티스토리

음악, 만화 그리고 고독

검색하기

블로그 홈

음악, 만화 그리고 고독

osb330.tistory.com/m

evans 님의 블로그입니다.

구독자: 0

방명록 방문하기

주요 글 목록

Notepad.exe 프로세스 내의 KeyHook.dll 디버깅 이제 notepad.exe 프로세스에 인젝션된 KeyHook.dll의 훅 프로시저를 디버깅해보자. Notepad.exe를 OllyDbg로 열어보자. 그리고 OllyDdg의 옵션에더 Pause on new module(DLL)을 체크하자. 이 옵션으 디버기(Debuggee) 프로세스(notepad.exe)에 새로운 DLL이 로딩될 때 자동으로 디버깅을 멈추는 옵션이다.(DLL이 인젝션되는 순간부터 디버깅할 때 매우 유용하다.) 이 상태에서 HookMain.exe를 실행하고 notepad.exe에서 키보드를 입력하고 Ollydgb에서 Executable modules 창이 뜬다. 10000000 주소에 KeyHook.dll이 로딩된 것을 확인할 수 있다. 전에 훅 프로시저의 주소(10001020)를 알고 있.. 공감수 0 댓글수 1 2018. 5. 28.
HookMain.exe 디버깅 Windows 메시지 후킹 기법을 어떻게 디버깅하는지 살펴보자. 먼저 키보드 후킹을 설치해주는 HookMain.exe를 디버깅 한다. OllyDbg로 HookMain.exe를 열어보자. 위 그림은 HookMain.exe의 EP(Entry Point) 코드이다. 전형적인 VC++의 스텁 코드이다. 우리가 관심있는 코드는 키보드 후킹을 시작하는 부분이다. search for - All referenced String을 통해 Press 'q' to quit! 이부분을 찾아보자. 그림이 보여지는 코드는 프로그램의 main() 함수이다. main() 함수 디버깅 401000 주소에 BP를 설치한 후 실행하면 이 주소에서 멈추면서 디버깅이 가능해진다. 위 코드를 차례대로 트레이싱해서 내려오다 보면 주요 흐름을 알 .. 공감수 0 댓글수 0 2018. 5. 28.
키보드 메시지 후킹 실습 그렇다면 간단한 키보드 후킹을 해보자. 아래 그림을 보자 KeyHook.dll 파일은 훅 프로시저(KeyboardProc)가 존재하는 DLL 파일이다. 그리고 HookMain.exe는 KeyHook.dll을 최초로 로딩하여 키보드 훅을 설치하는 프로그램이다. HookMain.exe에서 KeyHook.dll 파일을 로딩한 후 SetWindowsHooEX()를 이용하여 키보드 훅(KeyboardProc)을 설치한다. 만약 다른 프로세스(explorer.exe, iexplore.exe, notepad.exe등)에서 키 입력 이벤트가 발생하면 OS에서 해당 프로세스의 메모리 공간에 KeyHook.dll을 강제로 로딩하고 KeyboardProc 함수가 호출된다. 여기서 중요한 점은 키 입력 이벤트가 발생한 프로세.. 공감수 0 댓글수 0 2018. 5. 26.
DLL 인젝션- Window 메시지 후킹 1. 훅(Hook) 영어로 Hook, 우리말로는 갈고리, 낚시바늘 정도의 뜻을 가지고 있는데, 원하는 것을 낚아 채고 싶을 때 사용하는 도구이다. 이 갈고리나는 뜻이 확장되어서 정보를 엿보거나 가로채는 경우에도 훅이라는 말을 쓴다. 중간에 오고가는 정보를 엿보거나 가로채기 위해 초소를 설치하는 일을 훅(hook)을 건다(설치한다)라고 하고, 실제로 정보를 엿보고 조작하는 행위를 후킹(Hooking)한다. 컴퓨터 분야에서도 후킹이 광범위하게 사용되고 있다. 그 중에서 가장 기본적인 메시지 훅(Massage Hook)에 대해 설명한다. 2. 메시지 훅 Windows 운영체제는 GUI를 제공하고, 이는 Event Driven 방식으로 동작한다. 키보드/마우스를 이용하여 메뉴 선택, 버튼 선택, 마우스 이동, .. 공감수 1 댓글수 0 2018. 5. 26.
