Windows XP에서는 디버깅할 때 PE 파일 베이스 주소가 일정해 IDA 의 디스어셈블 내용과 비교하면서 볼 수 있습니다.

하지만, Windows 7 이상에서는 보안 기능 때문에 로드되는 PE 파일의 BASE가 매번 변경합니다.

 

그래서 32비트 파일 분석할 때는 Windows XP에서 디버깅했지만 요즘은 Windows XP에서 로드 안되는 32비트 파일도 나오고 64비트 악성코드도 점차 늘어나고 있습니다.

 

디버거와 IDA Pro 의 베이스주소가 달라 양쪽을 다보는 경우 주소 때문에 불편합니다.

(계산해도 됩니다만.... 그건 좀)

 

해결 방법은 다음과 같습니다.

 

방법 1) IDA Pro Image base 변경

 

IDA Pro에서 'Edit' -> 'Segments' -> 'Rebase Program'으로 IDA의 Image base 주소를 디버거의 Image base와 일치시키면 됩니다.

 

 

시스템 설정을 변경 안해도되지만 문제는 디버거에서 로딩할 때마다 매번 Image base가 변경되는데 매번 맞춰줘야합니다. 그리고 Function 이름 변경할 때 주소를 포함하면 더 혼란스러워집니다

(예: XXX_140020010 로 변경했는데 Image base가 달라지면 다시 변경해야 혼란이 적음)

 

 

방법 2 ) PE 파일 패치

 

PE 파일 헤더에서 패치 할 수도 있는데 이건 찾아서 다음에....

 

 

 

방법 3) Windows 설정 변경

 

 

REGEDIT로 다음 키를 생성합니다.

 

    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management]

MoveImages = 0 (REG_DWORD)를 생성하면 된다고 합니다.

시스템을 재부팅 후 테스트 해봅니다.

 

IDA Pro와 WinMain 함수 주소가 동일합니다.

 

64비트 파일 디버깅 할 때마다 검색해야해서 정리 차원에서 작성했습니다.

Posted by xcoolcat7

댓글을 달아 주세요

고전 게임은 네트워크 단절된 윈도우 XP에서 하는데 파일을 다운로드 받았는데 압축 해제가 안됩니다.

처음에는 분할 압축을 인식 못하는걸까 리눅스에서도 풀어봤지만 안 풀립니다.

 

다른 컴퓨터의 최신 버전에서 압축을 해제하려고하니 암호를 물어봅니다. 암호가 걸려있어 안풀렸고 아마 구버전에서는 잘못된 파일이라고 인식했나봅니다.

 

 

암호가 뭔가해서 파일을 다운로드 한 고전게임 블로그를 검색했지만 찾을 수 없었습니다.

(없거나 못 찾았거나...)

 

고전게임 실행기가 떠올랐습니다.

'URL 만 지정해주면 파일을 다운로드하고 실행까지해주니 프로그램 안에 암호 키가 내장되어 있겠구나...'

 

파일을 확인해보니 닷넷으로 작성되어 있습니다.

 

 

닷넷으로 작성된 파일은 dnspy로 코드를 보면 됩니다

전반적인 코드 흐름을 살펴보고 당연히 다운로드 후에 압축을 해제 할테니 다운로드 부분을 자세히 봤습니다.

 

파일 다운로드 부분을 찾았습니다.

 

7z.exe를 실행해 -p 인자로 사용할 암호를 찾았습니다. (혹시나 해서 암호는 지웠습니다.)

 

해당 암호로 압축을 해제하니 잘 풀립니다.

 

코드를 안보고 Hex 에디터로 7z.exe 파일만 찾아봐도 암호를 알 수 있습니다.

 

 

 

 

 

Posted by xcoolcat7

댓글을 달아 주세요

환경에 따라 다르기 때문에 완전하지 않지만 햇빛은 남쪽 베란다 4시간(오전 9시 - 오후 1시), 서쪽 제 방 4시간 (오후 1시 - 오후 5시) 정도 들어오는 환경입니다.

 

키우기 쉬운 식물

 

종류 설명 비고
개꽃 (샐비어, 사루비아) 자연에서 만큼의 크기는 아니지만 잘 자라고 꽃도 핌 꿀을 따 먹을 수 있어 아이가 좋아함
고수 (Cilantro, Coriander[)   11월에 심어도 잘 자람
여러번 성공
고추 자라는데는 큰 문제 없지만 고추를 딸려면 햇빛이 충분해야함  
들깨 발아되어도 중간에 죽어버리는 경우 종종있음  
비올라    
상추 한번 크면 엄청 자람  
수레국화 꽃 색깔이 예쁨. 제일 쉽게 키울 수 있음  
아마릴리스 4월 중순 꽃 핌. 잎이 사람 키 만큼 자라며 겨울철에 어느 정도 잘라주면 봄에 새로 잎이 남 10년 이상 키울 수 있는 듯 (지금 9 10년 째)
유채꽃 잘 크면 1 m 정도 자람  
케일   유채 잎과 비슷해 헷갈렸지만 꽃은 유채꽃 보다 색이 연함

 

 

 

보통

 

종류 설명 비고
다알리아 잘 자라지만 꽃은 실패  
루드베키아 확 크면 꽃까지 피지만 잘 안커짐  
봉선화    
완두콩 갑자기 잘 죽어버림  
코스모스 잘자라다 죽어버림  

 

어려움 (발아도 힘든 식물)

 

너희들은 어떻게 생긴 걸까 ?!

 

종류 설명 비고
구절초    
데이지 화단에 핀 꽃이 예뻐 심어봤는데...  
민들레 길거리에는 그렇게 많이 피어있는데  
물망초 씨앗이 매우 작은데 발아도 안됨  
원추리    

 

Posted by xcoolcat7

댓글을 달아 주세요