티스토리

Liz0904의 멍멍왈왈

검색하기

블로그 홈

Liz0904의 멍멍왈왈

liz09045.tistory.com/m

열심히 공부를 해보자!

구독자: 3

방명록 방문하기

주요 글 목록

리버싱 핵심원리 18장(UPack PE 헤더 상세 분석) 1. UPack 이란? UPack(Ultimate PE 패커)은 실행 압축기(PE Run-Time 패커)이다. UPack의 특징은 PE 헤더를 독특한 방식으로 변형 하는 것으로, 중국의 dwing이라는 사람이 만든 PE 패커이다. 2 UPack으로 notepad.exe 실행 압축하기 우선 첫번째로 UPack.exe를 이용해 notepad.exe를 실행압축 해줄 것이다. upack.exe와 notepad.exe를 복사한 뒤, cmd 창에서 'upack notepad.exe' 명령을 내린다. 참고로 UPack은 원본 파일 자체를 실행 압축하기 때문에 따로 백업해놓지 않으니, 중요 파일을 실행 압축할 때는 꼭 미리 백업을 해둬야 한다! 헤더 겹쳐쓰기 IMAGE_DOS_HEADER와 IMAGE_NT_HEADER.. 공감수 1 댓글수 1 2020. 11. 14.
리버싱 핵심원리 17장 (실행파일에서 .reloc 섹션 제거하기) EXE 형식의 PE 파일에서 Base Relocation Table 항목은 실행에 큰 영향을 끼치지 않고, 실제로 제거 후 실행을 해봐도 정상적으로 실행이 잘 된다. VC++에서 생성된 PE 파일의 Relocation 섹션이름이 바로 '.reloc'인데, 이 섹션이 제거되면 PE 파일 크기가 약간 줄어드는 효과를 볼 수 있다. .reloc 섹션은 보통 마지막에 위치하는데, 이렇게 마지막에 위치한 섹션을 제거하는 건 PEView와 Hex editor만 가지고도 수동으로 충분히 할 수 있다. 실습파일의 끝에 존재하는 '.reloc'섹션을 정확히 제거하려면 아래의 4단계 작업을 해야한다. 1단계- .reloc 섹션 헤더정리 PEView를 이용해 실습 파일의 .reloc 섹션 헤더 영역을 확인해보면, 섹션 헤더.. 공감수 0 댓글수 0 2020. 11. 14.
리버싱 핵심원리 16장(Base Relocation Table) PE 파일 재배치 PE 파일 재배치란, PE 파일이 ImageBase 주소에 로딩되어야 하는 이미 다른 파일이 로딩되어 있는 등의 문제로 그 주소에 로딩되지 못하고, 다른 주소에 로딩될 때 수행하는 일련의 작업들을 의미한다. 프로세스가 생성될 때 exe 파일은 가장 먼저 메모리에 로딩되기 때문에 exe 에서는 재배치를 고려할 필요가 없었다. 하지만 Windows Vista 이후부터는 보안 강화를 위해, exe 파일이 실행될 때마다 랜덤한 주소에 로딩하는 ASLR(Address Space Layout Randomiziation) 기능이 추가 되었다. 이렇게 ASLR 기능에 의해 랜덤하게 하드코딩 된 메모리 주소를 현재 로딩된 주소에 맞게 변경해주는 작업을 PE 재배치라고 할 수 있다. PE 재배치 동작원리.. 공감수 0 댓글수 0 2020. 11. 9.
리버싱 핵심원리 15장(UPX 실행 압축된 notepad 디버깅) 15장에서는 UPX 실행 압축된 notepad_upx.exe를 디버깅하여 실행압축에 대한 개념을 이해하는 것이 목표이다. 즉, 코드를 트레이싱하면서 원본 notepad.exe 코드를 찾아내는 것이라고 할 수 있다. 1. 코드 트레이싱 명령 Notepad_upx.exe를 디버거로 열어보면 위와 같이 UPX EP 코드가 나타난다. EP 주소는 01015330이며, 실제로 압축된 notepad 원본 코드는 EP주소(01015330) 위쪽에 존재한다. UPX 파일 트레이싱을 해볼 것인데, 이때 “루프(Loop)를 만나면 그 역할을 살펴본 후 탈출한다” 라는 방대한 코드에 대한 원칙이 있다고 한다. 압축 해제 과정은 무수히 많은 루프의 연속임으로, 적절히 루프를 탈출할 줄 알아야 한다. 방대한 코드를 트레이싱 할.. 공감수 0 댓글수 0 2020. 11. 7.