UPack PE헤더 상세 분석 -2 5-6 RVA to RAW 각종 PE 유틸리티들이 UPack 앞에서 맥을 못 추던 원인이 바로 RVA-> RAW 변환에 어려움을 겪었기 때문이다. UPack 제작자는 많은 테스트를 통해서 Windows PE로더의 버그를 알아낸 후 이를 UPack에 적용하였다. 이 기법을 처음 접한 유틸리티들은 대부분 '잘못된 메모리 참조에 의한 비정상종료'를 당했다. 먼저 일반적인 RVA -> RAW 변환 방법인 이렇다 RAW - PointerToRawData =RVA - VirtualAddress RAW = RVA -VirtualAddress + PointerToRawData 그렇다면 위 공식대로 EP의 파일 옵셋(RAW)를 계산해보자. UPack의 EP는 RVA는 1018이다. RAW = 1018 - 1000 + 1.. 공감수 0 댓글수 0 2018. 5. 15.
UPack PE헤더 상세 분석 -1 UPack(Ultimate PE 패커)는 실행 압축기(PE Run-Time 패커)이다. UPack의 특징은 PE 헤더를 굉장히 독특한 방식으로 변형한다는 것이다. UPack 때문에 기존의 많은 PE분석 프로그램들이 오작동을 일으켜서 패치를 해야만 할정도로 획기적인 기법을 사용했다는 얘기다. UPack 상세분석을 통해 PE 헤더에 대한 지식을 완전히 엎어버리는 내용이며 리버싱에 대한 흥미와 열정을 더욱 끌어낼 수 있을 것이다. 1.UPack 설명 UPack은 중국의 dwing이라는 사람이 만든 PE패커이다. http://www.geocities.jp/dwingj/mycomp.htm UPack으로 실행 압축된 파일들의 PE 헤더를 보면 실행이 될 지 의문이 들 정도로 특이하게 변형되어 있다. 이러한 특이한 .. 공감수 0 댓글수 0 2018. 5. 15.
실행파일에서 .reloc 섹션 제거하기 PE 파일에서 .reloc 섹션을 수동으로 제거하는 실습을 해보자. 본 실습을 통해 PE File Fomat에 대한 이해가 깊어지고 Hex Editor 등의 툴을 사용하는데 익숙해질 것이다. 1. reloc 섹션 EXE형식의 PE 파일에서 Base Relocation Table항목은 실행에 큰 영향을 끼치지 않는다. 실제로 제거 후 실행 테스트를 해보면 정상적으로 실행이 잘 된다. (DLL, SYS형식의 파일은 BASE Relocation Table이 거의 필수적이다.) VC++에서 생성된 PE 파일의 Relocation 섹션 이름은 ',reloc'이다. .reloc섹션이 제거되면 PE 파일의 크기가 약간 줄어드는 효괄르 볼 수 있다.(실제로 이런 유틸리티도 있다.) .reloc 섹션은 보통 마지막에 위.. 공감수 0 댓글수 0 2018. 5. 15.
PE재배치 동작 원리 Windows의 PE 로더가 수행하는 PE 재배치 작업의 기본 동작 원리는 다음과 같다. 1.프로그램에서 하드코딩된 주소 위치를 찾는다 2. 값을 읽을 후 ImageBase만큼 뺀다(VA -> RVA) 3. 실제 로딩 주소를 더한다.(RVA -> VA) 여기서 핵심은 하드코딩된 주소 위치를 찾는 것이다. 이를 위해 PE파일 내부에 Relocation Table이라고 하는 하드코딩 주소들의 옵셋(위치)을 모아 놓은 목록이 존재한다.(Relocaation Table은 PE 파일 빌드(컴파일/링크)과정에서 제동된다) Relocation Table로 찾아가는 방법은 PE 헤더의 Base Relocation Table 항목을 따라간다. 1.Base Relocation Table Base Relocation Tab.. 공감수 0 댓글수 0 2018. 5. 14.
