www.reversecore.com

- 봉이님 댓글

ㅁㅁ님!
제가 리버싱 공부하면서, 안티리버싱, 악성코드 분석에 관심이 생겨서 인터넷 곳곳 돌아 봤는데요..
안랩 연구원들 분께서 고려대, 서울여대 악성코드 분석 강의를 하시는 것 같더라구요..
관련 강의자료를 구할수 있을까요?
꼭 부탁드립니다.

• reversecore 2010/09/30 19:26 댓글주소 | 수정 | 삭제

  안녕하세요~
  
  ^^ 제 실명을 거론 하셔서 제가 약간 가렸습니다. 양해바랍니다.
  
  강의에 대해서 잘 알고 계시군요?
  
  해당 자료는 수강생 이외에는 비공개 입니다.
  
  참고로 저도 한 섹션을 맡았습니다. ^^

- 봉이님 댓글

core님이 ㅁㅁ님 맞죠?
혹시 core님 이름이 틀렸을수도 있으니, 제가 위에 표현한 ㅁㅁ님은 core님입니다.

• reversecore 2010/09/30 18:45 댓글주소 | 수정 | 삭제

  ^^ 네 제가 그님(?) 맞습니다.
  
  봉이님께서는 혹시 저를 아시는 분인가요?
  너무 친숙하게 물어보셔서요~ ^^
  (비밀 댓글로 답해주시면 됩니다.)

비밀댓글입니다

• reversecore 2010/10/03 23:07 댓글주소 | 수정 | 삭제

  안녕하세요.~
  
  네, 그러셨군요. ^^
  
  리버싱을 공부하고 싶으시다는 열의가 느껴집니다.
  
  죄송하지만 강의 자료를 제공해 드릴 수는 없습니다. (제가 작성한 거라도 불가능합니다.)
  
  그 대신 공부하시다가 막히시는 부분이 있을때 질문 올려 주시면 제 능력껏 답변 달아 드리겠습니다.
  
  감사합니다.

안녕하세요.
처음 인사드리는 김종현입니다.
테스트중 이상한 현상이 있어 문의 드립니다.

아래와 같이 정말 간단한 DLL을 만들어 Injection하였는데
이상하게 iexplore의 자식 프로세스들에서는 ::CreateFile()로
파일이 생성되지 않는데
그 이유가 심히 궁금하고
해결방법에 대하여 고수님들께 조언을 구합니다.

#include "stdafx.h"
#include <stdio.h>
#include <tchar.h>

/////////////////////////////////////////////////////////////////////////////
// _Inject

class _Inject
{
public:
static BOOL IsValidModule(LPCTSTR module_name)
{
static LPCTSTR valid_module_name_list[] =
{
//_T("notepad.exe"),
_T("iexplore.exe"),
NULL
};
for (int i=0; valid_module_name_list[i]; i++)
{
if (!_tcsicmp(module_name, valid_module_name_list[i])) return TRUE;
}
return FALSE;
}
}; //_Inject

static BOOL IsValidCurrentModule()
{
TCHAR full_name[MAX_PATH];
HMODULE module_handle = ::GetModuleHandle(NULL);
::GetModuleFileName(module_handle, full_name, MAX_PATH);
TCHAR* module_name = full_name;
for (int i=0; full_name[i]; i++)
{
if (full_name[i] == '\\') module_name = full_name + i + 1;
if (full_name[i] == '/') module_name = full_name + i + 1;
}
if (!_Inject::IsValidModule(module_name)) return FALSE;
LPCTSTR file_name = _T("c:\\zzz.txt");
HANDLE file_handle = ::CreateFile(file_name, GENERIC_WRITE, 0, NULL, CREATE_ALWAYS, FILE_ATTRIBUTE_NORMAL, NULL);
if (file_handle != INVALID_HANDLE_VALUE) ::CloseHandle(file_handle);
else
{
TCHAR text[256];
_stprintf(text, _T("ERROR: Cannot create file \"%s\"!!!\nPID: %d"), file_name, ::GetCurrentProcessId());
::MessageBox(NULL, text, module_name, MB_OK);
}
return TRUE;
}

BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved)
{
switch (ul_reason_for_call)
{
case DLL_PROCESS_ATTACH:
if (IsValidCurrentModule())
{
}
break;
case DLL_THREAD_ATTACH:
break;
case DLL_THREAD_DETACH:
break;
case DLL_PROCESS_DETACH:
break;
}
return TRUE;
}

EXTERN_C __declspec(dllexport) LRESULT GetMsgProc(int code, WPARAM wParam, LPARAM lParam)
{
return CallNextHookEx(NULL, code, wParam, lParam);
}

• reversecore 2010/10/04 00:14 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  iexplore.exe 의 자식 프로세스라면...
  7 버전 이후의 탭으로 생성되는 서브 프로세스를 말씀하시는 건지요?
  
  제 경우에는 정상적으로 c:\\zzz.txt 파일이 생성되었습니다.
  (WinXP SP3 & Win7)
  
  혹시 다른 경우를 말씀하시는 거라면 다시 질문 올려주세요~ ^^
  
  감사합니다.

• 김종현 2010/10/04 12:22 댓글주소 | 수정 | 삭제

  테스트해 주셔서 감사합니다.
  그런데 정작 중요한 환경을 알려 드리지 않았네요.
  제가 테스트한 IE는 버전8이고
  말씀하신데로 탭으로 생기는 서브프로세스에서는
  전부 문제가 발생하고 있습니다.
  유독 부모프로세스만 문제 없구요.
  
  정확한 정보는 gmail로 다시 보내드리니
  IE8에서 다시 한번 더 봐 주시길 부탁드립니다.

• reversecore 2010/10/05 21:21 댓글주소 | 수정 | 삭제

  네, 제 테스트 환경과 동일하시네요~
  
  전 보통 최신 .NET Framework 가 설치되지 않은 환경에서의 실행을 보장하기 위해 /MT 옵션으로 빌드합니다.
  
  제가 테스트한 파일을 김종현님 email 로 보내드릴테니 한번 실행해 보시고 결과를 알려 주시기 바랍니다. ^^
  
  * 보안 프로그램등에서 차단당하는 경우도 있으니 참고하시기 바랍니다.
  
  감사합니다.

안녕하세요 :D
계속해서 좋은글을 많이 올려주셔서 제가 기초가 부실한 부분들이 있었는데
많은 도움을 받고 있습니다.
그리고 정말 자세하게 설명하셔서 너무나도 많은 도움이 되고 있구요.
이렇게 좋은 자료들을 열정적으로 공개해주셔서 너무 감사드립니다.

힘내시라고 감사에 글을 적어봤습니다. ㅎㅎ

• reversecore 2010/10/05 21:04 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  칭찬에 감사드립니다. ^^
  
  종종 방문해 주세요~

비밀댓글입니다

• reversecore 2011/02/18 22:10 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  아주 멋진 크랙미 사이트를 만드셨군요~
  
  구경 잘 했습니다.
  
  제 경우에 블로그 홍보를 따로 해본 적은 없습니다. ^^
  
  이곳에 방문 하시는 분들은 대부분 google 과 naver 검색으로 찾아오시는 분들입니다.
  
  감사합니다.

• 2011/02/18 23:02 댓글주소 | 수정 | 삭제

  비밀댓글입니다

비밀댓글입니다

• reversecore 2011/09/03 14:28 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  비슷한 시간에 디버거를 만드신 다는 질문이 여러개 등록되어있군요. ^^
  
  OllyDbg 정도의 범용 디버거는 매우 높은 수준의 개발 실력과 시스템에 대한 이해가 필요하다고 생각하시면 됩니다.
  
  다만 특정 상황에서만 간단히 사용한다면... (Disassembler 도 필요없고 GUI 도 필요없고... 단순한 명령어만 디버깅한다고 했을때... ) 개발 난이도는 상당히 낮출 수 있습니다.
  
  커널 디버거는 저도 아직 어떻게 만들어야 할지 어렴풋이 감만 잡고 있는 수준입니다. ^^~
  
  감사합니다.

안녕하세요? ^-^
책 원고가 완성되었다고 하셨는데.. 개인적으로. 가능하다면.
Immunity Debugger 에 대해서도 설명을 넣으면 좋을것 같습니다 :)
제가 알기로 OllyDbg 를 만들던 분이 Immunity 로 이직하시면서 Python 기반으로 개발하신걸로 알고 있습니다. 물론 무료입니다 :)
http://debugger.immunityinc.com

수고하세요~

• reversecore 2012/01/11 07:53 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  Immunity Debugger 의 python 스크립트는 아주 좋습니다. 저도 많이 써봤지요.
  
  근데 OllyDbg 개발자는 다른 직업이 있고 그냥 취미로 OllyDbg 를 만든걸로 알고있는데요.
  
  Immunity Debugger 는 그냥 OllyDbg 클론이구요. 제가 잘 못 알고 있나요?
  
  감사합니다.

이뮤니티 디버거 같은경우 올리디버거와 같지만 디버거 자체의 라이브러리가 좋다고 말할수 있을거 같아요. 거기다 파이썬 코드로 스크립트 가능하니까 윗분은 뭐 그런 부분을 집어 달라는게 아닐까요?

