anonymous?

따로 언패킹하지 않고 디컴파일러로 확인해본다. EntryPoint에서 우클릭 다음을 찾기 → 현재 모듈 → 문자열 참조 Input Name 스트링에서 디스어셈블러에서 따라가기를 선택한다. 그럼 입력을 받는 어셈블리 코드를 확인할 수 있다. 이름을 입력받는다. Serial 입력 전 반복문 구조를 확인할 수 있다. esi를 0으로 초기화한 후 (xor esi, esi) cmp esi, 3 jl easy keygen ~ 에서 esi >= 3 이면 esi 값을 0으로 초기화(xor esi, esi)한다. 따라서 i = 0부터 시작하고 반복문 안에서 조건문으로 i >= 3 이면 i = 0으로 만들 것이다. i >= 3인 조건이 아니라면 xor ecx, edx를 해서 xor 연산을 한다. esi에 따라 ecx는 0..

REVERSING/Reversing Study 2021. 6. 1. 14:39

Name이 CodeEngn 일때 Serial을 구하시오 (이 문제는 정답이 여러개 나올 수 있는 문제이며 5개의 숫자로 되어있는 정답을 찾아야함, bruteforce 필요) Ex) 11111 UPX로 패킹된 PE 파일이다. 언패킹 후 실행해보았다. 실행해보면 위와 같이 뜬다. Name과 Serial을 입력하는 것 같은데 Name은 CodeEngn, Serial은 5자리로 bruteforce를 하라고 한다. EntryPoint에서 우클릭해서 다음을 참조 -> 현재 구역 -> 문자열 참조를 선택하면 위와 같이 스트링들을 확인할 수 있다. Good job 스트링에서 우클릭하고 디스어셈블러에서 따라가기를 선택한다. cmp eax, esi를 해서 동일해야 Good Job을 출력한다. Name을 CodeEngn, ..

REVERSING/Reversing Study 2021. 6. 1. 13:57

정답은 무엇인가 .NET 프로그램임을 알 수 있다. .NET(닷넷) 프로그램 MS사의 윈도우 프로그램 개발 및 실행 환경 CLS(.NET Framework 언어가 지켜야 하는 언어 스펙)을 따르는 언어는 .NET Framework에서 실행 가능하다. 가상머신인 CLR 위에서 작동하여 플랫폼에 독립적이다. 기계어로 컴파일 전 intermediate 언어가 존재한다. 디컴파일이 쉽다. .NET decompiler를 검색해서 나온 dotPeek를 사용해봤다. Open으로 13.exe 파일을 열고, ConsoleApplication3 > Root Namespace > RijndaelSimpleTest 파일을 열어보니, 패스워드를 입력받고 str과 입력값이 같을 경우 Well Done을 출력해주는 코드를 볼 수 ..

REVERSING/Reversing Study 2021. 6. 1. 13:52

F9로 EntryPoint 찾기 EntryPoint에서 우클릭 > 다음을 찾기 > 문자열 참조 GetDlgItmText 함수 호출 이후 breakpoint를 잡고 텍스트박스에 R3versingE 입력하면 해당 중단점에서 실행이 멈춘다. cmp로 a와 esp+5가 같아야 넘어갈 수 있다. ESP+5이므로 ESP가 가지는 주소를 보면, 입력한 값을 가리키는 것을 알 수 있다. esp + 5 = 0x0019f7f0 + 5 = 0x0019f7f5 즉, 입력한 값 기준 3이 있는 부분에 해당한다. 따라서 해당 값을 a로 바꿔줘야 넘어갈 수 있다. (password = ?a??) x32dbg에는 문자열 부분이 안 나타나서 IDA로 확인했을 때 5y랑 2바이트만큼 비교하고 있었다. 따라서 password = ?a5y..

REVERSING/Reversing Study 2021. 5. 25. 11:28

Key를 구한 후 입력하게 되면 성공메시지를 볼 수 있다 이때 성공메시지 대신 Key 값이 MessageBox에 출력 되도록 하려면 파일을 HexEdit로 오픈 한 다음 0x???? ~ 0x???? 영역에 Key 값을 overwrite 하면 된다. 문제 : Key값과 + 주소영역을 찾으시오 Ex) 7777777???????? PE 파일 정보 확인 패킹이 되어 있지 않다. 어셈블리 코드 분석 F9로 EntryPoint로 이동한다. Congratulation을 내용으로 하는 메시지박스는, eax 값이 0x7A2896BF와 동일할 때 해당 branch로 이동해서 띄울 수 있다. 그리고 MessageBoxA 함수 호출 전 인자를 넣는데, 텍스트는 0x401086과 0x40108B 주소에서 문자열을 인자로 pus..

REVERSING/Reversing Study 2021. 5. 23. 03:14

OEP를 찾으시오. Ex) 00401000 / Stolenbyte 를 찾으시오. Ex) FF35CA204000E84D000000 정답인증은 OEP+ Stolenbyte Ex ) 00401000FF35CA204000E84D000000 StolenByte란? Packer가 이동시킨 코드의 윗부분을 의미한다. 언패킹을 해도 정상 실행되지 않는데, stolen byte를 다시 원래대로 놓고, IAT를 복구하면 정상 실행할 수 있다. UPX에서는 패킹된 파일에서 POPAD 이후 원래 OEP로 점프 전 PUSH 하는 몇 바이트가 stolen byte에 해당한다. PE 파일 확인 UPX packer로 압축된 PE 파일이다. 언패킹을 진행한다.언패킹 upx 명령어를 이용해서 언패킹을 했다. 디스어셈블러로 분석 x32d..