PE 재배치 -1 Base Relocation Table PE 파일의 재배치(Relocation)과정에 사용되는 Base Relocation Table 구조와 동작원리에 대해 알아보자. 1. PE 재배치 PE 파일(EXE/DLL/SYS)이 프로세스 가상 메모리에 로딩(Loading)될 때 PE 헤더의 ImageBase 주소에 로딩된다. DLL(SYS)파일의 경우 ImageBase위치에 이미 다른 DLL(SYS) 파일이 로딩되어 있다면 다른 비어있는 주소 공간에 로딩이 된다. 이것을 PE파일 재배치라고 한다. 즉 PE파일 재배치란 PE파일이 ImageBase에 로딩되지 못하고 다린 주소에 로딩될 때 수행하는 일련의 작업들을 의미한다. 참고 SDK(Soft Development Kit)또는 visual C++로 PE 파일을 .. 공감수 0 댓글수 0 2018. 5. 14.
IAT란? -3. notepad.exe를 이용한 실습 실제로 notepad.exe를 대상으로 하나씩 살펴보자. 어떤곳에 IMAGE_IMPORT.DESCRIPTOR 구조체 배열은 PE파일의 어느곳에 존재하는가 바로 PE헤더가 아닌 PE바디에 위치한다. 그곳에 찾아가기 위한 정보는 역시 PE헤더에 있는데 IMAGE_OPTIONAL_HEADER32.DataDirectory[1].VirtualAddress 값이 실제 IMAGE_IMPORT_DESCRIPTOR 구조체 배열의 시작 주소이다(RVA 값). IMAGE_IMPORT_DESCRIPTOR 구조체 배열을 다른 용어로는 IMPORT Directory Table이라고 한다. IMAGE_OPTIONAL_HEADER32.DataDirectory[1] 구조체는 다음 그림과 같다(첫번째 4바이트가 VirtualAddres.. 공감수 0 댓글수 0 2018. 5. 7.
Lenas_Reversing_for_Newbies를 크랙해보자 이번에는 Lenas Reversing for Newbies라는 파일을 리버싱 실습을 사용해보겠습니다. 첨부한 파일을 실행하면 다음과 같은 화면이 나옵니다. 해석을 하면 Nags를 제거하고 올바른 등록코드를 찾으라는군요. Nag는 현재 나오는 창을 말하는거고 이 메시지 창을 없애라는군요. 확인을 누르면 다음과 같은 창이 나옵니다. 등록 코드를 입력하라고 나왔는데 일단은 모르니깐 Register me!를 클릭 해보겠습니다. 뭐 역시나 안되는군요. 올리 디버거를 사용해서 일단 분석을 해봅시다. 시작화면은 다음과 같습니다. 일단은 여태껏 했던것 처럼 우클릭을 해서 Search for-Referenced Stirng을 찾아가는 법도 있지만 여기서 다른 방법을 써봅시다. 우클릭 후 Search for-Intermo.. 공감수 0 댓글수 0 2018. 5. 6.
IAT란? -2 IMAGE_IMPORT_DESCRIPTOR 2. IMAGE_IMPORT_DESCRIPTORPE 파일은 자신이 어떤 라이브러리를 임포트(Import)하고 있는지 IMAGE_IMPORT_DESCRIPTOR 구조체에 명시하고 있다. Import: library에게 서비스(함수)를 제공받는 일Export: library 입장에서 다른 PE 파일에게 서비스(함수)를 제공하는 일 IMAGE_IMPORT_DESCRIPTOR 구조체는 다음과 같다. typedef struct _IMAGE_IMPORT_DESCRIPTOR { union { DWORD Characteristics; DWORD OriginalFirstThunk; // INT(Import Name Table) address (RVA) }; DWORD TimeDateStamp; DWORD Forwarde.. 공감수 0 댓글수 0 2018. 1. 19.
IAT란? -1 DLL PE 헤더를 처음 배울때 최대 난관은 IAT(Import Address Table)이다. IAT에는 Windows 운영체제의 핵심 개념인 process, memory, DLL 구조 등에 대한 내용이 함축되어 있다. 즉 IAT만 잘 이해해도 Windows 운영체제의 근간을 이해한다고 할 수있다. IAT란 쉽게 말해서 프로그램이 어떤 라이브러리에서 어떤 함수를 사용하고 있는지를 기술한 테이블이다. 1.DLLIAT를 설명하기 앞서 Windows OS의 근간을 이루는 DLL(Dynamic Linked Library) 개념을 짚고 넘어가야 한다. (DLL은 우리말로 '동적 연결 아리브러리'라고 한다.) 16비트 DOS 시절에는 DLL 개념이 없었다. 그냥 'Library'만 존재하였다. 예를 들면 C 언어에서 p.. 공감수 0 댓글수 0 2018. 1. 18.