원래는 "Code Injection 기법을 이용한 API 후킹" 강좌를 올려야 할 차례입니다.
하지만 최근에 Vista/7 에서 추가된 ASLR 기능을 공부하면서 정리한 내용을 먼저 올렸습니다.

그리고 Vista/7 에서의 DLL Injection 방법도 기존과 달라져서 그것도 한번 정리하고 넘어갈 예정입니다.

API 후킹은 그 다음으로 밀리겠군요... ^^

좋은글 감사합니다. ^^
항상 쉽게 쉽게 설명해주셔서 이해가 잘 되요.

• reversecore 2010/02/01 20:00 댓글주소 | 수정 | 삭제

  l4c05t3님, 안녕하세요.
  
  칭찬 감사합니다. ^^

reversecore.com을 안지 3일되었는데 정말 한시도 눈뜰새가없이 게시한 글들을
정말 재밌게 보구있습니다.
인터넷에서 떠돌아다니는 그런 문서와는 차원이다른 성의와 이해도에 감동받았습니다. ㅜㅜ
좋은 글 언제나 감사합니다. ^^

• reversecore 2010/02/04 01:11 댓글주소 | 수정 | 삭제

  sonickaka님, 안녕하세요.
  
  칭찬 너무 감사합니다.
  
  리버싱 공부 재밌게 하시기 바랍니다.
  
  자주 들러 주세요~~~

reloc섹션이 없으면
재배치가 되지 않아서 로딩시 프로세스가 뻑이 납니다.
엔트리 포인트는 랜덤하게 들어오지만
정작 실행을 하면 실행이 제대로 안됩니다.
PELodaer가 알아서 해주는 게 아닌 듯 싶습니다.

• reversecore 2010/03/25 22:42 댓글주소 | 수정 | 삭제

  hun님, 안녕하세요.
  
  reloc 섹션을 제거했을때 정상적으로 로딩되지 않는 경우가 있었나요?
  
  제가 예전에 올린 포스트입니다.
  .reloc 섹션을 수동으로 제거하는 내용을 담고 있지요.
  http://www.reversecore.com/70
  
  만약 이 방법대로 해도 안되는 경우가 있다면 그 파일을 저에게 보내주시기 바랍니다. 저도 한번 보고 싶습니다.
  
  감사합니다.

ASLR기능이 없는 파일을 강제로 기능을 추가 시켜버리면 주소는 랜덤하게 올라오지만 reloc섹션이 없기때문에 재배치가 일어나지 않았고 랜덤하게 로드되지만 무조건 40만번지대의 주소에 있는 함수를 호출했습니다. 그래서 프로그램이 뻑이 났었던 것이였고, ASLR기능이 있는 파일에서 reloc섹션을 날렸더니 ASLR기능이 죽어버렸습니다.

제가 테스트 했던 파일은 reversecore님께서 간단하게 테스트 하셨던 것처럼 저도
아주 간단하게 자체제작해서 테스트를 하였습니다.

• reversecore 2010/03/27 23:54 댓글주소 | 수정 | 삭제

  hun님, 안녕하세요.
  
  ASLR 기능이 없는 PE 파일에 ASLR 기능을 추가시키려 했는데,
  특정 주소가 하드코딩 되어있어서 에러가 발생한다는 말씀이신거 같네요.
  저도 해당 내용을 확인해 보도록 하겠습니다.
  감사합니다.

정말 감사합니다~ 금같은 강좌를...![헠헠]
그런데 질문 있습니다~
ASLR기능이 베이스 주소를 랜덤하게 바꾸는 것은 확인 했는데 베이스 주소만이 아닌 내부의 함수들의 주소가 랜덤 배치되는 기능에 대해 혹시 아시나요?
영 껄적지근하네요 -_-;;

• reversecore 2010/03/28 00:00 댓글주소 | 수정 | 삭제

  G2m2000님, 안녕하세요.
  
  내부 함수 주소를 랜덤하게 바꾼다는 말씀이신가요?
  
  일단 OS 에는 그런기능이 없고요...
  
  간단한 프로그램이라면 수동으로도 가능합니다만, 크고 복잡한 프로그램에서는 쉽지 않겠네요. 불가능한건 아닙니다만 절대 권해드리고 싶지 않네요.
  
  함수 사이에 NOP 명령어를 하나만 추가해 보세요. 그 이후의 모든 함수들의 주소가 밀리게 됩니다. 그 함수들을 호출하는 코드를 전부 찾아서 바꿔줘야 해요. 결코 쉽지 않은 작업입니다.
  
  감사합니다.

음. 하드코딩이라고 하기 보다도 재배치가 이루어지지 않았다고 말하는게 맞는 듯 싶습니다.^^

• reversecore 2010/03/29 20:18 댓글주소 | 수정 | 삭제

  hun님, 안녕하세요.
  
  기회가 된다면 hun님의 테스트 파일을 보고 싶네요. ^^
  
  감사합니다.

음.. 제 의견이 reversecore님께 제대로 전달되지 않는 것 같네요.
스샷을 몇개 찍어서 메일로 보내드리도록 하겠습니다.

비밀댓글입니다

• reversecore 2010/04/01 10:07 댓글주소 | 수정 | 삭제

  hun님, 안녕하세요.
  
  와~ 블로그에 설명까지 해주시다니~
  정말 감사합니다.
  
  역시 ASLR 기능을 추가하려고 하셨군요. ^^
  hun님, 설명 덕분에 모르는 부분에 대해서 잘 알게 되었습니다.
  
  자주 방문해 주셔서 의견 남겨주세요~ ^^
  감사합니다.

사실 유닉스 계열 운영체제에선 워낙 오버플로우 관련 이슈나 그외 등등의 이슈들이 많아서
이미 전부터 지원하던 것인데, Microsoft 가 늑장을 부렸다고 할 수 있겠네요.
(저 기술도 보안에는 사실 별 의미가 없는 것이지만 말입니다..)

좋은 포스팅 감사합니다.

• reversecore 2010/04/22 00:55 댓글주소 | 수정 | 삭제

  아~ 이미 유닉스에 적용된 기술이었군요.
  
  좋은 정보 감사드립니다. ^^

이걸 보고 딱 영감을받은게... 요즘 프로그램들은 스택 오버플로우를 막기위해 DEP, ASLR 보안 기법을 많이 사용한다는데..!

그럼 리버서가 버퍼 오버플로우 공격을 시도할 때 공격이 통용되기 참 힘들겠네요.....................................

• reversecore 2011/11/18 17:52 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  네, 버퍼오버플로우 공격이 예전처럼 쉽게되진 않습니다.
  물론 그렇다고 포기할 해커들이 아니지만요. ^^*

잘봤습니다~ ㅎㅎ..
Sleep() 를 해주는 이유는 동기화가 되지 않아기 때문입니다,
이것은 반복된 상황이 초래될수 있는것을 의미합니다.
만약 ContinueDebugEvent(); 를 호출후 NOTEPAD.exe 로 스위칭이 일어나게되면 정상적인 동작을 하게되겠지만, 퀀텀 만큼의 시간은 스레드가 소유할수 있는 최소의 시간이기 때문에, ContinueDebugEvent(); 를 호출후에 곧바로 WriteProcessMemory(); 가 호출된 위험이 존재한다는것을 내포하고 있습니다. 결국 위 함수 2개가 연속으로 실행된다는것은, 또다시 INT 3 이 발생한다는것이고 똑같은 반복작업을 수행하게 된다는것을 의미합니다.
하지만 Sleep(); 를 쓰게된다면 그 스레드는 즉시 블록킹상태에 들어가게되며 ( 비록 0초라 바로 풀려나오겠지만 ) 이 순간 스위칭이 이루어짐으로서 동기화되지않았기 때문에 생기는 위와 같은 문제는 해결할 수 있습니다.

가 정답이겠죠? > <//
항상 좋은 자료 감사드립니다~ ㅎ

• reversecore 2009/11/04 08:45 댓글주소 | 수정 | 삭제

  냥냥님, 안녕하세요.
  
  설명을 너무 완벽히 해주셨네요. ^^
  
  냥냥님께서는 개발 경력이 있는 분 같습니다.
  벌써 구사하시는 용어들에서 개발자의 포쓰가 느껴집니다.
  (사실 더 확실한 증거(?)는 댓글이 달린 시간입니다. ^^)
  
  감사합니다~

아는 잔지식을 총동원했을 뿐이에요 ㅠ_ㅠ.. 전 그저 평범한 학생...
하하... 다음 강좌가 언제나오나 궁금해서 자꾸 들어와서 그래요..ㅎㅎㅎ;;
혹시 이번 POC참가하나요..?!

• reversecore 2009/11/05 15:59 댓글주소 | 수정 | 삭제

  냥냥님, 안녕하세요.
  
  POC 말씀이시죠?
  
  한번쯤 가보고는 싶으나, 회사에 매여있는 몸이라서요... ^^

한발늦었네여..
저가일빠인줄알았더니..

