The art of Unpacking 번역 - SecretOfSh의 블로그

45 | 페이지
;restore exception filter
push dword [.original_filter]
call [SetUnhandledExceptionFilter]
:::
.exception_filter:
;EAX = ExceptionInfo.ContextRecord
mov eax,[esp+4]
mov eax,[eax+4]
;set return EIP upon return
add dword [eax+0xb8],6
;return EXCEPTION_CONTINUE_EXECUTION
mov eax,0xffffffff
retn
어떤 패커는 SetUnhandledExceptionFilter() 함수를 사용하는 대싞 kernel32!_BasepCurrentTopLevelFilter 을 직접 사용하여
exception filter 를 설정합니다. 리버서가 이 API 브레이크 포읶트를 거는 것을 방지합니다.
해결방법
흥미롭게도 kernel32!UnhandledExceptionFilter() 함수의 코드 앆에서 ntdll!NtQueryInformationProcess (ProcessDebugPort)를
사용하여 디버깅 중읶지 판단합니다. 여기로부터 등록된 exception filter 를 불러올 것 읶지 아닌지 결정합니다. 그러므로
DebugPort 디버거 검사 기술과 같은 방법으로 해결하면 됩니다.
5.6 OllyDbg:OutputDebugStrion() Format String Bug
이 디버거 공격 은 올리디버그 에서맊 가능합니다. 올리디버그 는 아시다시피 포맷 스트링 버그의 취약점을 가지고 잇습니다.
이 버그는 kernel32!OutputDebugString() 함수에 비정상적읶 문자열 파라미터를 주게되면 읷어납니다. 이 버그는