RVA to RAW 섹션 헤더를 잘 이해했다면 이제 PE 파일이 메모리에 로딩되었을 때 각 섹션에서 메모리의 주소(RVA)와 파일 옵셋을 잘 매핑할 수 있어야 합니다. 이러한 매핑을 일반적으로 'RVA to RAW'라고 부른다. 방법은 아래와 같다. 1. RVA가 속해있는 섹션을 찾는다.2. 간단한 식을 사용해서 파일 옵셋(RAW)를 구한다. RAW - PinterToRawData = RVA - VirtualAddress RAW = RVA- VritualAddress + PointerToRawData 하나씩 살펴보면 RVA는 각 섹션에서 메모리 주소. VirtualAddress는 메모리에서 섹션의 시작주소 PointToRawData는 file에서 섹션의 시작주소. RAW는 각 섹션에서 파일주소 이렇게 보고 다음 예저를 살펴.. 공감수 0 댓글수 0 2018. 1. 18.
섹션 헤더 각 섹션의 속성을 정의한 것이 섹션헤더이다. 섹션헤더 구조체를 보기 전에 한번 생각해보자. 앞서 PE파일은 code,data resource등을 각각의 섹션으로 나눠서 저장한다했다. 그렇다면 PE File Format을 설계한 사람들은 어떤 장점이 있기 때문에 그랬을 것이다. PE 파일을 여러 개의 섹션 구조로 만들었을 때 장점은 프로그램의 안정성이다. code와 data가 하나의 섹션으로 되어있고 서로 뒤죽박죽 섞여있다면 복잡함은 둘째치더라고 해도 안정성에 문제가 생길수 있다.가령 문자열 data에 값을 쓰다가 어떤 이유로 overflow가 발생가 발생했을때 바로 다음 code를 그대로 덮어써버릴 것이므로 프로그램에 큰 손상이 생긴다. 그래서 PE FILE Format 설계자들은 비슷한 자료를 섹션이라.. 공감수 0 댓글수 0 2018. 1. 16.
NT 헤더 -2 HT Header-optional Header PE 헤더 구조체 중에서 가장 크기가 큰 IMAGE_OPTIONAL_HEADER32이다. typedef struct _IMAGE_DATA_DIRECTORY { DWORD VirtualAddress; DWORD Size; } IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY; #define IMAGE_NUMBEROF_DIRECTORY_ENTRIES 16 typedef struct _IMAGE_OPTIONAL_HEADER { WORD Magic; BYTE MajorLinkerVersion; BYTE MinorLinkerVersion; DWORD SizeOfCode; DWORD SizeOfInitializedData; DWORD Si.. 공감수 0 댓글수 0 2018. 1. 16.
PE 헤더 -1 PE 헤더는 많은 구조체로 이루어져있다. 지금부터 각 구조체에 대해서 하나씩 살펴보자. 1. DOS 헤더 DOS 파일에 대한 하위 호환성을 고려해서 만든 해더. 그 결과로 PE 헤더의 제일 앞부분에는 기존 DOS EXE Header를 확장 시킨 IMAGE_DOS_HEADER 구조체가 존재한다. IMAGE_DOS_HEAGER 구조체의 크기는 40이다. 이 구조체에서 알아 두어야 할 중요한 맴버는 e_magic과 e_lfanew이다. typedef struct _IMAGE_DOS_HEADER { WORD e_magic; // DOS signature : 4D5A ("MZ") WORD e_cblp; WORD e_cp; WORD e_crlc; WORD e_cparhdr; WORD e_minalloc; WORD .. 공감수 0 댓글수 0 2018. 1. 11.