덕분에 어느정도 API후킹부분을 마무리할꺼같습니다.
dll injection 후 api 후킹이라 dll로 만들어야하는데
잘되지는 모르겠네여 dll을 이번에 처음접하는거라
항상감사하고 꾸준히 들리겠습니다.
신종플루가 유행이던데 조심하시고
좋은일이 가득하시길 바랍니다 감사합니다^^

• reversecore 2009/11/05 15:57 댓글주소 | 수정 | 삭제

  네 감사합니다. ^^
  코더님도 감기 조심하세요~

늘 잘 보고 있습니다~!

옷..POC 참가하시는가봐요?; 회사가 안보내줘서 못가는데..ㅠ.ㅠ..

늘 친절한 설명 감사합니다 ^^

• 냥냥 2009/11/04 17:57 댓글주소 | 수정 | 삭제

  전 학생이라... 가격이 좀 괜찮아서..ㅎㅎㅎ
  처음가보는거라... 경험도 쌓고 하려고요 ㅎㅎ

SEH 에 대한 문구에서 안티 디버깅에 대한 내용이 나오는군요. :D
잘보고있습니다. 수고하세요

• reversecore 2009/11/05 14:35 댓글주소 | 수정 | 삭제

  몽상가님, 안녕하세요.
  SEH 와 Anti-Debugging 둘 다 흥미로운 주제라서 별도로 포스팅할 예정이구요.
  
  여러 Anti-Debugging 기법 중에 SEH 를 사용하는 기법이 있는데, 한번 보시면 재미있으실 겁니다.
  
  감사합니다.

잘봤습니다^^두어번 계속 보니깐 감이 잡히네요 ㅎ
근데 kernel32.dll에서 지원하는 WriteFile() api 말고 다른 api함수를 후킹하고 싶다면 어떻게 해야 하나요?
INT3 말고 다른 주소를 지정해야 하나요?

위에 글 수정이 안되길래 이어서 달겠습니다.
파일을 저장할때는 kernel32.dll의 WriteFile() API를 사용하는 것을 보고 파일을 열때가 갑자기 궁금해져서 OllyDbg를 이용해서 확인을 해보니 OpenFile() API가 마침 있더라구요
근데 OpenFile()를 breakpoint로 실행을 시켜보니 1. 파일을 저장할때도, 2. 파일열기버튼이나 파일열기 단축키눌러 OpenFile다이얼로그가 나올때도, 3. OpenFile다이얼로그에서파일을 선택할때에도 ReadFile() API가 호출이 되버리네요 ㅡㅡ;;

notepad로 파일을 열때 파일 내용 중간에 개인문자열을 저장할수 있지 않을까 해서 WriteFile과는 다르게 ReadFile은 종료할때의 주소를 swap하면 되지 않을까 해서 계속 해보고 있는데 이렇게 파일을 열어서 불러올때만이 아닌 다른 경우에도 ReadFile() API가 호출될때에는 어떻게 해야 할까요?

지금 이거 할때가 아닌데 안되는거 계속 붙들고 있는거 보면 저도 IT인으로서 소질이 있나봅니닼ㅋㅋ

• reversecore 2010/05/05 22:04 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  제가 질문하신 내용을 잘 이해하지 못하고 있습니다. @@
  
  원하시는 작업이 기존에 있는 파일을 notepad 로 열때 그 내용의 중간에 임의의 문자열을 추가하고 싶으시다는 것인지요?
  
  죄송하지만 원하시는 작업을 간략히 설명해 주실 수 있으신가요?

제가 말이 너무 길었나보네요 ㅎ
운영자분께서는 kernel32.dll ! WriteFile()에 Debug 후킹을 가하셨잖아요?
간단히 말해서 전 반대로 ReadFile()을 Debug 후킹을 할 수 있지 않을까 해서 시도해보고 있습니다.

파일을 읽어올때마다 맨위에 이름을 단다던지 맨뒤에 파일명을 저장한다던지 하는 식으로요 ㅎㅎ
근데 위에서 말한것처럼 OllyDBug를 통해서 확인을 해보니 WriteFile과는 다르게 OpenFile은
파일을 불러오기 할때만 호출되는게 아니라 저장할때도 호출되고 그러더라구요;;

• reversecore 2010/05/07 17:52 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  원하시는 작업은 바로 notepad 에서 파일을 읽어들일때 ReadFile() API 등을 후킹하여 읽기 버퍼의 내용을 적절히 가공하고 싶으신 거 맞으시죠?
  
  중간에 OpenFile() API 를 써주셔서 제가 잠시 헷갈렸습니다.
  * 참고로 OpenFile() 은 이미 예젅에 CreateFile() 로 대체되었지요. MS 에서 하위 호환을 위해서 남겨둔 것이지요.
  
  문제는 ReadFile() 을 후킹하고 싶지만 이 API 가 생각보다 자주 호출 된다는 것이구요? 이렇게 많은 호출중에서 내가 원하는 호출을 어떻게 구별하느냐가 문제의 핵심이 되겠지요?
  
  네, 말씀하신대로 ReadFile() 은 시스템 DLL 에서 자주 사용됩니다. 원하는 내용을 구현하시려면 먼저 스택의 리턴 주소를 보고 이번의 ReadFile() 호출이 어디서 호출되었는지 확인하는 방법도 있구요. -> notepad.exe 의 .text 섹션에서 호출된 것만 관심을 가지면 됩니다.
  
  더 편한 방법은 kernel32!CreateFileW() 를 먼저 후킹하신 다음에 파라미터를 잘 살펴보시면서 특정 텍스트 파일이름을 읽기 모드로 열 때를 파악하신 후 그다음 ReadFile() 호출을 유효한 호출로써 간주하고 읽기버퍼를 신경쓰시면 되겠네요. 파일 크기에 따라서 ReadFile() 이 여러번 호출될 수 있습니다.
  
  질문에 비해 설명이 너무 장황하네요. 죄송합니다.
  설명 능력이 부족합니다. 백문이 불여일견이라는 말을 정말 백배 공감합니다.
  
  다른 궁금한점 있으시면 다시 올려주세요.
  
  감사합니다.

안녕하세요^^ 몇가지 질문사항이 있어서 다시 댓글을 달아 봅니다.
디버깅과 리버싱에 관한 지식이 부족하여 여러 책자나 관리자분의 디버깅쪽
강좌 등 을 보며 조금씩 공부를 해나가는 중입니다 ^^

위에서 말씀하신대로 ReadFile을 분석하던 중 ReadFile의 내부적으로 ntdll.dll의 ntReadFile을
통해 메모리로 파일의 내용을 읽어오더군요. 그런데 Drag&Drop을 통해서 파일을 열었을대에는
ReadFile이 아예 호출되지도 않더라구요....

그래서 찾아낸 것이 CreateFile인데 파일을 열때나 Drag&Drop을 통해서 파일을 열때의 전달인자를 보니
세번째전달인자 = FILE_SHARE_READ | FILE_SHARE_WRITE,
여섯번째전달인자 = FILE_ATTRIBUTE_NORMAL,
일곱번째전달인자 = NULL,
일 때에는 파일을 열때더군요....그런데 그 후로 파일의 내용을 메모리로 읽어들인다음
메모장을 통해 화면으로 뿌려주는 부분을 찾기가 굉장히 어렵네요 ㅎㅎ;;

이런 경우엔 파일을 열때에 파일의 내용이 메모리로 올라오는 경우는 대체 언제쯤일까요...
리버싱경험이 전무하다보니 혼자서 알아내기가 생각보다 쉽지 않네요;;
혹 ReadFile외에 메모장의 Edit부분에 파일의 내용을 표시할수 있는 TextOut이나 SetWindowText같은 다른 API가 없을까요?
(TextOut나 SetWindowText는 안되더라구요 ㅎㅎ;)

• reversecore 2010/07/28 16:39 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  메모장에서 파일을 열때 CreateFile() -> CreateFileMapping() -> MapViewOfFile() API 를 사용합니다. 즉 메모리 맵 파일 기법을 사용하지요. 그래서 ReadFile() 이 호출되지 않고도 내용을 볼 수 있던 것입니다. 참고하시기 바랍니다.
  
  감사합니다.

비밀댓글입니다

• reversecore 2011/05/03 00:26 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  그림 한 두개 정도가 아니라 전부를 가져가시는 것은 안되구요.
  
  그냥 필요하실 때 방문해 주시면 안될까요? ^^
  
  감사합니다.

안녕하세요? 윈도우 프로그래밍을 처음해봅니다.^^ 제가 위방법으로 readfile함수에 대해
break를 걸어보았습니다. winamp에서 음악을 플레이할때 readfile을 후킹해서 좀 가져올
정보가 있어서요^^. 현재 OnExceptionDebugEvent 함수부분은 별도로 아무것도 한거 없이
print문하나찍고 unhook, 프로세스 재개, hook 의 방식으로 되어있습니다. 그런데 이게,,
print문 두번정도 찍고(readfile 후킹 두번) 더이상 반응을 하지 않습니다. winamp가 죽은것 같기도 한데 실제 프린트를 찍어보면 OnExceptionDebugEvent함수는 계속 탑니다. 그런데 readfile은 더이상 불리지도 않고 winamp는 소리를 내지 않습니다,, .. 어떻게 디버깅을 해야할지
몰라서,, 혹시 짐작가시는게 있으시면 조언 부탁드리겠습니다.

