slimV

구하랍니다.

문제 파일을 받고 실행해봅니다.

이름과 키값을 입력하는 창이 뜹니다.

그런데 입력은 안됩니다.

제 컴퓨터의 오류인지 뭔지는 잘 모르겠습니다.

Packing 되어있는지 알아봅니다.

ASPack으로 packing 되어있습니다.

Unpacking 방법은 UPX와 동일하게 진행하면 됩니다.

PUSHAD 이후에 stack 주소에 break point를 걸고 실행합니다.

Break point에 걸립니다.

RETN에서 한 단계 진행합니다.

알수없는 코드들이 보입니다.

해석해줍니다.

해석을 하니 OEP가 나옵니다.

Dump를 떠서 열어봅니다.

정상적인 프로그램이 나왔습니다.

Register 분기점을 찾아야 합니다.

간단히 string으로 찾습니다.

Registered 구문을 찾아가니 register 분기점이 나왔습니다.

분기점 바로 위의 함수를 따라가 분석을 해야하지만

프로그램에 입력이 안됩니다.

함수는 내부를 들여다보기만 하겠습니다.

함수를 따라가보면 반복문이 보입니다.

문자를 비교하는 구문으로 보입니다.

다시 함수 밖으로 나와서 분기점의 명령을 jmp로 바꿔줍니다.

실행합니다.

Registered 메시지가 떴습니다.

ps. Debugger를 붙이고 exception 무시하고 실행해도 registered 메시지가 뜹니다.

읭?

Stolen-Byte를 구하랍니다.

문제 파일을 받고 실행해봅니다.

Key file 확인좀 하겠답니다.

Key file을 찾을수 없다고 뜹니다.

Stolen-Byte에 대한 개념을 모르시면 다음 글을 읽고 오세요.

 -> 

문제 파일은 UPX로 packing 되어 있습니다.

OllyDbg로 열어봅니다.

친숙한 PUSHAD가 보입니다.

MUP 해줍니다.

MUP를 하다보면 위와같이 Stolen-Byte가 눈에 띕니다.

JMP를 따라가면 OEP가 보입니다.

하나씩 따라가며 분석해 보겠습니다.

제일 먼저 CreateFileA 함수를 통해 "abex.l2c" 파일을 엽니다.

File이 존재하지 않는 경우 file을 찾을수 없다고 뜨고 종료합니다.

CreateFileA 함수의 원형입니다.

lpFileName으로 넘어간 file을 설정에 맞게 엽니다.

File을 여는데 성공하면 해당 file의 handle을 return합니다.

위에서 넘겨받은 file handle을 통해 file의 size를 구합니다.

File의 size가 0x12(18)이 아니면 key file이 잘못됐다고 뜨고 종료합니다.

위의 조건들을 다 만족한 경우 key file이 맞다고 뜹니다.

18-byte 크기의 abex.l2c 파일을 만들고 실행해봅니다.

Key file이 맞다고 떴습니다.

구하랍니다.

문제 파일을 받고 실행해봅니다.

그냥 계산기입니다.

PEiD로 열어봅니다.

UPX로 packing되어 있습니다.

MUP 하고 unpacking된 파일을 OllyDbg로 열어봅니다.

UPX unpacking 하는법을 모르시면 다음 글을 읽고 오세요.

 -> http://slimv.tistory.com/entry/UPX-MUP

OEP가 뜹니다.

이번 문제는 목표가 뭔지 모르겠습니다.

어떻게 변하는지 찾으면 됩니다.

문제 파일을 받고 실행해봅니다.

아무렇게나 입력하고 check를 눌러봅니다.

틀렸다고 뜨고 종료됩니다.

OllyDbg로 열어봅니다.

String을 통해 비교구문을 찾아갑니다.

lstrcmpiA 이후 JE를 통해 분기합니다.

위쪽으로 따라가 봅니다.

많은 함수가 보입니다.

하나씩 따라가 보겠습니다.

GetDlgItemTextA를 통해 BABB04F7.00402324에 입력했던 serial을 저장합니다.

GetVolumeInformationA를 통해 hard disk의 volume 값을 읽어옵니다.

GetVolumeInformationA 함수의 원형입니다.

lpRootPathName으로 넘어간 path의 root path의 volume 값을 읽어들이고

lpVolumeNameBuffer가 가리키는 주소에 저장합니다.

위의 프로그램에선 lpRootPathName이 null 이므로

프로그램이 위치한 path의 root path를 넘기게 됩니다.

제가 실행한 환경의 root path는 C:\ 입니다.

C:\의 volume 값을 설정하지 않은 상태이므로 null을 return합니다.

이전 함수에서 넘겨받은 volume 값과 "4562-ABEX"를 연결합니다.

연결한 string은 BABB04F7.0040225c에 저장합니다.

연결한 string의 offset 0x0에서 0x4까지의 값을 1씩 2번 증가시킵니다.

"L2C-5781"과 BABB04F7.00402000 주소의 string을 연결합니다.

BABB04F7.00402000에는 null로 가득 차 있습니다.

연결한 string을 BABB04F7.00402000에 저장합니다.

BABB04F7.0040225c의 string과 BABB04F7.00402000의 string을 연결합니다.

연결한 string은 BABB04F7.00402000에 저장합니다.

위에서 연산 완료한 BABB04F7.00402000의 string과 입력했던 serial을 비교한 후 분기합니다.

연산 결과 생성된 string을 입력해봅니다.

완성된 string은 "L2C-57816784-ABEX" 입니다.

Serial이 맞다고 메시지가 뜹니다.