REVERSING/Reversing Study 2021. 5. 23. 00:42

StolenByte를 구하시오 Ex) 75156A0068352040 StolenByte란 Packer가 이동시킨 코드의 윗부분을 의미한다. 언패킹을 해도 정상 실행되지 않는다. 정상 실행하려면 이동시킨 코드를 제자리로 돌려놓고 IAT를 복구하면 된다. UPX로 패킹된 파일의 경우 POPAD 이후 JMP 전 코드들을 의미한다. PE 파일 정보 확인 UPX Packer로 패킹된 PE 파일임을 알 수 있다. 패킹된 PE파일을 디스어셈블 했을 때, POPAD 이후부터가 stolen byte이다. stolenbyte는 OEP로 점프 전 push되므로, push되는 3바이트가 stolenbyte에 해당한다. 6A0068002040006812204000 upx로 언패킹을 한다. x32dbg를 이용해서 F9로 Entr..

REVERSING/Reversing Study 2021. 5. 23. 00:10

쉘코드를 넣어서 실행되도록 해보자. 쉘코드에서 \x 없애기 import binascii shellcode_arr=[ b"\x31\xd2\xb2\x30\x64\x8b\x12\x8b\x52\x0c\x8b\x52\x1c\x8b\x42", b"\x08\x8b\x72\x20\x8b\x12\x80\x7e\x0c\x33\x75\xf2\x89\xc7\x03", b"\x78\x3c\x8b\x57\x78\x01\xc2\x8b\x7a\x20\x01\xc7\x31\xed\x8b", b"\x34\xaf\x01\xc6\x45\x81\x3e\x57\x69\x6e\x45\x75\xf2\x8b\x7a", b"\x24\x01\xc7\x66\x8b\x2c\x6f\x8b\x7a\x1c\x01\xc7\x8b\x7c\xaf", b"\xfc\x..

REVERSING/Reversing Study 2021. 5. 18. 03:07

1. Detect It Easy: PE 파일 정보 확인하기 따로 compress가 진행되진 않았다. 2. 디스어셈블러 사용해보기 1) x32dbg F9로 EntryPoint를 찾았다. EntryPoint에서 우클릭해서 다음을 찾기 -> 현재 구역 -> 문자열 참조 Congratulations!가 Name과 Serial 모두 맞았을 때 가는 branch일 것이므로, 해당 문자열에서 우클릭해서 디스어셈블리에서 따라가기를 선택한다. Congratulations!로 가는 조건을 보자. branch문을 찾는데, 위에 &__vbaFreeObj 함수 호출 후 je로 같을 경우 점프한다. 00403329에서 breakpoint(F5)를 잡고, 실행을 시킨다. Name과 Serial을 hihi와 hello로 주고 Che..

REVERSING/Reversing Study 2021. 5. 18. 01:48

PE 파일 분석 프로그램 PEView 한눈에 PE 구조를 볼 수 있다. PEView 에서 받을 수 있다. Detect It Easy PE 구조, 프로그램을 개발한 언어, 패킹 여부 정보 제공한다. die 통해 파일 수정 가능하다. Detect It Easy 에서 받을 수 있다. 메모리 덤프 OllyDumpEx : OllyDbg 플러그인 OllyDumpEx 사이트에서 파일을 받아서 OllyDbg 플러그인 폴더에 넣는다. IDA, x32dbg/x64dbg OllyDbg 뿐만 아니라 IDA, x32dbg/x64dbg 모두 메모리 덤프 기능을 제공한다. 손상된 IAT 복구 프로그램 LoadPE LoadPE 사이트에서 파일을 받을 수 있다. 압축을 풀고 설치 없이 LordPE.exe 실행하여 사용할 수 있다. R..

REVERSING/Reversing Study 2021. 5. 17. 21:39

1. 패킹과 언패킹 1.1 패킹과 언패킹의 개요 패킹(Packing) 프로그램 코드 크기 줄이기 위해 압축(Compressing)하거나, 프로그램 분석 어렵게 하려고 암호화(Protecting)하는 것 컴프레싱(Compressing): 단순 압축하는 것 초기엔 메모리와 하드디스크 용량이 작아 프로그램의 크기를 줄이기 위해 Compressing 기술을 사용했다. 실행 코드를 압축해서 PE 파일의 특정 섹션에 저장 후, 프로그램이 실행될 때 공간에 압축을 풀어 실행하는 구조 요즘엔 파일 배포 시 전송 시간과 데이터 요금 줄이기 위해 압축 사용 프로텍팅(Protecting): 실행파일을 암호화해서 분석을 어렵게 하는 기술 실행 코드를 암호화된 상태로 배포하고, 실행 시점에서 복호화하여 동작을 수행한다. 속도 ..

REVERSING/Reversing Study 2021. 5. 11. 01:29

OEP 찾기 F9로 프로그램을 실행하면 '004650BE' 주소에서 실행이 멈추는데, EntryPoint에 해당한다. 그리고 F7로 들어가면 함수 프롤로그를 만날 수 있다. ESP 레지스터 값이 EBP 레지스터에 저장된다. 스택 top(ESP 레지스터가 가리키는 곳)에는 EBP 레지스터 값이 저장되어 있다. 현재 EBP 레지스터에는 EBP 값이 저장된 스택의 주소를 가진다. 언패킹이 끝나면 다시 이전 루틴의 EBP 값을 ESP 레지스터에 가져와서 EBP 레지스터에 저장해야 하므로, ESP 레지스터 값이 가리키는 메모리 주소에 BP를 설정하면 OEP로 이동하는 지점을 확인할 수 있다. 스택 top에 저장된 이전 루틴의 EBP 값에 hardware breakpoint를 설정한다. x32dbg에서 이전 루틴의..

REVERSING/Reversing Study 2021. 5. 11. 00:05