[CrackMe] Crack Me 01 풀이

EXEINFO 이용해서 Crack Me 01 열어보기

 

 

리버싱을 처음 시작하는 저는 EXEINFO 프로그램을 잘 모르기 때문에 위 사진을 보고 무엇을 알아내야 하는지 잘 모르겠어요. 그래도 Crack Me 풀이 들을 찾아보면 프로그램이 어떻게 구성되어있는지 알아보고 시작하셔서 일단은 저도 따라 해보려고 해요.

 

우선, EXEINFO 프로그램은 PEID와 비슷한 분석 프로그램이며 실행 후 Drag&Drop으로 간편하게 해당 프로그램이 어느 언어로 컴파일 되었는지, 패킹, 크립팅, 프로텍팅 여부와 어느 프로그램에 의해 패킹 되었는지 등 다양한 정보를 알 수 있다고 해요.

 

앞으로 Crack Me 문제들을 해결해나가며, EXEINFO 프로그램도 천천히 알게 될 것을 알기 때문에 이렇게 넘어 가볼게요.

 

 

이뮤니티버거로 리버싱 시작하기

 

 

디버거에 Crack Me 01을 올리면, 위 사진처럼 볼 수 있어요. 처음에는 “이게 뭐야 ? 완전 멋있다.” 여기서 생각이 멈췄어요.

이후 제가 한 액션은 F9를 이용하여 프로그램을 실행 해보는 거였어요.

 

 

프로그램을 실행하면 Error / “Nah.. This is not a CD-ROM Drive” 메시지가 나와요. 여기서 저는 “Error창이 아닌 긍정적인 창이 나오게 해야 하구나.” 라고 생각했어요. 솔직히 이렇게 저렇게 해보다가 해당 문제의 대한 진전이 없어서 서치를 통해 문제를 해결했어요.

 

 

첫 번째 해결 방법 - 코드 수정

 

다양한 방법이 있지만, 가장 쉬운 방법은 코드를 수정하는 방법이에요.

 

 

[ 마우스 우클릭 > Search for > All referenced ] 를 통해 문자열을 검색해볼게요.

 

문자열을 보면, 에러창의 문자열이 보이네요. 해당 문자열이 있는 코드로 이동해볼게요.

 

해당 문자열이 있는 부분 아래 코드를 보면, YEAH 부분이 눈에 들어오네요. 여기서 YEAH 창이 나오게 하면 문제를 해결한 것 이라는 것을 알 수 있어요.

 

잠깐 생각해보면, 프로그램을 실행하고 어떤 연산 과정을 통해 Error 또는 YEAH 창이 나오게 한다는 것을 생각해볼 수 있어요. 그럼 비교하는 하는 부분이 있을 것이고 비교하는 부분에 코드를 바꿔주면 문제를 해결할 수 있다는 것을 생각해볼 수 있어요.

 

어셈블리어의 비교하는 명령어는 cmp 인데요, 이 부분을 한 번 볼게요. cmp 비교 이후 JE 명령어를 통해 0040103D 주소로 이동하는 것을 알 수 있어요.

 

여기서 JE 명령어를 짚고 넘어 가볼게요.

---

💡 JE 명령어

Jump if Equal의 약자로 cmp 명령어 뒤에 오며, 두 값을 비교했을 때 값이 같으면 원하는 주소로 점프하는 명령어에요.

---

따라서 JE명령어 대신 원하는 주소로 점프하는 명령어인 JMP를 사용하면, cmp 연산 후 두 값이 같지 않아도 YEAH 창을 띄울 수 있는 거에요.

 

이뮤니티버거를 통해 위 사진처럼 코드를 수정할 수 있어요. 이후 F9로 프로그램을 시작해볼게요.

 

YEAH 창을 띄웠네요. 성공이에요! 그렇지만, 이렇게 풀면 리버싱 실력이 늘지 않으니 코드를 좀 더 해석해서 다른 방향으로 풀어볼게요.

