티스토리

bss 영역
검색하기

블로그 홈

bss 영역

sean.tistory.com/m

Sean(slay) 님의 블로그입니다.

구독자
9
방명록 방문하기

주요 글 목록

  • stolen_bytes_pespin.exe 언패킹 stolen bytes 기법 패커가 원래 코드의 일부를 잘라내어 다른 영역에 복사해둔 뒤 원래 잘라낸 코드가 있던 부분은 의미 없는 값으로 채워 넣는다. stolen bytes 기법을 쓰는 이유 이렇게 하는 이유는 unpacking을 완료한 리버서가 메모리를 dump 뜨는 것을 방지하기 위함이다. dump를 뜬다고 하더라도 startup code의 앞부분이 사라진 상태이므로 비정상적으로 동작하기 때문에 잘라낸 strlen bytes들은 언패킹 과정 중 보이는 의미없는 이상한 코드들 사이사이에 몰래 숨겨져 있다. 실습 환경 Virtual Box에 Windows 7 32bit를 올려 그 위에서 실습을 진행했다. 패킹된 파일(stolen_bytes_pespin.exe)은 PESpin v1.32 프로텍터의 "R.. 공감수 0 댓글수 0 2023. 9. 9.
  • [Reversing 실습] 지뢰찾기.exe DLL Ejection DLL Injection : https://sean.tistory.com/299 지뢰 찾기.exe 다운로드 : https://down10.software/download-minesweeper/download/ Process Explorer : https://download.sysinternals.com/files/ProcessExplorer.zip ejectDll 파일 빌드 환경 : Windows 10 -> Visual Studio 2022 -> Debug x86 ejectDll_x86 실습 환경 : VirtualBox -> Windows 7 Pro 32bit ejectDll_x64 실습 환경 : Windows 10 64bit 위의 ejectDll 파일의 소스 코드는 모두 "리버싱 핵심 원리" 라는 서적.. 공감수 0 댓글수 0 2022. 11. 9.
  • [Reversing 실습] 지뢰찾기.exe DLL Injection 지뢰 찾기.exe 다운로드 : https://down10.software/download-minesweeper/download/ Process Hacker2 : https://sourceforge.net/projects/processhacker/ Process Explorer : https://download.sysinternals.com/files/ProcessExplorer.zip DLL 파일 빌드 환경 : Visual Studio 2019 실습 환경 : Windows 11 x64 hack.dll 만들기(WinAPI) hack.dll은 대상 프로세스에 dll 파일이 인젝션되면 DllMain()이 호출되고 DllMain이 어떤 이유로 호출이 되었는지를 나타내는 fdwReason 변수의 값이 DLL_PR.. 공감수 0 댓글수 0 2022. 8. 24.
  • Windows 7 64bit에서 32bit notepad.exe PE 재배치(Base Relocation Table) 환경 : Windows 7 64bit에서 C:\Windows\SysWOW64\notepad.exe 파일 x32dbg와 HxD로 확인 참고 사항 Base Relocation Table base relocation table의 주소는 PE 헤더에서 DataDirectory 배열의 여섯 번째 항목에 들어있다. (배열 index는 5이다.) IMAGE_NTHEADER.IMAGE_OPTIONAL_HEADER.IMAGE_DATA_DIRECTORY[5] IMAGE_BASE_RELOCATION Base Relocation Table은 IMAGE_BASE_RELOCATION 구조체 배열이다. IMAGE_BASE_RELOCATION 구조체의 첫 번째 멤버 VirtualAddress는 기준 주소(Base Address)이며.. 공감수 0 댓글수 0 2022. 6. 19.
  • Windows 7 64bit에서 HxD로 32bit notepad.exe PE 파일 EP 영역 확인 64bit Windows에서 32bit 시스템 파일들은 C:\Windows\SysWOW64 폴더에 있다. Windows 7 64bit에서 32bit notpad.exe의 AddressOfEntryPoint를 보면 31C9이다. .text 섹션의 VirtualAddress는 1000이고, 사이즈는 A6FC이다. PointerToRawData는 400이다 즉, HxD에서 EP 영역으로 가자면 31C9(RVA) - 1000(.text VirtualAddress) + 400(PointerToRawData) = 25C9이다. 파일(ImageBase : 1000000) 프로세스 메모리(로딩 주소 : B40000) 1001100 B41100 1001104 B41104 100C0A4 B4C0A4 위 HxD에서의 EP .. 공감수 0 댓글수 0 2022. 6. 19.
  • UPX packer로 notepad.exe 실행 압축한 파일 분석 Windows xp sp3 환경에서의 notepad.exe를 upx-3.96-dos로 패킹하여 분석하였다. Windows 11 64bit 한경에서의 notepad.exe를 upx로 패킹하여 디버깅 하려 했으나 CFG 이슈로 인해 할 수 없었다. 위의 사진은 Windws xp SP3 환경에서의 notepad.exe와 UPX로 패킹한 notepad_upx.exe 파일이다. 기본 notepad.exe 파일의 크기는 66KB이지만, UPX로 패킹한 notepad_upx.exe 파일의 크기는 47KB로 줄어들었다. 하지만 notepad.exe를 일반적인 Zip 파일로 압축하면 35KB로 크기가 줄어든다. 즉, 일반적인 ZIP 압축보다 압축률이 떨어지는데 이는 패커로 압축한 결과물은 PE 파일이기 때문에 PE 헤더.. 공감수 0 댓글수 0 2022. 6. 13.
  • windows11 64bit 환경에서 PE 파일(Kernel32.dll) EAT 분석 냠냠쓰 DOS Hader 중요 멤버 : e_magic, e_lfanew 크기 : 32bit - 40byte, 64bit - 64byte #include typedef struct _IMAGE_DOS_HEADER // DOS .EXE header { WORD e_magic; // Magic number / DOS signature : 4D5A("MZ") WORD e_cblp; // Byte on last page of file WORD e_cp; // Pages in file WORD e_crlc; // Relocations WORD e_cparhdr; // Size of header in paragraphs WORD e_minalloc; // Minimum extra paragraphs needed WORD e.. 공감수 0 댓글수 1 2022. 6. 8.
  • Windows 11 64bit 환경에서 PE 파일(notepad.exe) 분석 냠냠쓰 PE Header : Dos Header ~ Section Header PE body : Section들의 내용 참고) 파일에서는 offset으로, 메모리에서는 Virutal Address(절대주소)로 위치를 표현한다. DOS Header 중요 멤버 : e_magic, e_lfanew 크기 : 0x40(64)byte #include typedef struct _IMAGE_DOS_HEADER // DOS .EXE header { WORD e_magic; // Magic number / DOS signature : 4D5A("MZ") WORD e_cblp; // Byte on last page of file WORD e_cp; // Pages in file WORD e_crlc; // Relocations .. 공감수 2 댓글수 3 2022. 6. 7.
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.