anonymous?

IDA Pro로 01.exe 파일을 열었을 때 80386 PE 파일로 인식돼서, 32bit IDA로 열고, x32dbg 디버거를 사용해서 01.exe 파일을 열었다. IDA,, Binary Ninja를 통해 0x401000이 EntryPoint임을 확인했고, x32dbg에서 Ctrl + G로 401000으로 EntryPoint로 이동했다. 초기 화면에서 F9를 눌러도 EntryPoint 자동으로 찾아준다. eax 레지스터에 GetDriveTypeA의 반환값이 저장되므로, GetDriveTypeA 실행 후 리턴한 주소에 bp를 걸어서 eax 레지스터 값을 확인한다. 일단, Binary Ninja, IDA에서 Graph View로 보면 조건에 따라 2가지 루트가 있는데, HDD를 CD로 인식하는 부분으로는 ..

REVERSING/Reversing Study 2021. 5. 1. 17:56

1. 어셈블러의 개요 1.1 단순한 언어 어셈블러 고급 언어는 데이터를 변수나 클래스에 저장한다. 어셈블러는 데이터를 스택, 레지스터, 메모리에 저장한다. (변수X) 스택 - 넣고, 빼는 기능만 레지스터 - 숫자와 용량 정해져 있다. 메모리 - 주소를 통한 직접 접근 1.2 어셈블러 개요 프로그래밍 언어로 소프트웨어 개발 이유: 쉬운 유지보수, 높은 생산성 소프트웨어 실행 주체는 운영체제- 실행 파일 클릭 시 운영체제가 파일을 메모리에 로딩하고(fetch), 해석하여(decode), 해석한대로 동작을 수행(execute)한다. 운영체제는 0과 1의 조합의 비트를 해석한다. 컴파일러: 고급언어를 OS가 이해할 수 있는 저급 언어로 변환하는 프로그램 어셈블러: 컴퓨터가 이해할 수 있는 기계 코드를 사람이 이..

REVERSING/Reversing Study 2021. 4. 6. 02:00

example1.asm .file "example1.c" .section .rodata .LC0: .string "Hello world" .text .globl main .type main, @function main: .LFB0: .cfi_startproc pushq %rbp .cfi_def_cfa_offset 16 .cfi_offset 6, -16 movq %rsp, %rbp .cfi_def_cfa_register 6 movl $.LC0, %edi movl $0, %eax call printf movl $0, %eax popq %rbp .cfi_def_cfa 7, 8 ret .cfi_endproc .LFE0: .size main, .-main .ident "GCC: (Ubuntu 4.8.4-2ubun..

REVERSING/Reversing Study 2021. 4. 5. 22:00

Hello World debugger로 디스어셈블 결과로 확인한 어셈블리 코드 7FF6ED801000 | 48:83EC 28 | sub rsp,28 | 7FF6ED801004 | 48:8D0D 15120000 | lea rcx,qword ptr ds:[7FF6ED802220] | 00007FF6ED802220:"hello world!\n" 7FF6ED80100B | FF15 5F110000 | call qword ptr ds:[] | 7FF6ED801011 | 33C0 | xor eax,eax | 7FF6ED801013 | 48:83C4 28 | add rsp,28 | 7FF6ED801017 | C3 | ret x64dbg 디버거를 사용한 디스어셈블 결과이다. 주소, 기계 코드, 어셈블리어, 코멘트를 확..

REVERSING/Reversing Study 2021. 4. 4. 17:46

Instruction Format Instruction Instruction == Operation Code + Operand Opcode (Operation Code) 명령 코드, 명령어에서 어떤 동작(산술 연산, 복사 등)할지 나타내는 부분 기계 코드와 동일 바이너리(컴파일 결과물)를 구성한다. CPU가 수행하는 작업을 숫자로 나타낸 것 Assembly Code 명령 코드를 사람이 이해할 수 있는 문자로 작성한 코드 명령 코드와 어셈블리 코드는 1:1 대응된다. 55 push rbp 48 89 e5 mov rbp,rsp 48 8d 3d 9f 00 00 00 lea rdi,[rip+0x9f] e8 c6 fe ff ff call 510 b8 00 00 00 00 mov eax,0x0 5d pop rbp ..

REVERSING/Reversing Study 2021. 3. 26. 23:23

Register CPU 내 고속의 저장 공간 범용 레지스터(General-Purpose Registers, GPR) 다양한 용도로 사용되는 레지스터로, 관행적으로 용도가 있다. x64 기준 16개의 범용 레지스터가 있다. rax rcx rdx r8 r9 r10 r11 rbx rsi rdi rbp r12 r13 r14 r15 rsp rax 함수 종료 후 해당 함수의 리턴값이 저장되는 레지스터 rcx, rdx, r8, r9 Window 64bit에서 함수 호출 시 필요한 인자들을 차례로 저장한다. rsp Stack Pointer 스택 가장 위 주소를 가리킨다. 명령어 포인터(Instruction Pointer) rip 명령어 포인터(Instruction Pointer) 다음에 실행할 명령어가 저장된 주소를 ..