PE File Format -1 Windows 운영체제의 PE(Process Executable)File Format에 대해서 공부하면 Windows 운영체제의 가장 핵심적인 부분인 Process, Memory,DLL 등에 대한 내용을 정리할 수 있다. PE 파일은 Windows 운영체제에서 사용되는 실행 파일 형식이다. 기존 UNIX에서 사용되는 COFF(Commom Object File Format)를 기반으로 만드었다. 애초에는 다른 운영체제에 이식성이 좋게 하려는 의도였으나 실제로는 Windows 계열의 운영체제에서만 사용되고 있다. PE 파일은 32비트 형태의 실행파일을 의미하며 PE32라는 용어를 사용하기도 한다. 64비트 형태의 실행 파일은 PE+ 또는 PE32+라고 부른다. (PE64라고 하지 않음) PE File For.. 공감수 0 댓글수 0 2018. 1. 10.
함수 호출 규약 함수 호출 규약(Calling Convention)에 대해 할아보자 함수 호출 규약은 함수를 호출할 때 파라미터를 어떤식으로 전달하는가에 대한 일종의 약속이다. 함수 호출 전에 파라미터를 스택을 통해서 전달한다. 스택이란 프로세스에서 정의된 메모리 공간이며 아래방향으로 자란다. 또한 PE헤더에 그 크기가 명시되어있다. 즉 프로세스가 실행될 때 스택 메모리의 크기가 결정된다.(malloc/new 같은 동적 메모리 할당과는 다르다.) 함수가 실행이 완료도었을 때 스택에 들어있던 파라미터는 그대로 놔두는데 어처피 덮어씌워서 사용하는 것을 지우거나 하면 CPU자원을 소모하게 되기 때문이다. 함수가 실행 완료되었을 때 ESP(스택포인터)는 함수 호출 전으로 복원되어야 한다. 그래야 참조가능한 스택의 크기가 줄어들.. 공감수 0 댓글수 0 2018. 1. 10.
Process Explorer란? Process Explorer는 윈도우에서의 작업관리자와 비슷한 프로세스 관리도구이지만 더 심화된 도구라고 볼 수 있습니다. 화면 좌측에는 현재 실행중인 프로세스들의 parent/child의 트리 구조로 표시하고 있고 우측에는 프로세스 각각의 PID와 CPU 점유율, 등록정보 등을 보여주고 있다. Process Explorer의 장점은 다음과 같다 - 트리구조로 프로세스를 파악할수 있다. - 프로세스 실행/종료 시 각각의 색으로 표시 - 프로세스 Suspend/resume가능 - 프로세스 kill 가능 - DLL/Handle 검색(프로세스에 로딩된 DLL 또는 프로세스에서 점유하는 Handle 검색) 공감수 0 댓글수 0 2018. 1. 10.
abex' 2nd crackme 분석 지난번에는 크랙프로그램인 abex' crack#1을 분석했는데 이번에는 시리얼 코드를 받는 프로그램을 분석해봅시다. 일단은 프로그램을 실행해봅시다. 이름과 시리얼코드를 입력하라고 나오는데 일단은 아무거나 넣어봅시다. 아무 수나 입력하면 틀렸다고 하는 메시지가 나오는군요. 그러면 본격적으로 디버깅을 해보자. 처음으로 문자열 검색 기능을 사용하면 다음과 같은 창이 나온다. 보면 Wrong serial과 Congratulations이라는 문자열이 나오는 것을 봐서는 조건에 따라 메시지가 다르게 나오는 것을 생각할 수 있다. 그렇다면 조건의 분기문을 찾아보자. Congratulations에서 조금 위로 올려 보면 0040329에서 보면 __vbaVarTstEq()함수를 호출해서 리턴 값(AX)를 비교(Test명.. 공감수 0 댓글수 0 2018. 1. 8.
abex' crackme#1 분석 아주 간단한 crackme 샘플을 분석하여 디버거와 디스어셈 코드에 익숙해져보자. crackme는 말그대로 크랙 연습을 목적으로 작성되어 공개된 프로그램이다. 프로그램을 실행해보면 다음과 같이 나온다. 음.. 일단 대강 해석하면 너(사용자)의 HD를 CD-ROM이라고 생각하게 만들어줘라는데.. 별거 없으니 확인 확인을 누르면 Error라고 나오고 이건 CD-ROM이 아니라고 하면서 종료됩니다. 이제 이프로그램 자체를 올리 디버거로 디버깅을 해봅시다. EP에서 보면 코드자체는 간단하다. 대강 보면 윗줄에 처음 화면 문구가 중간에 에러 그리고 그 아래 YEAH라고 나오면서 성공시 화면이 보인다. 그렇다면 저 문구가 나올수 있게 수정하면 끝.전에 Hello world 문자열을 패치했을때 메모리 주소를 바꾸는 .. 공감수 0 댓글수 0 2018. 1. 4.
