티스토리

Kevin's TechLog

검색하기

블로그 홈

Kevin's TechLog

sithlab.tistory.com/m

Kein System ist sicher.

구독자: 0

방명록 방문하기

공지 Wargame Sites 모두보기

주요 글 목록

[Simples.kr] [Season 1] Unpackme 06 EXEPack이라는 패커로 패킹한 모양이다. Ollydbg로 열면 첫 Instruction이 PUSHAD이다. PUSHAD만 실행 후 ESP 값(19FF64)으로 이동하자. 이 곳에 DWORD 타입으로 Hardware Breakpoint를 걸고 실행하면 이 부근에서 멈춘다. 특정 주소 값을 EDX에 넣고 EDX로 점프하는데 실행해보면 그 주소가 OEP임을 알 수 있다. 따라서 문제의 답은 FFE2004271B0 공감수 0 댓글수 0 2018. 5. 7.
[Simples.kr] [Season 1] Unpackme 05 3번과 같은 파일이다. Simples Unpackme 03 OEP: 401000 Stolenbyte: 6A0068002040006812204000 정답: 004010006A0068002040006812204000 공감수 0 댓글수 0 2018. 3. 3.
[Simples.kr] [Season 1] Unpackme 04 ASPack으로 패킹되어 있다. PUSHAD 한줄만 실행한 뒤 ESP 값을 확인하고 그 스택 주소에 Hardware Breakpoint를 걸자. 이후 실행하면, 이 루틴으로 오게 되는데, 4564FC에서 PUSH되는 값이 OEP가 된다. 뭐 이렇게 OEP로 진입했는데, 아직도 DB와 DD 상태이다... 무시하고 등록 성공 메시지로 가는 루틴을 찾아보자. 참조 문자열 중 아래와 같은 부분이 보이는데 이 JNZ 명령에서 등록 성공 메시지와 다른 곳을 분기하고 있다. 즉, 정답은 OEP + 이 JNZ문의 Opcode로 Flag: 004458347555 공감수 0 댓글수 0 2018. 3. 2.
[Simples.kr] [Season 1] Unpackme 03 Stolenbyte란, 패킹 시 packer가 보호 목적으로 옮겨 놓은, 프로그램 코드라고 정의된다. 처음 Ollydbg로 로드하면, 이렇게 나온다. 위의 DB 90이 여럿 보일텐데, 아무데서나 Ctrl+A(Analyze Code)를 눌러보자. \x90에 해당하는 NOP instruction으로 바뀌는 것을 알 수 있다. 이 프로그램은 UPX 패커로 패킹되어 있으니, 코드의 마지막 위치를 확인해보도록 하자. POPAD로 모든 register를 pop한 후, push 3번, 루프 끝에 마지막으로 JMP문에 도달하는 방식으로 되어 있다. 상자로 표시된 곳이 Stolenbyte이며, 마지막에 JMP하는 곳이 OEP이다. 이제 위에서 봤던 NOP(401000~)를 Stolenbyte로 덮어보자. 공간이 딱 맞다.. 공감수 0 댓글수 0 2018. 3. 2.
[Simples.kr] [Season 1] Unpackme 02 우선 툴을 이용해 언팩해보자. Ollydbg에 로드하면 OEP가 바로 보인다. 정답: 01012475 공감수 0 댓글수 0 2018. 3. 2.
[Simples.kr] [Season 1] Unpackme 01 PEiD에서 이 파일을 확인했는데, EP Section에는 UPX0라고 되어 있지만, Packer 정보에는 UPX라 되어 있지는 않다. Ollydbg에 올렸는데, PUSHAD로 시작하지도 않는다. 그냥 여기가 OEP라고 봐도 될 것 같다. 이제 Serial을 찾아보자. 메시지 박스를 띄우므로 MesageBox 계열 함수를 찾아봤는데 아래처럼 2개가 나타난다. 하드코딩된 문자열과 비교한 후 성공 / 실패 메시지로 이동한다. Clear~ Flag: 00401360AD46DFS547 공감수 0 댓글수 0 2018. 3. 1.