• reversecore 2011/07/14 05:53 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  위 실습 예제 코드는 동작 원리를 소개하기 위한 목적이기 때문에 코드 가독성을 위해서 예외처리가 빠져 있습니다.
  
  의심되는 부분이 몇 군데 있기는 한데 비슷한 환경에서 디버깅을 해봐야 정확한 원인을 파악할 수 있을 것 같습니다.
  
  제가 직접 해보고 다시 댓글 달아드릴께요.
  
  감사합니다.

안녕하세요
조용히 맨날 보면서 따라하다가 막히는 부분이 있어서 여쭤봅니다.
<fig.4>와 <fig.5>부분인데요.
notepad에 hookdbg.exe가 붙어있는 상태에서 올리디버거로 notepad의 저기 저 7C7E0E27부분이 바뀌는 것을 확인하려고 했습니다만, 올리디버거가 notepad에 붙질 못하네요.
아마 hookdbg.exe가 디버거로 이미 notepad에 붙어있어서 올리가 못붙는거 같은데..
(마찬가지로 올리를 notepad에 먼저 붙인 후, hookdbg.exe를 notepad에 붙이려 시도하면 hookdbg.exe는 DebugActiveProcess<notepad의 PID> failed!!!
Error Code = 87
을 출력하고 붙질 못합니다.
검색해보니 GetLastError() 리턴 값 87은 ERROR_INVALID_PARAMETER라는 군요.)
어떻게 <fig.4>와 <fig.5>처럼 올리로 지켜보셨는지 궁금합니다..ㅠㅠ

• reversecore 2011/07/13 21:23 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  말씀하신 것처럼 하나의 프로세스를 동시에 2개의 디버거로 디버깅을 할 수 없습니다.
  
  문의하신 <fig. 4> 와 <fig. 5> 는 제가 동작원리를 보여드리기 위해서 OllyDbg 로 notepad 를 디버깅해서 캡쳐한 것입니다. 관련된 설명이 부족해서 착오가 있으셨던것 같습니다.
  
  감사합니다.

아주 재미나게 잘 보앗습니다. 정말 이런 정보를 공유해 주셔서 감사합니다.
그런데 한가지 문제가 있어서 이렇게 글을 올립니다.
Windows7에서 실험해봣는데요 XP에서 할때하고 좀 다른게 있더라구요...
XP에서는 아무런 문제없이 제대로 되던데 Windows7에서는 Debugger를 실행시킬때 Notepad가 잠시 멈추고 보관할때도 파일보관대화창이 제때에 반응하지 안더니 확인단추를 누르면 아주 응답이 없어집니다.
Windows7에서는 무엇이 좀 다른거 같은데 여기에 대해서 어떻게 생각하시는지...
조언부탁드립니다.

thread context에 대해 윗글 링크 따라가 보니 다음과 같이 적혀있더군요
Protected Processes
Protected processes enhance support for Digital Rights Management. The system restricts access to protected processes and the threads of protected processes.

Windows Server 2003 and Windows XP/2000: Protected processes were added starting with Windows Vista.
The following specific access rights are not allowed from a process to the threads of a protected process:

THREAD_ALL_ACCESS
THREAD_DIRECT_IMPERSONATION
THREAD_GET_CONTEXT
THREAD_IMPERSONATE
THREAD_QUERY_INFORMATION
THREAD_SET_CONTEXT
THREAD_SET_INFORMATION
THREAD_SET_TOKEN
THREAD_TERMINATE
The THREAD_QUERY_LIMITED_INFORMATION right was introduced to provide access to a subset of the information available through THREAD_QUERY_INFORMATION.

출처: http://msdn.microsoft.com/en-us/library/ms686769(v=vs.85).aspx

좋은 글 잘 보고 갑니다!

항상 감사 합니다.
코어님 덕에 리버싱 공부하는 것이 즐겁습니다 ^^

• reversecore 2011/05/03 00:33 댓글주소 | 수정 | 삭제

  방문 감사합니다. ^^~

언제나 친절하게 설명 되어있는 강좌 잘 보고 있습니다 ^^

• ReverseCore 2009/10/28 16:26 댓글주소 | 수정 | 삭제

  늅늅님, 감사합니다.

와... 정말 많은걸 보고 배워가요 ^^*
좋은글 앞으로도.. 많이 많이 very 많이 많이 부탁드릴께요..ㅎㅎ
댓글중에 회사원이라고 들었는데요... 하는 일이 무엇인가요..?
전 학생이라... IT업계의 일에는 무엇이 있는지 궁금해서요... 프라이버시라면... 말 안해주셔도되요~
히힛~..~ 양질의 좋은 자료 부탁드리겠습니다~ ㅎㅎ.. 근데 퍼가도 되는건가요..?!

• ReverseCore 2009/10/29 06:14 댓글주소 | 수정 | 삭제

  냥냥님, 안녕하세요.
  
  도움이 되셨다니 기쁘네요~ ^^
  
  그냥 평범한 IT 관련 회사원이구요, 개발과 리버싱에 많은 관심을 가지고 있지요.
  
  퍼가지는 마시구요, 링크만 해주세요~
  (미리 물어봐 주셔서 감사합니다.)

언제나 잘 보고 있습니다. 감사합니다.

• reversecore 2009/10/29 22:00 댓글주소 | 수정 | 삭제

  이승철님, 원하시는 바를 꼭 이루시기 바랍니다.

좋은글 감사합니다.
궁금한것이 더 많아지네여 ^^
좋은글 앞으로도 부탁드립니다.

• reversecore 2009/10/29 22:00 댓글주소 | 수정 | 삭제

  김형근님, 감사합니다.
  자주 들러 주세요~ ^^

저도 요즘 공부 차원에서 다시 보고 있습니다. ^^
목표는 모 프로그램의 크랙입니다. 물론 나쁜 용도는 아니고, 최소한 내가 의도한 정도까지? 지만, 욕심이 크다보니 할 수 있는데 까지 해보는게 목표입니다.

근데 일단 가장 기본적인 디버거를 붙이면 강제 종료되는데, 아마 이게 다른 쓰레드에서 디버그가 붙으면 강제종료를 하는 스레드가 있나 봅니다. 이럴땐 어떤 방식으로 해야되는가 궁금합니다.
아예 실행하고 붙이는게 아니라 실행전에 수정을 해야되는건가요?

강좌가 계속 나와서 이런 방식까지 나왔으면 좋겠습니다.
제 블로그 링크도 해주시고 감사합니다. RSS 로 꾸준히 보고있어요 :D

• reversecore 2009/10/30 07:19 댓글주소 | 수정 | 삭제

  몽상가님, 안녕하세요.
  
  디버깅 당했다고 판단되면 스스로 종료 <- 안티 디버깅 기법을 사용한 듯 하군요.
  
  계획에는 일반적인 안티디버깅에 대한 강좌를 하고, 특별한 안티기법은 파일을 분석하는 도중에 따로 정리해보려고 합니다.
  
  말씀하신 내용도 참고할께요~ (attach 할 수 없는 프로세스)
  
  감사합니다.

글잘보았습니다 참고많이되었구요
혹시
특정 이벤트처리가아니라
그 해당 프로그램이 사용하는 API함수들을 모두 체크할수있는 방법이없을까요
변조하는게 아닌 그저 무슨 API함수를 사용했다 정도로만요
대충 이미지는 나오는데 어떻게해야할지 막막합니다 ㅠㅠ

• ReverseCore 2009/10/31 12:30 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  프로그램이 사용하는 모든 API 함수를 확인하고 싶으시다는 말씀이시죠?
  
  IDAPro, OllyDbg 에서 그런 기능을 지원하는데요, 그 원리는 코드의 CALL, JMP 명령어을 전부 파싱하는 것입니다.
  
  혹시 이런류의 프로그램이나 OllyDbg 플러그인등이 존재할 수도 있겠네요.
  
  참고로 예전에 제가 했던 비슷한(?) 방법으로는 관심있는 API 를 전부(약 120여개) 후킹해서 각 파라미터/리턴값을 확인하고 호출 순서등을 확인한 적이 있었습니다.

NotePad에 관한 질문드리겠습니다 ㅠ
제가 더미dll ( Attatch 시 빈 메세지 박스만띄우는 ) 을 만든후 Notepad.exe에 dll injection을 통해서 구현해보려고 했습니다.
방식은 Notepad를 디버거로서 연다음 Notepad.exe의 메모리공간을 할당받은후 LoadLabrary()를 실행해서 더미dll을 Attatch시키게하는 명령어 코드를 복사한뒤 EIP수정후 실행하게한후, 실행후 다시 EIP를 원래의 EIP주소로 변경하도록 만들었습니다,
근데... 제대로 동작을안하고 Notepad.exe가 그냥 죽어버리는군요...
코드가 잘못됐는지 확인하려고... 아무런 보안기능이 없는 전에 만든 툴로 대상을 변경후 실행하니 아무런 이상없이 실행이 잘됐습니다 ( 빈 메세지박스를 확인 )
Notepad.exe에서는 제대로 실행되지 않는 이유가 무엇을까요..?
운영체제에서 특별한 알고리즘을 가지고 보호하는건가요..? ( 부팅시 원도우 기본파일들인 calc,notepad 같은 프로그램은 수정되었을시 복원하는 기능은 있다고 들었지만... )

• ReverseCore 2009/10/31 12:35 댓글주소 | 수정 | 삭제

  안녕하세요
  
  어떤 OS 를 쓰시나요?
  
