[CodeEngn] Basic RCE L03 문제풀이

문제는 여기서 다운받을 수 있습니다. (압축해제 시 비밀번호는 codeengn 입니다.)

 

 

목표값 : 비주얼베이직에서의 스트링 (문자열) 비교 함수 이름

 

아마 분석해야 할 프로그램은 비주얼베이직으로 만들어졌을겁니다.

실행을 시켜보겠습니다.

 

 

 

 

독일어로 쓰인 메세지박스가 하나 호출됩니다.

nag 을 제거하거나 올바른 암호를 입력하라는 이야기입니다.

확인을 눌러줍시다.

 

 

 

 

등록 코드를 입력하라는 창이 뜹니다. 

 

 

 

 

시험삼아 test1234 라고 입력한 뒤 Registrieren 버튼을 눌렀습니다.

 

 

 

 

올바른 암호가 아니라고 합니다.

패스워드와 사용자가 입력한 값을 비교해 성공/실패로 분기하는 듯 합니다.

디버거로 열어봅시다.

 

 

 

 

아까 보았던 실패 문자열을 찾아가보도록 하겠습니다.

마우스 우클릭 -> Search for -> All referenced text strings 으로 프로그램 내의 문자열을 검색해줍니다.

 

 

 

 

스크롤을 조금 내리다 보면 이렇게 에러 문자열을 찾을 수 있습니다.

이 문자열을 더블클릭해 해당 문자열이 있는 주소로 이동해줍니다.

 

 

 

 

에러 문자열이 있는 주소로 이동했습니다.

앞서 예측했던 대로 실패 문자열 전후에 성공 문자열이 있을 듯 합니다.

스크롤을 올리다 보면 이와 같이 성공 시 출력될 것으로 추정되는 문자열이 있습니다.

 

 

 

 

아마 이 문자열 전에 조건 분기문이 있을 듯 합니다.

 

 

 

 

역시 바로 위에 조건 분기문이 있습니다.

CMP DI, SI 명령을 통해 두 레지스터를 비교하고, 두 값이 같으면 JE 명령을 실행합니다.

위의 JE 03.004029DC 명령을 통해 결과가 나뉠 듯 합니다.

 

 

 

 

JE 문이 실행되었을 때 이동하는 004029DC 주소가 실패 문자열 위쪽 주소인 것으로 미루어보아, 이 JE 명령은 사용자가 입력한 값과 패스워드가 다를 때 실행된다고 추측할 수 있습니다.

 

 

 

JE 명령 (004028E3 주소) 에 [F2] 키로 BP를 건 다음 [F9] 키로 BP까지 실행합니다.

 

 

 

 

이런 메세지가 뜨면 확인을 눌러줍니다.

 

 

 

 

그 후 아까 실패했던 test1234 라는 패스워드를 다시 한 번 입력하고 Registrieren 버튼을 누릅니다.

 

 

 

 

레지스터 창에서 DI 와 SI 가 모두 0으로 같은 모습을 볼 수 있습니다.

BP를 건 조건 분기문에서 멈추는데,  두 레지스터 값을 확인했으면 그대로 실행시켜줍니다.

(CMP로 DI 와 SI를 비교한 후 두 값이 같으면 조건분기문 실행)

 

 

 

 

이렇게 실패 메세지박스가 호출되는 것을 볼 수 있습니다.

따라서 JE 명령은 성공/실패를 가로짓는 부분입니다.

 

 

 

 

그렇다면 그 위에 사용자가 입력한 값과 패스워드를 비교할 문자열 비교 함수가 있다고 추측할 수 있습니다.

CALL 명령으로 함수를 호출할 때, 스택을 이용해 파라미터를 전달하기 때문에, 문자열 비교 함수 호출 전에 사용자가 입력한 값은 PUSH 명령으로 스택에 저장될 것입니다.

JE 문 위 두 개의 PUSH 명령에 주목합시다.

이는 바로 밑에서 호출되는 vbaStrCmp 함수의 인자들을 스택에 저장합니다.

 

 

 

 

확인을 해보기 위해 두 PUSH 명령 모두에 BP를 걸고 실행한 뒤 테스트 문자열을 입력해줍니다.

004028BA 주소의 PUSH 명령으로 함수의 인자가 스택의 EBP-58 주소에 들어갔을 것 입니다.

 

 

 

 

EBP 의 현재 값은 0019F1C8 입니다. 

계산기를 이용해 구한 EBP-58 값은 0019F170 입니다.

 

 

기본 계산기 -> 프로그래머 -> HEX 클릭해 계산

 

 

스택의 EBP-58 (0019F170) 주소를 확인해보면 이렇게 사용자가 입력한 문자열이 쌓여있는 것을 볼 수 있습니다.

 

 

 

만약 vbaStrCmp 함수가 문자열 비교 함수라면 스택을 통해 전달된 첫 번째 인자와 두 번째 인자를 비교하겠죠?

여기서 첫 번째 인자는 우리가 입력한 값이라는 것을 알았습니다.

그렇다면 두 번째 인자는 입력한 문자열과 비교할 문자열, 즉 패스워드가 될 것입니다.

다시 한 번 추측이 맞는지 확인해보도록 합시다. 

두 번째 PUSH 명령으로 스택에 유니코드 2G83G35Hs2 가 저장됩니다.

디버거를 재시작해서 이를 패스워드 창에 입력해보도록 하겠습니다.

 

 

 

 

Registrieren 버튼을 눌러주면 성공했다는 문자열이 출력됩니다.

 

 

 

 

vbaStrCmp 함수의 인자로 전달된 두 번째 값이 패스워드인 것을 확인했습니다.

(vbaStrCmp 의 인자 : 사용자가 입력한 문자열, 하드코딩된 패스워드 값)

이렇게 vbaStrCmp 이 문자열 비교 함수가 맞다는 것을 알 수 있습니다.

 

따라서 비주얼베이직의 스트링 비교 함수 이름은 vbaStrCmp 입니다.

vb = visual basic
Str = string
Cmp = compare