리버싱 핵심원리 (14장) 14.1 데이터압축 데이터 압축은 컴퓨터 공학의 주요분야로, 어떤 형태의 파일이라도 내부는 바이너리로 되어있으며, 이를 적절한 압축 알고리즘을 사용하여 크기를 줄이는 것이다. 이 압축된 파일을 100% 복원할 수 있으면 비손실 압축, 복원할 수 없으면 손실압축이라고 부른다. 비손실 압축 파일 크기를 줄여서 보관 및 이동에 용이하도록 하려는 목적으로 사용된다. 대표적인 비손실 압축 알고리즘은 Run-Length, Lempel-Ziv, Huffman 등이 있으며, 대표적인 압축 포맷인 ZIP, RAR 등도 근본압축개념은 앞의 예시와 같다고 볼 수 있다. 손실압축 손실압축은 파일에 의도적인 손상을 주어서 그 댓가로 압축률을 높이는 목적으로 사용된다. 주로 멀티미디어 파일(jpg, mp4)은 대부분이 이 기법을.. 공감수 0 댓글수 0 2020. 11. 2.
리버싱 핵심원리 13.5~13.8(PE File Format) 13.5 IAT DLL은 Windows OS의 근간을 이루는 개념으로, Dynamic Linked Library, 즉 동적 연결 라이브러리라고 한다. 16bit DOS 시절에는 코드가 해당 함수의 binary 코드를 그대로 가져와 프로그램에 삽입시켜버리는 구조로 실행되어 DLL없이 Library만 존재했는데, 이는 멀티태스킹이 지원되면서 심각한 메모리 낭비를 불러오게 됐다. 32bit Windows 환경에서는 매우 많은 라이브러리 함수가 필요하게 되면서, 아래와 같은 DLL 개념이 고안됐다. 1. 프로그램에 라이브러리를 포함시키지 말고 별도의 파일(DLL)로 구성하여 필요할 때마다 불러 쓸 것 2. 일단 한번 로딩된 DLL의 코드, 리소스는 Memory Mapping 기술로 여러 Process에서 공유해.. 공감수 0 댓글수 0 2020. 11. 2.
리버싱 핵심원리 8장(abex' crackme #2) abex's 2nd crackme 파일은 Visual Basic(이하 VB)으로 제작되었다. VB 파일은 전용엔진을 사용하는데, 사용 예로는 메세지 박스가 있다. 메세지 박스를 출력하고 싶을 때 VB 소스코드에서 MsgBox() 함수를 사용하는데, VB 컴파일러는 실제로 MSVBVM6o.dll!rtc MsgBox() 함수가 호출되도록 만들고， 이 함수 내부에서 Win32 API 인 user32. dll!MessageBoxW() 함수를 호출해주는 방식으로 동작한다. 우선 문제에서 주어진 프로그램을 실행하면 위와 같은 화면이 나온다. Name과 Serial에 아무 값이나 넣고 Check를 클릭했더니 'Nope, this serial is wrong!' 이라는 메세지 박스가 나온다. 전형적인 시리얼 값을 찾는.. 공감수 0 댓글수 0 2020. 10. 6.
리버싱 핵심원리 13장(PE File Format) 1. PE File Format PE(Portable Executable) 파일 또는 PE32 : Windows 운영체제에서 사용되는 32bit형태의 실행 파일 형식 (64비트형태의 PE파일은 PE+ 또는 PE32+ 라고 불림) PE 파일 종류에는 아래 표에 명시되어 있다. obj 파일을 제외한 모든 파일은 실행가능하다. 종류 주요 확장자 종류 주요 확장자 실행계열 exe, scr 드라이버 계열 sys, vxd 라이브러리 계열 dll, ocx, cpl, drv 오브젝트 파일 계열 obj 2. 기본 구조 DOS header부터 Section header까지는 PE헤더, 그 밑의 Section들은 PE 바디라고 한다. 파일에서는 Offest으로, 메모리에서는 절대주소(Virtual Address)로 위치를 .. 공감수 0 댓글수 0 2020. 10. 5.
리버싱 핵심원리 6장(abex’ crackme #1 분석 ) 이 프로그램을 실행시켜보면 'Make me think your HD is a CD-Rom' 이라는 문구가 나온다. 확인을 누르면 'Nah... This is not a CD-ROM Drive!' 라는 Error 메세지가 뜨게 된다. 올리디버거로 이 파일을 열어보았다. EP에 메인함수가 바로 나타난다는 점을 보면 이 프로그램은 어셈블리 언어로 작성되었다는 것을 유추할 수 있다. 어셈블리 언어로 만들어진 실행파일이기 때문에 개발툴을 사용해 만들어진 프로그램보다 EP 코드가 짧다. 이는 개발툴을 사용하면 컴파일러가 Stub Code를 추가시키기 때문에 디스어셈시, 내용이 더 길어지기 때문이다. 코드에서 전체적인 내용을 보면, GetDriveTypeA를 이용해 C 드라이브의 타입을 얻어오는데, 이를 CD-Rom.. 공감수 0 댓글수 0 2020. 10. 2.