[Simples.kr] [Season 1] Crackme 16 참조 문자열을 보면, 성공 메시지가 보인다. 이 곳으로 가보자. 위로 조금 올려보면 나오는 CMP에 breakpoint를 걸고 실행(Input: Certlab / 1234)한 결과 0xBD14B8D7과 비교하는 것을 알 수 있다. Integer로 변환하면 3172251863인데 정답인지 확인하자. MD5로 암호화하면 정답은 DEA22FEE8D5293ACC6FE170A667DB7BB 공감수 0 댓글수 0 2017. 10. 8.
[Simples.kr] [Season 1] Crackme 15 C#으로 짜인 코드이므로, .NET Reflector를 이용해 소스코드로 변환해준다. Visual Studio로 코드를 확인해 본다. RijndaelSimple.cs는 Rijndael 암, 복호화 함수로 이루어져 있고, RijndaelSimpleTest.cs에는 Main 함수가 있다. Password를 입력하라고 한 후, 입력값과 변수 plainText(평문)와 비교하고 있다. 즉 plainText에 들어있는 값이 Auth key이다. 이 변수의 값을 출력하기 위해 소스 코드를 아래와 같이 변경했다. Password 입력 메시지 위에 답이 출력된다. 그대로 입력해 보면, 정답임을 알 수 있다. 정답: Leteminman 공감수 0 댓글수 0 2017. 10. 8.
[Simples.kr] [Season 1] Crackme 14 Key를 이용해 Name을 알아내는 문제이다. 일단 어떻게 구성되어 있는지 한번 살펴보자. 우선 참조 문자열에서 단서를 찾았다. 문자열 위에 있는 코드 중, 우선 비교문에 breakpoint를 걸었다. Name, Key에 모두 ‘a’를 넣었을 때의 결과이다. 45BB24에서 멈추며, Name의 길이를 비교하고 있다. 문제에서 2글자라고 했으므로, 그 주소의 코드를 패치해주자. 아래처럼 패치하고 exe 파일로 저장했다. 좀더 내려보면 45BB63에서 다음과 같은 문구를 볼 수 있는데, Key가 30자 이상이라는 의미이다. 하지만, 비교 대상은 정해져 있으므로 Key는 그 값으로 고정하면 된다. 두 글자이므로, 무난한 ‘00’을 넣어보았다. 만들어진 Key는 아래와 같다. 이제, 이 Key를 생성하는 곳을 .. 공감수 0 댓글수 0 2017. 10. 8.
[Simples.kr] [Season 1] Crackme 13 우선 Key 값을 찾기 위해 성공 메시지 부분을 살펴보았다. 40107D에 breakpoint를 걸고 이 부분을 한 줄씩 실행해 보았다. 403000부터 403527을 아우르는 문자열을 ESI에 넣고, 4바이트씩 더해서 EBX에 넣어 40110F 함수의 연산을 하는데, 그 문자열이 null일 때까지 반복한다. 이 문제를 푸는 데에는 별 의미 없는 낚시 코드이다. 결국 Key 값은 40107D의 CMP operand 중 하나인 0x7A2896BF(2049480383)이다. 그 다음, Hex Editor에서 성공 메시지 대신 key 값을 넣으려면 어느 범위에 넣어야 하냐는 문제이다. 실행파일을 복사한 후 hex editor로 열어보자. Block 안의 값이 성공 메시지이다. 이 곳을 key 값이 되도록 채워.. 공감수 0 댓글수 0 2017. 10. 8.
[Simples.kr] [Season 1] Crackme 12 간단하다. 일단 Ollydbg로 코드를 보자. 이게 전부이다. 우선 NAG 창을 구성하는 OPCODE Byte 수를 살펴보자. 6A 00 68 71 30 / 40 00 68 7C 30 / 40 00 6A 00 E8 / 07 00 00 00 총 19개 되겠다.NAG 창을 끄는 함수의 이름은 그 아래에 있는 ExitProcess 되겠다. 정답: 19ExitProcess 공감수 0 댓글수 0 2017. 10. 7.
[Simples.kr] [Season 1] Crackme 11 실행해보면, 입력 부분, 버튼이 하나씩 보인다. 틀린 Serial을 넣으면, 오른쪽 같이 되며 텍스트를 수정할 수 없다. Ollydbg로 보면, VB로 짠 프로그램임을 경험을 비춰 알 수 있다. 참조 문자열로 CMP문을 추적하는 방법보다 vbaStrCmp 같은 함수를 추적하는 방법을 많이 써왔다. Intermodular call을 뒤져보면, 앞서 말한 vbaStrCmp을 CALL한 부분을 한 군데 찾을 수 있다. Breakpoint를 걸자. 실행하여, 입력 부분에 아무거나 넣고 무엇과 비교하는지 보자. 1234를 입력했으므로, 677345가 답임을 알 수 있다. 공감수 0 댓글수 0 2017. 10. 7.