  전 주로 XP 를 쓰는데, DLL Injection 은 아무런 문제가 없습니다.
  
  다른 프로그램에서는 잘 동작하는데 notepad 만 동작하지 않는다고 하셨는데요, 저도 잘 이해가지 않는군요.
  
  참고로 DLL Injection 을 위해서 반드시 notepad 를 디버깅 할 필요는 없습니다. 그리고 DLL Injection 의 코드를 확인 해보시는 것이 좋을것 같습니다.
  
  가능하시면 저에게 보내주시기 바랍니다. 이곳에 올리셔도 되구요.

• 나그네 2009/11/03 05:34 댓글주소 | 수정 | 삭제

  WFP(Windows File Protection) 때문에 그런거 아닐까요? system 폴더에 있는 notepad.exe 를 다른 폴더로 옮겨서하면 괜찮을 것 같은데요.ㅋ

• reversecore 2009/11/03 22:25 댓글주소 | 수정 | 삭제

  나그네님, 소중한 답변 감사드립니다. ^^

메일 주소가 어떻게 되시나요..? ;;
마땅히 보낼만한...ㅠㅠ

• ReverseCore 2009/11/01 16:07 댓글주소 | 수정 | 삭제

  reversecore@gmail.com 입니다.

잘 보구 갑니다. 간단하구 쉽게 설명 잘 해주시네요 ^^

• reversecore 2009/12/16 18:44 댓글주소 | 수정 | 삭제

  vice님, 칭찬 감사합니다.

잘봤습니다. 근데. 님께서 첨부해주신 샘플 소스 구동하다가 notepad 저장할때 정지됩니다.
혹시 이런 현상 보신적 있나요?
OS 는 윈도우 XP 입니다.

• ReverseCore 2009/12/22 11:30 댓글주소 | 수정 | 삭제

  thav님, 안녕하세요.
  notepad 저장시에 프로그램이 멈춘다는 말씀이시죠?
  
  제 환경(XP SP3)에서는 그런 일이 없었지만, 충분히 그럴 가능성은 있습니다.
  
  * 참고로 제 테스트 PC 는 OS 만 설치된 클린 PC 환경입니다.
  
  제가 여러가지 상황에서 충분히 테스트하지 않아서 그럴 수 있고요. thav님 PC 에 실행중인 프로세스들에 의해서 그렇게 될 수 도 있습니다. (충돌!)
  (또한 실습 예제 파일들은 코드의 간결성을 위해서 에러처리가 거의 되어있지 않습니다.)
  
  (가능하시다면) 다른 PC 에서도 테스트 해보시기 바랍니다.
  
  감사합니다.

잘 읽고 갑니다~ ^^ㅋ

감사합니다.^^

그렇게 생각합니다 흑

이 블로그가 정말 도움이 많이 되네요
~~
꾸준히 하루에 한문제씩이라도 풀어재끼껫습니다!!

• reversecore 2011/05/24 20:23 댓글주소 | 수정 | 삭제

  방문 감사합니다. ^^~

감사합니다.

글을 읽을때마다 새로운걸 배웁니다.^^

그리고 질문있습니다.
Fig. 15에서 보면 Check 버튼의 시작이라는 것을 어떻게 찾았는지요?
제가 찾아보려고 해도 잘 안되네요..
좀 알려주셨으면 합니다.

• ReverseCore 2010/01/09 16:50 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  문의하신 내용을 보고 위의 글을 다시 읽어보니
  과연 설명이 좀 어렵게 되어 있군요.
  
  이전 글의 <Fig. 7> ~ <Fig. 9> 코드를 보시면
  "Wrong serial" 문자열을 찾고 이 문자열을 참조하는 코드를 찾습니다.
  
  그 코드가 속한 영역이 바로 버튼의 이벤트 핸들러일 테구요.
  스크롤을 죽 올리면 <Fig. 15> 와 같이 stack frame 시작 코드가 나타납니다. (402ED0)
  
  설명이 잘 되었나 모르겠네요.
  잘 이해 안되시는 부분은 다시 질문 해주세요~
  
  감사합니다.

계속 잘 읽어가고 있습니다.
어떻게 문자열 암호화를 유추해 내는지는 도저히 어렵네요.
말씀하신대로 따라가면서 봐도 잘 모르겠던데..
경험에 의한 해석인건지요?

• reversecore 2010/05/20 17:14 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  네, 사실 처음 접하시는 분들께는 쉽지 않은 내용입니다.
  물론 경험도 크게 작용하지요.
  
  제가 고민하는 부분도 바로 어떻게 하면 더 쉽게 설명할 수 있을까 하는 것이지요.
  
  위의 경우는 제가 입력한 "ReverseCore" 문자열 위치를 알아낸 후 거기서 부터 이 문자열을 access 하는 코드를 찾아 가는 중에 암호화하는 코드를 발견한 것이지요.
  
  조금 더 쉬운 예제를 구하셔서 연습해 보시기 바랍니다.
  저 또한 쉬운 예제를 디버깅하는 포스트를 준비하도록 하겠습니다.
  
  감사합니다.

안녕하세요 글잘보고 있습니다
그런데 Name을 읽는 위치가 스택프레임 구성후 4번째 call이라는 부분은 어떻게 아신건가요?
간접적으로 스트링이 구성되서 event코드 시작지점이 어딘지를 찾았다고해도 그 수많은
call중에 어떤 부분이 name을 읽는 위치인지 어떻게 알아내셨는지 궁금합니다.
또 event 시작지점이 Fig 15의 이부분인걸 아신것은 그냥 문자열 검색후에 스크롤을 쭉올리다가
push ebp
move ebp,esp
가 나오는 것만보고 아신건가요?

• reversecore 2010/10/21 06:58 댓글주소 | 수정 | 삭제

  안녕하세요~
  
  위 설명에는 언급이 안되어 있는데요...
  
  일단 Handler 를 찾은 후 이부분을 여러번 반복해서 디버깅 해봅니다.
  
  레지스터, 스택, OllyDbg 의 커멘트를 잘 살피다 보면 아래와 같은 명령어를 볼 수 있습니다.
  
  00402F8E . 8D95 78FFFFFF LEA EDX,DWORD PTR SS:[EBP-88]
  ...
  00402F98 . FF91 A0000000 CALL DWORD PTR DS:[ECX+A0]
  ...
  00402FB6 > 8B85 78FFFFFF MOV EAX,DWORD PTR SS:[EBP-88]
  
  => 00402FB6 주소 명령에 의해 EAX 레지스터에 문자열 주소가 세팅됩니다. 그걸 보면 [EBP-88] 변수가 스트링 객체라는 걸 유추할 수 있고 00402F98 주소의 CALL 명령어에서 값이 세팅된다는 걸 알 수 있지요. ^^
  
  그리고 말씀하신대로 스택 프레임의 prologue (558BEC) 를 보고서 Handler 의 시작일 것이다라고 예측을 한 것이구요.
  
  궁금하신 내용에 대한 답변이 되었나요?
  
  감사합니다.

비밀댓글입니다

• reversecore 2010/11/25 21:15 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  말씀하신대로 API 이름과 호출 흐름을 보면 예측이 쉬워집니다.
  그리고 코드 예측은 어느정도 경험에 의한 '감' 도 많이 작용합니다.
  
  MOV EBX, 4 명령어의 주석은 제가 완전히 잘 못쓴것이군요... @@~
  
  바로 수정하였습니다.
  
  좋은 지적 감사합니다.

비밀댓글입니다

• reversecore 2010/11/30 11:13 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  주소값 시작이 0x00DXXXX 형태로 되어있다는 말씀이시죠?
  
  말그대로 주소 영역입니다. 00000000 ~ 80000000 영역은 유저 메모리 영역이라 액세스가 가능합니다.
  
  그런데 참조할 수 없는 값이라고 하셨는데요... 혹시 디버깅 하시다가 안티디버깅에 의해서 쓰레기 주소값을 만나신 건지요?

비밀댓글입니다

• reversecore 2010/12/03 16:17 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  네, 그러셨군요~ ^^
  
  OllyDbg 에서 알파벳으로 시작하는 주소를 보실때는...
  
  '0' 을 앞에 붙여주세요~
  
  0D0000, 0C0000
  
  요렇게 말이죠.
  
  그 값이 중요한 값인지 아닌지는 실제 코드를 봐야 뭐라고 말씀드릴수 있겠네요~ ^^
  
  감사합니다.

설명이 아주 잘되였어여.
잘 보구 갑니다. ㄱㅅㄱㅅ
감사합니다.

