[CodeEngn] Basic RCE L08 문제풀이

문제는 여기서 다운로드할 수 있습니다.

 

목표값 : 프로그램의 OEP(Original Entry Point)

 

OEP 이야기가 나오는 걸 보니, 이 프로그램은 패킹되어 있을 겁니다.

PEid로 한 번 확인해 봅시다.

 

 

 

 

UPX로 패킹이 되어있군요.

(UPX 패킹 : PUSHAD로 레지스터 백업 -> 압축해제 루틴 실행 -> POPAD로 레지스터 값 복구 -> OEP로 점프)

실행을 시켜봅시다.

 

 

 

 

간단한 계산기 프로그램이네요.

시리얼 값 같은 건 안 찾아도 될 듯합니다.

 

디버거로 열어보겠습니다.

 

 

 

 

이렇게 PUSHAD 명령어로 EAX~EDI 레지스터를 스택에 백업하는 모습을 볼 수 있습니다.

익숙한 패턴이죠?

 

 

 

스크롤을 내리다보니 POPAD 명령을 찾았습니다.

이 압축 해제 루틴의 맨 밑에는 원본 코드로 이동하기 위한 JMP 명령이 있습니다.

이 명령이 실행되어 이동하는 주소가 원본 코드의 시작점, OEP 입니다.

여기에 BP를 걸고, [F9]키를 눌러 BP까지 실행한 뒤 [F8]키로 원본 코드의 위치로 이동합니다.

 

 

 

 

이렇게 압축 해제된 코드가 보입니다.

JMP 문의 실행으로 01012475 라는 주소로 이동했습니다.

그렇다면 OEP는 01012475 가 되겠네요.

 

Auth를 이용해 확인해보도록 하겠습니다.

 

 

 

 

OEP = 01012475