[Reversing.kr] Easy Unpack

EP Section을 보면, .GWan으로 되어 있는데, Custom packer로 패킹한 듯 보인다.

 

 

 

Ollydbg 2.x로 보면 자동 unpack 되어서, 1.x 버전으로 시도했다.

 

처음에 이 주소에서 시작하게 된다.

 

 

 

이후 Step Over하며 확인해보면, 40A1C7로 넘어가는데, INC ECX, INC EDX을 순서대로 반복 수행하다가 가장 아래의 JMP문에 도달하게 된다.

 

 

 

JMP을 타고 이동하면 DD(Define Double word)의 향연이 펼쳐지는데

 

 

 

Ctrl+A 단축키를 통해 Code Analyze를 하면 코드를 복구할 수 있다.

 

이곳, 0x401150이 OEP라고 할 수 있겠다.

 

Unpack 방식을 보니 UPX를 이용한 듯 보인다.