 

 

두 번째 해결 방법 - 레지스터 값 수정

 

cmp 이전 연산 과정을 이해하고 두 값이 같게 레지스터 값을 수정하는 방식이에요.해당 방법은 서치 하는 중 제가 생각해본 방법이에요.

 

 

cmp 명령어가 있다는 건 어떤 과정을 통해 나온 결과를 비교 한다는 뜻으로 받아드릴 수 있어요. 따라서 cmp 명령어 위 코드들을 한번 볼게요.

 

INC / DEC 명령어가 보이네요. 여기서 INC / DEC 명령어를 알아볼게요.

 

---

💡 INC 명령어

 

increment의 뜻으로, 오퍼랜드(피연산자) 값을 +1 해요.

 

💡 DEC 명령어

 

decrement의 뜻으로, 오퍼랜드(피연산자) 값을 -1 해요.

---

명령어를 알았으니, 코드를 볼게요.

INC ESI                       // ESI +1
DEC EAX                       // EAX -1
JMP SHORT Ceackme_.00401021
INC ESI                       // ESI +1
INC ESI                       // ESI +1
DEC EAX                       // EAX -1

CMP EAX, ESI                  // EAX, ESI 비교
JE SHORT Crackme_.0040103D    // EAX, ESI 같다면, 0040103D 주소로 점프

 

위 처럼 코드를 해석할 수 있어요. 따라서 CMP 명령어로 비교하는 부분에서 레지스터 값을 같게 해준다면, 문제를 해결할 수 있어요.

 

 

F2를 이용해서 브레이크 포인트를 걸어볼게요. 브레이크 포인트를 걸고 프로그램을 실행하면 브레이크 포인트가 걸린 부분에서 프로그램이 멈춰요. 이후 사용자의 입력에 따라 코드를 실행 할 수 있어요.

 

 

F9를 이용해서 프로그램을 실행하면 브레이크 포인트가 걸린 부분에서 프로그램이 멈춘 것을 볼 수 있어요. 이때 F8를 이용하면, 프로그램을 한 줄 한 줄 실행 할 수 있으며, F7를 이용하면 함수가 호출될 경우 함수 내부로 들어가 한 줄 한 줄 실행 할 수 있어요.

 

지금 상황에서는 F8를 이용해 함수 내부로 들어가지 않고 줄마다 실행 하는 방법이 더 적합하다고 생각해서 F8를 이용해 실행 해볼게요.

 

 

CMP로 비교하는 코드까지 F8를 이용해 내려온 후 EAX, ESI 값을 보면, 다른 것을 알 수 있어요. 따라서 EAX, ESI 값을 수정해주면 이 문제를 해결할 수 있어요.

 

 

현재는 EAX : 00000001 / ESI : 00401003 값을 가지고 있는데요, ESI 값을 EAX 값으로 수정해볼게요.

 

 

수정 한 후, F8를 이용해 프로그램을 계속 실행하면 YEAH 창이 뜨며 문제를 해결 할 수 있어요.

 

 

제가 문제를 풀며 알게 되었어요.

 

 

• Crack Me 문제의 접근 방식

Crack Me 문제들은 “리버싱은 이런 느낌이야 ~” 라고 리버싱의 느낌을 잡는 문제들이기 때문에 너무 오랫동안 고민하는 건 별로 좋지 않다고 생각해요.

 

리버싱을 다 배우고 나서 어려운 문제들을 풀 때의 고민들은 성장할 수 있는 밑거름이 되지만, 이런 기초 문제들을 두고 너무 오랫동안 고민하는 건 시간이 아까운 것 같아요. 디버거, 어셈블리어, 리버싱의 느낌을 알아간다는 가벼운 느낌으로 접근 하는 방법이 좋은 것 같아요.

 

• 에러 문자열의 활용

디버거의 문자열 검색 기능을 이용해서 에러 문자열을 찾고 브레이크 포인트를 잘 활용하면 문제를 좀 더 쉽게 해결 할 수 있을 것 같아요.