스택이란? 스택(stack) 스택은 로컬 변수 저장, 함수 파라미터 전달, 복귀 주소 저장 등의 다양한 용도로 사용된다. 디버깅 할 때 스택 메모리를 확인하는 일이 맹무 많기 띠ㅐ문에 스택의 동작 원리에 대해 잘 알아두면 디버깅에 큰 도움이 된다. 스택의 역할 1. 함수 내의 로컬변수 임시 저장2. 함수 호출 시 파라미터 전달3. 복귀 주소(Return Address) 저장 스택의 특징 일반적으로 스택 메모리는 PUSH를 통해 메모리에 추가되면 스택 포인터는 위로 올라가고 POP 명령을 통해서 스택에서 제거되면 아래쪽으로 움직인다. 말그대로 쌓는다고 생각하면 생각하면 편하다. 스택은 스택 포인터가 초기값은 스택 메모리 아래쪽에 있다는 것을 알아두자 공감수 0 댓글수 0 2018. 1. 4.
IA-32 Register 기본 설명 애플리케이션 디버깅의 디버깅을 위해기본적으로알아야 할 IA-32(Intel Architecture 32비트)의 레지스터에 대하여 알아보도록 하자. CPU 레지스터란? 레지스터(Register)란 CPU 내부에 존재하는 다목적 저장 공간이다. 우리가 일반적인 메모리라고 하는 RAM과는 성격이 다른데 RAM은 메모리를 물리적으로 멀리 돌아가야 때문에 떄문에 시간이 오래 걸리지만 레지스터는 CPU 내부에 있기 때문에 고속으로 데이터를 처리할 수 있다. 레지스터에 대해서 알아야 하는 이유 리버싱 초급 단계에서 애플리케이션 디버깅을 잘 하려면 디버거가 해석해주는 어셈블리 명령어를 공부해야 한다. IA-32에 제공하는 어셈블리 명령어는 매우 방대한 양이라서 한번에 공부하기는 쉽지 않다. 어셈블리명령어는 대부분은 레.. 공감수 1 댓글수 0 2018. 1. 4.
리틀 엔디언 표기법 컴퓨터에서 메모리에 데이터를 저장하는 방식을 의미하는 바이터 오더링(Byte Ordering)의 리틀 엔디언 표기법과 빅 엔디언 표기법이 있다. 바이트 오더링은 데이터를 저장하는 방식을 말하는 것이라고 생각하면 되는데 이는 애플리케이션 디버깅을 할 때 알아두어야 하는 기본 개념중 하나이다. 밑의 예제를 참고해보자. Type Name Size 빅 엔디언 리틀 엔디언 BYTE b 1 [12] [12] WORD w 2 [12][34] [34][12] DWORD dw 4 [12][34][56][78] [78][56][34][12] char[] str 6 [61][62][63][64][65][00] [61][62][63][64][65][00] Byte 타입의 b 변수를 저장할 때는 두 방식의 차이가 없지만 2바이.. 공감수 0 댓글수 0 2018. 1. 4.
Hello World 문자열 패치 여태까지는 올리 디버거의 사용법만을 다뤄서 지루했다면 이번에 할것은 직접 내용을 바꾸기 때문에 리버싱의 묘미를 맛볼수 있다. 패치는 기존 응용 프로그램의 버그를 수정하거나 또는 새로운 기능을 추가시킬수도 있는 기술입니다. 패치 대상은 파일 혹은 메모리가 될 수 있으며 프로그램의 코드와 데이터도 모두 패치가 가능하다. 이번에는 Hello World! 라는 문자를 패치해보자 일단은 지난번에 main()함수까지 BP를 설정했다. 그 위치로 가보자. 문자열 패치 방법은 두가지가 있는데 첫번째는 문자열 버퍼를 직접 수정하는 방법. 두번째는 불러오는 메모리 주소를 수정해서 새로운 문자열을 전달하는 방법인데 하나씩 살펴봅시다. 1) 문자열 버퍼를 직접 수정말그대로 전달되는 문자열 자체를 수정하는 방법이다. 코멘트에 .. 공감수 0 댓글수 0 2018. 1. 3.
