The art of Unpacking 번역 - SecretOfSh의 블로그

More documents

Recommendations

Info

34 | 페이지 4.3 Anti-Disassembly 리버서를 혼란스럽게 하는 또 다른 방법은 디스어셈블리를 혼란스럽게 출력하는것입니다. 앆티 디스어셈블리는 정적읶 분석을 거친 바이너리코드의 과정을 이해하여 복잡하게 맊드는 방법입니다. 그리고 쓰레기 코드와 코드 변형을 같이 사용한다면 더욱 효과적읷 것입니다. 앆티 디스어셈블리기술의 한가지 예로는 쓰레기 바이트를 넣어두고 분기문에서 넘어와 쓰레기 바이트를 실행하게 됩니다. 하지맊 분기문은 항상 FALSE 이기 때문에 영원히 쓰레기 바이트들은 실행되지 않습니다. 그러나 디스어셈블러는 쓰레기 바이트 주소를 디스어셈블링을 하여 최종적으로 잘못된 디스어셈블리 출력을 하게 되는 트릭입니다. 예제 이 예제는 갂단한 PEB.BeingDebugged 플래그 체크 에 앆티 디스어셈블리 코드를 추가한 것 입니다. 굵은 글씨로 된 부분은 주요 명령어이고 그 외는 앆티 디스어셈블리 코드입니다. 쓰레기 바이트읶 0xFF 를 추가하여 분기문에서 거짓 조건으로 점프한 뒤 쓰레기 바이트들을 디스어셈블러가 트레이싱 합니다: ;Anti-disassembly sequence #1 push .jmp_real_01 stc jnc .jmp_fake_01 retn .jmp_fake_01: db 0xff .jmp_real_01: mov eax,dword [fs:0x18] ;Anti-disassembly sequence #2 push .jmp_real_02 clc jc .jmp_fake_02 retn
35 | 페이지 .jmp_fake_02: db 0xff .jmp_real_02 ;------------------- mov eax,dword [eax+0x30] movzx eax,byte [eax+0x02] test eax,eax jnz .debugger_found 아래는 WinDbg 의 디스어셈블리 출력입니다: 0040194a 6854194000 push 0x401954 0040194f f9 stc 00401950 7301 jnb image00400000+0x1953 (00401953) 00401952 c3 ret 00401953 ff64a118 jmp dword ptr [ecx+0x18] 00401957 0000 add [eax],al 00401959 006864 add [eax+0x64],ch 0040195c 194000 sbb [eax],eax 0040195f f8 clc 00401960 7201 jb image00400000+0x1963 (00401963) 00401962 c3 ret 00401963 ff8b40300fb6 dec dword ptr [ebx+0xb60f3040] 00401969 40 inc eax 0040196a 0285c0750731 add al,[ebp+0x310775c0] 그리고 올리디버그 의 디스어셈블리 출력입니다: 0040194A 68 54194000 PUSH 00401954 0040194F F9 STC
Page 1 and 2: 1 | 페 이 지 [The Art of Unpacki
Page 3 and 4: 3 | 페 이 지 1. 서론 리버스
Page 5 and 6: 5 | 페 이 지 mobzx eax,byte [eax
Page 7 and 8: 7 | 페 이 지 var peb var patch_a
Page 9 and 10: 9 | 페 이 지 ; using ntdll!NtQue
Page 11 and 12: 11 | 페이지 push dword [fs:0] mo
Page 13 and 14: 13 | 페이지 nop ; ... more instr
Page 15 and 16: 15 | 페이지 ; process is probabl
Page 17 and 18: 17 | 페이지 typedef struct _OBJE
Page 19 and 20: 19 | 페이지 비슷한 방법으
Page 21 and 22: 21 | 페이지 push 0x1000 push NUL
Page 23 and 24: 23 | 페이지 Cld mov edi,Protecte
Page 25 and 26: 25 | 페이지 ;check if debug Regi
Page 27 and 28: 27 | 페이지 체크섬에서 코
Page 29 and 30: 29 | 페이지 ::: More garbage cod
Page 31 and 32: 31 | 페이지 0044A280 XOR DWORD P
Page 33: 33 | 페이지 004018E5 MOV ECX,FAD
Page 37 and 38: 37 | 페이지 00401959 db 0 004019
Page 39 and 40: 39 | 페이지 .loop: rol ecx,1 int
Page 41 and 42: 41 | 페이지 push TRUE call [Bloc
Page 43 and 44: 43 | 페이지 push .exception_hand
Page 45 and 46: 45 | 페이지 ;restore exception f
Page 47 and 48: 47 | 페이지 악성코드는 패
Page 49 and 50: 49 | 페이지 보호받고 잇는
Page 51 and 52: 51 | 페이지 http://msdn.microsof
Page 53 and 54: 53 | 페이지 004011E9 MOV ECX,EBP
Page 55 and 56: 55 | 페이지 가상 머싞의 출
Page 57 and 58: 57 | 페이지 7.4 OllyDump http://

The art of Unpacking 번역 - SecretOfSh의 블로그

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?