[root-me.org] "reversing - PE x86 -0 protection" Write Up

rootMe.exe 실행

우선 파일부터 열었다. 뭐가 많다. 개쫄린다

 

우선 main 함수를 찾아야 하기 때문에 프로그램에서 사용되는 모든 텍스트를 검색했다

 

전체 텍스트 검색 결과

누가봐도 사람이 쓴 것 같은 영어문장이 반겨준다. 한글이 아니라 당황했지만 외국문제니 그러려니 했다.

의심스러운 문장들이 모여있는 위치로 이동하기 위해 6번째 항목을 더블클릭 했다.

 

명령어 위치 이동 결과

코드 위를 보니 push ebp; move ebp esp;가 있는 것을 보니 스택프레임이 적용된 것 같다.

다시 말해 어떤 함수의 실행이 시작되는 부분이니, 잘 찾아 들어온 듯 하다.

 

여기부터 한참 해맸다.

우선 F8을 누르면서 쭉 실행을 했는데, 갑자기 중간에 뚝하고 꺼져버렸다.

당황하여 함수 시작부분에 Breakpoint 걸고 계속 실행을 했고, 나중에는 창이 아래와 같이 바뀌었다:

 

call 되는 부분에 실행되는 함수명이 표시된다

몇번 돌려보니 call 하고 주소값만 표시되던 함수정보가 실행되는 함수명으로 변경되었다.

변경된 함수정보를 확인하니 종료되는 이유를 확인할 수 있었다.

printf로 텍스트가 출력된 뒤 exit으로 인해 아래 코드들이 실행되지 않고 프로그램이 종료된다.

 

 

근데 뭔가 이상하다. exit 이후에 함수가 시작되는듯한 코드가 있다.

우선 그부분에도 Breakpoint를 걸고 엔트리포인트부터 다시 찾아보기로 했다.

 

엔트리포인트는 자동으로 Breakpoint가 잡혔다. 여기부터 천천히 F9를 눌러가며 실행했다.

하지만 결과적으로 실행중에 얻을 수 있는 것은 없었다.

 

따라서 어셈블리 코드를 함수 시작부분부터 일부 해석해보기로 하였다.

 

위쪽에 있는 함수의 내용은 별 내용이 없었다. 단순히 printf 후 프로그램이 종료된다.

밑에 있는 함수의 내용은 문자열의 문자를 비교하고, 다르면 "wrong password", 같으면 "Gratz man :)"이라고 printf한다.

 

root-me.org

원본 문제가 존재하는 root-me.org에서 답으로 비밀번호를 요구하는 것으로 보아, Grantz man이라는 문자열이 출력될 때의 문자들이 비밀번호임을 추측할 수 있다. 따라서 이에 따라 해당 함수의 비교되는 문자들을 확인하면 다음과 같은 문자열이 나온다.

 

SPaCIoS

 

Flag를 찾았다