[Simples.kr] [Season 1] Crackme 10 초입부터 디버거 탐지를 한다. 다음 진행을 위해 XOR 문으로 우회해서 패치해 실행 파일을 뽑아내겠다. 우선 참조 문자열 검색으로 성공 메시지로 보이는 곳 주변을 찾아보면, strlen이 보인다. 입력 문자열이 14(0x0E) 글자이어야 한다. 조건에 맞게 입력해주면 저 비교문을 지나갈 수 있다. 다음은 VaZoNeZ 문자열을 strcpy, strcat를 하고 나서 사용자 이름을 부르는 듯한 함수를 호출한다. 저 부근을 실행해 보면, 403324 주소의 값을 buffer라는 매개변수에 push하는데, 사용자 이름이 들어간다. 그것을 Certlab으로 패치한다. 다음에는 루프 2개가 나오는데, 첫 번째 루프는 사용자 이름과 어떤 문자열을 각종 연산을 하는 듯 보이는데, 키 생성하는 부분인 모양이다. 루프 .. 공감수 0 댓글수 0 2017. 10. 7.
[Simples.kr] [Season 1] Crackme 09 프로그램을 실행해보면, ID와 PW 모두 요구하며, 실패 메시지를 출력해주는 것을 알 수 있다. Ollydbg로 보면, VB로 짠 프로그램임을 알 수 있다. 참조 문자열을 봐도 단서를 찾을 수 없으므로, intermodular calls를 찾아봐야 한다. vbaStrCmp 함수 정도 확인해보자. EDX, EAX 순으로 push해 vbaStrCmp 함수의 파라미터로 주고 있다. 실행해보면, 정답을 알 수 있다. CRC-32로 변환하면, 문제의 정답이 나온다. 409CF0 함수에서 Secure Key를 생성하는 것 같은데, Visual Basic 기반이기도 하고... 너무 길어서 나중에 분석하겠다. 정답은 317272712 공감수 0 댓글수 0 2017. 10. 7.
[Simples.kr] [Season 1] Crackme 08 이 프로그램도 6번처럼 패스워드만 요구하는 문제이다. 틀린 입력에도 반응해준다. 6번과 같은 방법으로 풀면 된다....... 그런 줄 알았는데, 6번과는 뭔가 다르다. 값을 각각 비교하고 있다. 글자 수를 ECX에 넣고 마지막에 6과 비교하는 걸로 보아, 글자 수는 6이어야 하며, EAX의 값과 6가지 값을 비교해나가고 있다. 모든 준비는 끝났다. 저 AND문을 통과하도록 패스워드를 구성하면 되겠다. ~0xAD = ~10101101 = 01010010 = 0x52 = ‘R’~0x9A = ~10011010 = 01100101 = 0x65 = ‘e’~0x97 = ~10010111 = 01101000 = 0x68 = ‘h’~0xBF = ~10111111 = 01000000 = 0x40 = ‘@’~0xC5 = .. 공감수 0 댓글수 0 2017. 10. 6.
[Simples.kr] [Season 1] Crackme 07 이번엔 틀린 입력을 할 경우 Text Field의 모든 값이 사라진다. 이동해야 하는 부분은, Check 버튼을 누른 후의 가상 메모리이므로, Memory map에서 이미지처럼 breakpoint를 건다. F9를 눌러 실행하다 보면, 입력 대기 부분에서 breakpoint가 걸린다. Simples / 1234를 입력해보자. 402940에서 멈추는 것을 볼 수 있다. 한 줄씩 실행해보면, Name에 입력한 값을 402995의 함수에서 스택에 올린다. 4029DC에서 실행하는 함수의 결과로 String이 반환된다. 우선, 의심스러우므로 이게 키 값인지 한번 입력해보자. 다시 실행해서 4029DC에서 실행하는 함수를 분석해보자. 실행하면 40215F를 거쳐, 4027E0으로 간다. 3개의 레지스터를 PUSH한.. 공감수 0 댓글수 0 2017. 10. 6.
