2002028
8, Hackereha CrackMe 분석
1921232
2008-10-29T08:04:23Z
http://secmem.springnote.com/pages/2002028
2008-10-28T06:59:15Z
<h1 style="TEXT-ALIGN: center;">Hackereha CrackMe 분석</h1>
<p style="TEXT-ALIGN: right;">삼성소프트웨어멤버십 18th 김영록</p>
<h3>I. 서론</h3>
<p><span style="COLOR: #223d67; FONT-FAMILY: 돋움;"><strong>리버싱 역공학의 분석과 원리 " 책에 있는 사이트의 연습문제 중에 여덟 번째 문제입니다.</strong></span></p>
<p style="TEXT-ALIGN: right;"><a href="/pages/2002028/attachments/899616" title="EEDA9166146354B6CF079CA67EF76372.exe" class="attachment">EEDA9166146354B6CF079CA67EF76372.exe</a></p>
<p style="TEXT-ALIGN: right;"> </p>
<h3>II. 본론</h3>
<p> </p>
<p> 우선 실행을 시켜 보면 다음과 같은 화면이 뜹니다.</p>
<p> </p>
<p style="TEXT-ALIGN: center;"> <img title="화면_캡쳐5.jpg" class="attachment" src="/pages/2002028/attachments/899624" alt="화면_캡쳐5.jpg" /></p>
<p> </p>
<p>여기서 임의값을 입력하면 다음과 같이 잘못된 메시지가 뜹니다.</p>
<p> </p>
<p style="TEXT-ALIGN: center;"> <img title="화면_캡쳐6.jpg" class="attachment" src="/pages/2002028/attachments/899632" alt="화면_캡쳐6.jpg" /></p>
<p> </p>
<p> </p>
<p>OllyDbg로 열고 위와 같은 메시지박스를 보여주는 주소를 찾습니다. 찾으면 아래와 같은 화면이 보입니다.</p>
<p> </p>
<p style="TEXT-ALIGN: center;"> <img title="화면_캡쳐1.jpg" class="attachment" src="/pages/2002028/attachments/903208" alt="화면_캡쳐1.jpg" /></p>
<p> </p>
<p>그림을 보시면 아까전에 보았던 잘못된 메시지 박스와 올바른 메시지 박스가 보입니다.</p>
<blockquote>
<p>그위에 "1234"라는 문자열도 보이는데 이문자열은 제가 임의로 입력한 시리얼 입니다.</p>
</blockquote>
<p>우선 브레이크 포인트를 GetDlgItemTextA다음으로 정했습니다. 그리고 나서 디버깅을 해봅니다.</p>
<p> </p>
<div>
<p>00401185 |. 84C0 TEST AL,AL<br />
00401187 |. 74 7E JE SHORT EEDA9166.00401207</p>
</div>
<div>
<p> GetDlgItem함수 호출이후에는 AL에 입력한 문자열의 수가 아래와 같이 저장이 됩니다.</p>
<p style="TEXT-ALIGN: center;"> <img title="화면_캡쳐2.jpg" class="attachment" src="/pages/2002028/attachments/903222" alt="화면_캡쳐2.jpg" /></p>
<p>만약 AL에 0이 들어가면 결과로 ZF = 1 이 되고 JE는 ZF = 1일때 점프하므로 아래 보이는 주소로 점프하게 된다.</p>
<p>이부분은 빈문자열이 들어왔는지 체크하는 부분인 것을 알 수 있다.</p>
</div>
<div>
<blockquote>
<p>참고로 TEST에 대해서 말하자면</p>
<p>두 피연자 사이에 논리적인 AND연산을 수행하여 플래그 레지스터에 영향을 주지만 결과값은 저장하지 않는다. OF, CF는 항상 0으로 세트되고 TEST 연산 결과값이 0이면 ZF 1로 세트, 0이 아니면 0으로 세트된다.</p>
</blockquote>
<p> </p>
<p> 00401207 |> \6A 30 PUSH 30 ; /Style = MB_OK|MB_ICONEXCLAMATION|MB_APPLMODAL</p>
<p>00401209 |. 68 68304000 PUSH EEDA9166.00403068 ; |Title = "Crack me by hackereh@!"<br />
0040120E |. 68 00304000 PUSH EEDA9166.00403000 ; |Text = "Please enter 1 or more chars!"<br />
00401213 |. FF75 08 PUSH DWORD PTR SS:[EBP+8] ; |hOwner<br />
00401216 |. E8 33000000 CALL <JMP.&user32.MessageBoxA> ; \MessageBoxA</p>
