Reversing) MUP(Manual Unpacking)

MUP의 핵심은 OEP를 찾는것.

OEP를 찾는법은 정답이 없고 다양한 도구와 기술이 있어, 다분히 경험적인 스킬이다.

​

- Lena 'UnPackMe_EZIP1.0.exe'

​

* ESP 레지스터를 활용한 OEP 찾기

​

entry point : 004650BE

 

진입후, 실행시 ESP에 PUSH EBP된 상태.

​

메모리에 HW Breakpoint를 걸자.

esp - follow in dump - 첫번째 부분 데이터에 HW BP 적용

​

HW BP 확인

F9 실행시 00468687에서 HW BP걸림

근처에 JMP EAX 발견. 따라 들어가보면 다음과 같은 전형적인 코드를 발견할 수 있다.

OEP = 004271B0 발견!

(참고로, 재시작후 마찬가지로 F9실행시 총 2번 HW BP 걸림.

본 위치 PUSH EBP와 위의 POP EBP)

​

* 이제 메모리 덤프를 떠서 새로운 실행파일을 만들어보자.

- OllyDumpEx Plugin 이용

​

Image Base와 Entry Point 주목

특히 Entry Point는 우리가 찾은 현재의 271B0값이 들어가있음.

덤프뜬 파일

정상적으로 실행되고

Olly로 Entry Point도 확인가능.