리버싱 핵심 원리 10장 (함수 호출 규약) 함수 호출 전에는 파라미터를 스택을 통해 전달한다. 스택은 프로세스에서 정의된 메모리 공간이며, PE 헤더에 그 크기가 명시되어 있다. 이는 프로세스가 실행될 때 스택 메모리의 크기가 결정된다는 것과 같다. (동적 메모리 할당 X)ESP(스택 포인터)는 스택의 현재 위치를 가리키는 역할을 하는데, 함수 호출 후에 ESP를 어떻게 정리하는지에 대한 약속이 함수 호출 규약이다. 주요 함수 호출 규약은 3가지로 볼 수 있고, 이에 대해서 상세히 살펴보도록 하자! 1. cdecl 주로 C언어에서 사용되는 방식으로, Caller(호출자: 함수를 호출한 쪽)에서 스택을 정리하는 특징을 갖고 있다. 이 방식의 장점은 C언어의 printf() 함수와 같이 가변 길이 파라미터를 전달할 수 있다는 점이다. 2. stdca.. 공감수 0 댓글수 0 2020. 9. 28.
리버싱 핵심원리 9장(Process Explorer) 및 Process Explorer 다운로드 Process Explorer은 Windows 운영체제에서 제공하는 프로세스 관리도구이다. https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer Process Explorer - Windows Sysinternals Find out what files, registry keys and other objects processes have open, which DLLs they have loaded, and more. docs.microsoft.com 위 사이트에서 다운로드 가능하다. 특정 파일이나 디렉토리가 열려있는 프로그램이 무엇인지 알 수 있다. 프로세스 탐색기 (Process Explorer)는 어떤 핸들 및 DLL 프로세스.. 공감수 0 댓글수 0 2020. 9. 28.
Easy Crack - 미완성 reversing.kr/challenge.php Reversing.Kr Copyright © 2012-2020 Gogil All Right Reserved. reversing.kr Challenge에서 Easy Crack을 클릭하면 Easy_CrackMe.exe 파일을 다운로드 받을 수 있다. 이 파일을 실행해보자! 위와 같은 창이 하나 나오고 아무 값이나 입력하면 에러창이 뜬다. 맞는 비밀번호를 입력해야 풀 수 있는 문제같다. Ollydbg를 이용해 열어주었다. 아까 패스워드를 입력했을 때 'Incorrect Password' 라는 문구가 떴었다. 일반적으로 윈도우 환경에서 메시지 박스를 출력할 때는 MessageBox() API 함수를 이용한다. MessageBox() 함수가 사용됐는지 확인하기 위해.. 공감수 0 댓글수 0 2020. 9. 21.
OllyDbg 설치 및 사용방법 리버싱을 실습할 때, OllyDbg를 사용한다. OllyDbg는 바이너리 코드 분석을 위한 32비트 무료 디버거이다. www.ollydbg.de/ OllyDbg v1.10 www.ollydbg.de 위 사이트에 들어가서, 다운로드 란에서 올리디버거 최신버전을 다운로드 받아준다. 압축을 해제한 뒤, exe 파일을 실행해 올리디버거를 실행한다. 실행파일을 그냥 드래그 해서 프로그램으로 옮겨주면 실행가능하다. 비주얼 스튜디오를 이용해 아무 exe 파일을 만들어주자. 올리디버거를 통해 열어보면, 위와 같은 화면이 나온다. 1) Code Window (빨간 부분) : 기본적으로 disassembly code를 표시하여 각종 comment, label 을 보여주며 ， 코드 를 분석하여 loop, jump 위치 등의.. 공감수 0 댓글수 0 2020. 9. 14.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.