</div>
<p> </p>
<p> </p>
<div>00401189 |. 8BC8 MOV ECX,EAX ; 문자열 수를 ECX에 저장<br /></div>
<div>0040118B |. 33DB XOR EBX,EBX ; 0으로 초기화<br />
0040118D |. 33C0 XOR EAX,EAX<br />
0040118F |. BF 38314000 MOV EDI,EEDA9166.00403138 ; ASCII "1234"</div>
<p> </p>
<p> 다음의 주소에는 사용자가 입력한 문자열의 한바이트를 EAX에 저장하고 있다.</p>
<div>00401194 |. 0FBE07 MOVSX EAX,BYTE PTR DS:[EDI]</div>
<p> 원래 MOV 명령어에서 바이트에서 32비트인 EAX로의 저장이 안되지만 확장명령어인 MOVSX로 저장한다.</p>
<p> </p>
<blockquote>
<p>MOVSX에대해서 알아보자. 예를 들어 위에서 입력한 문자열 중 첫바이트 "1"을 EAX로 넣는 것을 예로 들겠습니다.</p>
<p>'1' = 31h로 00110001로 표현될 수 있다.</p>
<p>그리고 EAX는 0000|0000|0000|0000 0000|0000|0000|0000를 가질 수 있다</p>
<p>그러면 위의 바이트는 EAX에 그대로 복사가 된다.</p>
<p> 0000|0000|0000|0000 0000|0000|<span style="COLOR: #fe0000;">0011</span>|<span style="COLOR: #fe0000;">0001</span></p>
<p>그리고 나머지는 <span style="COLOR: #fe0000;">0</span>0110001의 최상위 비트에 따라서 결정이 된다.</p>
<ol>
<li>만약에 1이면 1111|1111|1111|1111 1111|1111|<span style="COLOR: #fe0000;">1011</span>|<span style="COLOR: #fe0000;">0001</span></li>
<li> 0이면 0000|0000|0000|0000 0000|0000|<span style="COLOR: #fe0000;">0011</span>|<span style="COLOR: #fe0000;">0001</span></li>
</ol>
<p> 그러므로 MOVSX결과로 EAX에는 0000|0000|0000|0000 0000|0000|<span style="COLOR: #fe0000;">0011</span>|<span style="COLOR: #fe0000;">0001</span> <span style="COLOR: #000000;">이라는 값을 가지게 된다.</span></p>
</blockquote>
<p> </p>
<p>그리고 아래 부분을 보면 AL의 값을 0AD와 AND연산을 하고 있다. 그리고 그 연산결과를 0이 아니면 잘못된 메시지로 가고 있다.</p>
<div>00401197 |. 24 AD AND AL,0AD<br />
00401199 |. 75 40 JNZ SHORT EEDA9166.004011DB</div>
<p>우선 AL = 31h AND 0AD와 연산을 하면 21h 가 AL에 저장되게 된다.</p>
<p>결과값이 0이 아니므로 잘못된 메시지로 가게 된다.</p>
<p> </p>
<p>그러므로 AL과 0AD가 0이 나오기 위해서는</p>
<p>0AD = 1010 1101이므로 0101 0010 = 52h = 82(10진수) = <span style="COLOR: #fe0000;">'R'</span>이 되야 한다.</p>
<p> </p>
<p>다음에는 EDI +1 로 두번째 문자를 가져오고 다시 AND 연산을 하고있다.</p>
<div>
<p>0040119B |. 0FBE47 01 MOVSX EAX,BYTE PTR DS:[EDI+1]</p>
<p>0040119F |. 24 9A AND AL,9A</p>
<p>004011A1 |. 75 38 JNZ SHORT EEDA9166.004011DB</p>
</div>
<p> 두번째 문자는 '2' = 32h 이고 9A와 AND 연산결과는 12h가 된다.</p>
<p> </p>
<p>그러므로 AL과 9A가 0이 나오기 위해서는</p>
<p>9A = 1001 1010이므로 0110 0101 = 65h = 101(10진수) = <span style="COLOR: #fe0000;">'e'</span>가 되야 한다.</p>
<p> </p>
<p> </p>
<p>다음에는 EDI +2 로 세번째 문자를 가져오고 다시 AND 연산을 하고있다.</p>
<div> 004011A3 |. 0FBE47 02 MOVSX EAX,BYTE PTR DS:[EDI+2]<br />
004011A7 |. 24 97 AND AL,97<br />
004011A9 |. 75 30 JNZ SHORT EEDA9166.004011DB<br /></div>
<p> 세번째 문자는 '3' = 33h 이고 97와 AND 연산결과는 13h가 된다.</p>
<p> </p>
<p>그러므로 AL과 97가 0이 나오기 위해서는</p>
