M4ndU의 만두만두한 블로그

stolenbyte 12byte와 OEP 00401000를 구할 수 있다. jmp는 0040100c로 하지만 stolenbyte 0xC byte 만큼 붙여주면 oep는 0040100c가 된다.

참조된 문자열을 찾아서 성공 메세지를 출력하는 부분을 찾고 그 위에서 비교문과 분기점에 breakpoint를 걸고 실행했다.

key 값으로 1234를 넣었는데, 넣은 1234와 0x7A2896BF과 비교하는 것을 볼 수 있다.

0x7A2896BF == 2049480383

key 값은 2049480383이 된다.

key값이 MessageBox에 출력되도록 하려면 HxD로 열어서 Cong~~~부분을 찾는다.

성공 메세지 부분을 2049480383(\x00)으로 덮어주면 된다.[0x0D3B~0x0D45]

.NET은 DOTPEEK으로!

main을 보면, 암호화된 문자열을 복호화 한 값이랑 사용자 입력값이랑 비교한다.

코드를 추출해서 복호화된 문자열을 출력하도록 했다.

upx 패킹이 되어 있으므로 언패킹을 진행하고 올리디버거로 열었다.

참조된 문자열중 성공문자열을 찾고, 그 위에 분기점과 비교문에 breakpoint를 걸고 실행했다.

CodeEngn / 11111을 입력했을 때 

11111은 EAX에 들어가서 ESI값 0x129A1과 비교하게 된다

0x129A1의 10진수 값 76193을 입력해주면 성공메세지가 출력된다.

이번에는 패킹이 되어있지 않아서 바로 올리디버거로 열었다.

참조된 문자열에서 성공메세지를 찾고 그 위 비교문에 breakpoint를 걸고 실행했다.

CodeEngn / 12345 로 입력을 했는데 입력한 12345와 24928을 비교한다.

이번에도 패킹은 없다.

참조된 문자열에서 성공메세지를 찾아 그 위 비교문에 breakpoint를 걸고 실행했다.

CodeEngn / 11111 로 입력했더니 11111과 0xE4C60D97과 비교한다.

0xE4C60D97 의 10진수값을 시리얼로 입력해주면 된다.

검색하면 나온다.

실행도 안되고 디버깅 프로그램으로도 열리지 않는다. 그런데 HxD로 보면 패스워드를 확인할 수 있다.

IDA로 열어서 함수명들을 살펴보면 문자열 비교 함수를 찾을 수 있다. 정답 입력할 때 '_'는 빼고 입력해야 한다.

IDA로 열어서 main_0함수 디컴파일 하면 해당 함수의 이름을 알 수 있다.

패킹이 되어 있다.

언패킹을 해주고, 

올리디버거로 열어서 참조된 문자열 리스트에서 하단으로 내려보면 키를 확인할 수 있다.

5번문제와 같이 언패킹을 해준뒤 올리디버거로 연다.

프로그램이 시작되는 주소가 OEP가 되며, serial은 참조된 문자열 확인을 통해 알 수 있다.

시리얼 입력을 aaaa로 하고 C 드라이브의 이름은 Acer로 되어 있는 상태에서 올리디 버거를 돌려봤다.

"Acer" + "4562-ABEX"

가 되고 Acer부분이 연산루틴을 돈 뒤에(앞 4자리만 연산한다.)

문자열 앞에 "L2C-5781"이 붙어 시리얼이 완성된다.

비교를 하는 0x4010F7에 breakpoint를 걸고 C드라이브의 이름을 CodeEngn으로 바꾼뒤에 실행해서,

생성되는 시리얼을 확인하면 된다.

이때 CodeEngn이 바뀐 부분만 정답으로 제출하면 된다.

역시 upx 패킹이 되어 있다.

언패킹을 하고 올리디버거로 열면 oep를 구할 수 있다.

stolenbyte로 인해서 언패킹이 정상적으로 이루어지지 않는다. 그대로 올리디 버거로 올린 뒤에 수동 언패킹을 하듯 jmp문을 찾아준다.

그럼 그 윗부분에 stolenbyte를 찾을 수 있다. 해당 opcode를 정답으로 제출하면 된다.

이번에는 upx가 아닌 aspack으로 패킹이 되어있음을 확인할 수 있다.

언패킹 하는 방법은 디버깅 툴로 retn 0c 를 찾아서 그 다음 두 명령어에 breakpoint를 걸어 실행하면 

push 0 가 oep값으로 바뀌어서 retn을 통해 oep로 이동하는 것이다.

breakpoint를 걸어주고

실행하면 push 0 가 push 00445834로 바뀐다. oep주소다.

참조된 문자열을 찾아서 등록완료를 출력하는 부분을 찾으면 그 윗부분에서 분기점의 opcode를 찾을 수 있다.

카이사르 암호 복호화 문제

abcde  fghij   klmno   pqrst   uvwxy   z

giax?  ?dbkl   nqwmf   ?cp??   zuyj?   v

이렇게 일치

위 테이블에 맞춰 암호 문자열을 복호화 하면 12345c3d6 (중복이 있어서 ?대신 정수로 표현)

?에 들어갈 수 있는 남은 알파벳은 e h o r s t

파워게싱을 통해 c3d6이 code인 것을 알아채면 12o45code가 되고 남은 자리에 들어갈 수 있는 알파벳은 h r s t 가 되며,

다시 게싱을 통해 맞추면 된다.