[Simples.kr] [Season 1] Crackme 06 실행 화면이다. 패스워드만 맞추는 문제이니, 바로 진행하겠다. 틀린 입력에도 반응을 해주는 감사한 프로그램이다. 실패 메시지가 있으면, 성공 메시지도 있을 것이다. 위에 CMP문에서 0x7F97E56C와 비교한다. 저게 패스워드인가 보다. 아래처럼 Integer로 바꾸면, 2140661100이 된다. 정답: 2140661100 공감수 0 댓글수 0 2017. 10. 6.
[Simples.kr] [Season 1] Crackme 05 프로그램을 실행해도 Serial 입력 창만 있어, 이 문제에 대한 단서가 되지 않는다. Ollydbg로 켜서 살펴보자. 아래로 조금만 내려보면, GetVolumeInformation이라는 그럴 듯한 함수가 있다. Parameter가 많은데, 일단 breakpoint를 걸고 실행해보자. 반환 값을 보니 USB DRIVE이다. 이것을 Certlab으로 고쳐보자. 아래로 내려가보면 lstrcmpiA 함수를 호출하는 부분이 있다. 여기서 입력값과 최종 Serial을 비교한다. Breakpoint를 걸고 확인해보자. Certlab이 Egtvlab가 된 것을 확인할 수 있는데, 이 연산은 4010AD~4010CD에서 수행한다. 2번 반복하며 “Cert” 글자의 Hex 값을 1씩 증가시킨다. Certlab 문자열의 .. 공감수 0 댓글수 0 2017. 10. 6.
[Simples.kr] [Season 1] Crackme 04 프로그램을 실행해보자. 입력값에 대한 별다른 제한을 두지 않는 것으로 보아, String type으로 취급할 것 같다. String을 비교하는 함수로, vbaStrCmp 함수가 많이 쓰인다. 문제의 정답은 찾았고, Serial을 찾아보자. 저 함수에 breakpoint를 걸어, 입력값과 비교하는 것이 무엇인지 보면, 그것이 Serial이다.글자를 칠 때마다 Serial과 비교하는 듯 하다. 확인해보면, "Registered" 버튼이 활성화되는 것으로 보아, Serial이 맞다. 문제 정답은 vbaStrCmp 공감수 0 댓글수 0 2017. 10. 5.
[Simples.kr] [Season 1] Crackme 03 이것도 CodeEngn Basic RCE에서 본 문제 같다. 실행하게 되면, 다음과 같이 나온다. Key file이 필요한 것 같다. Ollydbg로 보면, Key file 이름이 보인다. 그런데 아래로 좀더 보면 문제의 정답을 알 수 있다. GetFileSize의 반환값과 0x12를 비교하는 것으로 보아, 파일 크기는 18 byte이어야 한다. 실제 18 byte로 abex.l2c 파일을 만든 후 실행하면 제대로 인식한다. 따라서 정답은 18 공감수 0 댓글수 0 2017. 10. 5.
[Simples.kr] [Season 1] Crackme 02 우선 실행화면은 다음과 같다. 문자열에서 단서를 찾아보자. 다음과 같이 문자열이 모여있는 곳을 발견하면, 분기 분석을 위해 우선 403458로 이동하자. vbaVarTstEq 함수의 결과로 403332의 분기문을 통해 서로 다른 메시지를 출력한다. 더 위로 올려보면, 다음과 같은 루틴을 볼 수 있다. Name으로 Serial을 만드는 곳이다. 4번 루프를 돌며, rtcHexFromVar 함수를 통해 값을 얻고 vbaVarCat으로 이어붙인다. 결과적으로 B7CDD1D4라는 Serial을 얻게 된다. 공감수 0 댓글수 0 2017. 10. 5.
[Simples.kr] [Season 1] Crackme 01 파일을 한번 실행해보자. CodeEngn Basic L01과 같은 파일인 듯하다. 위의 MessageBox에서 CD-ROM으로 인식하도록 해달라고 한다. Ollydbg로 보면, GetDriveTypeA 함수의 반환값으로 MessageBox의 출력값을 분기하는 것을 알 수 있다. 이렇게 한눈에 알 수 있지만, MSDN에서 확인해보자. 이 함수의 반환값 중 CD-RO의 경우 5를 반환한다고 되어 있다.HDD, Flash Drive의 경우엔 3을 반환한다. 그러므로 문제의 정답은 GetDriveTypeA 공감수 0 댓글수 0 2017. 10. 5.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.