• reversecore 2010/12/16 15:15 댓글주소 | 수정 | 삭제

  kuslove 님, 방문 감사드립니다. ^^

다른부분은 다 이해가가겟는데
암호화부분이 너무어렵내요,...
이런건 직접 이해가 잘안가더라고 10~20번 디버깅해보면서
디버깅 실력을 키워나가는 노력밖에없겟죠?ㅠㅠ
리버서의 길은 험난하고도 머내요...
그리고제가 직접 알고리즘 부분을 분석해봣는데요
코멘트로 각각 값의 변화가 일어나는부분
문자열에서 문자를 가져와서 한다는건 모르겟는데
문자열이 어떤 특정주소에 계쏙 이어붙여지는걸
볼수잇엇거든요
이정도의 알고리즘만 파악을햇는데...
지금 제가 이렇게 공부한것도
나중에 많이 도움이되겟죠...?ㅠ

• reversecore 2011/03/10 10:49 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  위와 같은 디스어셈블리 코드와 문자열 암/복호화를 처음 접하신 분들에게는 당연히 어려운 내용입니다. 저도 마찬가지 였습니다. 아마 다들 그러실 거에요.
  
  재밌는건요... 어렴다 어렵다 하면서도 한달 일년 보면요...
  좀 쉽게 보입니다. ^^ 끈기 앞에는 장사 없죠.
  
  말씀하신대로 지금 파악하신 알고리즘과 그러한 경험들이 차곡차곡 쌓이면서 훌륭한 리버서로 거듭 나실 겁니다.
  
  감사합니다.

402EDO 에 왜저는 체크버튼이라고안나올까요 매우짜증나네요 하.;;

• reversecore 2011/03/16 22:38 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  402ED0 이요? 그쪽에 써있는 주석을 말씀하시는 것 같습니다. 그건 제가 써 넣은것입니다. OllyDbg 에서는 기본적으로 보이지 않습니다.
  
  제가 충분한 설명을 하지 않아서 괜히 짜증만 나시게 만들었네요. 죄송합니다.
  
  다른 질문 있으시면 올려주세요~
  
  감사합니다.

fig17 덤프창보면 전 0041로 디셈블러창같이 그런주소로되어있고

Long Address with ascll dump 해도그러네요 ;

• reversecore 2011/03/16 22:41 댓글주소 | 수정 | 삭제

  아, 무슨 말씀인지 알겠습니다.
  
  이것도 제 설명이 좀 부족해서 헷갈리신 것 같습니다.
  
  <Fig. 16> 위에 보시면 "이 주소를 확인해 보겠습니다." 라고 했는데요. 확인 방법은 덤프 윈도우에서 Ctrl + G 명령으로 해당 주소(12FB98) 을 입력해야 합니다. 제가 요 설명을 빼먹었네요. 이렇게 보니 많은 설명이 생략되어 있네요~
  
  세세한 지적 감사합니다. 지금 작업하는 책에 큰 도움이 되었습니다.
  
  감사합니다.

"하지만 저도 이 문서를 만들기 위해서 약 10 여회의 restart 를 하였습니다."

좋은글과 바쳐진 시간에 감사드립니다.

• reversecore 2011/05/03 00:36 댓글주소 | 수정 | 삭제

  감사합니다. ^^

Name 을 읽어오는 함수 뒤에 나오는

FCLEX 는 뭐하는 명령어 인가요 ?

어셈블리어 명령어인가요 ? google에서 검색해봤지만.. 별다른 내용이 안나오네요 ..

• reversecore 2011/06/06 21:56 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  FCLEX 명령어는 FPU(Floating Point Unit) 명령어 입니다.
  
  실제로 코드에서 쓰이는 경우도 있고, 디버거가 파싱을 잘 못 해서 그리 보일 수도 있습니다.
  
  그런데 FCLEX 명령어를 어디 에서 보셨는지요? 저는 본문에서 안보이는 데요... @@~
  
  감사합니다.

• FCLEX 2011/06/07 14:42 댓글주소 | 수정 | 삭제

  이 문서에서 다루는 크랙미를 올리디버거로 볼때 그런 명령어가 보였거든요 ㅎ
  
  Name 문자열을 읽어오는 함수 조금 밑부분에 있길래 궁금해서 질문드렸네요.. 답변 감사합니다

저기 그 메모리 윈도우에서 제가 입력한 Name을 못찾겟어여;; 12FB98로 가도 나오질 않네여;; 메모리주소 값도 나와잇는거랑 다른데 원래 그런가여?
그리구 LEA EDX,DWORD PTR SS : [EBP-54] 같은것은 뭐하려구 선언하려는거져??

언제나 강좌 재미있게 읽고 갑니다..

다른분들의 리버싱 강좌에 비해 엄청 세련되고 자세하다는 느낌을 받습니다...초보로서..@@

그래서 너무나 잼있게 읽게 되는것 같습니다...

그리고 느낀게..

역시 고수분들은..글도 잘쓰시는거 같다는..@@

하루에 한번은 꼭 들어오는 블로그예요..ㅋㅋㅋ

앞으로도 잼있는 강좌 계속 부탁드립니다..헤헤..

• reversecore 2009/11/20 16:03 댓글주소 | 수정 | 삭제

  메롱이님, 안녕하세요.
  
  재밌게 읽으셨다니 글을 올리는 저도 힘이 납니다 ^^
  
  방문 감사드립니다.

강좌 재밌게 보고 갑니다

리버싱에 대한 기초를 여기서 다 다지게 되네요

감사합니다

• ReverseCore 2010/02/06 13:50 댓글주소 | 수정 | 삭제

  ㅎㅎ님, 안녕하세요~
  칭찬 김사합니다. ^^
  또 방문해 주세요~

다시해보니 새롭네요..그냥 점프하는거보다 키젠미도 괜찮은데요..

• reversecore 2010/03/04 00:17 댓글주소 | 수정 | 삭제

  upx님, 안녕하세요.
  
  대부분 위와 같은 크랙미를 풀면서 리버싱을 시작하시는것 같습니다.
  
  일단 재밌으니까요.
  
  재미를 느끼고 새로운 것을 배우는게 좋은것 같습니다.
  
  감사합니다.

모든 강좌 잘 보고 있습니다!^^
궁금한점이 있습니다!위 강좌에서 간접호출 쓰는 이유가 뭔가요?~

• reversecore 2010/03/25 22:35 댓글주소 | 수정 | 삭제

  못다한꿈님, 안녕하세요.
  
  VC++, VB 등의 고급언어 개발도구에서 간접호출을 사용하는 예를 많이 봤습니다.
  
  저도 그 이유가 궁금합니다. 그냥 CALL DWORD PTR [] 하면 되지 왜 굳이 CALL + JMP DWORD PTR [] 나를 할까요? 코드도 늘어나고 실행 시간도 길어지는데 말이죠.
  
  혹시 이유를 알게 되시면 저에게도 공유해주시기 바랍니다.
  
  감사합니다.

와~ 정말 강좌 재미있게 보고갑니다!
항상 좋은글 감사해요~

• reversecore 2010/07/19 23:12 댓글주소 | 수정 | 삭제

  감사합니다. ^^~

좋네요~
리버싱 공부중인데 좋은 강좌 감사합니다.
처음 접하는 사람들이 크랙쪽으로 많이 접근해서 배운다는데
저도 열심히 해야겠군요 ㅎㅎ

• reversecore 2010/07/19 23:13 댓글주소 | 수정 | 삭제

  크랙은 확실히 초보자에게 흥미를 끄는 부분이 많이 있습니다.
  하지만 너무 빠져 들면 곤란하겠지요? ^^

안녕하세요
강좌 정말로 잘 보고있습니다. 진심으로 감사드린다는 말씀 드리고싶네요

이 강좌에 질문이 하나 있는데요
test연산과 je 에 관련하여 질문드립니다

test연산이 두 연산자을 AND연산하여서 결과가 0이나오면 ZF =1
결과가 1이나오면 ZF = 0이고
JE가 ZF=1이면 Jump라 하는거라 하셨는데요
ZF가 1이면 AND연산값이 0, 즉 두 연산자가 다르다는 말인데
왜 JE(Jump if Equal)인지 궁금합니다.
더불어 연산자들도 1비트가 아닌 여러 비트로 이루어져있을텐데..
예를들면 test 1010111(2),1011111(2)

이 크랙에선 test ax,ax인데 ax에 0이 들어가잇더군요
연산자중 하나가 0이거나 둘이 보수일때 Jump?


머릿속에 정리가 잘 되지않네요 ..;;답변두탁드릴꼐요

• newbie 2010/07/25 20:37 댓글주소 | 수정 | 삭제

  JE가 Jump if Equal의 의미로 쓰일때는 cmp문이랑 같이 쓰일때입니다.
  cmp문은 두 피연산자를 빼서 결과를 내기 때문에 같으면 ZF를 1로 만들고 그러므로 JE이 동작하게 되는겁니다.
  TEST문과 JE를 쓰면 주로 피연산자가 0인지 아닌지 확인하는 용도로 쓰기위함입니다. TEST문은 AND 연산이기때문에 피연산자가 0이거나 1인 비트가 전혀 겹치지 않아야 ZF를 1로 만들죠. 보수 관계등을 알기 위해 쓸 수도 있겠지만 대부분의 경우 피연산자는 TEST EAX, EAX 같이 두개를 같은 것을 두고 피연산자 값이 0이면 점프하는 용으로 쓰인다고 보시면 될 것 같습니다. 결과적으로 궁금해하신 Jump if Equal의 의미는 cmp문이랑 같이 쓰일때 그 의미를 가진다고 생각하시면 될 것 같습니다.

