Sean :: Dev

​ ​ GetVolumeInformationA() 함수 사용해 시스템 볼륨정보 읽어옴 MSDN ​ ​ main 로직 반복문을 거치고 문자열2개를 붙여 일련번호 생성 (당연히 컴퓨터마다 달라짐.) 재시작후 해당 문자열 입력시 성공.

MUP의 핵심은 OEP를 찾는것. OEP를 찾는법은 정답이 없고 다양한 도구와 기술이 있어, 다분히 경험적인 스킬이다. ​ - Lena 'UnPackMe_EZIP1.0.exe' ​ * ESP 레지스터를 활용한 OEP 찾기 ​ entry point : 004650BE 진입후, 실행시 ESP에 PUSH EBP된 상태. ​ 메모리에 HW Breakpoint를 걸자. esp - follow in dump - 첫번째 부분 데이터에 HW BP 적용 ​ HW BP 확인 F9 실행시 00468687에서 HW BP걸림 근처에 JMP EAX 발견. 따라 들어가보면 다음과 같은 전형적인 코드를 발견할 수 있다. OEP = 004271B0 발견! (참고로, 재시작후 마찬가지로 F9실행시 총 2번 HW BP 걸림. 본 위치 P..

버튼 비활성화 상태 일련번호는 보통 문자열비교를 하므로, Search for - All intermodular calls - "vbaStrCmp" 발견 BP설정 Test DI, DI 결과에 따라 점프문 분기. 여기서 ZF를 0으로 바꿔 흐름을 바꾸면, Register버튼이 활성화된다. 클릭하면 다음과같이 성공 [분석] 역추적하면, TEST DI, DI는 DI값이 0인지 확인한다. DI값은 EDI의 하위16bit값. 그리고 이 DI는 vbaStrCmp()의 결과가 eax에 저장된후 다시 edi로 복사된다. vbaStrCmp()는 실행되며 인자로 eax, ecx를 넣는다. vbaStrCmp()부분에 BP를 걸고 다시 살펴보자. 재시작후 숫자를 하나 입력하면 BP가 걸린다. 이때 위와 같이, eax엔 0067..

[DLLInject.exe & MyHack.dll] DLLInject.cpp #include "stdio.h" #include "windows.h" #include "tlhelp32.h" #define DEF_PROC_NAME("notepad.exe") #define DEF_DLL_PATH("c:\\myhack.dll") DWORD FindProcessID(LPCTSTR szProcessName); BOOL InjectDll(DWORD dwPID, LPCTSTR szDllName); int main(int argc, char* argv[]) { DWORD dwPID = 0xFFFFFFFF; dwPID = FindProcessID(DEF_PROC_NAME); if (dwPID == 0xFFFFFFFF) {..

[삽질노트] 1. dll파일은 cpp파일로 작성후 일반적인 VS 빌드를 거쳐 생성. 단, 프로젝트 생성시 Win32 Console, MFC 선택하듯이 여기서 DLL을 선택해야함. 2. dll.cpp에서 메인진입부를 DllMain이 아닌, DLLMain으로 작성하여 시간허비 (dll 코딩및빌드는 처음이였지만, 당연히 될거라 생각했다. 생각해보면 일반콘솔코드에서도 int mAin()~도 당연히 안되는건데..) 3. VirtualMachine에서 Win7 64bit에서 계속 실행함. 32bit에서 했어야했다. (inject하는 dll위치뿐만아니라 많은 요소들이 변경가능성. 변수많음) [참고] 1. scanf => scanf_s로 대표되는 UNSAFE WARNING ERROR 컴파일오류시, 구글링하면 몇가지 방..

1. CreateFileA() MSDN OPEN_EXISTING => "abex.l2c"이름의 파일을 open한다. 없으면 eax=FFFFFFFF로 리턴되어 00401075로 점프 따라서 abexcm3.exe와 같은 경로에 "abex.l2c"이름의 파일을 만들어줘서 해당루틴 통과 2. GetFileSize() 파일사이즈를 가져와 12와 비교. 0x12는 10진수로 18이다 메모장 or HxD로 18byte로 파일사이즈를 조정

분기1) name값이 4자리 이상이면 eax가 0이고, 4자리 미만이면 FFFF..로 TEST AX, AX 연산을 통해 점프문 분기. 이후 반복문을 돌며, name으로 serial값 생성 (비트단위 반복 연산_생략) 분기2) - MOV DWORD PTR SS:[EBP-94],EAX EAX가 가리키는 값(serial값 ex.4444)을 스택 ebp-94에 복사한다. [memory] eax = 465AAC [stack] LEA 명령어를 통해 EBP-44,34의 주소값을 edx,eax에 복사한후, 스택에 push한다. 이후 함수를 호출하고, TEST AX AX 결과에 따라 점프분기한다. 역시 분기흐름을 임의로 바꿔주면 다음과같이 창이 뜨긴 한다. MOV vs LEA EBP = 0019F2B0 , EBP-88 ..

조건문 int Temp(int a) { int b = 1; if (a == 1) { a++; } else { b++; } return b; } int main(int argc, char* argv[]) { Temp(1); } VS_disassemble Olly 반복문 int loop(int c) { int d = 0; for (int i = 0; i