REVERSING/Reversing Study 2021. 3. 26. 21:06

1. 프로그램 실행 구조 PE (Portable Executable) 파일 윈도우 실행 파일 PE 포맷 = header + body header: 프로그램 실행하는데 필요한 기본 정보, 배치 정보(파일의 메모리 상 위치 정보) body: 코드, 데이터 exe, dll, ocx 등 다양한 종류가 있다. PE 포맷인 실행파일을 클릭하면, 운영체제의 **Loader(로더)**는 PE 헤더에 있는 정보를 분석해서 PE 바디의 코드, 데이터를 메모리에 배치한다. 메모리 구성 Code 영역: 프로그램 코드 들어가는 영역 Data 영역: 정적 변수, 전역 변수 저장 Stack 영역: 함수 호출 시 사용되는 매개 변수, 지역변수 저장 Heap 영역: 동적 메모리 할당에 사용 PE가 로딩되면 코드 영역, 데이터 영역에 ..

REVERSING/Reversing Study 2021. 3. 26. 18:03

Apktool 설치 방법 Apktool 설치 링크 자신의 운영체제에 맞게 다운로드를 진행한다. Download Windows wrapper script (우클릭해서 apktool.bat 이름으로 저장한다.) Download apktool-2 (find newest here) 2단계에서 다운받은 jar파일을 apktool.jar으로 이름을 바꾼다. apktool.jar, apktool.bat 파일을 Windows 디렉토리로 옮긴다. (C://Windows) cmd 창에서 apktool 으로 제대로 실행되는지 확인한다. Decompile unzip UnCrackable-Level1.apk apk 파일은 ZIP 파일 포맷으로, unzip으로 압축해제를 할 수 있다. apk 파일이 위치한 경로에 압축해제한 파일..

REVERSING/Android 2021. 3. 26. 00:39

1. Boot ROM POWER 버튼을 누르면, ROM 내부의 Boot ROM 코드가 실행된다. RAM으로 Bootloader의 첫 번째 단계를 로드한다. 2. Boot Loader OS 시작 전 실행되는 코드이다. 장치가 어떻게 시작하는지 알려주고 kernel을 찾는 명령어를 가진 low-level 코드이다. 메모리(RAM) 초기화 Kernel 로드 Boot Loader 경로 /bootable/bootloader/legacy/usbloader Boot Loader는 비휘발성 메모리에 상주한다. 2단계로 진행된다. Primary Boot Loader Secondary Boot Loader를 디스크 내 특정 위치에서 로드한다. Secondary Boot Loader 메모리(RAM) 초기화 RAM의 "boo..

REVERSING/Android 2021. 3. 25. 18:14

1. Reverse Engineering Reverse Engineering 완성품에서 완성품의 설계도 없이 구조와 동작 과정을 알아내는 것 역공학, 리버스 엔지니어링, 리버싱이라고 부른다. 'Software' Reverse Engineering 소스 코드 없는 상태에서 대상 소프트웨어의 설계 구조를 파악하고, 소스 코드를 파악한다. 2. Disclaimer Disclaimer 저작권을 침해(무단 이용, 재배포)하는 리버싱은 위법함을 명심하고 테스팅, 연구, 학습 목적의 리버싱을 하자. 3. Static Analysis vs Dynamic Analysis Static Analysis vs Dynamic Analysis 대상 소프트웨어의 동작을 알아내는 방법은 크게 두 가지가 있다. 정적 분석 (Stati..

REVERSING/Reversing Study 2021. 3. 22. 14:54

Shortcuts What is Android? Android System Architecture Hardware Abstraction Layer (HAL) Android Runtime (ART) Android Users and Groups Android Security I. Device Encryption II. Android Security SELinux ASLR, KASLR, PIE, DEP SECCOMP Reference What is Android? Linux-based open source platform developed by Google mobile operating system(OS) consists pre-installed apps & third-party apps (install th..

REVERSING/Android 2021. 3. 17. 18:20

Input에서 조건에 대한 함수를 가보면 signed __int64 __fastcall sub_140001000(__int64 a1) { int i; // [rsp+0h] [rbp-18h] for ( i = 0; (unsigned __int64)i < 0x12; ++i ) { if ( *(_DWORD *)&aC[4 * i] != *(unsigned __int8 *)(a1 + i) ) return 0i64; } return 1i64; } 입력의 각 문자와 전역변수 aC의 각 문자와 비교하는 것을 확인할 수 있다. IDA에서 aC를 눌러서 확인해보면 data 세션에 있는 문자들을 확인할 수 있고, 이를 종합하면 플래그가 된다.

REVERSING/Dreamhack 2021. 3. 15. 20:44