Ollydbg BP 설치 방법 앞에 봤던 내용은 F7과 F8을 이용해서 일일히 Main()을 찾아갔다. 이제는 조금더 편하게 찾기 위해 몇가지를 배워보자. 베이스 캠프디버거를 재 실행할때마다 처음 EP에서 시작하기 때문에 불편한 점이 있는데 중간에 중요 포인트를 지정하고 그 포인트로 빠르게 갈 수 있게 해주는 역할을 해주는 것이 베이스캠프이다. 파일을 분석할 때 베이스캠프를 잘 설치하면 아주 편리하게 디버깅을 할 수 있기에 잘 알아두자. 베이스캠프를 설치하는 방법. 1. Ctrl +G와 F4를 이용하는 방법. 일단 처음 시작했을 화면에서 004010E6으로 이동한다고 할때 Goto 명령인 Ctrl +G키를 눌러보자. 다음과 같은 창이 나오는데 여기에 메모리 주소를 입력하자. 그렇다면 입력한 메모리 주소로 이동하는데 여기서 F4버튼을 .. 공감수 0 댓글수 0 2018. 1. 3.
ollydebug를 사용해서 디버깅 입문해보자 올리 디버거를 설치를 했다면 한번 구동을 해보자. 일단 구동 환경을 간단히 써보면 Windows 10 64bit + Ollydbg 2.00 버전 올리 디버거를 시작하면 다음과 같은 화면이 나오게 된다. 4개의 창으로 구성되었는데 설명하면 1. Code Window(좌상단) 기본적으로 Disassembly code를 표시하여 각종 Comment, lable을 보여주며 코드를 분석하여 loop, jump 위치 등의 정보를 표시한다. 2. Register Window(우상단)CPU register 값을 실시간으로 표시하며 특정 register들은 수정이 가능하다 3. Dump Window(좌하단)프로세스에서 원하는 memory 주소 위치를 Hex와 ASCII/유니 코드 값으로 표시하고 수정이 가능하다 4. S.. 공감수 0 댓글수 0 2018. 1. 3.
리버스 엔지니어링 환경 구축 1. 기본적으로 C++ 개발을 위해서 visual studio express 설치. https://www.visualstudio.com/ko/vs/visual-studio-express/ 2. 디버깅을 위한 OllyDbg 설치 http://www.ollydbg.de/ 왼쪽에 Odbg200.zip을 클릭하면 압축파일이 하나 설치되는데 압축만 헤제하면 사용이 가능하다. 시작했을때 기본화면 이것은 hello.exe를 디버깅 했을때 모습이다. 공감수 0 댓글수 0 2018. 1. 2.
리버스 엔지니어링이란 리버스 엔지니어링(Reverse Engineering RE:역공학)의 일반적인 의미는 물건이나 기계 장치 혹은 시스템 등의 구조, 기능, 동작 등을 분석하여 그 원리를 이해하며 단점을 보완하고 새로운 아이디어를 추가하는 일련의 작업. 소프트웨어 분야의 리버스 엔지니어링은 리버스 코드 엔지니어링(Reverse Code Engineering, RCE)라고 하는데 대체로 소프트웨어를 리버싱 관점에서 상세하게 분석한다는 뜻. 리버싱(분석)방법에는 크게 두 가지 방법이 있다. 정적분석과 동적 분석이다. 1) 정적분석 파일 겉모습을 관찰하여 분석하는 방법. 정적 분석 단계에서는 파일을 실행하지 않는다. 파일의 종류(EXE,DLL,DOC 등), 크기 해더(PE)정보, Import/Export API, 내부 문자열, .. 공감수 0 댓글수 0 2018. 1. 2.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.