[Whois-Internal] "EasyReverseMe" Write-Up

 

프로그램 실행 화면: EasyReverseMe.exe

프로그램을 바로 실행한 화면이다. 특정 숫자를 물어보고, 이에 따른 입력을 받는다

EasyReverseMe.exe - 입력 후 화면

사용자의 입력을 받으면 아쉽네요.. 라는 텍스트를 출력한다.

 

이를 통해 나는 다음 2가지를 유추했다:

 

1) 첫번째 텍스트가 찍히는 곳이 main 함수일 것이다

2) 입력값과 특정 숫자 or 난수를 비교하는 부분이 분명 존재할 것이다

EasyReverseMe.exe 파일을 x64dbg로 연 화면이다.

위에서 생각한 바와 같이 확인하기 위해, 우선 전체 텍스트를 조회했다.

 

프로그램 내 전체 문자열

프로그램 내의 전체 문자열들을 확인한 결과이다. 아까 확인한 질의문과 밑에 개발자가 입력한 것으로 보이는 다양한 문자열이 존재한다.

우선 main 함수부터 확인하고자 질의문으로 들어가 보았다.

RAX값 임의수정

질의문을 따라 들어간 결과 예상대로 cmp를 통해 값을 비교하는 곳이 있었다. 입력한 값은  EAX 레지스터에 들어가는 것을 확인했고, 이를 활용하여 비교 직전에 Breakpoint를 걸고 비교하는 값과 같은 값인 49를 EAX레지스터에 임의로 수정하여 맞는 값으로 비교되도록 만들었다.

 

 

'숫자 맞추기' 조건문 통과 뒤 화면

조건문을 참인 경우로 통과하면 무슨 생각을 하는지에 대한 정보를 묻는다. 아래 "I'm so hungry"라는 문자열과 strcmp 함수가 확인되므로 입력된 문자열이 위의 문자열과 비교될 것임을 추측할 수 있다. 이를 근거로 입력 이후에 Breakpoint를 걸고 똑같이 입력하니 쉽게 비교가 통과되는 것을 확인하였다.

 

'문자열 맞추기' 조건문 통과 뒤 화면

조건문을 통과한 뒤에는 rand 함수를 통해 난수를 하나 불러온다. 난수값은 RAX에 저장되고, 해당 값을 'rbp-8' 위치로 복사한 다음 숫자를 맞추라는 글을 표시한다.

따라서 나는 rand 함수 직후에 breakpoint 를 걸고, 변경된 RAX 데이터를 복사했다.

난수연산 결과가 현재 저장된 RAX 레지스터의 값 확인 (& 복사)

복사를 한 후 입력창까지 내려갔을 때, 실제 cmd창에는 아무 숫자나 입력하고,

cmp를 활용하여 실제로 값을 비교하는 지점에는 breakpoint를 설정하여 RAX값을 변경한 뒤에 데이터를 비교, 정상적으로 값을 맞춘 것과 같이 인식할 수 있도록 설정하였다.

RAX 레지스터 값 변경

예측한 바와 같이 정상적으로 조작되었고, 이제 FLAG를 얻기 위해 print 지점에 breakpoint를 걸고 쭉 실행했다.

 

FLAG 출력

이를 통해 FLAG를 찾아낼 수 있었다.

 

FLAG:

0xEE5EBF12