• reversecore 2010/07/28 16:50 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  newbie님께서 자세히 잘 설명해 주셨네요.
  (같은 피연산자 ax를 비교하였으므로 0 이면 점프하라는 뜻이지요.)
  newbie 님, 감사합니다. ^^
  
  test ax, ax => ax 와 ax 를 비교하죠?
  je XXXX
  
  위 구문은 아래 C 코드로 해석하실 수 있습니다.
  
  if (ax == 0) { goto XXXX; }

안녕하세요.
주황 입니다.

한동안 너무 바빴다가 짬짬이 들려 공부하고 있습니다.
굉장히 쉽고 자세히 설명해주시는데 이해력이 딸려서 너무 어렵네요.

우선 잘 안되는 부분 질문 드립니다.

403329 까지 디버깅 합니다. 는 어떻게 해야 하나요? 403329에 bp 걸고 f9 하면 되는건가요?

아.. 여기 이하로 꽉 막혔네요..
일단 Fig. 10 을 확인 못하고 있습니다.

Follow in dump -> Selection 이라는 메뉴 밖에 없고요 이 메뉴를 따라가봐도 Fig. 11 처럼 안나오네요..ㅠㅠ

주소를 403321 을 따라 갔는데 Fig. 11 과 12 는 왜 12FBDC 주소가 나타나는 건가요?
저는 403321 그대로 나오거든요..
무엇을 잘못하고 있는건지.. 도무지 모르겠습니다.
부디 좀 더 자세한 설명 부탁드리겠습니다.

아.. 그리고 덤프윈도우의 Comment 탭은 어떻게 나오는건가요? 이것저것 다 눌러봐도 안나타 나네요.

그럼 답변 부탁드리겠습니다.
감사합니다.

• reversecore 2010/08/20 16:22 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  디버깅 하시는 중에 막히셨군요...
  
  1) 403329 에 BP 걸고 F9 맞습니다. ^^
  
  2) <Fig. 10> 그림으로 설명드리면,
  이게 스택 윈도우이므로 12FAB8 (12FBDC) 를 선택하신 후 마우스 우측 버튼의 메뉴의 "Follow in dump" 를 사용하시면 덤프 윈도우에 <Fig. 11> 과 같은 그림이 나타납니다.
  이 방법외에 <Fig. 9> 그림의 코드 윈도우에서 403321 주소를 선택하신 후 마우스 우측 메뉴의 "Follo in dump - Memory address" 명령을 사용하셔도 <Fig. 11> 그림이 나타납니다.
  
  3) dump 윈도우에는 comment 탭이 없습니다. 위 그림은 제가 설명을 위해서 임의로 그려 넣은 것입니다.
  
  저도 지금 다시 글을 읽어보니... 과연 리버싱 초보분들께서 이해하기 어려운 부분이 많이 보이네요.
  
  주황님의 소중한 지적을 바탕으로 본문을 수정하도록 하겠습니다.
  
  제가 바라는 것이 리버싱 초보분들의 눈높이에서 쉽게 설명하는 것이었는데, 이렇게 좋은 피드백을 주셔서 감사합니다. 큰 도움이 되었습니다.
  
  공부하시다가 잘 이해안가시는 부분이 있으면 또 문의해 주세요~
  
  감사합니다. ^^

초보라서 어렵긴 하지만

그래도 다른분들이 쓴 내용보다 쉽게 되 있어서

어느정도(?)는 할수있네요 ~

흐름은 전체적으로 이해가 됐으니 이제 세부적인 것도 이해해야겠어요 ㅠ

• reversecore 2010/12/16 15:13 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  흐름만 이해를 하셔도 대단한거랍니다.
  
  열심히 리버싱하시고 종종 방문해 주세요~
  
  감사합니다.

리버싱 학습할 때, 문제를 스스로 만들면서 하면 좋을 듯 합니다.

Name = TEST 이면, Serial은 어떻게 될까?
처럼 학습하면 좋을 것 같습니다. 답은) B8A9B7B8

• reversecore 2011/01/14 11:56 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  좋은 의견입니다.
  
  시리얼 생성 알고리즘을 확실히 분석하지 않으면 풀 수 없는 문제겠군요. (단순 점프명령어 패치로는 할 수 없지요.)
  
  감사합니다.

오늘도 매우 재미있게 공부합니다 ㅋ

• reversecore 2011/01/25 23:52 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  리버싱은 하나씩 배워가는 재미가 큰것 같습니다. ^^
  
  감사합니다.

잘안되서 머리막쥐어짜고 짜증만나네요..

올리디버거버전이 틀린건지 fig10에서 0013으로되어있고 그옆에 EAX 글자들이 전혀없어요

그래서 더밑으로진행을못하고.. ㅠ;;

• reversecore 2011/03/16 22:44 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  버전 문제가 아니구요... ^^
  
  EAX 는 제가 그림에 적어 넣은 것이라 OllyDbg 에서는 보이지 않는답니다.
  
  다른곳에 올려주신 질문에도 비슷한 내용을 올려주셨죠? 매우 죄송하구요. 섬세한 지적 감사합니다.

안녕하세여 올려주신 글마다 질문을 올리는것같네여;;

이번 글에서는 Test AX,AX 에서 똑같은걸 왜 비교하는 지 모르겟네여;;

그리고 마지막부분에서 노란색 부분을 찾아가서 실제 문자열을 보는건 어떻게하져??

• reversecore 2011/06/29 12:07 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  그건 Assembly 문법인데요...
  
  <그림 9> 의 40332F 주소를 보시면 아래와 같은 명령어가 있습니다.
  
  TEST AX, AX
  JE 403408
  
  C언어로 해석하면 개념은 대충 이렇습니다.
  
  if AX == 0
  goto 403408
  
  
  그리고 유니코드 문자열을 보시려면...
  OllyDbg 의 메모리(덤프) 윈도우에서 이동[CTRL+G] 명령으로 원하는 주소로 간 다음...
  마우스 우측 메뉴의 Long – Address with ASCII dump 명령를 선택하시면 됩니다.
  
  감사합니다.

안녕하세요. 이 크랙미 문제에 대해 질문 있습니다.
ReverseCore님이 언급한 코드부분에 (가장 중요한 흐름분기 일어나는 부분) 브레이크포인트를 걸고, F9명령어로 "계속" 진행을 시켜도, abex crackme.exe의 실행 창이 제대로 뜨질 않습니다.(F9를 누르면 한번에 떠야 할 것 같은데) 다 떴다가도 마우스로 클릭하면 비활성화(최소화) 된다던가 하는데, F9를 눌러도 계속 0x7D??????부근에서 왔다갔다 하는걸보니 vb엔진이나 모듈의 함수에 갇혀서 순환하는 것 같습니다.
ollydbg 의 옵션 문제인것 같은데 혹시 어느 항목이었는지 알려주실 수 있나요? 아니면 ollydbg.ini 설정파일이라도 제공해주시면 제가 일일이 찾아보겠습니다..
생각해보니 지뢰찾기 리버싱 할때도 분명히 프로그램이 거쳐갈 만한 곳에 브레이크포인트를 잡아놨는데 아무리 F9를 눌러도 이상한데서 무한반복을 하고 있어서 고생했던 것 같네요. 조언 좀 주시면 감사하겠습니다.
(좀더 연구해보니 ollydbg 2.0에서는 이런 현상이 일어나지 않고, ollydbg 1.1에서만 일어나네요. 그리고 1.1에서 Trace option의 'alwyas trace over system dll'옵션도 시도해봤는데 역시 해결이 안됩니다.)

• reversecore 2011/09/28 20:45 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  안티디버깅이 없는 일반적인 경우라면 OllyDbg 에서 실행[F9] 했을 때 <Fig. 2> 그림이 나타나야 합니다.
  
  그렇지 않다면... 혹시 plugin 이 설치되어 있는지 확인해 보시기 바랍니다. 어떤 플러그인은 버그가 많아서 디버깅에 오히려 방해가 된답니다. plugin 폴더를 rename 하신후 OllyDbg 를 재실행 해보시기 바랍니다.
  
  감사합니다.

ReverseCore님 안녕하셰요.
강좌 잘 보고 나갑니다.
근데, bypass님은 아직도 강좌를 이해하지 못하셨는데요. 그건 Shift+F9을 눌러 보셰요.
ㅋㅋㅋ
조언 감사

• reversecore 2011/09/28 20:45 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  답변 감사합니다. ^^~

이런 좋은강좌에 댓글이 하나도없다니.. 다들 보고 그냥 가시나보군
감사합니다~

• reversecore 2009/10/29 21:59 댓글주소 | 수정 | 삭제

  오오님, 감사합니다. ^^

감사합니다.^^ 초보들도 이해하기 쉬운강좌네요 ㅎㅎ

• reversecore 2009/11/09 14:26 댓글주소 | 수정 | 삭제

  베리굿님~
  많은 댓글을 달아주셨네요. ^^
  자주 방문해주세요~
  감사합니다.

이렇게 자세한 강좌는 처음보네요. 매번 간단하게 jmp 로 넘기면 됩니다.에서 스택에 대해 나오고 오 감동입니다. 감사합니다.