<p>9A = 1001 0111이므로 0110 1000 = 68h = 104(10진수) = <span style="COLOR: #fe0000;">'h'</span>가 되야 한다.</p>
<p> </p>
<p>다음에는 EDI +3 로 네번째 문자를 가져오고 다시 AND 연산을 하고있다.</p>
<div>
<p>004011AB |. 0FBE47 03 MOVSX EAX,BYTE PTR DS:[EDI+3]<br />
004011AF |. 24 BF AND AL,0BF<br />
004011B1 |. 75 28 JNZ SHORT EEDA9166.004011DB</p>
</div>
<p> 네번째 문자는 '4' = 34h 이고 BF와 AND 연산결과는 34h가 된다.</p>
<p> </p>
<p>그러므로 AL과 0B가 0이 나오기 위해서는</p>
<p>BF = 1011 1111이므로 0100 0000 = 40h = 64(10진수) = <span style="COLOR: #fe0000;"><a href="/pages/mailto:'@'">'@'</a></span>가 되야 한다.</p>
<p> </p>
<p> </p>
<p> </p>
<p>다음에는 EDI +4 로 다섯번째 문자를 가져오고 다시 AND 연산을 하고있다.</p>
<blockquote>
<p>이전에 임으로 '1234'를 입력하였지만 수정하여 '123456'으로 입력하여 디버깅을 실행하였다.</p>
</blockquote>
<div>004011B3 |. 0FBE47 04 MOVSX EAX,BYTE PTR DS:[EDI+5]<br />
004011B7 |. 25 C55F0000 AND EAX,5FC5<br />
004011BC |. 75 1D JNZ SHORT EEDA9166.004011DB<br /></div>
<p>여기서는 이전의 과정과는 달리 EAX와 AND연산을 하고 있다.</p>
<p>우선 EAX에는 '5' = 35h 이 되고 5FC5와 AND 연산결과는 5h가 된다.</p>
<p> </p>
<p>그러므로 EAX과 5F5C가 0이 나오기 위해서는</p>
<p>5FC5 = 0101 1111 1100 0101 이므로</p>
<p>EAX는 0000 0000 0000 0000 1010 0000 <span style="COLOR: #fe0000;">0011 1010</span> 이 되야 한다.</p>
<p>그러므로 젤 하위 바이트인 0011 1010 이 우리가 입력한 값이 되야 하므로 3Ah = 58(10진수) = '<span style="COLOR: #fe0000;">:</span>'이 되야한다.</p>
<p> </p>
<p> 다음에는 EDI +5 로 여섯번째 문자를 가져오고 다시 AND 연산을 하고있다</p>
<div>
<p>004011BE |. 0FBE47 05 MOVSX EAX,BYTE PTR DS:[EDI+5]<br />
004011C2 |. 25 D6000000 AND EAX,0D6</p>
<p>004011C7 |. /75 12 JNZ SHORT EEDA9166.004011DB</p>
</div>
<p>우선 EAX에는 '6' = 36h 이 되고 D6와 AND 연산결과는 16h가 된다.</p>
<p> </p>
<p>그러므로 EAX과 D6h이 0이 나오기 위해서는</p>
<p>D6 = 1101 0110 이므로</p>
<p>EAX는 0000 0000 0000 0000 0000 0000 <span style="COLOR: #fe0000;">0010 1001</span> 이 되야 한다.</p>
<p>그러므로 젤 하위 바이트인 0010 1001 이 우리가 입력한 값이 되야 하므로 29h = 41(10진수) = '<span style="COLOR: #fe0000;">)</span>'이 되야한다.</p>
<p> </p>
<p>다음에는 처음에 문자수를 ECX에 저장하였던 것을 6과 비교해 같지 않으면 잘못된 메시지로 간다.</p>
<blockquote>
<p>그러므로 사용자가 입력해야 하는 문자수는 6개여야 한다.</p>
</blockquote>
<div>004011C9 |. 83F9 06 CMP ECX,6<br />
004011CC |. 75 0D JNZ SHORT EEDA9166.004011DB</div>
<p><br /></p>
<p> </p>
<blockquote>
<p> 여기까지 구한 시리얼 키는 <a href="/pages/mailto:'Reh@:)'">'Reh@:)'</a> 가 되게 된다.</p>
</blockquote>
<p> </p>
<p>이제 이시리얼을 입력하면 성공했다는 메시지가 출려된다.</p>
<p style="TEXT-ALIGN: center;"><img title="화면_캡쳐4.jpg" class="attachment" src="/pages/2002028/attachments/903448" alt="화면_캡쳐4.jpg" /> </p>
<p> </p>
<p>Good Job~!</p>
<p> </p>
http://yjh4477.myid.net/
http://km6100.myid.net/
149
보고서