL + A를 눌러서 함수 전체로 볼 수 있게 만들어주고 함수를 뒤적거리다 보면, KEY인 부분 같은게 나옵니다 CMP는 Compare의 약자이니 저게 비교함수로 추정 되네요. 어셈블리 해석을 조금 하자면 1. ebp-58 주..

2022. 3. 11. 10:21