• reversecore 2009/11/14 23:08 댓글주소 | 수정 | 삭제

  놀람님, 안녕하세요.
  
  방문 감사드립니다.
  
  많이 들러주세요~

비밀댓글입니다

• reversecore 2010/01/29 21:30 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  정말 이네요~ ^^
  
  두 그림이 뒤바뀌었습니다.
  
  좋은 지적 감사드립니다.

감사합니다. 그런데 처음에


ESI가 FFFFFFFF로 셋팅된다고 하셨는데 저것은 어떻게 아나요?
본격적인 작업전에 한번 실행해보면서 옆에 레지스터 화면을 보고 아는건가요?

• ReverseCore 2010/02/14 10:24 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  MessageBox() API 내부에서 ESI = FFFFFFFF 로 세팅하는 것입니다. 디버거에서 한번 StepOver[F8] 하면 금방 아실 수 있지요.
  
  이처럼 Win32 API 함수들 내부에서 레지스터 값이 변경되기 때문에 어셈블리 프로그래밍을 할 때 주의해야 하지요.
  
  감사합니다.

초보자용으로 설명 드린거 감사하게 보고 갑니다^^ 다른것도 있어서
많이 들르러 올게요~

• reversecore 2010/04/15 03:36 댓글주소 | 수정 | 삭제

  안녕하세요. ^^
  
  블로그 방문에 감사드립니다.

좋은 정보 항상 잘 보고 있습니다^^ 감사합니다^^

• reversecore 2010/07/21 18:49 댓글주소 | 수정 | 삭제

  방문 감사합니다. ^^

아직 많이많이 부족하지만,,, 정말
하나하나 알아가는 기분입니다.

감사합니다 ^^

• reversecore 2010/12/16 15:14 댓글주소 | 수정 | 삭제

  네, 바로 그겁니다.
  
  리버싱이란것은 하루에 아주 조금씩 천천히...
  
  대신 꾸준히 앞으로 전진하는 것이지요... ^^

비밀댓글입니다

• reversecore 2011/01/10 16:13 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  고급언어든 저급언어든 실행되기 위해서 기계어로 변환되는것은 같지요.
  
  STUB 코드는 빌더(ex:VC++, VB, Delphi, etc) 에서 추가시키는 코드이며, 빌더만의 독특한 코드로 채워집니다. 같은 C++ 컴파일러라도 VC++ 과 BC++ 이 만들어내는 Stub 코드는 서로 다른 모양이지요.
  
  저는 VC++ 을 사용하는데요, Stub이 무조건 들어갑니다.
  
  참고로 제가 사용하는 MASM32 어셈블러에는 Stub 코드가 추가되지 않습니다.
  
  감사합니다.

비밀댓글입니다

• reversecore 2011/01/11 10:41 댓글주소 | 수정 | 삭제

  Makefile 을 이용하여 VC++ 컴파일러, 링커를 쓰시면...
  그래도 역시 비슷하게 생성되겠죠?
  물론 설정에 따라 생긴 모습은 틀려지겠지만 말이죠~

처음에 리턴값이(EAX)가 3인이유와
ESI가 0인 이유를 잘 모르겠네요;

(f8)을 이용해서 실행시키면서 register값을
확인하면 EAX의 리턴값이 3이고 ESI의 값이 0인것을
알수 있습니다만

이렇게 실행하지 않고 단지 소스코드만보고
알수있나요?
제가 초보라서;;; 궁금해서 질문드립니다.

• reversecore 2011/01/26 00:05 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  당연히 디버깅 해서 알아낸 값이지요. ^^~
  
  API 에 익숙한 사람이라면 GetDriveType() 의 파라미터를 보고 리턴값 정도는 예측할 수 있겠지요~
  
  감사합니다.

쓰신 글을 따라 배워 보고 있습니다.

감사합니다.

• reversecore 2011/02/18 22:15 댓글주소 | 수정 | 삭제

  방문 감사합니다. ^^

garbage code가 있는 이유가 궁금하네요.. 단순히 디버깅을 방해하기 위한건가요??

• reversecore 2011/02/28 16:02 댓글주소 | 수정 | 삭제

  네, 그렇습니다.
  
  리버서를 혼란시키기 위함이라고 보시면 됩니다. ^^
  
  감사합니다.

일단 강좌 감사합니다.ㅎㅎㅎ

질문 몇가지 남깁니다 ^*^

1.그전에 0040101F주소값에서 바로 0040103D로 점프해버리면 안되나요?

2. 그렇게해도 결과는 같은데,, JE를 바꿔주는거랑 어떤 큰 차이점이나 문제점이 있게 되는건가요?ㅎ

3. CMP 부분을 수정을 통하여 JE 조건 분기가 1이 되도록 해서
조건을 만족 시키는 방법도 있는데,
어떻게 EAX, ESI 부분을 저 시점에서 수정 되도록 해야 할지
모르겠네요. 명령어 부분을 지우는 방법은 없나요?

4.ESI 부분이 증가 되는 부분을 빼버리면 될것 같은데,
그리고 ESI 값이 0이고 1이고 2고 그런건 어디 부분에서
분석이 가능 한건가요?

• reversecore 2011/03/16 22:57 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  1. 됩니다. 더 좋은 위치에요~ ^^ 사실 가장 좋은 위치는 401000 이지요. 여기에 JMP 코드를 설치하면 무조건 됩니다. ^^
  
  2. 레지스터 값이 변경되는 것 말고는 없습니다.
  
  3. 디버거에서 레지스터 값을 직접 고치셔도 됩니다. 명령어를 지우는 방법은 NOP 로 채우시는 겁니다. 1 byte 의미 없는 명령이기 때문에 코드에 전혀 영향을 끼치지 않습니다.
  
  4. 디버깅을 하다보면 레지스터 창에서 해당 값이 변하는 걸 쉽게 보실 수 있습니다. 직접 연산하지 않아도 되니 편리하지요.
  
  감사합니다.

안녕하세요.. 늦게 시작하는 직장인입니다
너무 좋은 사이트를 발견해서 너무 행복하고요...빨리 책을 보고싶습니다..

오늘 강좌에서 JMP 를 쓰지않고 00401023 을 NOP 처리하여, 패치를 완성하여 exe 파일로 저장하였습니다. 그런데 윈도우에서 exe 파일을 실행하면, 또다시 NO 가 됩니다. 해당파일을 디비거로 올려보면, 정확히 NOP 로 수정이 되어었고요, F9를 이용해 실행하면, YES 가 되어, 정상 Crack되었습니다. 왜 윈도우상에서 exe 파일 실행된 결과값과, 디버거에서의 결과가 틀린지 궁금합니다.
단지 1바이트 코드만을 수정햇을뿐인데..... 이게 정상인가요??? ㅜㅜ

답변 부탁드립니다.

• Elephunk 2011/03/31 22:09 댓글주소 | 수정 | 삭제

  ollydbg 에서 esi레지스터 를 fffffff 로초기화 시키기 때문에
  
  ollydbg 에서 실행한 결과와 실제 결과가 달라집니다
  
  이점을 이용해서 ollydbg 를 탐지해 낼수가 있지요
  
  실제로 이것이 적용된 패킹 프로그램도 있구요
  
  ollydbg 2.0 에서 수정되었으니 2.0 사용해보세요

• reversecore 2011/04/06 01:25 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  Elephunk님, 항상 좋은 답변 감사합니다. ^^
  
  하나 추가하고 싶은 부분은요~
  이 샘플에서만큼은 그 패치 위치가 좋지 않았다는 것입니다.
  
  Win 7 에서는 OllyDbg 의 ESI 초기값이 0 이기 때문에 잘 됩니다.
  XP 에서는 Elephunk 님 말씀대로 ESI 가 -1 이라서 안되구요.
  
  되도록이면 그런 영향을 덜 받을 수 있는 조건 분기 명령어가 제격입니다.
  
  어디까지나 이건 연습용이기 때문에 테스트로 그러신거겠죠? 그래도 그런 호기심으로 다른 사실을 알게 되셨구요. 리버싱에 도움되는 좋은 습관을 가지셨네요~ ^^
  
  감사합니다.

좋은 강좌 감사글없이 지나치는건 죄악일것 같아서요..
감사 10000번
근데 질문입니다
우의 예제 assembly로 작성했다고 하셨는데 그럼 masm등을 이용했다는건가요, 혹 그렇다면 assembly에서도 저렇게 api를 호출할수 있는가요?
무식한넘 감히 질문합니다.

• reversecore 2011/05/03 00:48 댓글주소 | 수정 | 삭제

  안녕하세요.
  
  네, MASM 에서 Win32 API 호출 가능합니다. ^^

안녕하세요 요즘 리버싱 공부하느라 거의 매일 오고 있어요 ㅎ
좋은 글 일단 감사합니다..
그리고 질문이 있는데요 MessageBoxA 함수 내부에서 ESI가 -1 이 세팅된다고 하셨는데, 저는 401013에 BP 걸고 실행하면 ESI가 0이 되서 나오네요.. 궁금해서 F7로 함수 내부로 들어갔는데, ESI가 -1로 세팅이 되긴하는데 어느 순간 0으로 바뀌더군요.
제가 Win7 이라 올리 2.0 을 쓰는데 그래서 그럴까요?