EASY7

https://dakuo.tistory.com/31

Packing https://ntcore.com/?page_id=353 .NET Generic Unpacker – NTCore Download the .NET Generic Unpacker Current Version: 1.0.0.1 This is a program to dump .NET packed applications. Of course no serious .NET protection relies on packing. In fact, this software shows how easily you can unpack a protected assemly. This .NET Ge ntcore.com

aspprotect 낮은 버전(http://blog.naver.com/PostView.nhn?blogId=nova386&logNo=220288792797&categoryNo=67&parentCategoryNo=0&viewDate=¤tPage=1&postListTopCurrentPage=1&from=postView) yoda 낮은 버전 vmprotect 낮은 버전 Themida, Yoda, ASProtect, armadilo, .Net Reactor

실습환경 VMware Workstation OS : Window XP OllyDbg(shadow) IDA 32 Sysinternals사의 process monitor : 사용하는 API, 레지스트리, 파일 시스템, 네트워크, 프로세스, 스레드 등의 행위 모니터링 process explore : 프로세스 스레드, 권한, 네트워크, 메모리 등의 정보 확인, 호출하는 DLL내용 검색 autoruns : https://m.blog.naver.com/PostView.nhn?blogId=kimjs6873&logNo=220589414793&proxyReferer=https%3A%2F%2Fwww.google.com%2F API정보 .. 메모리 VirtualAlloc VirtualFree HeapAlloc HeapFre..

ASPACK 된 후 파일 구조 UPX와 차이점이 있어보인다....... (나중에 더 자세히 조사해보겠다) 언패킹 하는 방법은 UPX 와 동일하다...! 참고 : https://easy7.tistory.com/516 다운로드 링크 : http://www.aspack.com/

Exeinfo PE A.S.L이 만든 소프트웨어로 exe파일 분석 프로그램(PEiD와 비슷한 프로그램) 실행 후 파일을 드래그&드롭하여 프로그램이 어느 언어로 작성되었는지, 패킹, 크립팅, 프로텍팅 여부를 알 수 있다. -파일의 이름을 변경, 단순 삭제 -파일의 사이즈, 사이즈 등 정보 -패킹 유무 -프로그래밍 언어 종류 -파일의 통계정보, 해시값 **다운로드 링크 http://exeinfo.atwebpages.com/ PEiD -PE파일에서 470개의 다른 시그니쳐 탐지 -기본적인 패커, 컴파일러에 대한 정보 1. 기본적인 UI 2. 섹션 뷰어 3. 디스어셈블러 뷰어 4. PE 파일의 상세 정보 5. OEP 파인더

패킹이란...? 패킹은 "실행 압축"이라고 표현할 수 있다. 실행 파일 내부에 있는 코드를 압축하여 평소에는 코드를 압축한 상태로 저장하고 있다가 파일을 실행하면 메모리에서 압축을 해제 시킨 후 파일을 실행시키는 기술이다. -장점 1. 파일의 크기를 줄일 수 있다.(전 후 3~4배의 차이가 있다) 2. 크래커의 리버싱으로부터 보호할 수 있다. UPX 패킹에 대해서.. 1. UPX 툴 다운로드 환경 변수 등록하기 (PATH 맨뒤에 ';' 추가하고 디렉터리 추가)->윈도우 다시 시작 2. 패킹하기 upx -1 원본파일 : 원본파일을 패킹하여 덮어씌운다. UPX0, UPX1, .rsrc 로 구성된다. * Section UPX0 : 메모리에 로드된 후 압축코드가 해제 될 공간 * Section UPX1 : 압축..

C언어로 작성된 두 수를 더해서 리턴해주는 함수를 분석해보자. #include int sum(int a, int b){ return a + b; } int main{ int result; result = sum(9 + 4); printf(result); } 1. HxD 또는 010 editor를 이용해 사전 조사하기 ImageBase 0x00400000 entrypoint 0x00401061 .text, rdata의 virtual address(RVA)? .text 의 RVA 1000 .rdata 의 RVA 5000 메모리에 실제 로드되는 주소는? .text의 실제 메모리에 로드되는 주소 0x00401000 .rdata의 실제 메모리에 로드되는 주소 0x00405000 RegisterExample.exe..