[CodeEngn] Basic RCE L05 문제풀이

문제는 여기서 다운받을 수 있습니다. (압축 해제 비밀번호 : codeengn)

 

목표값 : 프로그램의 등록키

 

이번 문제에서는 패킹에 대한 내용을 다룹니다.

 

패킹이란?

실행 파일을 대상으로 한 실행 압축을 의미합니다.

ZIP, RAR 등 따로 압축을 해제해야 하는 파일과는 달리, 이 패킹된 파일은 내부에 압축 해제 코드를 가지고 있어 실행되는 순간 메모리에서 압축을 해제한 후 실행됩니다. 

주로 데이터 압축 (실행 파일 크기 줄이기) 이나 데이터 보호가 목적입니다.

 

실행을 해 봅시다.

 

 

 

 

이름과 등록 키를 받아서 이를 검사한 뒤 성공/실패로 분기하는 익숙한 유형의 프로그램입니다.

이렇게 아무거나 입력한 뒤 Register now! 버튼을 눌러줍니다.

 

 

 

 

올바르지 않은 시리얼이라고 합니다.

그럼 올바른 이름과 시리얼을 알아내기 위해 분석해보겠습니다.

올리디버거로 프로그램을 열어줍니다.

 

 

 

 

가장 먼저 PUSHAD 명령어로 EAX~EDI 레지스터를 스택에 백업합니다.

이 PUSHAD 명령은 UPX 패킹의 특징 중 하나입니다.

이렇게 PEid 라는 도구로 이 프로그램을 열어보면 UPX 로 패킹된 것을 알 수 있습니다.

 

 

 

 

언패커를 사용하는 방법도 있지만 연습을 위해 디버거로 패킹을 풀어보겠습니다.

올리디버거에서 덤프를 뜨기 위해서는 OllyDump 라는 플러그인을 이용해야합니다.

아래 파일을 다운받으세요.

 

 

OllyDump.dll

0.08MB

 

 

 

 

OllyDump.dll 파일을 올리디버거가 설치된 경로의 PlugIn 폴더 안으로 옮겨줍니다.

그 후 올리디버거 상단바의 Options -> Appearance -> Directories 의 Plugin Path 에 PlugIn 폴더의 경로를 넣고 디버거를 재시작 합니다. 

상단바에 Plugins 가 추가된 모습을 볼 수 있습니다.

 

(UPX 패킹의 특징 : PUSHAD 명령으로 EAX~EDI 레지스터를 스택에 백업 -> 파일 압축 해제 루틴을 실행 -> POPAD 명령으로 스택에 있는 EAX~EDI 레지스터 값을 복구 -> JUMP 명령으로 압축해제된 원본 코드 위치로 이동)

 

 

 

 

압축해제된 원본 코드를 보기 위해 압축 해제 루틴을 실행해봅시다.

[F2] 키로 POPAD 밑 JUMP 명령에 BP 를 걸고 [F9] 키로 POPAD 까지 실행합니다.

[F8] 키로 JUMP 명령을 실행해 원본 코드가 압축 해제된 주소로 이동합니다.

 

 

 

 

여기서 우클릭 -> Search for -> All referenced text strings 를 사용해도 우리가 봤던 문자열을 찾을 수 없습니다.

이제 아까 추가했던 OllyDump 플러그인의 기능을 사용할 차례입니다.

우클릭 -> Dump debugged process 를 클릭하면 아래와 같은 창이 뜹니다.

 

 

 

 

여기서 Rebuild Import 를 해제해준 뒤 Dump 버튼을 눌러 덤프를 떠 주고 파일로 저장합니다.

편의상 파일 이름을 05_dump 로 하겠습니다.

이 상태에서 디버거로 열어보면 77270000 과 같은 익숙치 않은 주소가 나옵니다.

완전한 원본 코드를 보기 위해서는 IAT를 복구해줘야 합니다.

저는 LordPE 라는 프로그램을 사용했습니다.

 

IAT란?

IAT (Import Address Table)

IAT란 쉽게 말해 프로그램이 어떤 라이브러리에서 어떤 함수를 사용하는지 기술한 테이블 입니다.

 

 

lordpe-yoda.zip

0.43MB

 

 

 

 

LordPE 를 실행시킨 뒤 오른쪽의 Rebuild PE 버튼을 클릭합니다.

아까 덤프를 뜬 파일을 선택한 후 아래와 같은 창이 뜨면 OK 를 눌러줍니다.

 

 

 

 

이제 선택한 파일의 IAT 복구가 끝났습니다.

이 파일을 다시 디버거로 열어보겠습니다.

우클릭 -> Search for -> All referenced text strings 에 들어가면 프로그램 내부 문자열이 정상적으로 뜹니다.

실패 문자열을 출력하는 주소로 이동합니다.

 

 

 

 

위 코드의 JNZ 명령 실행 시 이동하는 주소가 실패 시 출력되는 문자열의 바로 위이기 때문에 이 명령이 실행된다면 실패할 겁니다.
이제 프로그램의 대략적인 구조를 살펴보겠습니다.
JNZ 명령 위에서 호출된 함수가 입력된 문자열과 유저네임/시리얼 값을 비교하고, 비교하는 두 문자열이 같은지 아닌지 확인한 후 성공/실패로 나뉠 겁니다.

440F34 주소에 BP 를 걸고 실행해봅니다.

 

 

 

 

 

 

 

 

이렇게 입력한 뒤 Register now! 버튼을 눌러줍니다.

 

 

 

 

그러면 이렇게 사용자가 입력한 문자열이 스택을 통해 EAX에, Registered User 라는 문자열이 EDX에 들어갑니다.

440F34 주소에서 호출하는 함수 내부로 step in [F7] 해 분석해보도록 하겠습니다.

 

 

 

 

403B33 주소의 CMP EAX, EDX 로 우리가 입력한 문자열이 저장된 EAX 와 Registered User 라는 문자열이 저장된 EDX 를 비교합니다.

이 함수는 문자열 비교함수겠네요.

 

 

 

 

이렇게 유저네임에 Registered User 라는 문자열을 넣어주면 첫번째 난관은 통과합니다.

 

 

 

 

 

 

 

다음은 등록 키를 비교하겠죠?

440F51 주소에서 위의 유저네임을 비교할 때 사용했던 함수와 동일한 함수를 호출합니다.
이 주소에 BP 를 걸어보고 등록 키를 입력한 뒤 레지스터 창을 관찰합니다.

스택의 EBP-4 주소에 사용자가 입력한 등록 키가 저장되고, 이를 EAX 에 옮긴 뒤 문자열 비교 함수를 호출해 EDX 와 비교하네요.

이 때 EDX 에 저장되어 있는 값은 GFX-754-IER-954 입니다.

 

 

 

 

그렇다면 프로그램의 등록 키는 GFX-754-IER-954 가 될 것 입니다.

확인을 위해 프로그램을 재시작해서 얻은 값을 넣어보겠습니다.

유저네임에는 Registered User 를, 등록 키에는 GFX-754-IER-954 라는 문자열을 입력해줍니다.

 

 

 

 

그러면 아래와 같이 성공했다는 메세지박스가 뜹니다.

 

 

 

 

따라서 이 프로그램의 등록 키는 GFX-754-IER-954 입니다.